Le directeur financier apparaît à l’écran. Il connaît les dossiers, parle avec assurance et demande une opération urgente. Tout semble normal, sauf l’essentiel : ce n’est pas lui. Avec les deepfakes de dirigeants, l’entreprise affronte une attaque contre son système de confiance. À l’horizon de septembre 2026, la priorité n’est pas seulement de repérer une image truquée. C’est de préparer l’organisation à vérifier une parole crédible, puis à répondre sans amplifier le piège.
Une fraude qui emprunte les codes de l’entreprise
En 2024, le groupe d’ingénierie Arup a confirmé avoir été victime à Hong Kong d’une fraude utilisant des deepfakes. Selon les informations rendues publiques, un salarié avait participé à une visioconférence où plusieurs interlocuteurs, dont un faux directeur financier, étaient usurpés. Des virements représentant environ 25 millions de dollars avaient suivi. Le ressort décisif n’était pas uniquement la qualité technique : la réunion donnait à une demande inhabituelle l’apparence d’une instruction collective.
La même année, une tentative visant WPP a utilisé l’identité de son directeur général, Mark Read, notamment avec une voix clonée et une mise en scène de réunion virtuelle. Elle a échoué. Chez Ferrari, un cadre aurait également déjoué une tentative d’usurpation vocale du dirigeant en posant une question personnelle que l’interlocuteur ne pouvait résoudre, selon un récit publié par Bloomberg en 2024.
Ces épisodes éclairent une tendance, sans permettre de prédire mécaniquement sa fréquence en 2026. L’attaquant ne cherche pas toujours à fabriquer une illusion parfaite : il cherche à obtenir une action avant la vérification. Urgence, confidentialité, autorité hiérarchique et contexte familier compensent parfois les défauts du faux.
Le risque dépasse le virement frauduleux
Pour une direction de la communication, le scénario ne s’arrête pas à la trésorerie. Une fausse vidéo peut annoncer une fermeture d’usine, attribuer des propos discriminatoires à un président ou promettre un produit inexistant. Un message vocal peut pousser une agence à publier un communiqué. Un extrait manipulé peut parvenir simultanément aux salariés, aux journalistes et aux clients.
Le dommage peut commencer avant toute authentification : captures d’écran, appels aux managers, demandes de réaction. Dans une société cotée, un faux message peut aussi créer une agitation de marché. La réponse doit alors articuler cybersécurité, communication, juridique et relations investisseurs, avec une évaluation des obligations applicables.
Le scénario prospectif le plus préoccupant n’est donc pas forcément une vidéo spectaculaire devenue virale. C’est une succession de petits signaux cohérents : invitation crédible, voix connue, document bien présenté. Chaque élément renforce les autres jusqu’à faire paraître la vérification superflue.
Installer des canaux de référence avant d’en avoir besoin
Premier chantier : définir où la parole officielle fait foi. Le site institutionnel doit comporter un espace identifiable pour les informations sensibles et les mises au point. Les salariés doivent connaître le canal interne de référence. Les journalistes, partenaires et clients stratégiques doivent disposer de coordonnées déjà vérifiées, plutôt que d’un numéro découvert dans le message suspect.
Un compte portant un badge sur une plateforme ne suffit pas : il peut être compromis, imité ou mal interprété. Une publication sur le site n’est pas davantage magique si les accès sont fragiles. L’authentification repose sur une chaîne de confiance, pas sur un logo. Comptes protégés par une authentification forte, droits limités et validation à deux personnes des annonces sensibles font partie du dispositif.
Il faut aussi prévoir l’indisponibilité du canal principal. Si le site est compromis, où publier ? Si la messagerie est suspecte, comment réunir la cellule de crise ? Un annuaire de secours conservé hors des outils habituels et un canal alternatif testé évitent d’improviser au pire moment.
Vérifier la demande, pas seulement le visage
Les réflexes visuels vieillissent vite. Chercher des clignements étranges ou une bouche désynchronisée peut aider, mais ne constitue pas une procédure fiable. Compression, mauvaise connexion et outils de génération brouillent ces indices. Les détecteurs automatiques peuvent contribuer à l’analyse ; leur résultat ne doit pas être traité comme un verdict.
La règle opérationnelle est plus simple : une instruction inhabituelle exige une confirmation indépendante. On rappelle le dirigeant ou son assistant sur un numéro connu. On utilise un circuit d’approbation distinct. On ne répond pas simplement dans le fil suspect, et on n’appelle pas le numéro qu’il fournit.
- Argent : aucun changement de coordonnées bancaires ni virement exceptionnel sur la seule base d’un appel ou d’une vidéo.
- Publication : toute annonce sensible suit une double validation, même si elle semble venir du sommet.
- Données : aucune transmission confidentielle sans vérification de l’identité et du besoin réel.
- Urgence : la pression pour contourner les règles devient un motif d’escalade, jamais une autorisation.
Une question personnelle ou un mot de passe partagé peut offrir une protection ponctuelle, mais ne devrait pas constituer l’unique barrière : ces secrets circulent ou se découvrent. Surtout, le dirigeant doit publiquement autoriser ses équipes à le vérifier. Sans cette permission, la meilleure procédure risque de céder devant la peur de désobéir.
Préparer une réponse publique qui ne nourrit pas le faux
La cellule de crise doit savoir qui tranche, qui enquête et qui parle. La sécurité conserve les éléments et examine les comptes ; la communication suit la circulation du contenu ; le juridique évalue les démarches nécessaires. Une main courante commune distingue faits établis, hypothèses et décisions. Ce partage limite les versions contradictoires.
Avant même l’expertise complète, un message d’attente peut préciser qu’un contenu attribué au dirigeant circule, que son authenticité est en cours de vérification et qu’aucune action ne doit être engagée sur cette base. Il renvoie vers le canal officiel et annonce une prochaine mise à jour, sans promettre un délai impossible à tenir.
Une fois la manipulation établie, le démenti doit être explicite, daté et facilement retrouvable. Il corrige l’affirmation centrale plutôt que de republier inutilement la vidéo entière. Les plateformes reçoivent les signalements, les journalistes les éléments vérifiés, les managers une consigne claire. La conservation des preuves doit précéder les demandes de retrait.
Tout faux ne mérite pas une conférence de presse. Une diffusion limitée peut appeler une réponse ciblée ; une rumeur largement reprise exige davantage de visibilité. L’arbitrage dépend des publics touchés et des conséquences possibles, pas seulement du nombre de vues.
Répéter la crise, sans piéger les salariés
Un exercice utile commence par un scénario concret : faux vocal envoyé à une agence, vidéo reçue par un journaliste, visioconférence réclamant une dérogation. On mesure le temps nécessaire pour signaler, rappeler, suspendre l’action et produire un premier message cohérent. L’objectif n’est pas de ridiculiser ceux qui ont cru au faux, mais de repérer les failles de procédure.
Et maintenant ? Pour septembre 2026 et au-delà, l’hypothèse raisonnable est celle d’usurpations plus accessibles et mieux intégrées aux échanges ordinaires, non d’une tromperie devenue infaillible. Les entreprises les mieux préparées ne seront pas celles qui promettent de tout détecter. Ce seront celles où chacun sait suspendre une demande, vérifier hors du canal suspect et retrouver rapidement une parole officielle fiable.
