Arnaque au président, voix clonée et faux RIB : la procédure qui protège

Un escroc peut aujourd’hui imiter la voix d’un dirigeant au téléphone, et même son visage en visioconférence. La DGSI a décrit en décembre 2025 une tentative de ce type contre une entreprise française. La parade ne demande aucun logiciel : une règle écrite selon laquelle tout virement imprévu et tout changement de coordonnées bancaires sont confirmés par un rappel sur un numéro déjà connu, puis validés par une deuxième personne, même si la demande semble venir du patron. Depuis le 9 octobre 2025, votre banque vérifie aussi que le nom du bénéficiaire correspond à l’IBAN : ne passez jamais outre une alerte.

Exemple fictif : un vendredi à 17 h, la comptable d’une entreprise de transport de quinze salariés reçoit un appel. C’est la voix du gérant, en déplacement. Il parle d’une acquisition qui doit rester secrète jusqu’à lundi et demande un virement de 38 000 euros vers un cabinet d’avocats à l’étranger. Un email suit, avec un ton pressant et les coordonnées bancaires. Tout semble cohérent, jusqu’au moment où elle rappelle le gérant sur son portable habituel.

Les trois fraudes au virement qui visent les petites entreprises

Cybermalveillance.gouv.fr regroupe sous le nom d’escroquerie aux faux ordres de virement (FOVI) les arnaques qui poussent une victime, par persuasion, menaces ou pressions, à faire un virement non prévu. Sa fiche réflexe, réalisée avec le ministère de l’Intérieur et l’ANSSI, en décrit trois formes :

• Le faux dirigeant, ou « arnaque au président » : une demande présentée comme urgente et confidentielle.
• Le faux fournisseur : un message annonce de nouvelles coordonnées bancaires sur lesquelles régler les prochaines factures.
• Le faux salarié : une demande de changement du compte sur lequel verser son salaire.

Le compte de l’escroc est souvent à l’étranger. Le contact passe par téléphone, par email, ou les deux. Dans certains cas, la fraude suit le piratage de la messagerie de la personne dont l’identité est usurpée : le faux message part alors de sa vraie adresse.

Ce que l’IA change pour les escrocs

La DGSI relève dans son flash de décembre 2025 que l’IA aide les attaquants à produire des emails d’hameçonnage qui imitent le style humain, à analyser les informations publiques d’une cible pour personnaliser leurs messages, et à fabriquer des contenus truqués : vidéos, audios, images, documents. Dans le cas qu’elle rapporte, le responsable d’un site industriel a reçu un appel en visioconférence d’une personne qui avait l’apparence et la voix du dirigeant du groupe. La demande de transfert de fonds, pour un prétendu projet d’acquisition, l’a surpris. Il a coupé l’échange et alerté la direction par les canaux habituels.

La CNIL cite aussi, parmi les usages frauduleux des hypertrucages, l’imitation de la voix d’un proche ou d’un collègue dans un message audio. Son conseil tient en une ligne : face à une demande inhabituelle d’argent, d’informations ou de consignes urgentes, vérifiez par un autre moyen, même si elle semble venir de quelqu’un que vous connaissez.

Les indices visuels (bouche mal synchronisée, regard figé, image floue) aident parfois, mais un trucage soigné peut n’en montrer aucun. Vérifiez par un autre canal dans tous les cas.

Les signes qui doivent arrêter la main

• L’urgence : « avant ce soir », « avant la clôture ».
• Le secret : « n’en parlez à personne, même pas à l’expert-comptable ».
• Un canal inhabituel : un numéro inconnu, une messagerie personnelle, une visio organisée par un lien reçu par email.
• Un nouveau RIB, un compte à l’étranger, un bénéficiaire que vous n’avez jamais payé.
• La flatterie ou la menace : « je compte sur vous », « ce dossier engage votre poste ».

La procédure de double vérification

Écrivez-la, faites-la signer par le dirigeant lui-même, et dites à l’équipe qu’elle s’applique aussi à lui. La fiche de Cybermalveillance recommande une procédure interne de vérification et de validation hiérarchique « non dérogeable » pour les virements imprévus et les changements de coordonnées bancaires.

1. Aucun virement imprévu sur une simple demande, orale ou écrite, quel que soit son auteur.
2. Rappel systématique sur un numéro connu à l’avance : l’annuaire interne, la fiche fournisseur, le contrat. Jamais le numéro donné dans le message ou l’appel suspect.
3. Deux personnes pour valider tout virement imprévu ou tout nouveau bénéficiaire. Dans une entreprise de trois personnes, le dirigeant et la comptable suffisent, à condition que l’un ne puisse pas se passer de l’autre.
4. Changement de RIB d’un fournisseur : confirmation par téléphone auprès de votre contact habituel, puis contrôle du document reçu. La Banque de France conseille de regarder s’il présente des différences de caractères ou de police.
5. Un délai : une demande hors procédure attend le lendemain. La DGCCRF recommande d’être plus vigilant encore pendant les périodes de congés.
6. Le droit de dire non : écrivez qu’un salarié qui refuse un virement hors procédure ne sera jamais reproché, même si la demande était réelle.

Complétez par deux mesures préventives de la même fiche : activer la double authentification sur les messageries, et limiter les informations publiées sur le site et les réseaux sociaux qui permettent d’identifier les personnes habilitées à faire des virements.

