Votre patron peut être cloné par une IA : comment reconnaître une fraude au président ?
📅 Publié le 9 septembre 2026 – ⏲️ Temps de lecture : 4 min
Oui, la voix et le visage de votre dirigeant peuvent être clonés par une intelligence artificielle, à partir d'une simple vidéo publiée sur LinkedIn. La fraude au président par IA ne se repère plus à l'oreille : ni la voix, ni l'image, ni le numéro affiché ne prouvent quoi que ce soit. La seule défense qui tient, c'est une procédure interne écrite, connue de tous, qui rend le faux appel inutile même s'il est parfait. Voici le cas réel documenté par la DGSI, les signaux à repérer pendant l'appel et les quatre règles à mettre en place cette semaine dans votre PME.
Le cas réel : un responsable de site appelé en visio par son propre PDG
La scène se passe dans un groupe industriel français. Le responsable d'un site reçoit un appel en visioconférence. À l'écran, le dirigeant du groupe. Sa tête, sa voix, sa façon de parler. Rien ne cloche.
L'échange bascule vite : le "dirigeant" demande un transfert de fonds, dans le cadre d'un projet d'acquisition confidentiel. C'est le caractère inhabituel de la demande, pas l'image ni le son, qui met la puce à l'oreille du responsable. Il coupe la conversation et alerte sa direction par les canaux habituels. Confirmation : il venait de parler à un hypertrucage, un deepfake mêlant le visage et la voix du patron, fabriqué par IA.
Le point important : ce responsable n'a rien détecté techniquement. Il a réagi parce que la demande sortait du cadre. C'est exactement là que se joue votre protection.
Pourquoi vos anciens réflexes ne fonctionnent plus
Pendant vingt ans, on a appris aux équipes comptables à repérer une arnaque à la faute d'orthographe, à l'adresse mail bizarre, à la voix qui sonne faux. Ces trois garde-fous ont sauté.
Aujourd'hui, quelques secondes d'audio suffisent pour cloner une voix. Un dirigeant qui a fait une interview, un webinaire ou une vidéo de vœux a déjà fourni la matière première. Le mail frauduleux, lui, est rédigé par IA : plus aucune faute, le bon ton, le bon vocabulaire interne. Quant au numéro qui s'affiche sur votre téléphone, il se falsifie facilement.
Et l'ampleur est réelle. Le baromètre fraude 2026 d'Allianz Trade, réalisé avec Odoxa, indique que 60 % des PME françaises ont subi au moins une tentative de fraude sur les douze derniers mois, et que 76 % des dirigeants estiment que l'IA augmente ce risque.
Les 4 signaux qui doivent vous alerter pendant l'appel
Vous ne détecterez pas le trucage. En revanche, vous pouvez repérer le scénario. Une fraude au président par IA suit presque toujours la même mécanique, parce qu'elle attaque un réflexe humain : obéir vite à une autorité.
Tout doit être fait aujourd'hui, si possible dans l'heure. L'urgence sert à vous empêcher de vérifier. Un vrai virement stratégique se prépare, il ne tombe jamais du ciel à 17h un vendredi.
On vous demande de ne pas en parler à votre responsable, au DAF ou au reste de l'équipe. Aucun dirigeant légitime ne vous demande de contourner votre hiérarchie pour sortir de l'argent.
Le circuit habituel de validation est mis de côté "exceptionnellement". Nouveau fournisseur, nouvel IBAN, compte à l'étranger, paiement hors outil de gestion : chacun de ces éléments est un signal en soi.
Un appel visio sur une plateforme que vous n'utilisez jamais, un WhatsApp, un numéro portable inconnu. Le fraudeur choisit un canal où vos habitudes ne servent plus de repère.
Un dernier test, simple et redoutable : demandez à votre interlocuteur une action imprévisible en direct, tourner la tête lentement, se lever, répéter une phrase que vous venez d'inventer. Les deepfakes en temps réel encaissent mal ce qui n'était pas prévu au script. Ce n'est pas une garantie, mais c'est un bon indice.
La parade : 4 règles qui neutralisent même un deepfake parfait
La bonne nouvelle, c'est qu'on ne se protège pas de cette fraude avec de la technologie de détection. On s'en protège avec de l'organisation. Voici ce que nous recommandons aux PME que nous accompagnons.
Toute demande de virement exceptionnel se vérifie en raccrochant, puis en rappelant le dirigeant sur le numéro enregistré dans votre annuaire interne. Jamais le numéro affiché pendant l'appel, jamais celui indiqué dans le mail.
Règle numéro 1, non négociableFixez un montant à partir duquel deux personnes habilitées doivent valider, séparément. Un fraudeur peut cloner un dirigeant, il aura beaucoup plus de mal à cloner deux personnes et à intercepter deux circuits de validation.
Seuil à définir avec votre DAFUn changement d'IBAN ne se fait jamais sur la base d'un appel ou d'un mail. Il passe par un contrôle formalisé, avec contre-appel du fournisseur sur ses coordonnées historiques, et une trace dans votre outil de gestion.
