SHIELD

Organisation et équipe

L'arnaque au président à l'ère du clonage vocal

La fraude au virement n'a plus besoin d'imiter un e-mail. Elle imite votre voix, et bientôt votre visage en visio. Pourquoi la détection est une impasse, et quelle procédure arrête vraiment un paiement.

Publié le 6 min de lecture Critique

Dernière revue:

Un virement frauduleux commence rarement par une intrusion. Il commence par un appel que tout le monde trouve normal.

L’arnaque au président n’a rien de nouveau. Un faux dirigeant, un virement urgent, un comptable qui exécute avant de réfléchir : les escrocs exploitent ce schéma depuis des années. Ce qui a changé, c’est qu’ils n’ont plus à imiter une signature ou un style d’e-mail. Ils imitent la voix. Et sur un appel vidéo, le visage.

La plupart des entreprises répondent en demandant à leurs équipes de mieux écouter. C’est la mauvaise réponse, et elle coûte cher.

Ce que les affaires connues racontent

Premier cas documenté, 2019. Le directeur d’une filiale britannique reçoit un appel de son patron, le PDG de la maison mère allemande. La voix est la bonne : l’accent, le débit, jusqu’à la petite musique d’un Allemand qui parle anglais. On lui demande de virer 220 000 euros à un fournisseur hongrois, vite. Il s’exécute. La voix était synthétique, entraînée sur des enregistrements publics du dirigeant. L’argent est passé par la Hongrie, puis le Mexique, et n’est jamais revenu. Le détail qui compte : la victime a reconnuSynthèse d'une voix humaine par IA à partir d'un échantillon audio, capable de produire de faux enregistrements. la voix. Elle ne s’est pas fait piéger par un clone approximatif. Elle a entendu son patron.

2024, Hong Kong. Un employé du cabinet d’ingénierie Arup reçoit un e-mail qui l’intrigue : une transaction confidentielle, signée du directeur financier. Il flaire le piègeAttaque par ingénierie sociale qui pousse la cible à donner ses identifiants ou exécuter du code., bon réflexe. Pour le rassurer, on l’invite à une visioconférence. Le directeur financier est là, à l’écran, entouré de collègues qu’il reconnaît. Tous sont faux. Des deepfakesMédia synthétique (image, vidéo, voix) généré par IA, imitant une personne réelle. fabriqués à partir d’images publiques. L’appel vidéo a balayé en quelques minutes la méfiance que l’e-mail avait éveillée. Quinze virements plus tard, l’entreprise avait perdu 25 millions de dollars. La fraude n’a été découverte qu’en recoupant avec le siège.

Juillet 2024. Un cadre de Ferrari reçoit des messages, puis un appel du directeur général, Benedetto Vigna. La voix tient la route, l’accent du Sud est là, le ton est pressant, l’affaire confidentielle. Le cadre doute et pose une question banale : le titre du livre que Vigna venait de lui recommander. Silence au bout du fil. L’escroc raccroche. Aucun outil n’a rien détecté. Une question dont seul le vrai Vigna avait la réponse a suffi.

Pourquoi la détection ne vous sauvera pas

La tentation est de traiter la voix synthétique comme on a traité le spam : repérer les signaux faibles, déployer des outils qui analysent le grain audio, former les équipes à débusquer l’artefact. Cette réponse rassure parce qu’elle ressemble à quelque chose de connu. Elle ne marche pas.

Les clones sont déjà trop bons pour l’oreille. Le dirigeant de 2019 a entendu l’accent et la mélodie de son patron, et il a viré quand même. Un outil de détection, lui, vieillit à l’envers : chaque progrès des générateurs le rend un peu plus aveugle, et ces progrès vont plus vite que vos cycles d’achat de logiciel. Vous joueriez une course perdue d’avance.

Pire, entraîner les gens à « reconnaître un deepfake » produit l’effet inverse de celui recherché. Vous fabriquez des employés faussement sûrs d’eux, persuadés qu’ils sauraient repérer le faux. Ce sont les plus faciles à tromper.

