Pendant longtemps, la fraude au président suivait un scénario assez classique : un e-mail bien rédigé, une urgence financière, un ton autoritaire, et quelqu’un qui finit par valider un virement qu’il n’aurait jamais dû faire.
Le problème, c’est que ce scénario évolue. Aujourd’hui, la voix s’invite dans l’attaque. Un appel arrive, le ton semble crédible, le contexte paraît cohérent, et la pression monte très vite. Europol rappelle que le business email compromise (BEC) reste l’une des formes de fraude en ligne les plus prolifiques dans l’UE, et que les outils d’IA et les deepfakes élargissent les possibilités de manipulation sociale pour les groupes criminels. (Europol)
Pourquoi cette arnaque fonctionne encore
Parce qu’elle n’attaque pas la technique en premier.
Elle attaque le réflexe humain : obéir vite, éviter un problème, aider un dirigeant, régler une urgence.
L’ANSSI définit d’ailleurs l’escroquerie aux faux ordres de virement comme une manipulation visant une personne dans l’entreprise pour l’amener à effectuer un virement non planifié. (cyber.gouv.fr)
Autrement dit, même avec de bons outils, une entreprise reste exposée si ses règles internes sont floues au moment où la pression monte.
Ce qui change en 2026
Avant, il fallait un bon faux e-mail.
Maintenant, il peut y avoir :
- un appel avec une voix qui ressemble à celle d’un dirigeant ;
- un message vocal laissé en dehors des horaires habituels ;
- un e-mail puis un appel dans la foulée pour “rassurer” ;
- une demande de virement habillée comme une opération exceptionnelle et confidentielle.
Le vrai danger, ce n’est pas seulement la qualité de l’imitation. C’est le mélange urgence + autorité + discrétion. C’est exactement ce qui fait tomber les garde-fous.
Les signaux qui doivent faire lever un doute
Il y a quelques indices très simples à ne plus ignorer :
- la demande contourne le circuit normal de validation ;
- on vous demande d’aller vite “sans prévenir tout le monde” ;
- le ton est inhabituel, même si la voix semble familière ;
- le RIB ou le bénéficiaire change au dernier moment ;
- l’appel insiste sur la confidentialité plus que sur la logique ;
- on vous pousse à agir avant toute vérification.
En clair : plus c’est urgent, plus il faut ralentir.
La règle la plus utile : ne jamais valider un virement sensible sur un seul canal
C’est probablement la mesure la plus rentable de toutes.
Un ordre reçu par e-mail doit être confirmé autrement.
Un ordre reçu par téléphone doit être confirmé autrement.
Un ordre reçu sur messagerie instantanée doit être confirmé autrement.
Le bon réflexe, c’est la double validation hors bande :
- appel vers un numéro déjà connu ;
- confirmation par une seconde personne ;
- validation selon une procédure écrite, même pour la direction.
Pas de règle spéciale pour les cas “exceptionnels”.
C’est justement là que l’arnaque essaie de passer.
Ce qu’une PME peut mettre en place tout de suite
Pas besoin d’un grand projet pour mieux se protéger.
Voici le minimum utile :
- écrire une procédure claire pour les virements exceptionnels ;
- imposer une validation à deux personnes au-delà d’un certain montant ;
- interdire tout changement de RIB sans contrôle direct ;
- former les équipes finance, RH et direction à ce scénario précis ;
- documenter un canal d’escalade si une demande paraît douteuse.
Une règle simple vaut souvent mieux qu’une grande charte oubliée dans un dossier.
Le point que beaucoup oublient
La fraude au président moderne ne vise pas seulement le service comptable.
Elle peut aussi toucher :
- les RH ;
- les assistants de direction ;
- les offices managers ;
- les personnes qui gèrent les fournisseurs ;
- les collaborateurs habitués à “faire avancer les choses vite”.
C’est pour cela que cette attaque reste redoutable : elle cible l’organisation réelle, pas l’organigramme théorique.
Conclusion
Le deepfake vocal ne change pas tout, mais il rend une vieille fraude beaucoup plus crédible.
La meilleure défense n’est pas de “reconnaître parfaitement une fausse voix”. La meilleure défense, c’est d’avoir une règle simple : aucun virement sensible ne part sans double vérification indépendante.
Si cette règle existe, l’attaque perd déjà une grande partie de sa force.
Si elle n’existe pas, la technologie n’a même pas besoin d’être parfaite pour faire des dégâts.
