Un appel qui ressemble parfaitement à votre dirigeant peut ne pas l'être
Un salarié reçoit un appel. Au bout du fil, la voix de son dirigeant, reconnaissable, pressée, inquiète : il faut valider un virement avant la fin de journée, transmettre un mot de passe, faire une exception à une règle habituelle, pour une raison urgente qu'il n'a pas le temps d'expliquer en détail. Le salarié obéit. Ce n'était pas son dirigeant.
Cette arnaque, connue depuis longtemps sous le nom de fraude au président, existait déjà par email et par téléphone. Ce qui a changé, c'est sa crédibilité. BlueSecure, plateforme française de sensibilisation à la cybersécurité, a annoncé le 8 septembre 2026 une levée de fonds destinée notamment à développer de nouveaux formats de formation contre les menaces liées à l'IA, au spear phishing et aux deepfakes, un signe parmi d'autres que la voix et l'image d'un dirigeant peuvent désormais être imitées avec un réalisme qui rend la fraude beaucoup plus difficile à repérer à l'oreille.
Cet article ne porte pas sur la technique derrière ces imitations, ni sur les outils censés les détecter. Il porte sur une question beaucoup plus opérationnelle, et beaucoup plus utile pour une PME : à partir de quel type de demande, ou de quel montant, faut-il systématiquement vérifier l'identité de la personne qui demande d'agir, quelle que soit la conviction avec laquelle elle s'exprime ?
Pourquoi la détection humaine ne suffit plus ?
Il fut un temps où un accent légèrement différent, une voix un peu métallique ou un décalage dans une vidéo suffisaient à éveiller les soupçons. Ce temps touche à sa fin. La qualité des voix synthétiques et des vidéos générées progresse plus vite que la capacité d'un employé, aussi vigilant soit-il, à les distinguer d'un échange authentique.
Ce constat ne doit pas conduire à demander à chaque salarié de devenir un expert en détection de deepfakes : ce n'est ni réaliste, ni son rôle. Les tentatives de fraude de ce type reposent d'ailleurs rarement sur la seule qualité de l'imitation. Elles s'appuient surtout sur des leviers psychologiques bien identifiés : l'urgence qui empêche de réfléchir, l'autorité qui décourage de poser des questions, et l'isolement qui pousse à agir seul plutôt que d'en parler à un collègue.
C'est pourquoi la bonne réponse n'est jamais « apprenez à repérer une fausse voix », mais plutôt « sachez quand une demande, vraie ou fausse, mérite d'être vérifiée avant d'être exécutée ».
Ce n'est pas un problème technique, c'est un problème de procédure
La meilleure protection contre ce type de fraude ne vient ni d'un logiciel de détection, ni d'une formation ponctuelle sur les deepfakes, aussi utile soit-elle. Elle vient d'une règle simple, connue à l'avance par toute l'équipe : certaines catégories de demandes doivent systématiquement être vérifiées par un second canal, indépendamment de la personne qui semble les formuler et de l'urgence affichée.
Cette règle a un avantage décisif sur toute méthode de détection technique : elle fonctionne même si l'imitation est parfaite. Elle ne demande pas de juger si la voix est vraie ou fausse, ce qui devient un pari perdu d'avance, mais simplement d'appliquer une procédure prévue à l'avance, quelle que soit la qualité de l'imitation. Un salarié qui applique une procédure n'a pas besoin de trancher, dans l'instant, s'il fait face à une fraude sophistiquée : il applique la règle, un point c'est tout, et la question ne se pose même plus.
Reste à définir précisément ce qui déclenche cette vérification.
Le framework PAUSE pour savoir quand vérifier une demande avant d'agir
Voici comment définir, simplement, à partir de quand une demande mérite d'être vérifiée par un second canal avant d'être exécutée : le framework PAUSE. Il rassemble cinq signaux qui, dès qu'un seul apparaît, justifient de marquer un temps d'arrêt.
