Le téléphone sonne entre deux réunions. À l’autre bout, la voix du directeur demande un virement exceptionnel, immédiatement. Il connaît le dossier, semble pressé et insiste sur la confidentialité. Votre meilleure défense n’est peut-être pas un logiciel : c’est la capacité à répondre « Je suspends la demande le temps de la vérifier ». Face aux voix et aux vidéos synthétiques, cette petite friction devient une compétence professionnelle majeure. Encore faut-il pouvoir l’exercer sans passer pour la personne qui bloque tout.
Quand reconnaître quelqu’un ne suffit plus
La fraude au président n’a pas attendu l’intelligence artificielle. Depuis longtemps, des escrocs empruntent l’identité d’un dirigeant pour obtenir un transfert d’argent ou des informations sensibles. Leur matière première reste humaine : la peur de décevoir, le respect de la hiérarchie, l’envie de rendre service. Les outils génératifs ajoutent une couche de vraisemblance à ce scénario. Une voix connue peut désormais être un indice trompeur plutôt qu’une preuve.
Début 2024, la police de Hong Kong a rendu publique une affaire dans laquelle un salarié avait transféré l’équivalent d’environ 25 millions de dollars après une visioconférence frauduleuse. Selon les éléments rapportés par les enquêteurs, les participants que la victime croyait reconnaître étaient des imitations numériques. Le groupe d’ingénierie Arup a ensuite confirmé être l’entreprise touchée. Ce cas documenté ne signifie pas que toutes les réunions sont suspectes : il montre qu’une interaction audiovisuelle peut, elle aussi, être mise en scène.
À l’horizon de septembre 2026, la perspective raisonnable n’est donc pas d’imaginer des impostures parfaites partout. C’est d’anticiper que davantage d’attaquants pourront produire des messages assez crédibles pour provoquer une décision précipitée. Il s’agit ici d’une projection, pas d’un bilan chiffré de 2026. Le changement essentiel est déjà visible dans les cas connus : la familiarité d’un visage ou d’une voix ne doit plus autoriser, à elle seule, une action sensible.
L’urgence vise d’abord notre capacité à contredire
Une demande malveillante cherche souvent à fermer trois portes : le temps de réfléchir, la possibilité de consulter un collègue et le droit de poser une question. « C’est urgent », « cela reste entre nous », « je prends la responsabilité » : ces formulations peuvent être légitimes, mais leur combinaison mérite une pause. Elles isolent le destinataire et transforment une procédure normale en apparente marque de défiance envers le chef.
C’est là que l’assertivité devient une compétence de cybersécurité. Elle consiste à exprimer une limite clairement, sans agressivité ni soumission. Le salarié n’a pas besoin d’accuser son interlocuteur d’être un escroc. Il doit pouvoir maintenir une règle malgré la pression : l’identité revendiquée, même prestigieuse, ne dispense pas de vérification. Cette posture protège aussi le véritable dirigeant, dont le nom pourrait servir à contourner les contrôles.
Interrompre sans accuser : les mots qui aident
Savoir qu’il faut vérifier ne suffit pas toujours à trouver ses mots sous stress. Des formulations préparées réduisent cet effort. Elles gagnent à être courtes, factuelles et orientées vers la suite, plutôt que noyées dans des excuses. Par exemple :
- « Je peux traiter cette demande dès que la validation prévue est faite. »
- « Je vous rappelle au numéro enregistré dans notre annuaire interne. »
- « Ce changement de coordonnées bancaires nécessite un contrôle indépendant. »
- « L’urgence est comprise. Je maintiens la double validation et je préviens la personne habilitée. »
Ces phrases ne cherchent pas à remporter une confrontation. Elles déplacent la discussion : on ne juge pas la sincérité d’un individu, on applique un processus. Une précision compte particulièrement : annoncer ce que l’on va faire, pas seulement ce que l’on refuse. « Je suspends et je vérifie » est plus opérant qu’un simple « non », surtout lorsque l’activité doit continuer.
Vérifier ailleurs, pas dans le piège
Le réflexe décisif est le changement de canal vers une référence déjà fiable. Rappeler le numéro fourni dans le message suspect ne constitue pas une vérification indépendante. Cliquer sur son lien pour rejoindre une seconde réunion non plus. Mieux vaut utiliser un annuaire interne connu, une application métier habituelle ou un contact enregistré auparavant. Pour un fournisseur, on reprend des coordonnées établies avant la demande de changement bancaire.
Attention toutefois à ne pas transformer ce conseil en recette magique. Un compte de messagerie peut être compromis ; plusieurs canaux peuvent être contrôlés par le même adversaire. Pour les opérations à fort impact, l’organisation doit prévoir une validation réellement indépendante : deuxième approbateur, circuit financier formalisé, confirmation dans l’outil autorisé. La qualité de la preuve doit suivre le risque de l’action, pas le rang de celui qui la demande.
Il faut également renoncer au concours de détection visuelle. Chercher un clignement bizarre, un décalage des lèvres ou une intonation métallique peut parfois alerter, mais l’absence d’anomalie ne prouve rien. Une mauvaise connexion produit aussi des artefacts. Mieux vaut contrôler l’autorisation du virement que demander à chaque comptable de devenir expert en images synthétiques.
Le patron doit rendre la contradiction possible
La formation individuelle échoue si l’organisation récompense les raccourcis. Un dirigeant qui exige régulièrement de contourner les règles apprend à ses équipes que l’urgence hiérarchique vaut autorisation. Une entreprise ne peut pas demander aux salariés de résister aux fraudeurs tout en sanctionnant ceux qui prennent quelques minutes pour vérifier une vraie demande.
Le signal le plus fort vient donc du management : accepter d’être rappelé, attendre la seconde signature, remercier un collaborateur qui suspend une opération douteuse. Ce droit à l’interruption doit aussi couvrir les intérimaires, les juniors et les prestataires, souvent moins à l’aise pour contredire. Une procédure n’est protectrice que si chacun peut l’invoquer sans devoir négocier sa légitimité.
S’entraîner à la pause, pas seulement au soupçon
Un exercice utile ne se limite pas à reconnaître un courriel piégé. Il met en scène une demande plausible, une pression temporelle et une relation d’autorité. L’objectif : pratiquer la phrase d’arrêt, retrouver le bon contact et déclencher l’escalade prévue. Le débriefing doit repérer les obstacles concrets : annuaire périmé, approbateur absent, consignes contradictoires ou peur de déranger.
Si une personne a déjà obéi, la priorité est d’alerter immédiatement les équipes compétentes et, pour un transfert, le circuit financier et bancaire. Conserver les messages et signaler les faits sans honte peut accélérer la réponse. La culpabilisation, elle, pousse au silence. On évalue donc aussi la facilité du signalement, pas uniquement le nombre de personnes tombées dans un test.
Et maintenant ? À mesure que les contenus synthétiques deviennent plus accessibles, les entreprises devront probablement moins compter sur la reconnaissance intuitive et davantage sur des autorisations vérifiables. La bonne évolution n’est pas une suspicion permanente : c’est une confiance assortie de règles simples, proportionnées et partagées. Le prochain investissement utile pourrait commencer par une consigne du patron : « Si une demande semble inhabituelle, vérifiez-la, même si elle paraît venir de moi. »