Ce qui arrête réellement un paiement

La parade ne se joue pas sur la perception. Elle se joue sur la procédure, et elle ne coûte presque rien.

Un ordre de paiement ne se valide jamais sur la foi du canal par lequel il arrive. Quelqu’un appelle, écrit, laisse un vocal : la demande se rappelle sur un numéro déjà connu, celui de l’annuaire interne, jamais celui qui vient de vous contacter ni celui fourni dans le message. Si la personne est injoignable sur son numéro habituel, la demande attend.

Au-dessus d’un seuil, un virement exige deux validations indépendantes, par deux personnes, sur deux canaux. Cette règle ne souffre aucune exception, surtout pas l’urgence, surtout pas la confidentialité.

L’urgence et le secret ne sont pas des circonstances. Ce sont les deux outils de l’escroc.

Shield — shield.travel

Il a besoin que vous agissiez vite et seul. Une procédure qui s’efface dès qu’on prononce « c’est urgent et ça reste entre nous » n’est pas une procédure, c’est une politesse.

Ajoutez une question de vérification convenue à l’avance, hors ligne, entre les personnes qui autorisent des paiements. Pas un mot de passe rangé dans un fichier. Une question dont la réponse ne se trouve nulle part. C’est ce qui a sauvé Ferrari.

Si vous dirigez

Vous êtes la matière première. Vos conférences, vos podcasts, vos prises de parole aux résultats, vos vidéos sur LinkedIn : autant d’heures d’audio propre pour entraîner un clone de votre voix. Vous ne pouvez pas, et ne devez pas, cesser d’être visible. Ce n’est pas le problème à régler.

Le problème, c’est que dans beaucoup d’entreprises « ça venait du patron » suffit encore à débloquer un paiement. Tant que c’est vrai, votre exposition publique est une vulnérabilité directe. La seule décision qui compte, et vous êtes le seul à pouvoir l’imposer à la finance, c’est de rendre votre voix insuffisante. Que plus personne n’autorise quoi que ce soit au seul motif que ça vous ressemblait. Le jour où votre voix ne vaut plus signature, vous parlez en public autant que vous voulez.

Angle de lecture

La même mécanique vous vise à titre privé : un appel de « votre banque », ou d’un proche en détresse dont la voix a été clonée à partir d’une story publiée en ligne. La parade est identique. Vous raccrochez et vous rappelez le numéro officiel, celui au dos de la carte, celui que vous avez déjà dans le téléphone. Convenez en famille d’un mot que personne d’autre ne connaît, à demander en cas de doute.

Votre rôle n’est pas d’acheter un détecteur de deepfake. Il est d’écrire la procédure de paiement, de fixer le seuil de double validation et d’entraîner les équipes finance non pas à reconnaître une voix, mais à appliquer le rappel sur canal connu sans état d’âme, y compris quand le directeur général en personne s’impatiente au bout du fil. Mettez-le à l’épreuve par un exercice. Vous verrez vite qui déroge sous pression.

Votre voix circule déjà, en clair, partout. La protéger est perdu d’avance. Rendez-la inutile comme moyen d’autorisation : aucun paiement sur votre seule parole, quel que soit le canal, quelle que soit l’urgence. C’est une règle que vous devez exiger, et à laquelle vous vous pliez le premier.

À mettre en place

  • N1 Les numéros des dirigeants et des partenaires financiers sont enregistrés à l'avance. On rappelle ceux-là, jamais celui qui vient d'appeler.
  • N1 Tout paiement au-dessus d'un seuil écrit exige deux validations indépendantes, sur deux canaux.
  • N1 Une question de vérification est convenue hors ligne entre les personnes qui autorisent des paiements.
  • N2 La procédure interdit explicitement de déroger pour cause d'urgence ou de confidentialité.
  • N3 Un exercice de simulation est passé au moins une fois par an, dirigeant compris.

Sources

Articles liés