Voice cloning IA : faux appels de PDG demandant un virement urgent

Qu'est-ce qui se passe

Il y a deux ans, le voice cloning à un niveau « ça pourrait passer en 30 secondes au téléphone » exigeait des compétences techniques et plusieurs heures d'enregistrement source. Aujourd'hui, en mai 2026, quelques secondes d'audio public — une interview LinkedIn, un podcast professionnel, une vidéo corporate — suffisent à un opérateur sans formation technique pour générer une voix synthétique convaincante en temps réel. C'est précisément ce changement d'échelle qui explique la vague actuelle de fraudes au président audio en PME française.

Plusieurs cas remontés ces dernières semaines avec des virements détournés entre 30 000 et 150 000 € par tentative. Cible privilégiée : services comptables de structures où le dirigeant est connu publiquement (interventions presse, posts LinkedIn fréquents).

Le scénario type

Mécanique voice-cloning-pdg audio (la variante vidéo Teams est documentée séparément dans notre alerte deepfake Teams) :

1. Appel téléphonique du « patron » au comptable. Numéro spoofé (souvent le numéro mobile du dirigeant ou un numéro qui y ressemble), voix clonée
2. Demande de virement urgent et secret : « j'ai besoin que tu fasses un virement tout de suite, c'est pour finaliser un accord stratégique, je ne peux pas en parler maintenant mais je t'explique demain »
3. Mail de confirmation envoyé en parallèle depuis l'adresse compromise du dirigeant (ou depuis un domaine typosquatté) avec le RIB
4. Pression émotionnelle calibrée : « c'est urgent », « j'ai confiance en toi », « ne préviens personne, c'est confidentiel ». Le triptyque urgence + confiance + secret est conçu pour court-circuiter toute procédure de validation
5. RIB d'un compte mule étranger, généralement Lituanie, Estonie ou Pays-Bas, parfois Maroc

Les études récentes sur le voice cloning IA montrent qu'il trompe un proche du locuteur dans plus de 70 % des cas sur un appel court. Pour un employé qui n'entend son PDG qu'occasionnellement, c'est encore plus efficace.

Mets en place une règle d'or interne : aucun virement urgent ou hors-procédure n'est jamais validé sans un rappel sur le numéro habituel du dirigeant — composé depuis ton répertoire, pas via la « touche de rappel » qui ramène sur l'appel reçu.

Procédure défensive minimale

• Rappel obligatoire sur le numéro existant pour tout virement urgent / inhabituel
• Mot de passe verbal partagé en interne pour les ordres critiques (un mot anodin que le PDG doit prononcer si le comptable le demande)
• Délai d'attente systématique de 1-2 h entre la demande et l'exécution sur les virements hors-procédure
• Sensibilisation régulière des équipes — ce type d'attaque s'apprend en 15 minutes mais la sensibilisation doit être répétée

Que faire si concerné

• Ne valide pas le virement. Rappelle le dirigeant sur son numéro enregistré dans ton téléphone, pas via le numéro de l'appel reçu
• Si virement parti : alerte la banque dans l'heure pour tentative de rappel SEPA
• Dépôt de plainte rapide. Pour les montants au-delà de 50 k€, la cellule fraude bancaire de la Banque de France peut être saisie
• Communique en interne et avec d'autres entreprises de ton secteur — les attaquants partent souvent en série sur 5-10 cibles d'un même milieu, et un signalement rapide peut éviter d'autres victimes
• Documente l'attaque pour la DSI : timestamp précis, numéro spoofé, contenu du mail compromis si tu y as accès

Cousins directs : fraude au RIB fournisseur, même famille FOVI, mécanique différente. La défense est la même : validation par canal séparé, toujours.

Sources

Sources

• Cybermalveillance.gouv.fr — FOVI
• ANSSI