Fraude au président : la voix ne prouve plus rien.

En janvier 2026, un chef d’entreprise du canton de Schwytz, en Suisse, a viré plusieurs millions de francs vers un compte en Asie. Au cours des deux semaines précédentes, des escrocs l’avaient appelé avec la voix d’un partenaire d’affaires qu’il connaissait, à propos d’une opération internationale confidentielle. Cette voix avait été manipulée par IA. Selon la police cantonale, la fraude n’a été repérée qu’après le départ des fonds.

La fraude au président ne se cantonne plus à la boîte de réception. L’Office fédéral de la cybersécurité (OFCS) a recensé 971 cas en Suisse en 2025, environ 35 % de plus que les 719 de 2024, et cite l’affaire de Schwytz dans sa mise en garde : les escrocs passent de plus en plus par des appels et des messages vocaux truqués, où la voix d’un dirigeant ou d’un partenaire est « reproduite de manière très réaliste ».

Une voix que l’on reconnaît ne prouve plus qui parle. Toute validation fondée sur la reconnaissance d’une personne, au téléphone ou en visioconférence, est déjà contournée — et la parade n’est pas un outil. C’est une règle que le dirigeant doit porter lui-même.

L’appel qui démasquait la fraude la confirme désormais

Notre article sur la fraude au faux fournisseur et au faux président s’arrêtait là où commence le vieux conseil : en cas de doute, décrochez le téléphone. Ce conseil supposait que la voix au bout du fil ne pouvait pas être imitée. Les attaques des deux dernières années fonctionnent à l’envers. Un message installe le scénario, un appel le confirme, et chaque canal sert de caution à l’autre.

En janvier 2024, un employé du service financier du bureau de Hong Kong d’Arup, le groupe d’ingénierie britannique, reçoit un message sur une transaction secrète. Il soupçonne un hameçonnage, puis met ses doutes de côté après une visioconférence avec ce qui ressemble, à l’image et au son, au directeur financier du groupe et à d’autres collaborateurs, tous recréés numériquement. En une semaine, il effectue 15 virements vers cinq comptes : 200 millions de dollars de Hong Kong, environ 25,6 millions de dollars américains. Arup a confirmé l’affaire en mai 2024.

En février 2025, le parquet de Milan a décrit des appels passés avec la voix clonée du ministre italien de la Défense, Guido Crosetto, pour demander à des chefs d’entreprise de financer la libération de journalistes retenus au Moyen-Orient. L’un d’eux a versé près d’un million d’euros en deux virements, avant que la police ne retrouve l’argent sur un compte néerlandais et ne le gèle.

La vidéo reste l’exception. L’OFCS a observé des visioconférences manipulées par IA, mais les juge encore trop complexes pour les escrocs : la méthode « relève probablement du ballon d’essai ». Le volume, aujourd’hui, est dans les appels et les messages vocaux.

Cinq appels truqués documentés. Chaque perte est restée sur le canal proposé par l’escroc.

Apprendre aux équipes à « entendre » le faux est un pari perdu

Le réflexe est la sensibilisation : apprendre aux salariés à repérer la fausse voix. La recherche dit que l’oreille n’est pas un contrôle. Dans une étude de l’University College London publiée en 2023, 529 auditeurs ont identifié la parole synthétique dans environ 73 % des cas, et l’entraînement n’a amélioré ce score que légèrement. En 2025, des chercheurs de la Queen Mary University of London ont cloné des voix avec un logiciel du commerce, à partir de moins de cinq minutes d’enregistrement chacune. Les auditeurs ont jugé humaines 58 % des voix clonées — contre 62 % des voix réelles.

Or les dirigeants publient leur voix : conférences, interviews, podcasts, vidéos d’entreprise. Cinq minutes de la voix d’un PDG sont rarement difficiles à trouver.

En France, le décalage se lit déjà dans les chiffres. Selon le baromètre 2026 d’Allianz Trade réalisé avec Odoxa, 76 % des dirigeants estiment que l’IA accroît le risque de fraude ; plus d’un salarié sur deux pense le contraire. Or l’appel du faux PDG arrive rarement chez le PDG.

L’ENISA, dans son panorama des menaces 2025, indique qu’au début de 2025 le hameçonnage assisté par IA aurait représenté plus de 80 % de l’ingénierie sociale observée dans le monde. Repérer le faux, c’est courir contre un logiciel qui ne cesse de progresser. Une procédure, elle, n’a pas besoin de gagner cette course.

Ce qui a arrêté les tentatives déjouées

Deux tentatives bien documentées, toutes deux rendues publiques en 2024, ont échoué. Dans aucune des deux, les sources n’en attribuent le mérite à la seule oreille.

