Les deepfakes IA génèrent désormais 40 % des fraudes au président : les contrôles AP qui empêchent une voix clonée d'approuver un virement falsifié

Votre téléphone sonne. C'est la voix de votre PDG — même cadence, même rire, même urgence avant un conseil d'administration — qui vous demande de virer 48 000 $ vers un nouveau compte fournisseur avant midi. Vous reconnaissez la voix instantanément. C'est bien là le problème : l'attaquant aussi. Avec à peine trois secondes d'audio récupéré, des outils d'IA grand public peuvent désormais cloner une voix suffisamment bien pour tromper la personne qui l'entend tous les jours, et on estime que 40 % des attaques de fraude au président incluent maintenant de la voix, de la vidéo ou du texte générés par IA.

La fraude au président (BEC, pour business email compromise) était déjà la deuxième catégorie de cybercriminalité la plus coûteuse selon le FBI, avec 3,05 milliards de dollars de pertes déclarées aux États-Unis sur près de 25 000 plaintes en 2025 — soit une moyenne d'environ 123 000 $ par incident. L'IA a rendu l'arnaque moins coûteuse à exécuter et plus difficile à repérer : un clone vocal convaincant passe sans encombre le contrôle du type « est-ce que ça ressemble à mon patron ? » qui constituait autrefois votre dernière ligne de défense. La bonne nouvelle, c'est que les contrôles qui stoppent la fraude au président par deepfake sont surtout procéduraux, pas techniques — et une petite entreprise peut les mettre en place cette semaine.

Comment fonctionne réellement une attaque BEC par deepfake​

Oubliez la version hollywoodienne avec des hackers en sweat à capuche. Une attaque BEC moderne pilotée par l'IA est une pièce courte et disciplinée en trois actes.

Acte 1 : la collecte de votre voix et de vos habitudes​

Les attaquants commencent par rassembler de la matière d'entraînement, et les petites entreprises en diffusent plus qu'elles ne le croient :

• Audio et vidéo publics. Interviews de podcasts, enregistrements de webinaires, clips « rencontrez le fondateur », messages d'accueil de messagerie vocale et vidéos de mise à jour façon résultats fournissent tous des échantillons vocaux propres. Trente secondes d'une seule vidéo suffisent amplement.
• Artefacts de réunion. Les enregistrements partagés à l'écran, les appels transcrits et les signatures d'e-mail révèlent qui approuve les paiements, quels fournisseurs vous payez et comment les demandes sont habituellement formulées.
• Boîtes de réception compromises. Une seule boîte compromise expose les fils de factures, les chaînes d'approbation et le ton exact qu'utilisent vos fournisseurs et dirigeants — que l'IA générative imite ensuite.

Acte 2 : la construction du prétexte​

Avec ce dossier, les attaquants choisissent l'un de trois scénarios éprouvés :

1. Usurpation d'un dirigeant. Un appel vocal ou un message vocal du « propriétaire » autorisant un virement urgent, souvent présenté comme confidentiel — une acquisition, un paiement de taxes, un litige fournisseur à régler discrètement.
2. Usurpation d'un fournisseur. Un fil d'e-mails, de plus en plus rédigé avec un style peaufiné par l'IA, annonçant un changement de coordonnées bancaires pour un fournisseur réel. Votre prochain paiement de facture légitime part vers le compte de l'attaquant. La compromission côté fournisseur a dépassé la classique « fraude au PDG » comme variante dominante de la BEC.
3. L'embuscade en visioconférence. Dans la variante la plus audacieuse, un membre du personnel financier rejoint un appel vidéo où tous les autres participants sont des faux générés par IA. Un incident largement rapporté s'est terminé par un virement de 25 millions de dollars avant que quiconque ne réalise que le directeur financier à l'écran n'avait jamais existé.

