Arnaque deepfake au président : protéger sa PME en 2026

Un appel du dirigeant, une visio avec le directeur financier, une demande de virement « confidentiel et urgent » : longtemps, la fraude au président reposait sur un simple email bien tourné. En 2026, elle s’appuie sur l’intelligence artificielle pour cloner une voix ou fabriquer un visage animé en temps réel. Résultat : des scénarios qui trompent des salariés prudents et bien formés. Ce guide explique concrètement comment fonctionne l’arnaque deepfake, pourquoi votre PME est une cible, et surtout quelles mesures simples neutralisent l’attaque, même la plus sophistiquée.

Qu’est-ce qu’un deepfake dans la fraude au président ?

Un deepfake est un contenu audio ou vidéo fabriqué par intelligence artificielle pour imiter de façon crédible la voix, le visage ou les gestes d’une personne réelle. Appliqué à la fraude au président, il transforme une escroquerie qui se lisait (un email) en une escroquerie qui se voit et s’entend.

Le principe de l’arnaque reste identique : un escroc se fait passer pour un dirigeant (PDG, directeur financier, associé) pour ordonner un virement urgent, souvent présenté comme secret, lié à une acquisition ou à un contrôle fiscal. Ce qui change, c’est la preuve d’identité : la victime ne reçoit plus seulement un texte, elle reconnaît la voix de son patron, voire son visage en visioconférence. Le doute naturel disparaît. C’est une cousine directe de l’hameçonnage, mais où l’appât n’est plus un lien piégé : c’est l’identité même du dirigeant qui est falsifiée.

Comment fonctionne l’attaque : le clonage vocal expliqué

Le nerf de la guerre, c’est la matière première : votre voix. Et elle est partout. Une interview, une vidéo sur le site de l’entreprise, un webinaire, un message vocal, une prise de parole en conférence : autant de sources publiques. Or le clonage vocal par IA ne nécessite que quelques secondes d’enregistrement pour produire une imitation convaincante, capable de prononcer n’importe quelle phrase.

Le déroulé type d’une attaque en 2026 :

1. Repérage L’escroc identifie le dirigeant et un salarié habilité aux paiements (comptable, DAF, assistant de direction), via le site web, LinkedIn ou l’organigramme.
2. Collecte de la voix Il récupère quelques secondes d’audio public et entraîne un modèle de clonage vocal.
3. Mise en scène Il crée l’urgence : opération confidentielle, dossier sensible, dirigeant « injoignable autrement ».
4. Passage à l’acte Un appel à la voix clonée (vishing), un email de relance, parfois une visioconférence deepfake pour lever les derniers doutes.
5. Exfiltration Le virement part vers un compte « mule », puis l’argent est éclaté et disparaît.

Le cas Arup : 25,6 M$ envolés en une visioconférence

C’est l’affaire qui a fait basculer la fraude au président dans une nouvelle ère. En janvier 2024, à Hong Kong, un employé du service financier de la firme d’ingénierie Arup participe à une visioconférence. Autour de la table virtuelle : le directeur financier du groupe et plusieurs collègues, dont il reconnaît les visages et les voix.

Tout était faux. Chaque participant était un deepfake généré par IA. Convaincu, l’employé exécute 15 virements pour un total de 25,6 millions de dollars (200 millions de dollars de Hong Kong). La fraude n’a été découverte qu’après coup, lors d’une simple vérification de routine auprès du siège.

Pourquoi les PME sont-elles vraiment ciblées ?

Beaucoup de dirigeants pensent que ces attaques visent uniquement les multinationales. C’est une erreur dangereuse. Les TPE et PME concentrent plusieurs vulnérabilités que les escrocs adorent :

• Moins de contrôles internes : souvent une seule personne valide les paiements, sans procédure formalisée de double signature.
• Proximité hiérarchique : difficile de dire non à un patron que l’on côtoie chaque jour, surtout quand il « insiste ».
• Exposition publique : la voix et le visage des dirigeants sont largement diffusés (site, réseaux, presse locale).
• Absence de sensibilisation : les équipes n’ont jamais entendu parler du clonage vocal et le croient réservé aux films.

La Banque de France et le portail Ma Sécurité du ministère de l’Intérieur signalent d’ailleurs la montée des arnaques à l’IA et des deepfakes vocaux. Le coût d’une attaque a chuté (l’IA est accessible à tous), ce qui rend rentable de viser des cibles plus petites, en masse.

