Notes de veilleNote de veille
Fraude au président par deepfake : les parades concrètes
La fraude au président n'a pas attendu les deepfakes pour fonctionner. Mais la synthèse vocale et la vidéo générée par IA rendent les scénarios plus crédibles et les parades habituelles moins fiables.
Un directeur financier reçoit un appel vidéo de son PDG. Le visage est le bon, la voix aussi, le ton correspond. Le PDG demande un virement urgent vers un nouveau prestataire, dans le cadre d’une acquisition confidentielle. Le directeur financier exécute. Le PDG n’a jamais passé cet appel. Ce scénario, documenté dans la presse en 2024, illustre le franchissement d’un seuil : la fraude au président par deepfake ne repose plus sur un courriel mal écrit et un numéro de téléphone usurpé. Elle repose sur une identité synthétique convaincante.
Ce qui a changé
La fraude au président classique fonctionne depuis des années avec trois ingrédients : un prétexte urgent, une hiérarchie invoquée et une demande de confidentialité. Le fraudeur se renseigne sur l’organigramme, imite le ton du dirigeant dans un courriel ou un appel, et mise sur la combinaison urgence-autorité pour court-circuiter les contrôles.
Les outils de synthèse vocale et de génération vidéo par IA ajoutent un quatrième ingrédient : l’identité perceptible. Une voix clonée à partir d’une interview publique, un visage animé en temps réel sur un appel vidéo — le collaborateur voit et entend son dirigeant. Les indices classiques (accent étranger, numéro inconnu, style d’écriture inhabituel) disparaissent.
Les parades qui fonctionnent
Les parades les plus efficaces ne sont pas technologiques. Elles reposent sur des procédures que le fraudeur ne peut pas contourner depuis l’extérieur.
- Contre-appel systématique : rappeler le dirigeant sur son numéro habituel, pas sur celui de l’appel reçu
- Double signature : tout virement au-dessus d’un seuil exige deux signatures de personnes distinctes
- Mot de passe convenu : un mot ou une phrase, connu des seules personnes habilitées, vérifié à chaque demande exceptionnelle
- Délai incompressible : aucun virement exceptionnel n’est exécuté dans l’heure, quels que soient l’urgence invoquée et l’appelant
- Authentification multifacteur sur les systèmes de paiement
- Détection d’anomalies sur les ordres de virement (montant, bénéficiaire, pays, heure)
- Outils de détection de deepfake (en complément, pas en remplacement)
- Marquage des appels vidéo internes avec un indicateur d’authentification
Sensibiliser les bonnes personnes
La sensibilisation générale à la cybersécurité est utile, mais insuffisante. La fraude au président cible des profils précis : les personnes qui ont le pouvoir d’ordonner ou d’exécuter un virement, et celles qui transmettent les instructions du dirigeant. Ces profils doivent recevoir une formation spécifique, avec des exercices de mise en situation (appels simulés, courriels de test), répétée au moins une fois par an.
Le point le plus délicat est culturel. Dans une organisation très hiérarchique, contester un ordre du dirigeant — même pour vérifier son identité — demande un courage que tout le monde n’a pas. La parade la plus efficace est que le dirigeant lui-même institue la règle et la valide publiquement : « Si quelqu’un prétend être moi et vous demande un virement urgent, raccrochez et rappelez-moi. C’est un ordre permanent. »
DOSOBE suit ces évolutions dans le cadre de son expertise en cybersécurité et conformité. Pour les enjeux plus larges de gouvernance, voir notre offre Gouvernance.
Pour approfondir : Gouvernance & traçabilité
Questions fréquentes
Qu'est-ce qu'une fraude au président ?
C'est une escroquerie dans laquelle un fraudeur se fait passer pour un dirigeant de l'entreprise (ou un tiers de confiance : avocat, commissaire aux comptes) et ordonne un virement urgent et confidentiel à un collaborateur habilité. Le scénario repose sur l'urgence, la hiérarchie et le secret.
Un deepfake audio suffit-il pour tromper un collaborateur ?
Oui. Les outils de clonage vocal actuels produisent une voix convaincante à partir de quelques minutes d'enregistrement public (interview, vidéo d'entreprise). Au téléphone, sans image, la supercherie est très difficile à détecter à l'oreille.
Les outils de détection de deepfake sont-ils fiables ?
Les outils de détection progressent, mais les outils de génération aussi. En mars 2026, aucun outil de détection ne garantit une fiabilité suffisante pour servir de seul rempart. Les parades organisationnelles (contre-appel, mot de passe convenu) restent plus fiables que les parades technologiques.
Qui est le plus exposé dans l'entreprise ?
Les personnes habilitées à ordonner ou exécuter des virements : directeur financier, comptable, trésorier. Mais aussi les assistants de direction qui transmettent les instructions. La sensibilisation doit cibler ces profils en priorité.