Acte 3 : le piège de l'urgence​

Chaque variante se termine de la même manière : une échéance fabriquée de toutes pièces. « Avant midi. » « Avant que l'auditeur n'arrive. » « N'impliquez personne d'autre — c'est sensible. » L'urgence existe pour court-circuiter exactement une chose : votre processus de vérification. Si vous n'avez pas de processus écrit, l'urgence l'emporte par défaut.

Pourquoi les petites entreprises sont la cible idéale​

Les grandes entreprises perdent des sommes plus importantes par incident, mais les petites entreprises sont frappées plus souvent au regard de leurs défenses. Trois raisons structurelles :

• Une seule personne gère tout le flux de paiement. Quand la même personne reçoit la facture, l'approuve et émet le virement, il n'y a pas de seconde paire d'yeux pour qu'un faux passe au travers.
• Les relations fournisseurs reposent sur l'e-mail et la confiance. Les changements de coordonnées bancaires arrivent sous forme de simples réponses par e-mail et sont saisis directement dans le système comptable — sans rappel téléphonique, sans double approbation.
• Les outils de détection plafonnent autour de 85 % de précision. Aucun détecteur de deepfake ne repère de manière fiable l'audio synthétique de génération actuelle, et la plupart des petites entreprises n'ont aucun outil de détection. La procédure est le contrôle ; le logiciel est le filet de sécurité.

Les données 2025 du FBI recensent plus de 22 000 plaintes pour fraude liée à l'IA, avec près de 900 millions de dollars de pertes ajustées — et cela ne compte que les cas que les victimes ont reconnus et signalés. Les détournements discrets de paiements fournisseurs ne refont surface que des semaines plus tard, quand le vrai fournisseur demande pourquoi une facture est en retard.

La liste de contrôle des contrôles AP : neuf contrôles qui stoppent la fraude BEC par deepfake​

Vous n'avez pas besoin d'un budget de sécurité d'entreprise. Vous avez besoin de règles écrites qu'aucune voix, vidéo ou e-mail ne peut contourner. Mettez-les en œuvre dans l'ordre.

1. Vérification hors canal pour tout changement de paiement​

C'est le contrôle à plus forte valeur, et le FBI comme la CISA le recommandent explicitement : tout nouveau bénéficiaire, tout changement de compte bancaire ou tout virement hors cycle doit être confirmé par un canal différent de celui qui a transmis la demande.

• La demande est arrivée par e-mail ? Appelez le fournisseur sur un numéro déjà connu — jamais un numéro figurant dans le message suspect.
• La demande est arrivée par appel vocal ? Confirmez par e-mail à une adresse connue, ou en personne.
• Mettez en place le processus de vérification au début de chaque relation fournisseur, pas pendant une crise. Convenez à l'avance de qui peut demander des changements et comment vous les confirmerez.

Un rappel vers un numéro que vous aviez déjà dans vos dossiers déjoue simultanément les clones vocaux, la compromission d'e-mail et les faux en visioconférence — l'attaquant ne peut pas intercepter un appel vers la vraie personne.

2. Autorisation à deux personnes au-delà d'un seuil​

Aucune personne seule ne devrait pouvoir initier et émettre un paiement au-delà d'un seuil écrit. Choisissez un montant adapté à votre volume — beaucoup de petites entreprises utilisent 5 000 $ ou 10 000 $ — et exigez un second approbateur pour tout ce qui le dépasse.

La règle doit être absolue : aucune exception pour urgence, hiérarchie ou confidentialité. « Le PDG a dit de sauter le processus » est précisément ce que dirait un PDG cloné. Inscrivez la clause de non-exception par écrit pour que votre comptable puisse la brandir sous pression.