Ce qui change en 2026 : la voix et la visio en temps réel

Jusqu’ici, un deepfake convaincant demandait du temps de préparation. En 2026, deux évolutions changent la donne pour les PME :

• La voix clonée en temps réel : l’escroc peut désormais dialoguer au téléphone avec la voix du dirigeant, répondre aux questions, s’adapter — plus seulement diffuser un message pré-enregistré.
• La visioconférence truquée : comme chez Arup, plusieurs interlocuteurs deepfakes peuvent apparaître dans un même appel pour créer une fausse pression collective.

La conséquence pratique est simple : les canaux de confiance historiques (reconnaître une voix, voir un visage) ne sont plus des preuves. Il faut basculer vers des preuves procédurales.

Signaux d’alerte : reconnaître une tentative

Aucun indice pris isolément ne prouve une fraude, mais un faisceau de signaux doit déclencher la vérification. Voici les canaux d’attaque et les signaux d’alerte associés.

Le dénominateur commun de toute fraude au président : une demande de virement qui combine urgence, confidentialité, dérogation aux procédures et pression hiérarchique. Dès que ces quatre ingrédients apparaissent ensemble, traitez-la comme suspecte par défaut.

Mesures de protection concrètes pour votre PME

La bonne nouvelle : on ne combat pas un deepfake avec de la haute technologie, mais avec des règles d’organisation simples et non négociables.

1. Le mot de passe verbal Convenez d’un mot de passe secret connu du dirigeant et des personnes habilitées aux paiements. Toute demande de virement inhabituelle doit être confirmée par ce mot. Une IA qui clone une voix ne connaît pas ce secret.
2. La vérification hors-bande Ne validez jamais un virement via le canal qui l’a demandé. Rappelez le dirigeant sur son numéro connu (enregistré à l’avance), jamais sur celui fourni dans le message. C’est la parade la plus efficace.
3. La double validation financière Instaurez une double signature obligatoire au-delà d’un seuil défini. Deux personnes distinctes ne peuvent pas être trompées simultanément aussi facilement.
4. La formation des équipes Sensibilisez comptables, assistants et dirigeants à l’existence du clonage vocal. Un salarié qui connaît la menace la repère.
5. Limiter l’exposition Réduisez la diffusion publique de la voix et de l’image des dirigeants quand c’est possible, et paramétrez les réseaux professionnels.
6. Verrouiller les accès Activez le MFA (double authentification) sur les messageries et outils bancaires pour compliquer l’usurpation en amont.

Ces mesures s’inscrivent dans une démarche plus large de sensibilisation à la cybersécurité, qui reste votre première ligne de défense face à toutes les fraudes par ingénierie sociale.

Que faire si un virement frauduleux a été validé ?

Si l’argent est parti, chaque minute compte. La rapidité conditionne vos chances de récupérer les fonds. Voici les étapes immédiates :

1. Contacter la banque en urgence Demandez immédiatement de bloquer ou annuler le virement et de tenter un rappel de fonds (recall). Plus c’est rapide, plus c’est possible.
2. Conserver toutes les preuves Emails, historiques d’appels, enregistrements, captures de la visio, ordres de virement : ne supprimez rien.
3. Déposer plainte Rendez-vous auprès des services de police ou de gendarmerie pour porter plainte ; c’est indispensable pour l’enquête et l’assurance.
4. Prévenir l’assureur cyber Déclarez le sinistre à votre assurance cyber dans les délais prévus au contrat.
5. Alerter en interne Informez la direction et les autres personnes habilitées : une attaque en cache souvent d’autres tentatives simultanées.

Volet réglementaire et recours : ANSSI, plainte, assurance, AI Act

Sur le plan des recours, plusieurs leviers existent, mais restons lucides sur leur portée. Le dépôt de plainte ouvre l’enquête pénale et documente le préjudice. Les ressources de sensibilisation publiques (portail Ma Sécurité, alertes de la Banque de France, guides de l’ANSSI sur l’hygiène numérique) aident à structurer votre prévention.

Côté assurance cyber, la couverture d’une fraude au président dépend étroitement de votre contrat : certaines polices incluent la fraude par ingénierie sociale, d’autres l’excluent ou l’assortissent de conditions (procédures de vérification en place, franchises, plafonds). Vérifiez ce point avant l’incident, pas après.

Enfin, le règlement européen sur l’IA (AI Act) encadre progressivement les usages de l’intelligence artificielle et prévoit notamment des obligations de transparence autour des contenus générés. C’est un cadre en cours de déploiement : il vise à responsabiliser les usages, mais il ne remplace en rien vos procédures internes. Ne comptez pas sur la réglementation pour arrêter un escroc en temps réel : votre meilleure protection reste organisationnelle.