Arnaque au président et deepfake vocal

Votre téléphone sonne pendant une réunion. Le numéro est inconnu, mais la voix, elle, ne l’est pas. « Je suis en voiture, je ne peux pas parler longtemps. L’acompte doit partir aujourd’hui, les coordonnées sont dans votre messagerie. Et gardez ça pour vous, le dossier n’est pas encore annoncé. » C’est le timbre de votre directeur général. Le débit est le bon. Les phrases courtes sonnent juste.

Sauf que le directeur général n’est au courant de rien.

Voilà à quoi ressemble aujourd’hui une arnaque au président — ce que les banques françaises appellent aussi fraude au président ou faux ordre de virement (FOVI) — lorsqu’elle s’appuie sur un deepfake vocal. Le canal, lui, porte un nom : le vishing, c’est-à-dire du phishing (hameçonnage) délivré par téléphone.

Ce n’est pas une histoire de technologie. C’est une histoire de confiance, de stress et de décision rapide. L’attaquant ne veut pas que vous réfléchissiez. Il veut que vous réagissiez.

Cela ne justifie aucune paranoïa. Cela justifie une règle : dès qu’il est question d’argent, d’accès, de données personnelles ou d’informations sensibles, une voix ne suffit pas. Il faut une vérification. Le reste de cet article explique laquelle, et comment savoir si la vôtre fonctionne réellement.

Ce que l’on appelle arnaque au président

La famille est plus large que son nom ne le laisse entendre. Sous l’étiquette « arnaque au président » se rangent en pratique quatre montages qui partagent la même mécanique :

• Le faux dirigeant. Un virement exceptionnel, urgent et confidentiel, demandé par quelqu’un à qui l’on ne dit pas non.
• Le faux fournisseur. Un changement de RIB annoncé sur une facture en cours. C’est la variante la plus fréquente, et la plus discrète : rien n’est urgent, rien n’est secret, et l’écart n’apparaît qu’à la relance impayée.
• Le faux technicien. Un appel du « support informatique » qui demande de valider une notification d’authentification ou d’installer un outil de prise en main à distance.
• Le faux tiers de confiance. Un avocat, un commissaire aux comptes, un chargé d’affaires bancaire qui accompagne une opération dont vous ne pouvez pas parler.

Les trois ingrédients sont toujours les mêmes : une identité que la victime respecte, une urgence, et une consigne de confidentialité qui coupe la personne de ses collègues. Le clonage vocal ne change pas ce scénario. Il en supprime la dernière faiblesse, qui était la nécessité d’écrire.

Cette famille d’attaques est une technique d’ingénierie sociale parmi d’autres, et elle se prépare comme les autres : par de la collecte d’informations publiques avant le moindre contact.

Où en est réellement le clonage vocal

Il y a deux ans, produire une voix synthétique convaincante demandait des dizaines de minutes d’enregistrement propre et un temps de calcul significatif. Ce n’est plus le cas. Les modèles actuels apprennent le timbre d’une personne à partir d’un échantillon court, puis le plaquent sur un texte écrit ou sur la voix d’un opérateur qui parle en direct. La conversion s’exécute en flux, avec une latence suffisamment faible pour tenir une conversation.

Le matériau source est rarement difficile à trouver :

• un podcast ou un webinaire auquel un dirigeant a participé,
• une vidéo institutionnelle ou un message de vœux publié sur le site,
• une intervention filmée lors d’un salon professionnel,
• une interview accordée à la presse spécialisée,
• l’annonce d’accueil du standard ou une messagerie vocale,
• une story ou un extrait publié sur un réseau social.

C’est ce qui fait de l’empreinte numérique un sujet de sécurité opérationnel, et non un sujet de communication. Les mêmes sources publiques servent à la fois à écrire le prétexte — qui signe les paiements, qui part en déplacement, quel fournisseur a été renouvelé — et à fabriquer la voix qui le portera.

Le risque ne concerne donc pas seulement les personnalités publiques. Un directeur administratif et financier, un dirigeant de PME, un responsable achats, un notaire, un expert-comptable : toute personne dont la voix est accessible en ligne et dont l’autorité déclenche des paiements est un matériau exploitable.