3. Une procédure de modification du fichier fournisseurs​

La plupart des pertes BEC passent par un seul point faible : quelqu'un modifie les coordonnées bancaires dans le système comptable sur la foi d'un e-mail. Verrouillez cela :

• Seuls des membres nommés du personnel peuvent modifier les fiches de paiement fournisseurs.
• Chaque changement exige le rappel hors canal du contrôle 1, documenté avec date, heure et qui a confirmé.
• Passez en revue le fichier fournisseurs chaque trimestre. Les fournisseurs obsolètes, les noms en double avec des numéros de compte différents (« Acme Inc » vs « Acme Inc. ») et les fiches récemment modifiées méritent un second regard.

4. Supprimer la voix et la vidéo comme canaux d'approbation​

Faites-en une politique : un appel vocal peut accompagner un processus de paiement, mais il ne peut jamais le remplacer. Idem pour les visioconférences et les notes vocales. Les approbations vivent dans votre système comptable ou dans un fil d'approbation documenté — jamais dans un appel téléphonique, aussi familière soit la voix.

Une astuce pratique : établissez un mot de passe de type familial ou une question de défi pour les approbations de paiement avec chaque fournisseur et dirigeant clé. Un secret partagé à faible technicité défait l'usurpation de haute technologie, car l'attaquant ne peut pas deviner ce qui n'a jamais été écrit dans un e-mail.

5. MFA résistant au phishing sur l'e-mail et la banque​

Les attaquants qui compromettent une vraie boîte de réception héritent de sa crédibilité — leurs messages passent tous les contrôles d'authentification parce qu'ils proviennent du compte authentique. Les recommandations de la CISA sont claires : protégez les comptes à forte valeur avec une authentification multifacteur résistante au phishing, comme les clés de sécurité FIDO2, pas seulement des codes SMS.

Au minimum : MFA sur chaque compte e-mail professionnel, chaque portail bancaire et chaque plateforme de paiement. Pas d'identifiants partagés — des identifiants partagés signifient que vous ne pouvez pas savoir qui a approuvé quoi.

6. Réduire votre empreinte vocale et vidéo publique​

Vous ne pouvez pas dépublier Internet, mais vous pouvez arrêter de nourrir les modèles :

• Supprimez les messages d'accueil de messagerie vocale qui énoncent noms et fonctions ; un message générique fait très bien l'affaire.
• Protégez les enregistrements de webinaires et de réunions derrière des identifiants plutôt que des liens publics.
• Informez les dirigeants que les clips de podcast, les conférences et les vidéos sociales sont de la matière première pour le clonage vocal — non pas une raison de se cacher, mais une raison pour laquelle les autres contrôles sont non négociables.
• Découragez les outils d'IA non autorisés qui téléversent des enregistrements de réunions vers des services tiers ; chaque téléversement fantôme est une entrée de dossier qui n'attend que d'être collectée.

7. Formez sur l'attaque réelle, pas sur le concept​

La formation annuelle de sécurité sous forme de diaporama ne survit pas au contact d'un mardi matin paniqué. À la place :

• Faites écouter au personnel une vraie démo de voix clonée pour que « ça ressemblait exactement à toi » cesse d'être hypothétique.
• Organisez un exercice sur table : déroulez pas à pas ce que chaque personne fait quand une demande de virement urgente arrive, y compris qui elle appelle et ce qu'elle dit.
• Répétez la phrase qui stoppe la fraude : « Je dois vérifier cela par notre processus habituel — je vous rappelle. » Faites-en culturellement acceptable de ralentir une demande venant du sommet.

8. Rapprochez vite et surveillez les schémas de paiement​

La rapidité de détection borne l'ampleur de la perte. Les virements peuvent parfois être rappelés dans les 24 à 72 heures via le processus Recovery Asset Team de l'IC3 du FBI — mais seulement si vous vous en apercevez à temps.

