Le téléphone sonne en fin de journée. Une voix familière réclame un virement urgent, évoque une acquisition confidentielle et demande de contourner le circuit habituel. Ce scénario de fraude au dirigeant n’a rien de neuf. Mais l’intelligence artificielle peut lui donner une force supplémentaire : la voix entendue ressemble désormais à celle du patron. Pour les entreprises, l’enjeu n’est plus seulement de reconnaître un imposteur, mais de rendre son imitation inutile. À l’horizon de septembre 2026, cette analyse s’appuie sur des faits documentés antérieurement ; les évolutions envisagées sont présentées comme prospectives.
Une vieille escroquerie, un levier de persuasion supplémentaire
La fraude au dirigeant exploite trois ressorts classiques : l’autorité, l’urgence et le secret. Un escroc se fait passer pour un responsable afin d’obtenir un paiement ou une information sensible. Le courriel falsifié, le compte de messagerie compromis et le faux conseiller bancaire constituent déjà un arsenal efficace. Le clonage vocal vient renforcer cette mécanique, sans remplacer les autres outils.
Des services de synthèse vocale permettent de produire une voix ressemblante à partir d’enregistrements, avec une qualité variable selon l’outil, la langue et les conditions audio. Interviews, conférences et vidéos institutionnelles peuvent fournir de la matière. Une démonstration convaincante ne garantit toutefois pas une conversation improvisée parfaite : la prosodie, les interruptions ou les noms propres peuvent encore trahir la fabrication.
La protection ne peut pourtant pas reposer sur ces imperfections. Une liaison médiocre, un interlocuteur pressé ou un message vocal bref réduisent les occasions de les remarquer. Surtout, l’attaquant n’a pas besoin de tromper toute l’entreprise : il lui suffit de convaincre la personne capable de déclencher ou de préparer l’opération.
Les cas connus montrent surtout une faille organisationnelle
En 2024, la police de Hong Kong a décrit une fraude dans laquelle un salarié avait participé à une visioconférence avec de faux collègues, dont un faux directeur financier, avant d’effectuer des transferts totalisant environ 200 millions de dollars hongkongais. Le groupe d’ingénierie Arup a ensuite confirmé être l’entreprise concernée. Cette affaire associait des imitations audio et vidéo : elle ne se résume donc pas à un appel vocal.
Elle illustre néanmoins un basculement : voir et entendre des interlocuteurs apparemment connus ne constitue plus, à soi seul, une preuve suffisante. Dès 2023, la Federal Trade Commission américaine alertait également sur l’usage du clonage vocal dans les escroqueries à l’urgence familiale. Le contexte diffère, mais le mécanisme psychologique se transpose au travail : une voix reconnue peut désarmer la méfiance.
Ces exemples ne permettent pas de mesurer précisément la fréquence des fraudes vocales en entreprise. Les incidents publiés offrent une vision partielle, et l’usage réel d’une voix synthétique peut être difficile à établir. Le risque justifie des contrôles, pas des statistiques improvisées ni l’annonce d’une vague impossible à quantifier.
Le rappel est utile, à condition de changer réellement de circuit
La règle centrale tient en une phrase : un appel peut transmettre une demande, mais ne doit pas suffire à autoriser un mouvement d’argent. Le numéro affiché ne prouve pas l’identité de l’appelant, puisqu’il peut être usurpé. Et rappeler un numéro fourni pendant l’échange revient parfois à demander au fraudeur de se confirmer lui-même.
Un rappel utile part d’un annuaire interne maîtrisé ou d’une coordonnée déjà enregistrée et vérifiée. Pour un changement de coordonnées bancaires fournisseur, la confirmation doit joindre un contact connu, sans utiliser le numéro figurant uniquement dans le message demandant la modification. L’objectif est de rompre la chaîne de confiance construite par l’attaquant.
Ce rappel ne doit cependant pas devenir une autorisation orale de substitution. Pour les paiements sensibles, il complète un circuit formel : demande tracée, pièces justificatives, approbation dans un outil authentifié et séparation des responsabilités. Si l’attaquant contrôle aussi une messagerie ou un compte interne, multiplier les échanges dans ce même environnement n’apporte qu’une indépendance apparente.
Reconstruire la validation autour du paiement
Une procédure robuste examine l’opération plutôt que le talent d’imitateur de son auteur. Le bénéficiaire est-il nouveau ? Le compte bancaire vient-il de changer ? La somme, le pays de destination ou l’horaire sortent-ils des habitudes ? Une prétendue instruction présidentielle ne doit pas neutraliser ces questions.
- Séparer préparation et approbation : la personne qui crée un bénéficiaire ou prépare un virement ne devrait pas pouvoir tout valider seule.
- Renforcer les opérations atypiques : prévoir une seconde approbation indépendante, des justificatifs et, selon le risque, un délai de sécurité.
- Protéger les accès : privilégier une authentification résistante à l’hameçonnage lorsque les outils le permettent, notamment pour la messagerie et les applications financières.
- Tracer les exceptions : toute dérogation doit avoir un responsable identifié, une justification et une vérification distincte de l’appel initial.
La double validation n’a rien de magique si deux personnes obéissent au même appel alarmiste. Chacune doit examiner les éléments de l’opération et disposer d’une voie d’escalade. Une PME peut appliquer ce principe sans infrastructure lourde : bénéficiaires préenregistrés, plafonds adaptés, second signataire et contacts de secours constituent déjà une base concrète.
Le droit de dire non compte autant que la technologie
Le point faible est parfois culturel. Lorsqu’un dirigeant exige régulièrement des exceptions, il entraîne ses équipes à désactiver leurs propres protections. L’escroc n’a plus qu’à reproduire ce comportement. Une politique crédible commence donc au sommet : aucune urgence invoquée au téléphone ne dispense des contrôles, y compris lorsque la demande vient réellement du directeur général.
Les exercices de sensibilisation doivent entraîner à interrompre une opération, pas seulement à repérer une voix étrange. Un scénario combinant courriel plausible, appel pressant et changement de compte bancaire permet de tester la procédure. L’évaluation doit porter sur les réflexes et les blocages organisationnels, sans humilier le salarié piégé.
Les détecteurs de voix synthétiques peuvent apporter un signal supplémentaire, mais leurs performances dépendent des modèles, de la compression et du bruit. Ils peuvent manquer une imitation ou suspecter un enregistrement authentique. Même limite pour une phrase secrète statique : divulguée ou enregistrée, elle devient réutilisable. Aucun de ces dispositifs ne remplace une validation indépendante.
Préparer aussi les premières minutes après la fraude
Si un paiement suspect est parti, il faut contacter immédiatement la banque pour tenter de le bloquer ou d’en obtenir le rappel, sans garantie de récupération. L’entreprise doit conserver les messages, les références de transaction et les journaux utiles, prévenir ses responsables sécurité et finance, puis signaler les faits aux autorités compétentes. Un plan préparé évite de perdre du temps à chercher qui peut agir.
Et maintenant ? La perspective la plus plausible est une combinaison accrue de voix, de vidéo et de messages personnalisés, plutôt qu’un remplacement de toutes les escroqueries par des avatars parfaits. Leur progression exacte reste incertaine. La réponse peut, elle, commencer immédiatement : retirer à la familiarité d’une voix son pouvoir d’autorisation et construire des contrôles qui restent valables même lorsque l’imitation devient convaincante.