La vérification du bénéficiaire par votre banque

Depuis le 9 octobre 2025, pour les virements SEPA classiques et instantanés vers la France et la zone euro, votre banque vérifie avant l’exécution que le nom saisi correspond au titulaire de l’IBAN. Pour une entreprise bénéficiaire, la vérification porte sur la raison sociale ou le nom commercial. Le service est gratuit. Le guide de la Banque de France publié en septembre 2025 décrit quatre résultats possibles :

• les informations correspondent : le virement suit son cours ;
• elles correspondent presque : la banque vous indique le nom connu du titulaire ;
• elles ne correspondent pas : aucune autre information ne vous est donnée ;
• la vérification n’a pas pu aboutir.

Vous pouvez toujours autoriser le virement malgré une alerte. Dans ce cas, sauf manquement de votre banque à ses obligations, vous assumez le risque que l’argent parte sur un compte qui n’est pas celui du bénéficiaire prévu. Faites de chaque alerte un arrêt de la procédure, suivi d’un rappel. Les entreprises peuvent renoncer à cette vérification pour les virements groupés envoyés par fichier : gardez-la. Elle ne couvre pas les virements internationaux hors SEPA, ni pour l’instant le Royaume-Uni et la Suisse.

Les faux RIB arrivent souvent avec une facture. Si vous automatisez la lecture de vos factures fournisseurs, le guide extraire les données de factures avec l’IA montre où placer le contrôle des coordonnées bancaires.

Si vous êtes victime

1. Identifiez les virements exécutés, en cours ou à venir vers l’escroc, et demandez le blocage des coordonnées frauduleuses dans vos logiciels.
2. Appelez votre banque immédiatement pour suspendre le virement s’il n’est pas parti, ou demander le retour des fonds. Elle peut exiger votre dépôt de plainte.
3. Conservez les preuves : numéros de téléphone, messages, ordres de virement, factures.
4. Changez le mot de passe de la messagerie si elle a pu être piratée.
5. Déposez plainte au commissariat ou à la gendarmerie. L’escroquerie est punie de cinq ans d’emprisonnement et de 375 000 euros d’amende (article 313-1 du Code pénal).

Le service public 17Cyber, ouvert aux entreprises 24 heures sur 24, propose un diagnostic en ligne et met en relation avec des policiers et gendarmes quand la situation le demande. Info Escroqueries répond au 0 805 805 817, gratuitement, du lundi au vendredi. Un email ou un SMS d’hameçonnage se signale à Signal Spam ou au 33700. La DGSI reçoit aussi les signalements d’événements suspects liés à l’IA sur securite-economique@interieur.gouv.fr.

Diffuser un contenu visuel ou sonore généré par algorithme qui représente une personne sans son consentement, sans qu’il soit évident ou mentionné qu’il s’agit d’un contenu généré, est aussi un délit (article 226-8 du Code pénal).

Entraîner l’équipe

Faites jouer la procédure au moins une fois. Prenez vingt minutes en réunion : lisez l’exemple fictif du début, demandez à chacun ce qu’il ferait, puis relisez la procédure. Le guide former une petite équipe à l’IA propose un format d’atelier où cet exercice trouve sa place. Si l’équipe utilise déjà des outils d’IA sans règle, le guide salariés qui utilisent ChatGPT sans autorisation aide à fixer le cadre.

Questions fréquentes

Comment reconnaître une arnaque au président avec une voix clonée ?

La voix ne suffit plus à identifier quelqu’un. Méfiez-vous d’une demande de virement urgente, confidentielle et inhabituelle, surtout vers un nouveau bénéficiaire ou un compte à l’étranger. Raccrochez et rappelez la personne sur un numéro que vous connaissiez déjà.

Que faire après un virement frauduleux ?

Appelez votre banque tout de suite pour suspendre le virement ou demander le retour des fonds, conservez toutes les preuves et déposez plainte. Le service 17Cyber aide les entreprises victimes, et Info Escroqueries répond au 0 805 805 817.

Ma banque vérifie-t-elle le nom du bénéficiaire d’un virement ?

Oui, depuis le 9 octobre 2025 pour les virements SEPA vers la France et la zone euro. La banque compare le nom saisi au titulaire de l’IBAN et vous alerte en cas d’écart. Si vous passez outre une alerte, vous assumez en principe le risque.

Comment se protéger d’un faux RIB fournisseur ?

Confirmez tout changement de coordonnées bancaires par téléphone auprès de votre contact habituel, sur un numéro déjà connu, et faites valider le nouveau bénéficiaire par une deuxième personne. Regardez aussi si le document reçu présente des différences de caractères ou de police.

Un deepfake vidéo peut-il servir à une fraude au virement ?

Oui. La DGSI a décrit en décembre 2025 une tentative en visioconférence où l’escroc avait l’apparence et la voix du dirigeant d’un groupe français. La même parade s’applique : couper l’échange et vérifier par un canal habituel.

Sources consultées le 22 octobre 2026 : Cybermalveillance.gouv.fr, fiche réflexe : l’escroquerie aux faux ordres de virement (FOVI) ; DGSI, flash ingérence : risques associés à l’usage de l’IA dans le monde professionnel (décembre 2025) ; CNIL, hypertrucage (deepfake) : comment se protéger et signaler les contenus illicites ; Banque de France, guide d’utilisation de la vérification du bénéficiaire (septembre 2025) ; info.gouv.fr, 17Cyber, guichet unique pour les victimes de cybermalveillance ; Cybermalveillance.gouv.fr, que faire en cas de phishing ou hameçonnage (mise à jour du 7 mai 2026) ; DGCCRF, se prémunir contre l’escroquerie aux faux ordres de virement ou « arnaque au président » ; Légifrance, Code pénal, article 313-1 ; Légifrance, Code pénal, article 226-8.