L'ère des arnaques invisibles
La fraude au président existe depuis des années : un escroc se fait passer pour le PDG et ordonne un virement urgent. Mais avec les deepfakes générés par IA, cette arnaque atteint un niveau de sophistication inédit. Même les employés les plus vigilants se font piéger.
Le cas des 200 millions de dollars de Hong Kong
Début 2024, une entreprise de Hong Kong a été victime d'une arnaque par deepfake d'une ampleur inédite :
- Un employé du service financier reçoit un email du "directeur financier" basé au Royaume-Uni
- L'email demande un virement urgent et confidentiel
- Méfiant, l'employé demande une visioconférence
- La visio est organisée avec "plusieurs collègues" présents
- Convaincu par les visages et voix familiers, il effectue 15 virements
- Perte totale : environ 200 millions de dollars de Hong Kong, soit près de 26 millions de dollars américains
Tous les participants à la visio étaient des deepfakes pré-enregistrés (source : police de Hong Kong, dépêche AFP du 5 février 2024 reprise par Inquirer.net, consultée le 31/08/2026).
Comment fonctionne cette arnaque ?
Phase 1 : La collecte
Les escrocs récupèrent :
- Vidéos publiques des dirigeants (LinkedIn, YouTube, conférences)
- Enregistrements audio (interviews, podcasts)
- Photos haute résolution
- Organigramme de l'entreprise
Phase 2 : La création
L'IA génère :
- Clone vocal quasi parfait (quelques secondes d'audio suffisent)
- Deepfake vidéo synchronisé avec la voix
- Faux documents d'identité si nécessaire
Phase 3 : L'exécution
L'escroc contacte un employé stratégique (comptabilité, finance) via :
- Appel téléphonique avec voix clonée
- Visioconférence avec deepfake
- Email + confirmation "vocale"
Les vecteurs d'attaque en entreprise
| Type d'attaque | Technologie IA | Cible |
|---|---|---|
| Fraude au président | Clone vocal/vidéo | Service financier |
| Usurpation KYC | Documents synthétiques | Onboarding clients |
| Faux RIB fournisseur | Email + voix | Comptabilité |
| Espionnage | Deepfake vidéo | Direction |
Signaux d'alerte à connaître
Indices d'un deepfake
- Légers décalages entre lèvres et son
- Clignements des yeux inhabituels
- Contour du visage flou ou instable
- Qualité vidéo anormalement basse
- Refus de tourner la tête ou de bouger
Comment protéger votre entreprise ?
1. Protocoles de validation
- Jamais de virement urgent sans double validation
- Confirmation par un second canal (appeler sur le numéro habituel)
- Mots de passe internes pour les demandes sensibles
- Validation multi-personnes pour les montants élevés
2. Sensibilisation des équipes
- Former les employés à reconnaître les deepfakes
- Simuler des attaques pour tester la vigilance
- Créer une culture du doute sain
3. Mesures techniques
- Authentification renforcée des visioconférences
- Vérification des domaines email
- Alertes sur les comportements inhabituels
Réglementation 2026
L'AI Act européen entre en application le 2 août 2026. Il imposera l'indication claire que le contenu a été généré par IA. Les deepfakes non signalés seront illégaux.
Que faire en cas de fraude ?
- Alertez votre banque immédiatement pour bloquer les virements
- Prévenez la direction et le service juridique
- Conservez toutes les preuves (emails, enregistrements)
- Déposez plainte auprès de la police/gendarmerie
- Déclarez l'incident à l'ANSSI si vous êtes une entreprise sensible
- Contactez votre assurance cyber si vous en avez une
L'avenir de la menace
Les experts prévoient une industrialisation de ces attaques :
- Outils de deepfake accessibles au grand public
- Services de "fraude as a service" sur le dark web
- Attaques ciblant les PME moins protégées
Ressources pour les entreprises
- ANSSI : Agence nationale de la sécurité des systèmes d'information
- Cybermalveillance.gouv.fr : Assistance et signalement
- BPI France : Guide deepfake pour PME
- Votre assureur : Couverture cyber-risques
La règle d'or : Toujours vérifier par un second canal toute demande inhabituelle, même si elle semble venir de votre PDG.