• Rapprochez les comptes d'exploitation et de paie quotidiennement ou chaque semaine, pas chaque mois. Une revue dans la semaine attrape un paiement détourné pendant que la récupération est encore possible.
• Surveillez les ruptures de schéma : un fournisseur payé deux fois dans un même cycle, des virements à montants ronds vers de nouveaux bénéficiaires, des paiements juste sous votre seuil d'approbation, ou le nom d'un fournisseur familier associé à des coordonnées bancaires subtilement différentes.
• Tenez un journal de paiement propre et horodaté en dehors de votre e-mail. Quand chaque paiement légitime est consigné dans un registre versionné unique, un virement non autorisé ressort immédiatement au lieu de se cacher dans le bruit de la boîte de réception.

9. Ayez un plan de réponse aux incidents écrit​

Décidez avant un incident : qui appelle la banque, qui dépose la plainte IC3 sur ic3.gov, qui préserve les preuves (en-têtes d'e-mail complets, journaux d'appels, fil de facture d'origine) et qui prévient le fournisseur usurpé. Imprimez le plan d'une page et gardez-le là où la personne qui paie les factures peut l'atteindre sans se connecter à quoi que ce soit — car le système compromis peut être justement celui qu'elle utilise habituellement.

Erreurs courantes qui annulent de bons contrôles​

Même les entreprises dotées de politiques écrites échouent de manière prévisible. Auditez-vous par rapport à cette liste :

• Vérifier à l'intérieur du fil de l'attaquant. Répondre « est-ce légitime ? » à l'e-mail compromis, ou appeler le numéro figurant dans le bloc signature du message frauduleux. La vérification doit être hors canal et hors fil, à chaque fois.
• Dispenser de vérification les fournisseurs « connus ». Sauter les rappels pour les fournisseurs de longue date. Les boîtes des fournisseurs sont compromises elles aussi — l'ancienneté n'est pas une authentification.
• Le fractionnement de seuil. Des approbateurs qui scindent ou ajustent les paiements pour rester sous la limite de double autorisation, ou des attaquants qui apprennent votre seuil et facturent juste en dessous. Examinez explicitement les paiements proches du seuil.
• Considérer un e-mail écrit par l'IA comme un indice. Il y a cinq ans, un anglais approximatif signalait une arnaque. L'IA générative écrit désormais une prose professionnelle impeccable et stylistiquement assortie. Jugez les demandes sur la conformité au processus, pas sur la qualité de la prose.
• Classer la politique et l'oublier. Les contrôles que personne ne répète se dégradent en un trimestre. Refaites l'exercice sur table quand le personnel change de rôle, et reconfirmez les coordonnées bancaires des fournisseurs chaque année.

Comment la tenue de livres s'intègre à la défense contre la fraude​

Les contrôles anti-fraude et la tenue de livres relèvent de la même discipline sous des chapeaux différents : dans les deux cas, il s'agit de savoir exactement où est allé votre argent et pourquoi. Une entreprise qui rapproche chaque semaine, tient des fiches fournisseurs propres et consigne chaque paiement avec sa facture justificative repérera un virement détourné en quelques jours ; une entreprise qui rapproche chaque trimestre risque de ne rien remarquer avant que le vrai fournisseur n'envoie une lettre de recouvrement.

C'est aussi pourquoi une comptabilité en texte brut et versionnée mérite sa place ici. Quand votre grand livre est un historique de fichiers transparent plutôt qu'une base de données boîte noire, vous voyez précisément quand le numéro de compte d'un fournisseur a changé, qui l'a changé et quels paiements ont suivi — exactement la piste d'audit qu'un enquêteur bancaire ou un assureur demande en premier.

Simplifiez votre gestion financière​

À mesure que vous resserrez vos contrôles de paiement contre la fraude par deepfake, tenir des registres financiers clairs et auditables est ce qui rend ces contrôles applicables — une politique de vérification ne fonctionne que si les livres montrent chaque paiement qu'elle était censée encadrer. Beancount.io offre une comptabilité en texte brut qui vous donne une transparence et un contrôle complets sur vos données financières — pas de boîte noire, pas de dépendance à un fournisseur. Commencez gratuitement et découvrez pourquoi les développeurs et les professionnels de la finance passent à la comptabilité en texte brut.