Ce que ces modèles font encore mal

Il reste des défauts audibles : un temps de latence avant les réponses, une intonation qui ne correspond pas à l’émotion annoncée, une respiration absente, des chiffres mal articulés, une gestion maladroite de l’interruption. Une qualité d’appel volontairement mauvaise sert souvent à masquer tout cela.

Mais il faut être clair sur ce que valent ces indices : ils se réduisent à chaque génération de modèle, et ils disparaissent complètement dès que la personne est stressée. Une défense qui repose sur l’oreille de vos collaborateurs a une date de péremption. Une défense qui repose sur un processus n’en a pas.

Dernier point pratique : l’identifiant d’appelant qui s’affiche sur le téléphone n’est pas une preuve d’identité. Il se falsifie. Ne l’utilisez jamais comme élément de vérification.

Ce que l’appelant cherche à obtenir

Le vishing existait bien avant l’IA générative. Les objectifs, eux, n’ont pas bougé :

• déclencher un virement, un acompte ou une régularisation,
• faire modifier les coordonnées bancaires d’un fournisseur,
• obtenir un code reçu par SMS ou la validation d’une notification d’authentification,
• faire installer un outil de prise en main à distance,
• obtenir un mot de passe ou une réinitialisation d’accès,
• faire ouvrir un lien envoyé en parallèle par SMS,
• collecter des informations internes qui serviront au prochain appel, plus crédible encore.

Ce dernier point mérite d’être souligné. Beaucoup d’appels ne demandent rien : ils écoutent. Un appel « anodin » au standard pour confirmer un nom, un service ou une date de congés est souvent la première étape d’une séquence qui se terminera trois jours plus tard par un ordre de virement.

Les scénarios que nous rejouons le plus souvent

Sur le dernier scénario : des cas rendus publics ont montré des collaborateurs exécutant des virements importants après une visioconférence où plusieurs « dirigeants » étaient synthétiques. La conclusion opérationnelle est la même que pour le téléphone. Une réunion à l’image n’est pas un canal de vérification : c’est un canal de conviction.

Les signaux d’alerte

Les signaux fiables ne sont pas techniques. Ils sont comportementaux et ils se repèrent sans aucune compétence en cybersécurité :

• l’appelant installe une pression temporelle forte,
• il vous décourage de vérifier auprès de quelqu’un d’autre,
• il demande un paiement inhabituel ou un changement de compte,
• il invoque la confidentialité de l’opération,
• il refuse de basculer sur un autre canal que celui qu’il a choisi,
• il connaît beaucoup de choses sur vous, et rien de vérifiable sur lui,
• la réponse arrive avec un léger retard, ou l’émotion ne colle pas au propos,
• la qualité de l’appel est mauvaise, et le reste opportunément,
• une question inattendue le fait dévier au lieu d’y répondre.

Le signal déterminant est la combinaison : une identité familière plus une demande urgente et exceptionnelle. Quand quelqu’un que vous croyez connaître vous demande quelque chose d’important très vite, ralentissez. Le ralentissement est la contre-mesure.

Le rappel sur un numéro connu

La meilleure défense contre un deepfake vocal est une vérification par un second canal, choisi par vous et non par l’appelant.

La règle tient en une phrase : vous raccrochez et vous rappelez vous-même, sur un numéro que vous connaissiez déjà avant cet appel. L’annuaire interne, la fiche fournisseur de votre comptabilité, le numéro inscrit sur un contrat signé. Jamais le numéro affiché pendant l’appel. Jamais celui dicté par l’interlocuteur. Jamais celui figurant dans le message qui a préparé l’appel.

Une précision qui compte : rappeler immédiatement sur la même ligne ne prouve rien si l’appelant a gardé la communication ouverte. Utilisez un autre appareil, ou attendez quelques secondes avant de composer.

