Fraude au président par IA : comment protéger votre entreprise des deepfakes

Le patron appelle. La voix semble familière, on entend même ses pauses caractéristiques. Il demande un virement urgent à un nouveau fournisseur ou un changement de numéro de compte, parce que « la comptable est en congé et l’affaire ne peut pas attendre ». Aujourd’hui, une telle voix peut être imitée avec un outil d’IA : reconnaître quelqu’un à sa voix ne prouve donc plus rien.

Dans ce guide, vous trouverez une procédure simple pour une petite entreprise. Elle repose sur un mot de passe de vérification, un rappel vers un numéro connu, la règle des deux personnes pour les virements et une courte formation de l’équipe. Vous la mettrez en place en un après-midi, sans acheter de logiciel spécial.

À quoi ressemble la « fraude au président » par IA

Le schéma est ancien, seul l’outil change. L’escroc se fait passer pour une personne en qui l’équipe a confiance : le propriétaire, un associé, le président ou le comptable. Aujourd’hui, au lieu d’un e-mail envoyé depuis une adresse usurpée, il peut envoyer un message vocal sur une messagerie ou appeler avec une voix qui imite la vraie personne.

Le matériel pour imiter une voix se trouve souvent en ligne : une vidéo sur le site de l’entreprise, l’enregistrement d’un événement ou une publication sur un profil de réseau social. Je n’affirme pas que toute voix peut être imitée parfaitement. Mais il suffit que l’appel soit court et que la ligne grésille pour que la pression du temps fasse son effet.

Les demandes typiques ressemblent à ceci :

• un virement urgent vers un nouveau compte, « parce que le contrat est en train de capoter »,
• le changement du numéro de compte d’un fournisseur sur la prochaine facture,
• l’achat de cartes cadeaux ou de recharges et l’envoi des codes,
• la demande des codes reçus par SMS ou d’un accès à la banque en ligne,
• « surtout, n’en parle à personne, c’est une transaction confidentielle ».

Comment repérer que quelque chose cloche

La voix peut être très convaincante : ne jugez donc pas le timbre. Jugez les circonstances. Une fraude présente presque toujours quelques traits communs :

1. L’urgence. « Il me faut ça dans l’heure. »
2. Le secret. « N’en parle à personne, pas même à la comptable. »
3. Un canal inhabituel. Le patron écrit depuis un nouveau numéro ou depuis une messagerie qu’il n’a jamais utilisée pour donner des instructions.
4. Un nouveau compte ou un nouveau bénéficiaire. Vous voyez cette entreprise ou ce numéro de compte pour la première fois.
5. Le contournement de la procédure habituelle. D’habitude, le patron demande une facture, mais cette fois « il n’a pas le temps ».

Si deux des cinq points correspondent, mettez fin à l’appel et appliquez la procédure ci-dessous. Inutile d’avoir la certitude qu’il s’agit d’une fraude. Il suffit de ne pas avoir la certitude que ce n’en est pas une.

Étape 1 : fixez un mot de passe de vérification

Le mot de passe de vérification est un mot ou une courte question que seules connaissent les personnes habilitées à donner des ordres financiers. Un escroc, même avec une bonne voix, ne le connaît pas.

Les règles qui le rendent plus efficace :

• convenez-en de vive voix, lors d’une réunion, et non par e-mail ou sur une messagerie,
• choisissez quelque chose qu’on ne peut pas trouver en ligne, donc ni le nom du chien ni celui de la rue,
• une question avec réponse vaut mieux qu’un simple mot, car elle est plus difficile à deviner,
• changez-le tous les quelques mois et après chaque changement dans l’équipe,
• la règle est simple : pas de mot de passe, pas de virement, même quand c’est le propriétaire en personne qui appelle.

Le propriétaire ne devrait pas s’en offusquer. C’est dans son intérêt, car cela protège aussi son argent.

Étape 2 : rappelez un numéro connu

Le mot de passe ne suffit pas s’il fuite ou si quelqu’un l’entend par hasard. La deuxième couche, c’est le rappel. Vous raccrochez et vous appelez le numéro que vous avez enregistré depuis longtemps : sur une carte de visite, dans un contrat ou dans votre propre carnet d’adresses.

Ce qu’il ne faut pas faire :

• ne rappelez pas le numéro qui vient de vous appeler,
• ne touchez pas « rappeler » dans le message,
• n’utilisez pas un numéro indiqué dans ce même message.

Si le patron ne répond pas, écrivez à son adresse e-mail connue ou demandez à quelqu’un qui se trouve à proximité. Si l’affaire est vraiment urgente, le patron rappellera. Si c’est un escroc, il disparaîtra ou commencera à faire pression. C’est aussi une information.

Étape 3 : la règle des deux personnes pour les virements

La protection la plus solide est celle où une seule personne ne peut pas envoyer d’argent toute seule. Dans une petite entreprise, une version simple suffit :

• une personne prépare le virement,
• une seconde le valide après avoir vérifié la facture et le compte,
• pour un nouveau bénéficiaire ou un changement de numéro de compte, s’ajoute un appel au partenaire commercial au numéro figurant dans l’ancien contrat ou sur son site,
• fixez vous-même les seuils : à partir de quel montant la règle s’applique toujours.

