Votre responsable financier reçoit un message vocal du directeur général : un problème avec un fournisseur, une acquisition confidentielle, un virement à effectuer avant la fermeture de la banque. Le vocabulaire est juste. La voix est juste. Le directeur est effectivement en déplacement.
La mauvaise question est : « Le responsable financier peut-il détecter que la voix est clonée ? »
La bonne question est : « Un message vocal peut-il, à lui seul, autoriser ce paiement ? »
Les attaques par deepfake et clonage vocal renforcent un schéma de fraude existant : usurper l’identité d’une personne en position d’autorité, créer un sentiment d’urgence et amener la cible à contourner la procédure habituelle. La défense durable repose sur les procédures. Elle doit fonctionner que la demande arrive par e-mail, téléphone, visioconférence ou compte compromis, mais aussi lorsqu’un véritable dirigeant commet une erreur dans la précipitation.
L’identité et l’autorité sont deux contrôles distincts. Confirmez qui demande l’action via un canal indépendant, puis confirmez que l’action elle-même satisfait les règles d’approbation de l’entreprise.
La menace est plus large qu’une fausse voix
Une tentative d’usurpation peut combiner :
- un compte e-mail usurpé ou compromis ;
- des informations issues des réseaux sociaux, calendriers, factures ou d’une boîte aux lettres piratée ;
- un texte convaincant dans le langage habituel de l’expéditeur ;
- des notes vocales clonées ou de l’audio synthétique en direct ;
- une vidéo manipulée ou une image de profil statique en réunion ;
- un second usurpateur se faisant passer pour un avocat, un fournisseur, une banque ou un collègue ;
- une pression pour contourner les contrôles sous prétexte que la demande est urgente ou confidentielle.
L’avertissement du FBI sur la cybercriminalité assistée par l’IA décrit le clonage vocal et vidéo utilisé pour usurper collègues et partenaires commerciaux. Son guide actuel sur la compromission d’e-mails professionnels recommande de vérifier indépendamment les demandes de paiement et les changements de coordonnées bancaires. Sources revérifiées le 28 juillet 2026.
Ne construisez pas une politique autour d’un canal ou d’une technique de génération. Construisez-la autour des actions à fort enjeu.
Contrôle 1 : Un rappel indépendant
Pour toute demande inattendue impliquant de l’argent, des identifiants, des dossiers sensibles, la paie ou des changements de coordonnées bancaires :
- terminez ou mettez en pause le contact entrant ;
- utilisez un canal distinct déjà vérifié ;
- contactez le demandeur avec un numéro ou un compte déjà présent dans les dossiers de l’entreprise ;
- vérifiez l’action exacte : destinataire, montant, compte, motif, échéance ;
- enregistrez qui a vérifié et par quel canal.
N’appelez pas le numéro inclus dans la demande. Ne laissez pas le demandeur « vous transférer à la finance ». Ne traitez pas le chat de la même réunion comme un canal indépendant.
Pour un changement de RIB fournisseur, appelez le contact indiqué dans votre référentiel fournisseurs, et non celui qui figure sur la facture ou l’avis de changement. Exigez ensuite une confirmation de votre responsable interne de la relation fournisseur.
Le rappel n’est pas un test biométrique. Il retire à l’attaquant la maîtrise de la conversation.
Contrôle 2 : Double approbation pour les changements à fort enjeu
Aucune personne seule, pas même le PDG, ne doit pouvoir demander et exécuter hors système un paiement important ou un changement de compte sensible.
Définissez les seuils et actions qui exigent deux personnes :
- nouveau bénéficiaire ou coordonnées bancaires modifiées ;
- paiement hors bon de commande ou contrat ;
- virement urgent ou confidentiel ;
- changement de destination de paie ;
- diffusion de dossiers clients, employés ou financiers ;
- changement de mot de passe, MFA, récupération ou administrateur ;
- cartes cadeaux, cryptomonnaies ou moyens de paiement inhabituels ;
- installation d’accès distant.
La deuxième personne chargée d’approuver doit consulter les justificatifs et effectuer son propre contrôle. Transmettre le message « le PDG a confirmé » ne constitue pas une approbation indépendante.
Votre plateforme comptable ou bancaire doit faire respecter la séparation lorsque c’est possible. Un document de politique est plus faible lorsque le système laisse encore un seul identifiant achever l’action.
Contrôle 3 : Pas de contournement pour l’urgence
Créez une procédure d’exception, pas une faille déguisée en exception.
La règle peut être :
L’urgence peut raccourcir le délai de réponse. Elle ne retire jamais la vérification indépendante, les seuils d’approbation ni les contrôles de coordonnées bancaires.
Si l’approbateur normal est indisponible :
- utilisez un suppléant nommé ;
- réduisez le montant autorisé ;
- retardez l’action ;
- ou faites remonter à un responsable documenté.
N’improvisez jamais une nouvelle chaîne d’approbation dans la conversation suspecte.
Les affaires confidentielles doivent elles aussi respecter les contrôles. Autorisez l’équipe financière à dire : « Je n’ai pas besoin de connaître le contexte, mais j’ai besoin de la validation d’une deuxième personne, comme l’exige cette action. »
Mettez les contrôles dans un tableau
| Événement | Vérification requise | Approbation | Enregistrement |
|---|---|---|---|
| Fournisseur existant, facture normale | Correspondance avec les preuves d’achat | Seuil normal | Facture et approbateur |
| Compte bancaire nouveau ou modifié | Rappel au contact du référentiel | Deux personnes | Contact, heure, changement, approbations |
| Paiement urgent demandé par un dirigeant | Rappel indépendant | Deux personnes ; pas de contournement d’urgence | Demande, vérification, approbations |
| Changement de destination de paie | Rappel du salarié à partir du dossier RH | RH et responsable de la paie | Demande de changement et confirmation |
| Diffusion de données sensibles | Demandeur et finalité licite vérifiés | Responsable des données | Périmètre, destinataire, base, livraison |
| Réinitialisation d’identifiant ou MFA | Voie de récupération d’identité approuvée | Responsable système si privilégié | Réinitialisation et révocation de sessions |
Adaptez les seuils, mais ne laissez pas les événements indéfinis.