Dans les organisations, cette règle ne peut pas rester orale. Elle s’écrit : quels montants déclenchent une seconde validation, qui valide, sous quel délai, et surtout qui a le droit de dire non à un dirigeant sans avoir à s’en justifier. Ce dernier point est celui qui manque le plus souvent. Une procédure qui expose la personne qui l’applique ne sera pas appliquée.

La double validation des changements de coordonnées bancaires

Si vous ne deviez retenir qu’un contrôle de cet article, ce serait celui-ci. Le faux RIB fournisseur est la variante la plus rentable pour l’attaquant et la plus difficile à rattraper pour vous, parce qu’elle ne déclenche aucune alerte : le virement part vers un fournisseur légitime, sur un compte qui ne l’est pas.

Quatre règles suffisent :

1. Aucune modification de RIB n’est faite depuis un message. Ni e-mail, ni appel, ni courrier. La demande est enregistrée, elle n’est pas exécutée.
2. La vérification part de vos données, pas des leurs. Vous appelez le contact enregistré dans votre fiche fournisseur, à un numéro antérieur à la demande.
3. Deux personnes valident. Celle qui saisit la modification n’est pas celle qui l’approuve, et l’approbation laisse une trace datée.
4. Le premier virement sur un nouveau compte est traité à part. Montant plafonné, délai d’observation, confirmation de réception par le fournisseur avant les suivants.

Ajoutez-y un réflexe de surveillance : les changements de RIB regroupés en fin de mois, les demandes qui arrivent pendant les congés du responsable habituel, et les adresses d’expéditeur dont le nom de domaine ne diffère que d’un caractère méritent un contrôle systématique.

Un mot sur l’après, parce qu’il est mal connu : un virement que vous avez vous-même validé est, en droit, une opération autorisée. Son remboursement n’a rien d’automatique, même lorsque le consentement a été obtenu par tromperie. C’est la raison pour laquelle le contrôle en amont vaut infiniment plus que la procédure en aval.

Mener une simulation de vishing sans casser la confiance

Une règle de vérification qui n’existe que dans un classeur ne résiste pas à une voix qui ressemble à celle du directeur général. Ce qui la rend réelle, c’est de l’avoir utilisée une fois, sous pression, sans conséquence. C’est exactement ce que produit une simulation de vishing bien menée.

Nous la construisons en six temps :

1. Le cadrage. Quels services, quels scénarios, quels objectifs de mesure, quelles limites absolues. Un périmètre de simulation n’inclut jamais de virement réellement exécuté : la mesure s’arrête au moment où la décision est prise.
2. Le mandat écrit. L’accès ou le maintien frauduleux dans un système de traitement automatisé de données est réprimé par les articles 323-1 et suivants du code pénal. Ce qui rend l’exercice licite, c’est le mandat : périmètre, période, techniques autorisées, interlocuteurs, fixés avant le premier appel.
3. L’information préalable des salariés. L’existence du dispositif est portée à leur connaissance avant sa mise en œuvre — charte informatique, note de service, intranet. Le principe est annoncé ; la date et le contenu des appels, non.
4. La consultation du CSE. Dans les entreprises d’au moins cinquante salariés, le comité social et économique est consulté préalablement à l’introduction d’un moyen permettant de contrôler l’activité des salariés.
5. La conduite des appels. Deux interlocuteurs identifiés côté client peuvent interrompre l’exercice à tout moment. Les appels ne sont pas enregistrés ; seuls sont consignés l’horodatage, le scénario, l’issue et le service concerné. Toute personne qui demande explicitement à vérifier obtient immédiatement la vérité : c’est elle qui a appliqué la règle, elle n’a pas à rester dans le doute.
6. La restitution. Résultats agrégés par service, jamais nominatifs. Ce que nous mesurons : la proportion d’appels qui atteignent la personne visée, la proportion qui obtient l’information ou l’accord demandé, la proportion qui déclenche un rappel de vérification, et le délai avant le premier signalement interne. Ce dernier chiffre est le plus utile : il dit si votre organisation saurait réagir pendant l’attaque, et pas seulement après.

