La fraude au président consiste à se faire passer pour un dirigeant, ou pour un fournisseur, afin d'obtenir un virement ou une information sensible. Elle n'a rien de nouveau. Ce qui change, c'est qu'avec l'intelligence artificielle, l'imitation d'une voix ou d'un visage est devenue accessible et convaincante.
Une société multinationale a ainsi été piégée en 2024 lors d'une visioconférence dans laquelle tous les interlocuteurs, sauf la victime, étaient des faux générés par IA, un cas très largement rapporté. Les PME sont aussi des cibles, car elles ont moins de procédures de contrôle et des décisions plus rapides.
Bonne nouvelle : aucune technologie n'est nécessaire pour se défendre. Il suffit de règles simples, connues et appliquées. Voici le protocole que nous enseignons en formation.
règles de vérification à mettre en place
canaux minimum pour valider un paiement inhabituel
Les scénarios les plus fréquents
- Le faux dirigeant — Un message ou un appel, avec une voix imitée, demande à la comptabilité un virement urgent et confidentiel.
- Le faux fournisseur — Un mail, parfois suivi d'un appel, annonce un changement de coordonnées bancaires pour la prochaine facture.
- La fausse visioconférence — Des participants dont le visage et la voix sont générés par IA demandent une opération.
- Le faux technicien ou la fausse banque — Une personne se présente pour « sécuriser » un compte et demande un code reçu par SMS.
- Le faux candidat — Un entretien vidéo avec une identité ou un visage truqués, pour accéder à des informations ou à un poste sensible.
- L'hameçonnage rédigé par IA — Des mails sans faute, parfaitement adaptés à votre secteur et à votre contexte.
Les six règles du protocole
1. Double validation par un second canal
Tout virement inhabituel, tout changement de coordonnées bancaires, toute demande d'information sensible doit être confirmé par un autre moyen que celui de la demande. Mail reçu : on confirme par téléphone. Appel reçu : on confirme par une autre voie.
2. Rappel sur un numéro connu
On rappelle toujours la personne sur le numéro déjà enregistré dans vos dossiers, jamais sur celui indiqué dans le message.
3. Un mot convenu pour les urgences
Un mot ou une question connue des seules personnes concernées, communiqué en personne, pour valider une demande urgente hors procédure.
4. Un seuil et un circuit de paiement
Au-delà d'un montant fixé, un second signataire est obligatoire, quel que soit le demandeur. Aucune exception pour « le patron est en déplacement ».
5. L'urgence et le secret sont des signaux d'alerte
Plus on vous presse, plus il faut vérifier. Une demande qui interdit d'en parler à un collègue est suspecte par nature.
6. Le droit de vérifier, sans conséquence
Chaque collaborateur doit savoir qu'on ne lui reprochera jamais d'avoir vérifié, même s'il s'agit du dirigeant. Sans cela, la procédure tombe sous la pression.
Affichez ces six règles dans la comptabilité et dans le service client, et faites-les relire à chaque nouvelle personne qui arrive.
Après une tentative, ou une fraude réussie
- Contactez immédiatement votre banque — Si un virement vient d'être fait, c'est elle qui peut tenter un rappel de fonds. Plus c'est rapide, plus c'est efficace.
- Conservez les preuves — Messages, adresses, numéros, enregistrements, captures d'écran. Ne supprimez rien.
- Portez plainte — Auprès de la police. La plainte est souvent nécessaire pour les démarches bancaires et d'assurance.
- Signalez — En Belgique, le Centre pour la Cybersécurité (campagne Safeonweb) propose de transférer les messages suspects à l'adresse prévue à cet effet.
- Prévenez votre assurance — Certains contrats couvrent la cybercriminalité, avec des conditions et des délais de déclaration.
- Informez l'équipe — Sans chercher de coupable : l'objectif est d'améliorer le protocole.
Entraîner les équipes, pas seulement les informer
Un protocole que personne n'a pratiqué ne tient pas dans le stress. Les entreprises qui résistent le mieux organisent de courtes simulations : un faux appel, un faux mail d'un dirigeant, avec un débrief. Ces exercices révèlent les points faibles et créent les bons réflexes.
C'est l'un des ateliers de notre formation « reconnaître l'IA », qui se donne dans vos locaux ou à distance. Pour les autres usages de l'IA en entreprise, voir notre modèle de charte d'usage de l'IA.
Ce contenu est une information générale de prévention. Pour une situation précise, rapprochez-vous de votre banque, de la police et, si nécessaire, d'un spécialiste en cybersécurité.
Vos questions sur les deepfakes et la fraude
Qu'est-ce que la fraude au président ?
C'est une arnaque où l'on se fait passer pour un dirigeant ou un fournisseur pour obtenir un virement ou une information sensible, en jouant sur l'urgence et la confidentialité. L'IA permet aujourd'hui d'imiter la voix et le visage.
Peut-on reconnaître un deepfake à l'œil nu ?
De moins en moins. Les défauts visibles disparaissent à mesure que la technique progresse. La protection repose donc sur des procédures de vérification, pas sur la capacité à repérer un défaut.
Comment vérifier un changement d'IBAN d'un fournisseur ?
En rappelant votre contact habituel sur le numéro déjà enregistré, jamais sur celui du mail, et en exigeant une confirmation écrite validée par deux personnes.
Une PME peut-elle vraiment être visée ?
Oui. Les PME sont des cibles fréquentes car elles ont moins de contrôles internes. Les arnaques sont aussi en grande partie automatisées et visent un grand nombre d'entreprises à la fois.
Entraînez vos équipes avant l'appel suspect.
Nous animons des ateliers de sensibilisation et des simulations adaptés à votre entreprise.