« Ici la cheffe, virez l'argent tout de suite » – à quoi ressemble une fraude par IA et comment votre équipe garde son calme

Quelqu'un de votre équipe virerait-il de l'argent si la cheffe appelait, semblait stressée et disait que c'est urgent et confidentiel ?

La plupart hésiteraient – heureusement. Mais les escrocs misent justement sur ce moment : la pression du temps, l'autorité et la demande de discrétion. Ce qui est nouveau, c'est qu'ils n'ont plus besoin pour cela d'un e-mail mal fichu. Avec l'IA, on peut imiter des voix et même des visages dans des vidéos de façon si réaliste qu'au quotidien, on ne s'en rend presque pas compte.

Ce qui est techniquement possible aujourd'hui

Le BSI (l'Office fédéral allemand de la sécurité des technologies de l'information) décrit comment des voix peuvent être imitées par l'IA – si bien que des personnes, et même la reconnaissance automatique du locuteur, s'y laissent tromper. Pour une qualité élevée, il faut généralement plusieurs heures d'enregistrements audio, parfois seulement quelques minutes avec des données complémentaires. Pour beaucoup de dirigeants, ce type de matériel est accessible au public : interviews, vidéos, conférences. Selon le BSI, les visages peuvent désormais aussi être falsifiés en temps réel.

Un exemple connu vient de Hong Kong. Début 2024, un employé d'une entreprise internationale y a viré à des escrocs l'équivalent d'environ 25 millions de dollars américains après une visioconférence. Selon la police, tous les autres participants à la conférence étaient des faux. On ne s'en est aperçu que lorsqu'il a ensuite pris contact avec le siège.

L'arnaque est vieille, l'outil est nouveau

Les spécialistes appellent cela la « fraude au président » (« CEO fraud ») : quelqu'un se fait passer pour la direction et déclenche un paiement. Autrefois par e-mail, aujourd'hui aussi par appel, message vocal ou visioconférence. Le schéma est presque toujours le même :

• C'est urgent : « encore aujourd'hui », « avant que la banque ne ferme ».
• C'est secret : « n'en parlez à personne ».
• C'est inhabituel : nouveau compte, nouveau bénéficiaire, canal inhabituel.
• Ça vient d'en haut – pour que personne ne conteste.

Selon le Bundeslagebild Cybercrime 2025 du BKA (l'Office fédéral de police criminelle allemand), les criminels utilisent l'IA pour rendre leurs attaques plus efficaces et plus professionnelles. Le phishing devient plus convaincant, les fautes de langue disparaissent. Les signes qui permettaient autrefois de reconnaître une fraude sont donc de moins en moins fiables.

Trois règles qui apportent plus que n'importe quel logiciel

• Rappeler sur un numéro connu. À chaque demande inhabituelle de paiement ou de données, vous raccrochez et rappelez la personne sur le numéro que vous avez déjà enregistré – pas sur celui indiqué dans l'appel ou l'e-mail.
• Quatre yeux pour l'argent. Les nouvelles coordonnées bancaires et les paiements au-delà d'un montant fixé sont toujours validés par une deuxième personne. Sans exception, pas même « juste aujourd'hui ».
• Un mot code pour les urgences. Convenez d'un mot ou d'une question que seuls les vrais collègues connaissent. Ça fait film d'espionnage, mais ça marche.

Il est important que la direction applique elle-même ces règles et dise ouvertement : « Si j'appelle pour demander quelque chose d'inhabituel, rappelez-moi s'il vous plaît. Je ne me vexerai pas. » Cette seule phrase enlève la pression à l'équipe.

Former sans faire peur

Le but n'est pas que votre équipe trouve chaque appel suspect. Le but, c'est que personne n'ait à décider seul quand quelque chose cloche. Une bonne formation dure moins de deux heures et comporte trois parties : écouter ou voir un ou deux exemples réels, passer en revue ensemble la procédure établie et l'exercer une fois – par exemple avec un jeu de rôle où quelqu'un joue le « chef » et quelqu'un d'autre rappelle aimablement.

Le ton est important. Qui a peur de décrocher le téléphone après une formation a été mal formé. Qui sait que poser des questions est expressément souhaité reste calme. Et si quelqu'un se fait quand même avoir par une arnaque, la règle est : le signaler tout de suite, c'est bien ; le cacher, c'est mal. C'est seulement ainsi que toute l'équipe en tire des leçons.

La technique peut aussi aider un peu : lier les validations de paiement dans la banque en ligne à deux personnes, enregistrer les numéros de la direction comme contacts dans le système téléphonique, transférer les e-mails suspects en un clic vers une adresse de vérification. Cela ne remplace pas une procédure claire, mais la rend plus confortable.

Et si c'est quand même arrivé ?

Alors agissez vite, mais calmement. Prévenez immédiatement la banque et essayez de récupérer le paiement. Notez tout et conservez les preuves : journal d'appels, e-mails, messages vocaux. Portez plainte auprès de la police – en Allemagne, les Landeskriminalämter (offices de police criminelle des Länder) disposent pour cela de points de contact centraux dédiés aux entreprises (Zentrale Ansprechstellen Cybercrime). Ensuite, analysez sans chercher de coupable comment c'est arrivé. Qui signale ouvertement une erreur aide tout le monde ; qui craint les ennuis se tait. À quoi ressemblent les premières minutes après une attaque ? C'est expliqué dans le plan d'urgence en 10 minutes.

Le Monstre Cyber forme votre équipe – sans alarmisme, avec de vrais exemples et une procédure qui fonctionne au quotidien. Si chez vous le téléphone est la ligne principale vers la clientèle, le Monstre Téléphone jette aussi un œil aux numéros et aux renvois d'appel.