Le directeur financier apparaît à l’écran. Sa voix est familière, son ton pressé, sa demande apparemment légitime : régler une opération confidentielle avant la fermeture des banques. Pourtant, derrière cette réunion peut se cacher un escroc. Avec les voix synthétiques et les vidéos truquées, voir et entendre ne prouvent plus l’identité. À l’horizon de septembre 2026, le défi est moins de reconnaître chaque trucage que d’empêcher une imitation convaincante de déclencher un paiement. Les affaires documentées, notamment en 2024, éclairent cette menace ; les évolutions envisagées ici pour 2026 relèvent de l’analyse prospective.
Une vieille arnaque, un nouveau pouvoir de persuasion
La fraude au président n’a pas attendu l’intelligence artificielle. Son scénario repose sur trois leviers : l’autorité, l’urgence et le secret. Un prétendu dirigeant réclame un transfert exceptionnel, souvent pour une acquisition ou une opération sensible. L’employé est invité à sortir du circuit habituel, précisément parce que la situation serait inhabituelle.
L’IA générative renforce cette mécanique. Des interventions publiques, des vidéos professionnelles ou des messages audio peuvent fournir une matière exploitable pour imiter une personne. La qualité dépend des outils et des enregistrements disponibles, mais l’escroc n’a pas nécessairement besoin d’une copie parfaite : une communication courte, un son médiocre et une victime sous pression peuvent suffire.
Le cas révélé à Hong Kong en février 2024 a marqué les esprits. Selon la police, un salarié avait effectué des transferts représentant environ 25 millions de dollars américains après une visioconférence où plusieurs participants étaient des imitations numériques de collègues. Le groupe d’ingénierie Arup a confirmé en mai être l’entreprise concernée. Cette affaire démontre une possibilité opérationnelle, pas la fréquence de toutes les fraudes de ce type.
Le piège se prépare avant l’appel
La voix clonée n’est souvent que le dernier étage de l’attaque. En amont, les fraudeurs peuvent étudier l’organigramme, repérer un déplacement du dirigeant, identifier les personnes habilitées à payer ou exploiter une messagerie compromise. Une facture réelle, un nom de fournisseur et une échéance exacte rendent ensuite la demande crédible.
Il faut donc éviter de réduire le problème à la seule détection des deepfakes. Un faux dirigeant peut obtenir un paiement sans vidéo sophistiquée si son message arrive dans une conversation authentique détournée. Inversement, une imitation très réussie peut échouer face à une procédure qui interdit tout changement de bénéficiaire sur simple instruction orale.
Pour septembre 2026, le scénario prospectif le plus préoccupant serait la combinaison de ces techniques : reconnaissance automatisée, messages personnalisés et intervention audio ou vidéo au moment où un salarié hésite. Cela ne signifie pas que chaque appel suspect sera piloté par une IA autonome. Le risque tient surtout à la facilité croissante avec laquelle des fraudeurs pourraient assembler ces briques.
La règle essentielle : sortir du canal imposé
Premier réflexe : interrompre la demande et reprendre contact par un moyen connu. Le numéro fourni dans le message suspect ne doit jamais servir à vérifier ce même message. On rappelle le dirigeant via l’annuaire interne, ou le fournisseur au numéro déjà enregistré dans le référentiel, pas à celui indiqué sur une nouvelle facture.
Cette contre-vérification doit porter sur l’opération elle-même : montant, bénéficiaire, motif et coordonnées bancaires. Un simple « c’est bien vous ? » protège mal si l’interlocuteur confirme ensuite une demande mal comprise. Pour les opérations sensibles, la confirmation doit être consignée dans un outil interne, avec une trace exploitable.
Multiplier les canaux ne suffit pas si tous dépendent du même compte compromis. Un courriel et une conversation collaborative accessibles avec les mêmes identifiants ne constituent pas toujours deux preuves indépendantes. La procédure doit prévoir une voie de confiance distincte et, si le responsable reste injoignable, une règle claire : le paiement attend ou passe par un remplaçant désigné.
Des virements protégés par plusieurs verrous
Le dispositif efficace ressemble moins à un détecteur magique qu’à une succession de contrôles. Chacun doit réduire la possibilité qu’une seule personne, impressionnée par une voix ou un visage, puisse engager les fonds de l’entreprise.
- Séparer création et paiement. La personne qui ajoute un bénéficiaire ne doit pas pouvoir, seule, autoriser son premier règlement.
- Vérifier les changements de coordonnées bancaires. Tout nouvel IBAN déclenche une confirmation auprès d’un contact préexistant, même si la facture et la signature paraissent authentiques.
- Imposer une double validation réelle. Le second approbateur contrôle les pièces et la vérification effectuée ; il ne se contente pas de cliquer.
- Encadrer les exceptions. Plafonds, délai de sécurité et circuit d’urgence doivent être définis à l’avance, sans dérogation improvisée par téléphone.
Ces contrôles gagnent à être intégrés aux logiciels comptables et aux outils bancaires. Une consigne dans un document se contourne facilement ; un blocage technique oblige à traiter l’exception. Les seuils doivent toutefois tenir compte de l’activité : trop de validations inutiles encouragent les automatismes et les contournements.
Pourquoi l’œil humain ne suffit pas
Décalage des lèvres, intonation étrange, contour du visage instable : ces indices peuvent alerter. Ils ne constituent pas une méthode fiable d’authentification. La compression vidéo et les mauvaises connexions produisent aussi des anomalies chez de vrais interlocuteurs. À l’inverse, un trucage peut sembler parfaitement naturel pendant une séquence brève.
Les outils de détection peuvent aider les équipes de sécurité à examiner des contenus, mais leurs performances varient selon les manipulations et les conditions d’enregistrement. Ils peuvent manquer une fraude ou accuser à tort une communication légitime. Leur résultat doit alimenter une investigation, pas devenir le feu vert automatique d’un virement.
Un mot de passe oral partagé n’est pas non plus une garantie durable : il peut être divulgué, enregistré ou soutiré. Pour une validation sensible, mieux vaut une approbation liée à la transaction dans un système maîtrisé. Une authentification forte protège l’accès à ce système, sans remplacer le contrôle du bénéficiaire.
Donner aux salariés le droit de ralentir
La faille décisive reste souvent hiérarchique. Refuser une demande apparemment formulée par son patron exige un soutien explicite de la direction. Celle-ci doit annoncer qu’aucune urgence, aucun secret et aucune visioconférence ne dispensent des contrôles. Un salarié qui suspend un paiement suspect doit être soutenu, pas sanctionné pour son manque de réactivité.
Les exercices internes devraient donc tester les procédures plutôt que piéger les personnes : qui rappeler, où signaler, comment bloquer ? Si un transfert frauduleux part malgré tout, il faut contacter immédiatement la banque pour tenter son interruption ou le rappel des fonds, alerter la sécurité et conserver messages et journaux. La récupération n’est jamais garantie.
Et maintenant ? À l’horizon de septembre 2026, l’hypothèse prudente est celle d’imitations plus accessibles, pas d’une détection infaillible. Les organisations les mieux préparées seront celles qui auront rendu leurs paiements indépendants du pouvoir de persuasion d’un interlocuteur. La bonne question ne sera plus « est-ce vraiment mon directeur à l’écran ? », mais « cette opération a-t-elle été autorisée par un circuit qui résiste à l’usurpation de mon directeur ? ».
