Un appel arrive au service comptable. La voix ressemble à celle du dirigeant, connaît un dossier en cours et demande un virement urgent et confidentiel. L’imitation n’a pas besoin d’être parfaite : la pression, l’autorité et quelques informations publiques peuvent suffire à neutraliser les doutes.
Europol constate que les deepfakes vocaux renforcent la crédibilité des campagnes de fraude au dirigeant. Cybermalveillance.gouv.fr rappelle que les faux ordres de virement peuvent usurper un dirigeant, un fournisseur ou un salarié. La défense doit donc authentifier la demande par une procédure indépendante de la voix, de l’adresse et du récit.
Reconnaître le scénario
- caractère urgent, exceptionnel ou secret ;
- pression pour contourner une validation habituelle ;
- nouveau bénéficiaire ou changement de RIB ;
- appel suivi d’un courriel, ou inversement, pour renforcer la crédibilité ;
- prétexte de confidentialité empêchant de consulter un collègue ;
- informations exactes récupérées sur le site, les réseaux ou une messagerie compromise.
Une demande peut aussi viser le changement des coordonnées bancaires d’un fournisseur ou d’un salarié. Le point commun reste la modification financière obtenue par usurpation.
Écrire une règle que l’urgence ne peut pas annuler
Toute création de bénéficiaire, modification de RIB ou opération inhabituelle doit passer par un canal connu et une seconde personne. Le dirigeant doit publiquement soutenir cette règle, y compris lorsqu’il est réellement pressé. Sans ce soutien, l’attaquant utilisera l’autorité hiérarchique pour la contourner.
Règle type : aucune demande reçue par téléphone, visioconférence, message ou courriel ne suffit à modifier un moyen de paiement. Un contre-appel vers un numéro déjà enregistré et une double validation sont obligatoires au-delà du seuil défini.
Organiser le contre-appel
Ne rappelez pas le numéro fourni dans la demande. Utilisez l’annuaire interne, le contrat ou un contact vérifié avant l’incident. Pour un fournisseur, appelez un interlocuteur habituel. Posez une question liée au processus, mais ne transformez pas un secret personnel facilement trouvable en unique preuve.
Définir les seuils et exceptions
Fixez les montants, types d’opérations et rôles de validation. Prévoyez les congés, déplacements, panne de l’outil et opérations réellement urgentes. Une exception improvisée devient la porte d’entrée ; une exception écrite conserve au moins deux personnes et une trace.
Réduire les informations exploitables
Examinez les organigrammes, noms des fournisseurs, signatures, calendriers de déplacement et vidéos publiques. Il ne s’agit pas de disparaître du web, mais d’éviter de publier inutilement la chaîne de validation financière. Protégez la messagerie avec MFA, surveillez les règles de transfert et sensibilisez aux connexions anormales.
Faire un exercice de dix minutes
- Envoyez une fausse demande annoncée comme test aux personnes concernées.
- Vérifiez qu’elles retrouvent le numéro de contre-appel.
- Observez si la seconde validation est réellement indépendante.
- Mesurez le temps nécessaire pour bloquer la demande.
- Corrigez l’annuaire et la procédure.
L’objectif n’est pas de piéger les salariés. L’exercice doit renforcer le réflexe et montrer que la direction préfère un contrôle de trop à un virement frauduleux.
Que faire après une tentative ou un virement
Si le virement est parti, contactez immédiatement la banque pour demander son blocage ou le retour des fonds, conservez les messages et journaux, changez les accès compromis et déposez plainte selon les consignes officielles. Prévenez les autres personnes susceptibles d’être visées sans diffuser les éléments sensibles.
La technologie de détection des deepfakes peut compléter les contrôles, mais elle ne doit pas devenir l’unique barrière. Une procédure financière simple, connue et soutenue par la direction résiste mieux aux changements d’outils d’imitation.
Protéger également les partenaires
Une entreprise compromise peut servir à attaquer ses clients et fournisseurs avec des échanges réels. Prévoyez un message d’alerte et un contact vérifiable en cas d’usurpation. Lorsque des coordonnées bancaires changent réellement, annoncez la procédure à l’avance et confirmez-la par plusieurs canaux. La confiance commerciale doit reposer sur un processus reproductible, pas sur la ressemblance d’une voix ou la qualité d’une signature.
Article informatif. Les outils, règles et pratiques peuvent évoluer : vérifiez les sources officielles et adaptez les recommandations aux risques de votre organisation.