Dans leur banque en ligne pour les professionnels, de nombreuses banques permettent de configurer une double signature ou un plafond par personne. Regardez dans les paramètres de votre banque ou interrogez votre conseiller bancaire. Si votre entreprise ne compte qu’une personne, le rôle de la seconde peut être tenu par votre comptable ou par une personne de confiance qui reçoit de votre part une notification pour les virements au-delà d’un montant fixé.

Le changement de numéro de compte sur une facture est un cas à part, très fréquent. Je le décris dans le guide sur le numéro de compte falsifié sur une facture : vous y trouverez une procédure pour la comptabilité et un plan pour la première heure après le virement.

Étape 4 : une courte formation de l’équipe

Une procédure ne marche pas sans parler aux gens. 15 à 20 minutes tous les quelques mois suffisent. Lors de la réunion :

1. Expliquez comment fonctionne la fraude et faites écouter à l’équipe quelques exemples d’enregistrements trouvés sur internet, pour qu’elle entende à quel point une voix artificielle sonne de façon réaliste.
2. Montrez les cinq signaux de ce guide.
3. Entraînez-vous sur le scénario : « le patron appelle, il veut un virement vers un nouveau compte ». Que faites-vous, étape par étape ?
4. Dites clairement que chacun a le droit et le devoir de vérifier une instruction, y compris face au propriétaire.
5. Désignez la personne à qui signaler les doutes.

La phrase la plus importante que chaque membre de l’équipe doit entendre : « Personne ne vous reprochera d’avoir vérifié une instruction, même si elle était authentique. »

Que faire si le virement est déjà parti

Tout se joue dans les premières minutes. Agissez dans cet ordre :

1. Appelez votre banque au numéro d’assistance indiqué dans l’application ou sur le site de la banque. Dites qu’il s’agit d’une suspicion de fraude et demandez de tenter de bloquer ou de rappeler le virement.
2. Conservez les preuves : captures d’écran, enregistrements d’appels, messages vocaux, numéros de téléphone, heures et contenu des factures. Ne supprimez rien.
3. Signalez les faits à la police en joignant les éléments rassemblés.
4. Signalez l’incident à CERT Polska (l’équipe nationale polonaise de réponse aux incidents informatiques) via le formulaire sur incydent.cert.pl. Ces signalements aident à prévenir d’autres entreprises.
5. Prévenez l’équipe et les partenaires commerciaux que quelqu’un usurpe l’identité de l’entreprise. Le même escroc peut appeler une autre personne.
6. Si l’escroc a obtenu des mots de passe ou des accès à des comptes, changez les mots de passe et activez la double authentification.

Je ne promets pas que la banque parviendra toujours à bloquer l’argent à temps. Plus vous appelez vite, plus les chances sont grandes.

Réduisez la matière disponible pour l’escroc

L’escroc se prépare généralement : il vérifie qui est le patron, qui fait les virements et comment l’entreprise s’adresse à ses clients. Une partie de ces informations, nous les publions nous-mêmes. Mieux vaut limiter cela :

• ne publiez sur le site ni numéros de téléphone privés ni l’organigramme complet avec les fonctions financières,
• ne publiez pas de documents internes ni de modèles de factures avec les coordonnées bancaires,
• surveillez les formulaires et les boîtes mail du site : le spam et les piratages précèdent souvent l’usurpation de l’identité de l’entreprise,
• activez SPF, DKIM et DMARC pour la messagerie de l’entreprise afin de rendre plus difficile l’usurpation de l’adresse de l’expéditeur (je le décris dans le guide sur les e-mails qui finissent en spam),
• après tout changement dans l’entreprise, vérifiez qui a accès à la banque en ligne et aux boîtes mail.

Si vous voulez savoir à quel point votre site est protégé, commencez par l’outil gratuit Analyser votre site : en 30 secondes environ, vous verrez ce qu’il faut améliorer en matière de sécurité et de messagerie sur votre domaine.

Liste de contrôle à imprimer

• [ ] Nous avons convenu du mot de passe de vérification de vive voix.
• [ ] Nous confirmons chaque virement vers un nouveau bénéficiaire par un appel à un numéro connu.
• [ ] Les virements au-delà d’un montant fixé sont validés par deux personnes.
• [ ] L’équipe a suivi une formation de 15 minutes.
• [ ] Chacun sait qui prévenir quand quelque chose suscite un doute.
• [ ] Le numéro de la banque et l’adresse incydent.cert.pl sont notés à un endroit visible.
• [ ] Nous avons activé la double authentification pour la banque en ligne et la messagerie.

En résumé

La voix du patron au bout du fil n’est plus une preuve d’identité. Un mot de passe de vérification, un rappel vers un numéro connu et la règle des deux personnes coûtent une minute, mais peuvent éviter à l’entreprise de perdre l’équivalent d’un mois entier de salaires.

Si vous souhaitez vérifier la sécurité du site et du serveur de votre entreprise, je réalise pour vous un audit de sécurité et, si nécessaire, je sécurise votre serveur et votre application. Écrivez-moi, je réponds sous 24 heures, et les nouveaux clients bénéficient de 20 % de remise sur leur première commande.