Fraude au président (FOVI) :
comment les escrocs utilisent l’IA
pour se faire passer pour vous
Il est 16h30, un vendredi. Votre comptable reçoit un appel urgent. La voix est la vôtre, le ton est le vôtre, l’urgence semble réelle. Le coût pour produire cet appel : moins de 50€. Voici comment l’IA générative a transformé l’arnaque au président, et les procédures simples qui peuvent vous protéger dès aujourd’hui.
Ce qui a changé en 2026 : l’IA générative a supprimé les deux dernières barrières qui permettaient autrefois de détecter une fraude au président — les fautes de français dans les emails, et la vérification par contre-appel téléphonique. Aujourd’hui, l’email est parfaitement écrit et la voix au téléphone est la vraie voix du dirigeant.
La fraude au président, nouvelle génération
L’arnaque au président, aussi appelée FOVI (Faux Ordre de Virement) ou BEC (Business Email Compromise) en anglais, n’est pas une nouveauté. Depuis plus d’une décennie, des escrocs se font passer pour le dirigeant d’une entreprise afin d’obtenir des virements frauduleux, souvent massifs, de la part d’un collaborateur des services financiers.
Ce qui change radicalement aujourd’hui, c’est la dimension technologique. Grâce aux outils d’intelligence artificielle générative, quelques secondes d’enregistrement vocal prélevées sur une interview, un podcast, une keynote ou une simple messagerie suffisent à cloner la voix d’un dirigeant avec un réalisme troublant. Plus de 1 000 affaires de FOVI ont été recensées en France en 2024, causant plusieurs dizaines de millions d’euros de préjudice cumulé.
Europol confirme cette tendance au niveau européen : le Business Email Compromise reste l’une des formes de fraude en ligne les plus prolifiques dans l’Union européenne, et les outils d’IA ainsi que les deepfakes élargissent considérablement les possibilités de manipulation sociale pour les groupes criminels organisés.
Définition officielle ANSSI : l’escroquerie aux faux ordres de virement est une manipulation visant une personne dans l’entreprise pour l’amener à effectuer un virement non planifié. Le deepfake ne change pas la nature de l’attaque — il en augmente seulement le réalisme et l’efficacité.
Le cas Arup : 25,6 millions de dollars perdus en une visioconférence
Pour comprendre l’ampleur réelle de cette menace, rien ne vaut un cas documenté. Voici ce qui s’est produit chez Arup, un grand groupe britannique d’ingénierie, et qui illustre exactement le mécanisme à l’œuvre — à toute échelle d’entreprise.
Cas réel documenté — février 2024, bureau de Hong Kong
Comment une visioconférence entièrement fausse a coûté 25,6 millions de dollars
Un employé reçoit une invitation à une visioconférence urgente
L’invitation semble provenir du directeur financier du groupe, avec plusieurs autres collègues en copie — rien d’inhabituel dans la forme.
Une heure d’échange parfaitement crédible
L’employé échange avec le directeur financier et plusieurs collègues pendant une heure. Il pose des questions, reçoit des réponses cohérentes et naturelles. Chaque personne visible à l’écran était en réalité un deepfake généré en temps réel par intelligence artificielle.
15 virements validés pour 25,6 millions de dollars
Rassuré par la cohérence de l’échange et la légitimité apparente des participants, l’employé valide l’ensemble des virements demandés au cours de cette unique réunion.
Ce qui rend ce cas si significatif n’est pas seulement le montant : c’est la démonstration qu’une fraude qui nécessitait autrefois des semaines de manipulation par email fonctionne désormais en une seule visioconférence, ou même un seul appel téléphonique, avec la voix exacte du dirigeant. Les technologies actuelles permettent à un attaquant de parler dans un microphone et de faire sortir, avec un délai de quelques centaines de millisecondes seulement, la voix d’une autre personne — une latence qui passe totalement inaperçue dans une conversation téléphonique naturelle.
Ce n’est pas réservé aux grands groupes
Vos procédures financières y résisteraient-elles ?
Notre diagnostic évalue votre exposition aux fraudes par ingénierie sociale.
Rapport PDF immédiat · Conforme ANSSI
D’où viennent les échantillons vocaux utilisés contre vous
Contrairement à ce qu’on pourrait penser, les attaquants n’ont pas besoin d’accéder à votre système informatique pour vous cibler. Toutes les sources qu’ils exploitent sont légales, publiques et abondantes.
Vidéos LinkedIn et YouTube
Interventions en webinaire, conférences filmées, interviews données par le dirigeant dans le cadre de sa visibilité professionnelle.
Podcasts sectoriels
Les dirigeants de PME qui participent à des podcasts pour développer leur visibilité livrent souvent plusieurs minutes d’audio de très haute qualité — un terrain idéal pour le clonage vocal.
Messages vocaux et messageries
Répondeur de l’entreprise, messages audio WhatsApp ou Teams — autant de sources accessibles si le dirigeant communique régulièrement par message vocal.
Appels préliminaires d’enregistrement
L’attaquant appelle directement l’entreprise sous un prétexte anodin — une demande commerciale, une question administrative — et enregistre simplement la conversation pour obtenir l’échantillon vocal nécessaire.
Cette accessibilité change fondamentalement la donne pour les PME : la visibilité numérique d’un dirigeant, généralement perçue comme un atout commercial, devient simultanément une vulnérabilité exploitable sans qu’aucune intrusion technique ne soit nécessaire.
