Deepfake vocal : quand l’IA réinvente la fraude au président

Ce qui a changé avec l’intelligence artificielle générative

La fraude au président classique reposait sur le culot d’un escroc capable de se faire passer, au téléphone ou par email, pour un dirigeant. Elle reste efficace. Mais l’intelligence artificielle générative a ajouté une variante nettement plus difficile à détecter — une évolution plus large de la menace cyber, détaillée dans notre article Cybersécurité et IA : six réflexes pour votre entreprise : à partir de quelques secondes d’audio ou de vidéo d’une
personne — une interview, un passage en conférence, une vidéo publiée sur les réseaux sociaux — il est aujourd’hui possible de générer une voix synthétique, voire une image animée, quasiment indiscernable de l’originale. 

Le cas le plus documenté publiquement reste celui du groupe d’ingénierie britannique Arup : en février 2024, un employé de son bureau de Hong Kong a rejoint une visioconférence où chaque participant, y compris le directeur financier du groupe, était en réalité un deepfake généré en temps réel. Convaincu par l’échange, qui a duré près d’une heure, l’employé a validé 15 virements pour un total de 25,6 millions de dollars. Cet incident illustre un point clé : la vérification visuelle en visioconférence, longtemps considérée comme une garantie fiable, ne l’est plus nécessairement. 

En France, la Banque de France elle-même a dû alerter, en avril 2026, sur la circulation de deepfakes vidéo imitant son gouverneur, signe que la menace ne concerne plus seulement quelques multinationales isolées, mais s’étend à des figures institutionnelles largement identifiables.

Pourquoi les parades habituelles perdent en efficacité

Trois réflexes de vérification, jusqu’ici considérés comme fiables, sont directement fragilisés par cette évolution : 

• Le rappel téléphonique reste globalement efficace… à condition d’appeler un numéro déjà enregistré. Mais certains fraudeurs recourent au spoofing pour faire apparaître le numéro habituel du dirigeant sur l’écran de la victime, rendant ce réflexe moins fiable qu’il n’y paraît s’il n’est pas combiné à d’autres vérifications. 
• La reconnaissance vocale, y compris certains dispositifs de vérification biométrique par la voix, montre des failles documentées face à des voix de synthèse suffisamment abouties. 
• La visioconférence, perçue comme un gage de fiabilité supérieur au simple appel téléphonique, peut désormais être entièrement simulée — voix et image — comme l’a démontré le cas Arup. 

Cette évolution ne rend pas la vigilance humaine obsolète : elle change la nature des signaux à surveiller, du “qui je vois et entends" vers “quel canal et quelle procédure sont utilisés".

Comment adapter votre dispositif de vérification

• Ajoutez un facteur de vérification indépendant du canal audio ou vidéo lui-même. Un mot de code interne, changé périodiquement et connu uniquement des personnes habilitées à valider des virements sensibles, reste difficile à reproduire pour un fraudeur, même équipé d’un deepfake convaincant. 
• Formalisez une procédure de double validation qui ne peut pas être court-circuitée par une seule personne, même si cette personne semble être visuellement et vocalement le dirigeant. La procédure doit résister à l’autorité apparente de l’interlocuteur, pas seulement à son identité déclarée.
• Limitez l’exposition publique de voix et d’images exploitables, en particulier pour les personnes habilitées à valider des opérations financières sensibles, un sujet directement lié au personal branding du dirigeant, qui doit désormais intégrer ce risque dans son cadrage. 
• En cas de doute sur une visioconférence ou un appel, demandez une action imprévisible en temps réel (se tourner, répéter une phrase donnée à l’instant, changer d’éclairage) : les systèmes de deepfake en temps réel, bien qu’en progrès rapide, restent généralement mis en défaut par une consigne totalement imprévue et hors script. 
• Sensibilisez spécifiquement les fonctions exposées (direction financière, comptabilité, assistanat de direction) à l’existence de cette technique, pas seulement à la fraude au président “classique". Beaucoup de dispositifs de sensibilisation n’ont pas encore intégré cette évolution. 

Un cadre juridique encore en construction 

Le réglement européen sur l’intelligence artificielle (AI Act) impose, depuis son application progressive, une obligation de transparence pour les contenus audio ou vidéo générés par IA : ils doivent en principe être signalés comme tels par les fournisseurs de modèles et les déployeurs. Cette obligation pèse sur les acteurs légitimes de l’IA, pas sur les fraudeurs eux-mêmes, mais elle ouvre des voies de recours complémentaires en cas d’incident. Sur le plan de la protection des données, la voix d’une personne est considérée comme une donnée biométrique au sens du RGPD, ce qui implique des précautions spécifiques pour toute entreprise qui traiterait elle-même ce type de données en interne (outils de synthèse vocale, par exemple).

Ce que BNP Paribas peut apporter

Ce risque s’inscrit dans le prolongement direct de la fraude au président, de la fraude au virement et de la fraude au changement de RIB : mêmes leviers psychologiques, mêmes procédures de protection à la base, avec une couche technologique supplémentaire à intégrer dans la sensibilisation. Nos partenaires spécialisés vous accompagnent pour adapter vos dispositifs de vérification à ces nouvelles techniques. 

Pour en savoir +, consultez notre page dédiée : Lutter contre les risques de fraude. 

Questions fréquentes 

Une PME est-elle vraiment concernée par ce risque, ou seulement les grands groupes ? 

Le coût de création d’un deepfake vocal a fortement baissé et ne nécessite plus de compétences techniques avancées, ce qui élargit le champ des cibles potentielles bien au-delà des grands groupes historiquement visés par les cas les plus médiatisés. 

Combien de temps d’audio faut-il pour cloner une voix ?

Les outils actuels nécessitent généralement de quelques secondes à quelques dizaines de secondes d’échantillon audio pour générer une voix de synthèse suffisamment crédible pour tromper une oreille non avertie. 

Existe-t-il des outils pour détecter un deepfake en temps réel ? 

Des outils de détection existent et progressent, mais aucun n’offre aujourd’hui une fiabilité absolue face à des générateurs eux-mêmes en constante amélioration. La procédure organisationnelle (double validation, mot de code, vérification indépendante) reste la protection la plus fiable, indépendamment de la qualité technique du deepfake. 

Le mot de code interne doit-il être partagé par écrit ? 

Non, idéalement communiqué et changé par un canal distinct de celui utilisé pour les opérations sensibles elles-mêmes, et connu du plus petit nombre de personnes possible pour limiter les risques de fuite.