Un briefing du personnel en cinq minutes
Utilisez un scénario, pas un cours de technologie :
« Un message, un appel ou une vidéo peut ressembler en tout point à un message authentique d’un dirigeant, d’un collègue, d’une banque ou d’un fournisseur. Cela ne change rien à notre procédure.
« Si une demande concerne de l’argent, des identifiants, des données sensibles ou des changements de compte, mettez-la en pause. Reprenez contact à l’aide de coordonnées déjà présentes dans nos dossiers. Vérifiez l’action précise, puis obtenez la validation requise d’une deuxième personne.
« L’urgence et la confidentialité ne suppriment pas ces contrôles. Personne ici ne vous reprochera d’avoir retardé une action pour la vérifier. Signalez tout contact suspect à [role/channel] et conservez le message. »
Puis demandez à chaque participant :
- Où est stocké le numéro fournisseur de confiance ?
- Qui est le suppléant d’approbation aujourd’hui ?
- Comment signalez-vous une demande suspecte ?
- Le PDG peut-il contourner le contrôle ?
Si les réponses divergent, le briefing a trouvé un défaut de processus.
Simulez l’attaque
Menez un exercice sur table sans créer de deepfake :
- Donnez à la finance une demande urgente fictive d’un directeur en voyage.
- Incluez un compte fournisseur modifié et une exigence de confidentialité.
- Rendez l’approbateur normal indisponible.
- Observez quel canal ils utilisent, quelles preuves ils demandent, et si le chemin suppléant est clair.
- Testez les contacts banque et incident.
- Notez les lacunes et corrigez la procédure.
Il n’est pas nécessaire de générer une voix clonée. Le but est de tester le processus de décision, pas le réalisme du média.
Répétez l’exercice après tout changement de personnel ou de fournisseur, et au moins une fois par an pour les flux de travail permettant de transférer des sommes importantes.
Si une tentative se produit
Si aucun fonds n’a été transféré et qu’aucun accès n’a été accordé :
- préservez l’e-mail, message, audio, détails de réunion, numéros et en-têtes d’origine ;
- prévenez le responsable sécurité ou informatique ;
- vérifiez si un compte a été compromis plutôt que seulement usurpé ;
- avertissez les cibles probables via un canal de confiance ;
- passez en revue l’activité récente de paiements et de changements de compte ;
- signalez la tentative via le canal national approprié.
Si un paiement a été effectué :
- Contactez immédiatement la banque et demandez-lui d’arrêter le virement ou d’en demander le rappel.
- Contactez l’établissement destinataire si votre banque vous l’indique.
- Préservez les preuves et rédigez une chronologie.
- Verrouillez ou réinitialisez les comptes compromis, révoquez les sessions, et passez en revue les règles de boîte aux lettres et le MFA.
- Signalez aux forces de l’ordre. En Estonie, les conseils de la RIA en matière de sécurité sur Internet orientent les victimes de cybercriminalité vers cyber.politsei.ee.
- Informez les clients, les employés, les assureurs, les régulateurs ou les partenaires contractuels lorsque vos obligations d’incident l’exigent.
Ne laissez pas la gêne retarder l’appel à la banque. Une réaction rapide peut améliorer les chances de récupérer les fonds.
Ce que les contrôles techniques peuvent et ne peuvent pas faire
Parmi les mesures techniques complémentaires utiles figurent :
- MFA résistant au phishing pour les comptes importants ;
- règles de transfert de boîte aux lettres restreintes ;
- alertes pour les changements de paiement et de bénéficiaire ;
- séparation des rôles dans les systèmes bancaires et comptables ;
- protection de domaine et authentification des e-mails ;
- surveillance de l’usurpation d’identité des dirigeants ;
- Content Credentials sur les médias officiels lorsque c’est pris en charge.
Ces mesures réduisent les possibilités d’attaque et améliorent les éléments probants. Elles ne rendent pas une voix entrante digne de confiance.
Les détecteurs de deepfakes peuvent aider un enquêteur à hiérarchiser les éléments probants, mais ils ne doivent jamais servir de critère d’autorisation. Un faux négatif peut permettre une fraude ; un faux positif peut bloquer un dirigeant légitime. Faites en sorte que la procédure ne dépende pas de la qualité de la détection.
Content Credentials et provenance peuvent aider à démontrer l’origine de vos propres médias officiels. Ils ne remplacent pas la vérification des paiements. L’article équivalent pour les particuliers explique comment reconnaître les arnaques assistées par l’IA.
Ce que ces contrôles ne peuvent pas éliminer
Aucun contrôle n’élimine la fraude. Un vrai dirigeant peut faire pression pour contourner la politique. Un fournisseur compromis peut confirmer un changement frauduleux. Deux personnes peuvent faire la même erreur.
Le but est de retirer toute autorité à un message isolé, d’ajouter une étape de vérification indépendante et de faire de l’arrêt une réaction normale. Cette approche déjoue bien plus que le clonage vocal. Elle réduit aussi la compromission ordinaire d’e-mails professionnels, la fraude aux changements de compte et les erreurs coûteuses commises sous pression.
Ne formez pas les salariés à décider si la voix est réelle. Donnez-leur une procédure qui ne dépend pas de ce jugement.
