La fraude au président ne repose plus seulement sur un email bien tourné : les escrocs imitent désormais la voix et le visage de votre dirigeant en visioconférence grâce à l’IA. La parade ne consiste pas à détecter le faux, mais à rendre tout virement inhabituel impossible sans une vérification hors du canal utilisé par l’escroc.
Le 5 novembre 2026, le parquet fédéral de New York a inculpé trois personnes accusées d’avoir détourné environ 129 millions de dollars en se faisant passer pour des PDG et des avocats. Le scénario, détaillé par SecurityWeek, est celui que vit chaque jour une PME : un email du « PDG » au service comptable, une opération « confidentielle », puis un appel ou une visio où l’IA imite la voix du dirigeant, et enfin un faux avocat qui donne les coordonnées bancaires. Parmi les victimes figurent des hôpitaux, une banque et un fabricant d’aliments pour animaux : la taille de l’entreprise ne protège de rien.
Pourquoi l’IA change la fraude au président
Jusqu’ici, la consigne était simple : « en cas de doute, rappelez ». Elle ne suffit plus lorsque l’appel lui-même est le piège. Le FBI a documenté l’usage de l’IA générative pour produire des textes sans fautes, des clones vocaux et des vidéos de dirigeants, précisément pour faire disparaître les signaux d’alerte qu’on apprenait à repérer. Une voix familière, un visage à l’écran et un ton pressé ne prouvent plus rien.
Ce qui reste fiable, ce sont vos procédures : qui a le droit de valider un paiement, par quel canal, et avec quel contrôle. L’escroc maîtrise le canal qu’il a ouvert (email, appel, visio), jamais celui que vous choisissez vous-même. Les sept étapes ci-dessous s’appliquent en une à deux semaines, sans achat de logiciel.
Bloquer la fraude au président en 7 étapes
Étape 1 : cartographiez qui peut déclencher un virement
Listez nominativement les personnes qui peuvent saisir, valider et exécuter un paiement sur chaque compte bancaire, y compris les remplaçants pendant les congés. Supprimez les habilitations orphelines (anciens salariés, comptable parti, prestataire). Une liste courte et connue est la première barrière : l’escroc vise toujours la personne qui peut agir seule.
Étape 2 : imposez la double validation au-delà d’un seuil
Activez dans votre banque en ligne la double signature des virements au-delà d’un montant que vous fixez, et pour tout premier virement vers un nouveau bénéficiaire. Le deuxième valideur doit être une personne différente de celle qui a reçu la demande. Votre conseiller bancaire peut paramétrer ces règles, souvent sans frais.
Étape 3 : rappelez sur un numéro que vous possédez déjà
Écrivez la règle noir sur blanc : toute demande de paiement urgente, confidentielle ou de modification de RIB est vérifiée par un rappel vers un numéro issu de l’annuaire interne ou du contrat, jamais vers celui fourni dans l’email, la signature ou l’invitation de visio. Si le dirigeant est en déplacement, le rappel passe par son assistant ou un autre membre de la direction.
Étape 4 : instaurez un mot de passe verbal entre dirigeants et comptabilité
Le FBI recommande un mot ou une phrase secrète pour confirmer l’identité d’un proche au téléphone ; la même logique fonctionne en entreprise. Convenez d’une question de contrôle connue seulement de la direction et de la comptabilité, jamais écrite dans un email ni dans un outil partagé, et changez-la après chaque départ. Un clone vocal imite une voix, pas un secret qu’il n’a jamais entendu.
Étape 5 : figez le circuit de modification des coordonnées bancaires
Une grande partie des fraudes passe par un « nouveau RIB » d’un fournisseur ou d’un cabinet. Exigez un formulaire signé, un rappel au contact habituel du fournisseur et un délai de carence avant le premier paiement vers le nouveau compte. Consignez chaque changement dans un registre que votre expert-comptable peut auditer.
Étape 6 : verrouillez la messagerie de la direction
Les faux emails sont plus crédibles quand l’escroc a d’abord lu la boîte du dirigeant. Activez l’authentification multifacteur sur tous les comptes de la direction et de la comptabilité, publiez une politique DMARC pour empêcher l’usurpation de votre domaine, et affichez un bandeau « expéditeur externe » sur les messages venus de l’extérieur. Notre guide pour vérifier une demande officielle reçue par email détaille les contrôles côté réception.
Étape 7 : entraînez les équipes sur le scénario réel
Faites jouer le scénario complet une fois par semestre : email du « PDG », appel pressant, faux avocat. L’objectif n’est pas de piéger quelqu’un, mais de vérifier que la procédure est appliquée même sous pression, et que la personne qui dit « non, je rappelle » est félicitée plutôt que reprise. Intégrez ce cas dans votre programme de sensibilisation au phishing.
Reconnaître une demande de virement frauduleuse
Quelle que soit la qualité de l’imitation, la fraude au président laisse des traces dans la forme de la demande, pas dans la voix :
- Urgence et confidentialité : « opération sensible », « n’en parlez à personne », « je suis injoignable ensuite ».
- Contournement du circuit : on vous demande d’agir seul, hors procédure, « exceptionnellement ».
- Tiers inconnu : un avocat, un auditeur ou une banque étrangère que vous n’avez jamais eus en contact.
- Canal imposé : l’interlocuteur refuse d’être rappelé ou propose lui-même le numéro de rappel.
Un seul de ces signaux suffit pour suspendre le paiement et déclencher l’étape 3.
Que faire si un virement frauduleux est déjà parti
Le temps joue contre vous : les fonds sont rapidement dispersés, et dans l’affaire new-yorkaise convertis en cryptomonnaie. Appelez immédiatement votre banque pour demander un rappel de fonds (recall), puis déposez plainte et conservez emails, journaux d’appels et enregistrements. Prévenez votre assureur si vous disposez d’une garantie fraude. Vérifiez ensuite si la messagerie de la direction a été compromise : un accès persistant permettrait une deuxième tentative.
Une boîte mail de dirigeant compromise ou une règle de transfert suspecte se détectent plus tôt avec une surveillance continue : découvrez notre SOC managé 24/7 pour PME et ETI.
Ce qu’il faut retenir
- L’IA imite la voix et le visage d’un dirigeant : un appel ou une visio ne prouve plus l’identité.
- La protection repose sur la procédure, pas sur la détection du faux.
- Double validation, rappel sur un numéro connu et mot de passe verbal bloquent l’essentiel des tentatives.
- Toute modification de RIB suit un circuit écrit, vérifié et tracé.
- En cas de virement parti, appelez la banque dans l’heure pour tenter un rappel de fonds.