Le point d'entrée le plus exploitéVos équipes doivent savoir qu'elles ne seront jamais sanctionnées pour avoir refusé ou retardé un paiement le temps de vérifier. Sans cette autorisation explicite, la pression hiérarchique fait sauter toutes les procédures.
À signer par la directionOù votre logiciel de gestion joue un rôle décisif
Une procédure écrite ne vaut que si elle est appliquée. Et c'est votre système d'information qui la rend applicable au quotidien, ou pas.
Concrètement, sur un environnement Sage 100 correctement paramétré, plusieurs choses limitent fortement le risque. Les droits utilisateurs sont segmentés : la personne qui saisit un fournisseur n'est pas celle qui valide un règlement. Les changements de coordonnées bancaires laissent une trace horodatée, avec l'identité de celui qui les a faits. Les remises bancaires suivent un circuit fixe, ce qui rend visible tout paiement qui sort du cadre habituel.
À l'inverse, les entreprises les plus exposées sont celles où tout le monde a les mêmes accès, où les virements partent directement depuis l'interface bancaire sans passer par l'outil de gestion, et où personne ne relit les journaux de modification.
S'ajoute le volet hébergement. Un environnement Sage hébergé dans un cloud maîtrisé, avec authentification renforcée et sauvegardes régulières, réduit aussi la surface d'attaque en amont : c'est souvent en récupérant des mails ou des documents internes que les fraudeurs construisent un scénario crédible.
Le réflexe à faire passer à vos équipes dès cette semaine
Vous n'avez pas besoin d'un projet de six mois pour être nettement mieux protégé. Trois actions suffisent pour commencer.
D'abord, écrivez la règle du contre-appel sur une page, et faites-la valider par la direction. Ensuite, réunissez les fonctions exposées, comptabilité, direction financière, assistanat de direction, et racontez-leur le cas DGSI tel quel : un scénario concret marque bien plus qu'une liste de bonnes pratiques. Enfin, faites relire vos droits utilisateurs dans votre outil de gestion, pour vérifier que personne ne peut, seul, créer un fournisseur, changer un IBAN et lancer un règlement.
C'est peu spectaculaire. C'est aussi ce qui a sauvé l'entreprise du flash DGSI.
Questions fréquentes sur la fraude au président par IA
Oui, et c'est même l'inverse de ce qu'on imagine. Monter une attaque de ce type coûte désormais très peu à un fraudeur, donc il peut viser large. Les petites structures sont attractives parce qu'elles ont rarement une procédure de virement formalisée, et parce que dans une équipe réduite, tout le monde connaît la voix du dirigeant, ce qui rend le clonage encore plus efficace.
Des outils de détection existent, mais ils courent derrière des générateurs qui progressent plus vite qu'eux. Ne construisez pas votre défense là-dessus. Une règle d'organisation simple, appliquée systématiquement, bloque la fraude même si le deepfake est indétectable.
Très peu. Quelques secondes issues d'une interview, d'un webinaire, d'un post vidéo LinkedIn ou d'un message vocal suffisent aux outils actuels. C'est pour cette raison que les dirigeants les plus visibles publiquement sont aussi les plus exposés.
Agissez dans l'heure. Contactez immédiatement votre banque pour tenter un rappel de fonds, déposez plainte, et conservez toutes les preuves : horaires précis, IBAN de destination, mails, enregistrement de l'appel si vous en avez un. Signalez également l'incident, la DGSI dispose d'une adresse dédiée aux sujets de protection économique.
Non, l'interdire pousse simplement les équipes à l'utiliser en cachette, ce qui est pire. La DGSI recommande plutôt d'encadrer son usage dans la charte informatique, de privilégier des solutions dont les données restent maîtrisées, et de former régulièrement les équipes. Le vrai risque, c'est l'usage non déclaré d'outils grand public avec des documents confidentiels.
Vos procédures résisteraient-elles à un appel truqué ?
Nous auditons gratuitement les droits utilisateurs et le circuit de validation des règlements de votre environnement Sage. Un échange d'une heure, sans engagement, pour identifier les points où une seule personne peut aujourd'hui faire sortir de l'argent.
📅 Prendre rendez-vous avec YAD →Voir notre approche cybersécurité pour les PME
Nos autres articles
Votre patron peut être cloné par une IA : comment reconnaître une fraude au président ?
Oui, la voix et le visage de votre dirigeant peuvent être clonés par une intelligence artificielle, à partir d'une simple…
Lire l'article
Facturation électronique 2026 : ce qui démarre vraiment au 1er septembre
Le 1er septembre 2026 marque une étape clé de la réforme de la facturation électronique : à partir d'aujourd'hui, toute…
Lire l'article
Cyberattaque de la DGFiP : 285 000 entreprises touchées, comment protéger votre PME
La cyberattaque DGFiP (Direction générale des Finances publiques), révélée le 12 août 2026, a permis le vol de 678 438…
Lire l'article