Chez WPP, les escrocs ont créé un compte WhatsApp à la photo du PDG et organisé une réunion Teams censée réunir le PDG et un autre cadre dirigeant, avec la voix clonée et des extraits vidéo YouTube de ce dernier, tandis que le faux PDG écrivait dans la messagerie de la réunion. Ils ont demandé à un responsable d’agence de monter une nouvelle activité, pour obtenir de l’argent et des informations personnelles. La tentative a échoué. Le PDG, Mark Read, a prévenu ses équipes ensuite : que le compte affiche sa photo ne veut pas dire que c’est lui.

Chez Ferrari, un dirigeant a reçu des messages WhatsApp d’un numéro inconnu, puis un appel avec la voix clonée du PDG à propos d’une acquisition confidentielle nécessitant une opération de couverture de change. Il a remarqué une intonation légèrement mécanique, qui a renforcé ses soupçons. Mais ce qui a mis fin à l’appel, c’est une question : le titre d’un livre que le PDG lui avait recommandé quelques jours plus tôt. La ligne a coupé.

Chaque perte est restée sur le canal proposé par l’escroc. Chez Ferrari, l’appel s’est terminé sur un terrain qu’il ne contrôlait pas : une question introuvable en ligne. D’où trois vérifications et une règle.

Trois vérifications et une règle qui tiennent même quand la voix est parfaite. Aucune ne dépend de l’oreille.

1. Raccrocher et rappeler sur un numéro que l’on cherche soi-même — l’annuaire, le contrat, le contact déjà enregistré dans son téléphone. Jamais le numéro qui a appelé, jamais celui du message. Un canal entrant ne peut pas se cautionner lui-même.
2. Poser une question introuvable en ligne. Une phrase convenue en personne entre les dirigeants et ceux qui valident les paiements, changée après chaque usage ; ou un détail privé récent, comme chez Ferrari.
3. Un second valideur pour tout paiement demandé par téléphone, en visio ou par message — le principe des quatre yeux que la police de Schwytz et l’OFCS rappellent tous deux.
4. Aucune exception pour une opération confidentielle. Secret, urgence et nouveau bénéficiaire réunis : on s’arrête, quel que soit le demandeur. Schwytz, Arup et Ferrari arrivaient tous sous couvert d’une opération confidentielle.

La phrase du dirigeant

La fraude au président usurpe la personne au sommet ; elle seule peut la désamorcer. Pour un comptable, vérifier une demande du PDG peut ressembler à un risque pour sa carrière. C’est sur cette hésitation que comptent les escrocs.

Le dirigeant le dit donc de vive voix à ceux qui paient : « Je ne vous demanderai jamais de payer sur un simple appel, une visio ou un message. Si cela arrive, raccrochez et rappelez-moi. Vérifier ne vous sera jamais reproché. » L’OFCS en fait une question de culture : un scepticisme sain doit être considéré comme une force, et non comme de la désobéissance.

Nos programmes de formation et de sensibilisation font répéter cet appel aux équipes financières jusqu’à ce que refuser devienne un réflexe, et notre service de RSSI externalisé donne un responsable à la règle et la fait survivre à la prochaine réorganisation.

Ce que NIS2 demande déjà, et ce que le règlement sur l’IA ne fera pas

Là où NIS2 s’applique par une loi nationale de transposition, ce n’est pas une simple bonne pratique. L’article 21, paragraphe 2, point j), de la directive range les « communications vocales, vidéo et textuelles sécurisées » au sein de l’entité, selon les besoins, parmi les mesures de gestion des risques, à côté de l’authentification à plusieurs facteurs. Le point g) impose la formation à la cybersécurité, et l’article 20, paragraphe 2, demande aux États membres d’y astreindre les membres des organes de direction. En France, la loi de transposition n’était toujours pas adoptée au 24 octobre 2026 ; rien n’empêche d’appliquer la règle avant. Un ordre de paiement reçu d’un numéro WhatsApp que personne n’a vérifié est précisément ce que ces mesures doivent empêcher : ce n’est pas un canal vérifié, quel que soit son chiffrement. Notre accompagnement NIS2 les traduit dans votre propre circuit de validation.

N’attendez rien du règlement européen sur l’IA. Depuis le 2 août 2026, son article 50, paragraphe 4, oblige les déployeurs de systèmes d’IA qui produisent des hypertrucages à indiquer que les contenus ont été générés ou manipulés par une IA ; nous avons détaillé cette obligation dans Le 2 août, votre chatbot devra dire qu’il est un robot. Un escroc n’étiquettera pas son appel. La règle traite des deepfakes honnêtes, pas des deepfakes criminels.