Cet exercice évalue des contrôles organisationnels, pas des personnes. Aucun nom ne figure dans le rapport, aucune sanction individuelle n’en découle, et c’est ce qui garantit que le prochain collaborateur trompé le signalera au lieu de le taire. Une organisation où l’on cache son erreur pendant deux jours perd exactement les deux jours qui permettaient de rappeler les fonds.

En pratique, ce travail se déroule dans le cadre d’un pentest d’ingénierie sociale, puis les constats servent de matière première à des sessions de sensibilisation à la cybersécurité calées sur ce qui s’est réellement passé chez vous — et non sur des exemples génériques. Pour le volet e-mail du dispositif et son cadre juridique détaillé, voyez simulation de phishing, informer les salariés et consulter le CSE. Lorsque l’objectif est de vérifier une chaîne complète, de l’information publique jusqu’à l’accès effectif, l’exercice relève d’un audit Red Team et se combine alors avec des tests d’intrusion techniques.

Ce que le cadre français attend déjà de vous

Aucun texte français ne traite spécifiquement du « deepfake vocal ». Le sujet croise pourtant plusieurs obligations existantes.

Côté pénal. Obtenir un virement en se faisant passer pour un dirigeant ou un fournisseur relève de l’escroquerie, et la tentative est punissable au même titre. La plainte est donc recevable même lorsque le virement a été bloqué à temps. Déposez-la : elle conditionne souvent la suite, y compris du côté assurantiel.

Côté RGPD. L’article 32 du RGPD est la seule disposition européenne qui mentionne explicitement le test périodique : il attend « une procédure visant à tester, à analyser et à évaluer régulièrement l’efficacité des mesures techniques et organisationnelles ». Une procédure de vérification d’identité au téléphone et de double validation des paiements est une mesure organisationnelle. La tester est précisément ce que le texte décrit. Si un appel de vishing conduit malgré tout à l’exposition de données personnelles, la notification à la CNIL doit être examinée dans le délai de 72 heures prévu par le règlement.

Côté directive. La directive (UE) 2022/2555 (NIS 2) range, à son article 21, les pratiques d’hygiène informatique de base et la sensibilisation à la cybersécurité parmi les mesures de gestion des risques attendues des entités concernées. Attention à la formulation, qui circule souvent de travers : cette directive n’est pas transposée en droit français à ce jour. Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité est encore en cours d’examen parlementaire, et aucune obligation française n’en découle tant qu’il n’est pas promulgué. Nous faisons le point à chaque étape dans où en est la transposition de NIS 2 en France.

Et à titre personnel

Le clonage vocal ne vise pas que les entreprises. Le scénario de l’urgence familiale — un proche qui appelle en panique, qui a perdu son téléphone, qui a besoin d’argent tout de suite — utilise exactement les mêmes ressorts, sur des personnes qui n’ont aucune procédure pour s’en protéger.

Quelques règles simples, à convenir avant plutôt qu’après :

• un mot de passe familial, connu de tous, demandé en cas d’urgence,
• le principe qu’aucun argent ne part sous pression, jamais,
• la vérification par rappel sur le numéro enregistré,
• une question dont seul un proche connaît la réponse,
• aucun code ni donnée personnelle transmis par message.

Les personnes âgées sont particulièrement exposées aux appels qui jouent sur la peur. Mieux vaut évoquer ces scénarios en famille un dimanche, tranquillement, qu’après un incident.

En résumé

Le deepfake vocal est dangereux parce qu’il attaque la confiance, et non la technique. Une voix et un visage sont des choses que nous croyons spontanément ; l’IA sait désormais les reproduire à moindre coût.

La règle de fond est simple : pour de l’argent, des accès, des coordonnées bancaires ou des données sensibles, une voix n’est pas une preuve d’identité. Il faut un rappel sur un canal que vous maîtrisez et une seconde validation.

Et il n’y a aucune gêne à dire : « Je vérifie et je vous rappelle. » Cette phrase-là protège une trésorerie, un fournisseur et, souvent, la personne qui la prononce.

Arnaque au président et deepfake vocal — questions fréquentes

Nos services associés : pentest d’ingénierie sociale et simulations de phishing · sensibilisation de vos collaborateurs à la cybersécurité