Fraude au président assistée par IA : ce qui a changé, et ce qui protège encore

La fraude au président repose sur un mécanisme inchangé depuis quinze ans : convaincre une personne habilitée à réaliser un virement de contourner la procédure normale, en invoquant l’urgence, la confidentialité et l’autorité.

Ce qui a changé, c’est la crédibilité de la mise en scène.

Ce que l’IA a rendu banal

Les messages sans défaut. Pendant des années, la formation à la détection reposait largement sur des indices de forme : fautes d’orthographe, tournures maladroites, mise en page approximative. Ces indices ont disparu. Un message frauduleux est aujourd’hui rédigé dans un français impeccable, dans le registre exact de l’entreprise ciblée.

La personnalisation à grande échelle. Recouper l’information publique — organigramme, publications professionnelles, communiqués, absences annoncées — pour construire un prétexte crédible demandait du temps. C’est désormais rapide, ce qui rend rentables des cibles auparavant trop petites.

Le clonage vocal. Quelques secondes d’enregistrement suffisent à produire une imitation convaincante. Or la voix d’un dirigeant est souvent publique : interviews, webinaires, messages d’accueil, prises de parole en conférence.

La visioconférence truquée. Le cas le plus préoccupant, parce qu’il neutralise le réflexe de vérification le mieux ancré : « je l’ai eu en visio, c’était bien lui ». Des fraudes reposant sur des participants générés en visioconférence ont été documentées.

Ce que cela invalide dans vos procédures

Si votre dispositif repose sur l’un de ces éléments, il faut le revoir :

• La détection par la forme du message. Obsolète.
• La reconnaissance vocale humaine comme facteur de confiance. Un appel confirmant un virement ne prouve plus rien.
• La visioconférence comme preuve d’identité. Insuffisante seule.
• La confiance dans le canal. Un message reçu sur le canal habituel n’authentifie pas l’émetteur.

Ce qui résiste

La bonne nouvelle est que les parades efficaces ne reposent pas sur la détection. Elles reposent sur la procédure, et elles étaient déjà les bonnes avant l’IA.

Le rappel sur un numéro connu

Pas le numéro figurant dans le message, pas celui affiché à l’écran : le numéro enregistré dans l’annuaire interne, composé indépendamment.

C’est la mesure la plus efficace, parce qu’elle ne dépend d’aucune capacité de reconnaissance. Un fraudeur qui contrôle le canal entrant ne contrôle pas le canal sortant.

La double validation systématique

Au-delà d’un seuil, tout virement exige deux personnes distinctes, et cette règle ne souffre aucune dérogation d’urgence.

C’est précisément la dérogation d’urgence que la fraude cherche à obtenir. Une procédure qui prévoit un cas exceptionnel « en cas d’urgence absolue validée par la direction » contient sa propre faille.

L’interdiction du secret

Le scénario invoque presque toujours la confidentialité : opération sensible, acquisition en cours, contrôle fiscal. Il faut inscrire explicitement dans la procédure qu’aucune opération financière ne peut être soustraite au circuit de validation au motif de la confidentialité.

Cette phrase, connue de tous, désamorce l’essentiel du levier psychologique.

Le contrôle des changements de coordonnées

La variante la plus coûteuse n’est pas le virement exceptionnel : c’est le changement de coordonnées bancaires d’un fournisseur réel, qui détourne des paiements légitimes pendant des mois.

Tout changement doit être vérifié par rappel au fournisseur, sur un numéro déjà connu, et jamais sur la base du seul document reçu.

Un mot de passe convenu

Pour les échanges sensibles au sein d’un comité de direction, un élément partagé à l’avance et hors ligne reste un moyen simple et robuste d’authentifier un interlocuteur.

Adapter la sensibilisation

Les campagnes classiques ciblent l’ensemble des salariés sur des messages génériques. Elles plafonnent, pour les raisons décrites dans pourquoi les campagnes plafonnent.

Sur ce risque précis, l’approche efficace est différente :

• Cibler les fonctions exposées : comptabilité, trésorerie, assistants de direction, ressources humaines. Une session dédiée avec des scénarios réalistes vaut mieux que trois campagnes de masse.
• Former la direction elle-même. Les dirigeants sont à la fois les personnes usurpées et celles qui, en pratique, exercent la pression qui fait contourner les procédures. L’article 20 de NIS 2 impose d’ailleurs leur formation.
• Donner l’autorisation explicite de refuser. C’est le point le plus important et le plus négligé. Un comptable doit savoir qu’il ne sera jamais sanctionné pour avoir appliqué la procédure face à un dirigeant pressant. Sans cette garantie, écrite et rappelée, la hiérarchie l’emportera sur la procédure.

Réduire la matière première

La qualité de la mise en scène dépend de l’information disponible. Deux mesures modestes :

Limiter l’exposition des organigrammes détaillés et des coordonnées directes.

Se méfier des annonces d’absence. Un message public indiquant qu’un dirigeant est en déplacement à l’étranger est une information opérationnelle pour un fraudeur — c’est le moment où une demande inhabituelle devient plausible.

Si la fraude a réussi

Le temps est le seul facteur qui compte. Dans les premières heures, un rappel des fonds reste parfois possible.

Les réflexes, à préparer à froid dans la procédure de crise :

1. Contacter immédiatement la banque émettrice pour tenter le rappel.
2. Déposer plainte sans attendre.
3. Prévenir l’assureur — les délais de déclaration sont courts, voir ce que l’assureur attend.
4. Vérifier s’il y a eu compromission du système d’information, et pas seulement manipulation : une fraude peut accompagner une intrusion réelle.
5. Conduire une analyse post-incident sans chercher de coupable — la personne qui a exécuté le virement est une victime du dispositif, pas sa cause.

Sources

• Cybermalveillance.gouv.fr — fiches sur la fraude au virement
• ANSSI — recommandations à destination des dirigeants
• Directive (UE) 2022/2555 (NIS 2), article 20 — formation des organes de direction
• ISO/IEC 27002:2022, mesure 6.3 — sensibilisation et formation

Aller plus loin

Le volet humain et procédural fait partie du périmètre de notre audit 360, et la révision des procédures financières sensibles de nos missions de gouvernance, risques et conformité.