La voix est familière, le visage aussi. À l’écran, votre directeur financier demande un virement urgent, confidentiel, exceptionnel. Tout semble crédible, sauf cette petite alarme intérieure : pourquoi contourner la procédure ? Face aux deepfakes, le bon réflexe n’est pas forcément de démasquer une image truquée. C’est de savoir dire : « Je m’en occupe dès que nous avons confirmé la demande par notre canal habituel. » Une phrase simple, mais difficile à prononcer quand la hiérarchie, l’urgence et la peur de décevoir entrent dans la conversation.
Quand la confiance devient une prise pour l’attaquant
Le risque n’a rien d’une pure fiction. En 2024, la police de Hong Kong a décrit une fraude dans laquelle un salarié avait effectué plusieurs transferts après une visioconférence mettant en scène de faux collègues, dont un faux directeur financier. Le groupe d’ingénierie Arup a ensuite confirmé avoir été victime de cette escroquerie. L’affaire a montré qu’un échange apparemment collectif pouvait donner une crédibilité redoutable à une instruction frauduleuse.
Elle ne signifie pas que toutes les réunions vidéo sont suspectes, ni que les deepfakes dominent la fraude professionnelle. Les courriels compromis, les faux fournisseurs et les manipulations classiques restent des menaces majeures. Mais l’imitation vocale et visuelle enrichit leur arsenal : elle exploite un raccourci humain puissant, celui qui associe reconnaissance d’une personne et authenticité de sa demande.
À l’horizon de septembre 2026, la perspective raisonnable n’est donc pas celle d’une entreprise où personne ne croirait plus personne. C’est celle d’organisations contraintes de distinguer davantage la relation de confiance et la preuve d’autorisation. Cette analyse prospective prolonge des incidents documentés et l’accessibilité croissante des outils de synthèse, sans supposer une généralisation chiffrée de ces attaques.
Le vrai obstacle : oser interrompre un supérieur
Sur le papier, la consigne paraît évidente : rappeler pour vérifier. Dans la réalité, un salarié peut craindre de paraître lent, incompétent ou insolent. Le faux dirigeant joue précisément sur cette gêne : « Je suis en déplacement », « Nous n’avons pas le temps », « Gardez cela entre nous ». Ces arguments existent aussi dans des situations légitimes, ce qui rend l’arbitrage inconfortable.
L’assertivité consiste ici à tenir une limite sans attaquer la personne. Il ne s’agit pas de lancer : « Prouvez-moi que vous êtes vraiment vous. » Il s’agit de rappeler une règle attachée à l’opération : « Pour tout changement de coordonnées bancaires, je dois obtenir une confirmation indépendante. » Le déplacement est décisif : on contrôle une demande, pas la loyauté d’un interlocuteur.
Cette compétence ne peut pourtant pas reposer sur le seul courage individuel. Si un manager sanctionne habituellement les ralentissements, un rappel dans une formation cybersécurité pèsera peu. Pour fonctionner, la vérification doit être autorisée dans les faits, y compris lorsqu’elle retarde une demande authentique d’une personne influente.
Un autre canal, oui. Mais vraiment indépendant
Passer de la vidéo au message écrit ne suffit pas automatiquement. Si le message arrive dans le même compte compromis, la confirmation reste sous le contrôle potentiel de l’attaquant. De même, rappeler un numéro fourni au cours de l’échange suspect revient à demander au demandeur d’organiser lui-même sa vérification.
Le principe utile est plus exigeant : reprendre contact à partir d’une référence déjà connue et fiable. Cela peut être un numéro enregistré dans un annuaire interne, un circuit d’approbation établi ou une validation en personne lorsque c’est possible. Selon la sensibilité de l’action, une seconde approbation peut compléter ce contrôle. Aucun canal n’étant infaillible, l’enjeu est de ne pas dépendre d’un unique élément de preuve.
Trois formulations qui évitent l’accusation
- Face à l’urgence : « J’ai bien compris le délai. Je lance la vérification prévue avant d’exécuter le transfert. »
- Face à un dirigeant : « Cette règle s’applique aussi aux demandes de la direction. Je vous rappelle au numéro de l’annuaire. »
- Face à la confidentialité : « Je peux préserver la confidentialité tout en passant par le valideur habilité. »
Ces phrases associent reconnaissance du besoin et maintien du cadre. Elles gagnent à être adaptées au vocabulaire de l’équipe, puis répétées à voix haute. L’objectif n’est pas de réciter un script mécanique, mais de disposer d’une réponse accessible quand le stress réduit la capacité d’improvisation.
Vérifier l’action plutôt que scruter les pixels
Un visage légèrement figé, une intonation inhabituelle, un décalage entre son et image peuvent attirer l’attention. Ils ne constituent cependant pas un test fiable : une mauvaise connexion produit aussi des anomalies, et une imitation convaincante peut n’en laisser aucune d’évidente. Former uniquement les salariés à « repérer le faux » risque donc de leur donner une assurance trompeuse.
Mieux vaut examiner ce qui est demandé. Faut-il transférer de l’argent, envoyer un fichier sensible, changer un compte bénéficiaire, communiquer un secret d’authentification ou contourner une approbation ? Plus l’action est sensible ou difficile à annuler, plus sa validation doit être robuste, même si la conversation paraît parfaitement naturelle.
Cette approche présente un autre avantage : elle évite de traiter comme suspects un accent, un trouble de la parole ou une caméra défaillante. La prudence porte sur des conditions opérationnelles observables, pas sur l’apparence ou l’aisance d’une personne. Les outils de détection peuvent contribuer à la défense, mais ne devraient pas servir d’arbitres uniques de la confiance.
Faire de la vérification une pratique collective
Le premier levier appartient aux dirigeants : annoncer explicitement qu’ils acceptent d’être rappelés et contrôlés. Puis le démontrer, sans ironie ni reproche, lorsque cela arrive. Un « Vous avez bien fait de vérifier » après une demande légitime enseigne davantage qu’une affiche exhortant chacun à rester vigilant.
Les exercices doivent aussi travailler la dimension relationnelle. Une courte simulation peut mettre un collaborateur face à une demande pressante, puis lui faire pratiquer une reformulation, un refus provisoire et une escalade. Le débriefing porte autant sur les moyens disponibles que sur les émotions : à quel moment a-t-il eu peur de déranger ? Savait-il qui joindre ?
Enfin, l’entreprise doit prévoir l’exception avant la crise. Si le responsable est injoignable, qui peut valider ? Que peut-on mettre en attente ? Où signaler une tentative sans diffuser inutilement des données personnelles ? Une procédure sans solution de repli pousse au contournement. Une procédure praticable protège aussi le salarié qui décide de suspendre une opération.
Et maintenant ? Si les imitations deviennent plus accessibles et convaincantes, la défense devra moins dépendre du talent individuel à reconnaître une voix. Elle reposera davantage sur des validations indépendantes et une culture où demander confirmation n’est pas une offense. Le signe de maturité sera simple : pouvoir répondre à son dirigeant « je vérifie d’abord », puis reprendre le travail sans justification embarrassée. La confiance ne disparaît pas ; elle apprend à accepter une vérification.