Les signaux d’alerte à reconnaître
Même si la voix et l’image peuvent désormais être parfaitement imitées, certains éléments de contexte restent des signaux fiables qui doivent immédiatement déclencher la vigilance de vos équipes.
Ce que cette fraude attaque vraiment : elle n’attaque pas la technique en premier — elle attaque le réflexe humain d’obéir vite, d’éviter un problème, d’aider un dirigeant en difficulté, de régler une urgence. Même avec les meilleurs outils de détection, une entreprise reste exposée si ses règles internes sont floues au moment précis où la pression monte.
Le protocole de vérification en 4 étapes — sans budget conséquent
Aucune technologie de détection de deepfake ne remplace en 2026 les procédures humaines bien définies. Voici le protocole minimal à instaurer immédiatement dans votre équipe financière.
Définir un seuil de montant déclenchant systématiquement une double vérification
Tout virement au-delà d’un montant que vous définissez (par exemple 2 000 € pour une petite structure) doit obligatoirement passer par cette procédure, sans exception ni “cas particulier”.
Vérifier systématiquement par un second canal indépendant
Si la demande arrive par téléphone, vérifiez par un appel sur le numéro habituel enregistré dans votre répertoire — jamais sur un numéro fourni dans le message suspect lui-même. Si elle arrive par email, vérifiez par téléphone, pas par réponse au même email.
Établir une question de sécurité connue uniquement en interne
Une information convenue à l’avance entre le dirigeant et l’équipe financière, jamais évoquée publiquement (réseaux sociaux, podcasts, interviews), permet une vérification rapide en cas de doute.
Former l’équipe financière à ignorer la pression temporelle
Rappelez explicitement que prendre 15 minutes supplémentaires pour vérifier une demande, même “urgente”, n’a jamais causé de préjudice réel à l’entreprise — alors qu’un virement précipité peut être irréversible.
La règle d’or
Aucun virement sensible ne part sans double vérification indépendante — même si la demande semble provenir de votre propre PDG.
Si cette règle existe et est systématiquement appliquée, l’attaque perd déjà l’essentiel de sa force, quelle que soit la sophistication technique du deepfake utilisé. Si elle n’existe pas, la technologie n’a même pas besoin d’être parfaite pour causer des dégâts importants.
Au-delà de cette procédure
Votre exposition globale à l’ingénierie sociale
Notre diagnostic identifie vos failles organisationnelles, pas seulement techniques.
Conforme ANSSI · Résultat immédiat
Checklist : votre PME est-elle exposée à cette fraude ?
🔍 Vérifiez dès aujourd’hui
- Existe-t-il un seuil de montant déclenchant une double vérification obligatoire, connu et appliqué par toute l’équipe financière sans exception ?
- Votre dirigeant a-t-il une présence publique importante (vidéos, podcasts, conférences) qui fournit aux attaquants la matière première pour un clonage vocal ?
- Vos équipes savent-elles qu’un appel ou une visioconférence peuvent désormais être entièrement falsifiés, y compris l’image du visage en temps réel ?
- Une procédure écrite existe-t-elle, formalisant les étapes de vérification avant tout virement inhabituel ou changement de coordonnées bancaires ?
- Votre équipe a-t-elle été sensibilisée à ignorer la pression temporelle et à privilégier systématiquement la vérification, même face à une urgence apparente ?
Questions fréquentes
Combien de temps d’enregistrement vocal faut-il pour cloner une voix ?
Quelques secondes seulement — certaines technologies actuelles permettent de cloner une voix de manière convaincante à partir de 3 secondes d’audio. Une intervention en webinaire, un podcast ou même un simple message vocal WhatsApp suffisent comme source, sans qu’aucune intrusion technique dans les systèmes de l’entreprise ne soit nécessaire.
Qu’est-ce que le cas Arup et pourquoi est-il important ?
En février 2024, un employé du bureau hongkongais d’Arup, un grand groupe d’ingénierie britannique, a validé 15 virements pour 25,6 millions de dollars après une visioconférence où chaque participant, y compris le directeur financier, était un deepfake généré en temps réel par intelligence artificielle. C’est le cas qui a démontré publiquement que la fraude au président par IA fonctionne à grande échelle, même face à des process de validation a priori robustes, et qu’elle peut désormais se jouer en une seule réunion plutôt qu’en plusieurs semaines de manipulation.
Comment se protéger efficacement contre cette fraude sans gros budget ?
La règle d’or ne coûte rien : aucun virement sensible ou inhabituel ne doit partir sans une double vérification par un second canal de communication, différent de celui utilisé pour la demande initiale — par exemple un appel sur le numéro habituel enregistré, jamais sur un numéro fourni dans le message suspect. Si cette règle existe et est respectée par toute l’équipe sans exception, l’attaque perd l’essentiel de sa force.
Les outils de détection de deepfake suffisent-ils à se protéger ?
Non, aucune technologie ne remplace les procédures humaines en 2026. Les solutions de détection de deepfake audio progressent (Pindrop, Resemble Detect et d’autres), mais la meilleure défense reste organisationnelle : une procédure de double vérification systématique, connue et appliquée par toute l’équipe financière, indépendamment de la sophistication technique de l’attaque utilisée contre vous.
La prévention commence par un diagnostic
Identifiez vos failles organisationnelles dès aujourd’hui
Score de maturité · Plan d’action · Rapport PDF immédiat.
Conforme ANSSI · Résultat immédiat · Sans engagement