Fausse voix, fausse vidéo : comment déjouer une arnaque au président faite avec l'IA ?

Le scénario en bref

Exemple, inventé pour illustrer. Un jeudi en fin d'après-midi, la comptable d'une PME fictive de vingt salariés reçoit un message vocal du gérant. C'est sa voix, son intonation, sa façon de dire « écoute ». Il explique qu'il négocie un rachat, que c'est confidentiel, et qu'il va l'appeler en vidéo dans cinq minutes.

L'appel arrive. Le visage du gérant s'affiche, l'image est un peu saccadée : « je suis dans le TGV, la connexion est mauvaise ». Il demande un virement de 45 000 € vers un cabinet d'avocats, avant 17 h, sans en parler à personne. La comptable hésite, puis se souvient de la règle affichée au-dessus de son bureau : elle raccroche et rappelle le gérant sur son numéro habituel. Il est en rendez-vous chez un client et n'a jamais appelé. Le montant et les détails sont inventés.

Ce scénario n'a rien d'exagéré. Il reprend, en plus petit, ce que les autorités françaises et étrangères ont décrit ces dernières années.

Le faux dirigeant en visio : le cas relevé par la DGSI

En décembre 2025, la Direction générale de la sécurité intérieure a consacré son Flash ingérence économique n° 117 aux risques de l'intelligence artificielle dans le monde professionnel. L'un des trois cas, tous survenus dans des entreprises françaises, est une tentative d'escroquerie par hypertrucage.

• Le contact : le responsable d'un site industriel d'un groupe français reçoit un appel en visioconférence d'une personne qui se présente comme le dirigeant du groupe.
• L'illusion : au premier abord, rien d'anormal, car l'apparence physique et la voix correspondent bien à celles du dirigeant.
• La demande : l'interlocuteur demande rapidement un transfert de fonds pour un prétendu projet d'acquisition.
• Le bon réflexe : surpris par cette démarche inhabituelle, le responsable met fin à l'échange et alerte sa direction par les canaux habituels. On lui confirme qu'il s'agissait d'une tentative d'escroquerie associant le visage et la voix du dirigeant grâce à une IA.

Retenez surtout la méthode, et la réponse. L'escroc utilise une autorité qu'on n'ose pas contredire, une opération « stratégique » qui justifie le secret, puis l'image et la voix pour lever le doute. Et c'est un geste simple, couper et vérifier par un autre canal, qui a fait échouer la tentative.

Ce que l'IA change dans la fraude au président

La fraude au président fait partie de ce que les autorités appellent l'escroquerie aux faux ordres de virement (FOVI) : un escroc se fait passer pour le dirigeant, ou pour une personne de confiance, afin d'obtenir un virement urgent et confidentiel. Selon la fiche réflexe de Cybermalveillance.gouv.fr, elle passe d'ordinaire par le téléphone et les messages électroniques. L'IA y ajoute désormais la voix et le visage.

On parle d'hypertrucage, ou deepfake. La CNIL le définit comme un contenu audio, photo ou vidéo créé ou modifié par l'intelligence artificielle, capable d'imiter une voix, un visage ou un mouvement de façon si réaliste qu'il devient difficile de le distinguer d'un contenu authentique. Pour imiter un dirigeant, il faut des enregistrements de sa voix et de son visage. Interviews, vidéos sur les réseaux sociaux, webinaires, messages d'accueil : chez beaucoup de dirigeants de PME, cette matière est déjà en ligne.

Le cas le plus connu reste celui du groupe d'ingénierie Arup à Hong Kong. Selon la police de Hong Kong, citée par CNN, un employé du service financier a envoyé 200 millions de dollars de Hong Kong, environ 25,6 millions de dollars américains, en 15 virements, après une visioconférence avec un faux directeur financier et de faux collègues. Arup a confirmé que de fausses voix et de fausses images avaient été utilisées.

Pourquoi chercher les défauts de l'image ne suffit plus

La CNIL cite des indices utiles : pixellisation, mouvements des yeux peu naturels, bouche déformée ou mal synchronisée, lumière ou ombres anormales sur le visage. Mais c'est une course perdue d'avance : les outils progressent sans cesse, et l'escroc a toujours une excuse toute prête, comme une mauvaise connexion ou un appel depuis la voiture.

Le conseil décisif de la CNIL est ailleurs : pour toute demande inhabituelle d'argent, de données ou au caractère urgent, même venant d'un proche ou d'un collègue, vérifiez son authenticité par un autre canal, par exemple un appel. Autrement dit, ce n'est pas votre œil qui vous protège, c'est votre procédure. Une voix parfaite ne doit jamais suffire pour faire partir de l'argent.

Les signaux qui doivent vous faire marquer une pause sont presque toujours les mêmes, avec ou sans IA :

• L'urgence : « avant 17 h », « avant la clôture », « c'est une question d'heures ».
• Le secret : « n'en parle à personne, même pas à ton responsable ».
• L'exception : un nouveau bénéficiaire, un compte à l'étranger, une procédure qu'on vous demande de contourner « pour une fois ».
• L'autorité : le dirigeant, un haut responsable, un avocat ou un auditeur qui insiste.
• Le canal inhabituel : une messagerie personnelle, un numéro inconnu, une visio lancée sans invitation.

