Le clonage vocal par intelligence artificielle a fait entrer la “fraude au président” dans une nouvelle ère. Il ne suffit plus de se méfier d’un mail suspect : il faut désormais apprendre à douter d’une voix qu’on croyait reconnaître.

Cette analyse revient sur les mécanismes de cette menace émergente et sur les réponses organisationnelles que les entreprises doivent construire, au-delà des seuls réflexes techniques.

Et si la voix de votre directeur financier, au téléphone, ne consituait plus une preuve d’identité ? Et si trente secondes d’enregistrement, empruntées sur une conférence en ligne ou une vidéo LinkedIn, pourraient désormais suffire à reconstituer un timbre, une intonation, un accent, au point de tromper un collaborateur expérimenté ? La question n’est plus théorique. Elle s’est déjà posée, avec succès, à des entreprises de toutes tailles.

Une menace qui s’appuie sur la confiance, pas sur la technique

La fraude au président n’a rien de nouveau. Ce qui change, c’est le vecteur. Longtemps limitée à l’écrit – un mail, une signature imitée, une urgence fabriquée – l’ingénierie sociale dispose désormais d’un outil qui contourne le principal réflexe de vérification que les entreprises avaient fini par intégrer : “si ça semble louche, décrochez le téléphone”. Or c’est précisément le téléphone, et la voix qui le porte, qui sont aujourd’hui menacées.

Le mode opératoire reste le même dans sa structure : urgence artificielle, isolement de la victime, demande de confidentialité. Ce qui a changé, c’est la crédibilité du vecteur. Un appel vocal cloné, associé à un scénario bien construit, recrée en quelques minutes toutes les conditions psychologiques d’une décision précipitée.

Le vrai point faible n’est pas technologique

Il serait possible de penser que la réponse est uniquement technique : authentification renforcée, détection de synthèse vocale, filtrage des communications. Ces outils ont leur utilité, mais ils traitent le symptôme, pas la cause. Le point de rupture reste humain, et il se situe dans l’organisation elle-même.

Trois failles reviennent systématiquement dans les cas documentés :

– L’absence de procédure de contre-vérification systématique pour toute demande sensible, quel que soit l’émetteur apparent.

– La centralisation excessive du pouvoir de décision financière entre les mains d’un nombre restreint de collaborateurs, facilement identifiables et donc ciblables.

– Une culture d’entreprise qui valorise la réactivité et la discrétion au détriment du droit pour chaque collaborateur de questionner une instruction hiérarchique sans craindre d’en subir les conséquences.

Le collaborateur qui décroche un appel frauduleux n’est jamais l’unique responsable. Il est le dernier maillon d’une chaîne de défense.

La réponse face à cette menace

La réponse à tout cela ne repose donc pas sur une affiche dans les locaux rappelant qu’il “faut être vigilant”. Elle repose sur un système formalisé, connu de tous les niveaux de l’organisation, qui prévoit :

– Un protocole de double validation obligatoire pour toute opération financière ou décision sensible, indépendamment du canal utilisé pour la demander.

– Un canal de vérification alternatif, préétabli et incontournable, permettant de confirmer l’identité d’un émetteur sans passer par le moyen de communication initial (par exemple aller voir la personne concernée directement ou communiquer par mail).

– Une cartographie des personnes qui peuvent être exposées par leur exposition publique (interventions, réseaux sociaux, médias) : dirigeants, responsables financiers, assistants de direction, …

– La sensibilisation et la formation des personnes pouvant être ciblées par les auteurs de ces actes malveillants.

– Un exercice de mise en situation régulier, qui est un des seuls moyens réels de vérifier que la procédure fonctionne en temps réel, comme il peut être fait avec les exercices d’hameçonnage lancés par les services informatiques.

Un sujet de gouvernance, pas seulement de sûreté

C’est là que le sujet dépasse le seul périmètre de la fonction sûreté ou sécurité des systèmes d’information. La capacité d’une organisation à résister à ce type d’attaque dépend directement de sa gouvernance : qui peut engager quoi, selon quel processus, et surtout, qui a le droit de dire non à une instruction qui semble légitime. Une entreprise où contester une consigne venue “d’en haut” est mal vu, rend ce type de fraude bien plus probable.

La menace du deepfake vocal n’invente donc pas un nouveau risque : elle révèle les fragilités organisationnelles déjà présentes. Les entreprises les mieux préparées ne sont pas nécessairement celles qui ont le plus investi dans la détection technologique, mais celles qui associent ces outils à une culture de la vérification systématique.

Sources :

https://www.economie.gouv.fr/dgccrf/les-fiches-pratiques/se-premunir-contre-lescroquerie-aux-faux-ordres-de-virement-ou-arnaque

https://www.cybermalveillance.gouv.fr/tous-nos-contenus/fiches-reflexes/escroquerie-faux-ordres-virement-fovi

https://news.un.org/en/story/2026/03/1167144

https://www.police.be/shape/en/questions/cyber-prevention/voice-deepfakes-beware-of-ai-software-that-mimics-the-voices-of-your

https://edition.cnn.com/2024/02/04/asia/deepfake-cfo-scam-hong-kong-intl-hnk

https://www.theguardian.com/technology/2026/feb/06/deepfake-taking-place-on-an-industrial-scale-study-finds