La parade : sept gestes à mettre en place lundi matin

Aucun de ces gestes ne demande d'outil ni de budget. Ils demandent seulement que tout le monde, dirigeant compris, accepte qu'un paiement attende le temps d'un coup de fil. Cybermalveillance.gouv.fr recommande en particulier une procédure de vérification et de validation hiérarchique interne non dérogeable.

1. Écrivez la règle et affichez-la : aucun paiement, aucun changement de RIB ne se fait sur la seule base d'un appel, d'un message vocal, d'une visio ou d'un e-mail, même du dirigeant.
2. Raccrochez et rappelez. Pour toute demande urgente ou confidentielle, mettez fin à l'appel et rappelez la personne sur le numéro que vous aviez déjà dans vos contacts, jamais sur celui qu'on vous donne.
3. Instaurez la validation à deux : au-delà d'un montant fixé, deux personnes valident chaque virement, sans exception possible, même « sur ordre du président ».
4. Désignez une personne de recours autre que le dirigeant, à qui l'on s'adresse en cas de demande urgente ou secrète, et gardez son nom en interne.
5. Convenez d'une question de contrôle avec les personnes qui paient : un détail que seuls vous et eux connaissez, à poser en cas de doute, et jamais notée dans un e-mail ou une messagerie. Un imitateur aura beaucoup de mal à y répondre.
6. Le dirigeant s'engage par écrit à ne jamais demander de virement secret. Le jour où « il » le fait, tout le monde sait que ce n'est pas lui.
7. Limitez ce qui est public : Cybermalveillance.gouv.fr conseille de restreindre les informations qui permettent d'identifier les personnes habilitées à faire des virements. La CNIL recommande aussi d'éviter de diffuser sans contrôle des images de soi sur les réseaux sociaux.

Expliquez ces règles en dix minutes lors de la prochaine réunion d'équipe, avec le cas décrit par la DGSI : il marque les esprits et montre que la bonne réaction tient en un geste.

Dans un cabinet de santé

Le scénario s'adapte facilement, par exemple : la fausse voix du médecin titulaire qui appellerait la secrétaire pendant un congrès pour un acompte « urgent » sur un appareil, ou un faux fournisseur en visio. La règle est la même : le rappel sur le numéro connu passe avant tout paiement, quelle que soit l'autorité de la personne à l'écran.

Les règles européennes vont-elles régler le problème ?

Pas pour les escrocs. Selon la Commission européenne, la législation européenne sur l'IA prévoit que certains contenus générés par l'IA, dont les hypertrucages, soient étiquetés de manière claire et visible. Ces règles de transparence s'appliquent depuis le 2 août 2026. C'est une bonne nouvelle pour les contenus légitimes. Mais un fraudeur ne mettra jamais d'étiquette sur sa fausse vidéo. Côté pénal, l'escroquerie est punie de cinq ans d'emprisonnement et de 375 000 € d'amende (article 313-1 du Code pénal), rappelle Cybermalveillance.gouv.fr. Mais une sanction après coup ne rend pas l'argent : votre procédure interne reste la vraie protection.

Vous avez été piégé : les gestes dans l'ordre

Chaque heure compte. Voici l'ordre recommandé par la fiche réflexe de Cybermalveillance.gouv.fr :

1. Contactez immédiatement votre banque et demandez le retour des fonds ; si le virement n'est pas encore parti, faites-le suspendre par votre service comptable ou votre expert-comptable.
2. Conservez toutes les preuves : messages vocaux, captures d'écran de la visio, numéros, e-mails, ordres de virement.
3. Portez plainte au commissariat, à la gendarmerie ou par écrit au procureur de la République, le plus tôt possible : la plainte renforce la demande de retour des fonds.
4. Sécurisez les comptes : si une messagerie a été piratée pour préparer l'arnaque, changez le mot de passe et activez la double authentification. Prévenez votre prestataire informatique.
5. Faites-vous guider par 17Cyber, le service proposé par la Police nationale, la Gendarmerie nationale et Cybermalveillance.gouv.fr. Une tentative liée à l'IA peut aussi être signalée à la DGSI à l'adresse [email protected], qu'elle indique pour tout évènement suspect.

Et surtout, ne cherchez pas de coupable : la personne piégée a été manipulée par des professionnels. Elle doit pouvoir en parler tout de suite, sans crainte.

L'IA reste une alliée, à condition de verrouiller les paiements

L'intelligence artificielle fait gagner du temps à beaucoup d'entreprises et de cabinets, et il n'y a aucune raison de s'en priver. Le risque ne vient pas de l'outil, mais d'une organisation où une seule voix au téléphone suffit pour faire partir de l'argent. Fermez cette porte avec quelques règles simples, et l'imitation la plus réussie ne servira à rien.

Protéger vos paiements→