P comme Pression temporelle. La demande insiste-t-elle sur l'urgence, l'immédiateté, l'impossibilité d'attendre ne serait-ce qu'une heure pour confirmer ? C'est le levier le plus systématiquement utilisé dans ce type de fraude, précisément parce qu'il fonctionne.
A comme Action inhabituelle. La demande sort-elle du cadre habituel : un virement vers un compte jamais utilisé, une exception à une règle de validation, un accès qui ne devrait normalement pas être partagé de cette façon ?
U comme Unique canal utilisé. La demande arrive-t-elle par un seul moyen, un appel, un message vocal, une visioconférence improvisée, sans aucune trace écrite habituelle permettant de recouper l'information ailleurs ?
S comme Secret demandé. La personne insiste-t-elle pour que cette demande reste discrète, entre elle et vous, sans en parler à un collègue ou à un supérieur ? C'est presque toujours le signal le plus fiable, puisqu'une demande légitime n'a normalement aucune raison d'exiger ce silence.
E comme Enjeu financier ou sensible. La demande implique-t-elle de l'argent, des données confidentielles, ou un accès dont le détournement causerait un dommage réel à l'entreprise ?
Dès qu'un seul de ces cinq signaux est présent, la règle est simple : raccrocher poliment, puis rappeler la personne concernée sur un numéro déjà connu et enregistré, jamais celui utilisé pour l'appel initial, avant d'exécuter quoi que ce soit. Cette vérification prend rarement plus de deux minutes, et elle est acceptée sans difficulté par n'importe quel dirigeant réellement à l'origine de la demande.
Le framework PAUSE ne suppose aucune compétence technique. Il suppose simplement qu'une règle ait été énoncée avant qu'une urgence ne se présente, pour qu'elle ne repose jamais sur le jugement d'une seule personne, seule, sous pression, au moment critique.
Un exemple concret
Prenons un cas représentatif de ce type de situation. Une assistante de direction reçoit un appel qu'elle identifie immédiatement comme celui de sa directrice, en déplacement à l'étranger. La voix est identique, le ton pressé mais cohérent avec le personnage. La demande : virer 8 000 euros à un nouveau fournisseur, avant la fin de la journée, pour débloquer une livraison urgente, et ne pas en parler à l'équipe comptable pour ne pas « perdre de temps en validations inutiles ».
En appliquant le framework PAUSE, quatre signaux sur cinq sont déjà réunis : la pression temporelle, l'action inhabituelle d'un virement vers un nouveau compte, le canal unique de l'appel, et surtout la demande explicite de confidentialité. L'assistante répond simplement qu'elle rappelle immédiatement pour confirmer, raccroche, et compose le numéro habituel de sa directrice, déjà enregistré dans son téléphone.
Si l'appel était authentique, la directrice confirme en quelques secondes, sans se vexer d'une vérification devenue une pratique connue de toute l'équipe. Si l'appel était frauduleux, l'affaire s'arrête là, sans qu'un seul euro n'ait changé de compte.
Comment vérifier sans vexer ni ralentir l'activité ?
La crainte la plus fréquente face à ce type de règle est qu'elle ralentisse l'activité ou mette mal à l'aise, en particulier vis-à-vis d'un dirigeant pressé. Cette crainte disparaît presque toujours dès que la règle est connue et appliquée par tout le monde, dirigeants compris.
La clé consiste à présenter cette vérification non pas comme une marque de méfiance envers la personne, mais comme une procédure impersonnelle, appliquée systématiquement, comme on verrouille une porte le soir sans que cela signifie qu'on se méfie d'un collègue précis. Une phrase simple suffit généralement : « Je vous rappelle tout de suite pour confirmer, c'est notre procédure standard pour ce type de demande. » Un dirigeant légitime, informé à l'avance que cette règle existe, ne s'en offusque jamais. Un dirigeant qui s'en agace, à l'inverse, mérite d'être interrogé sur les raisons de cette réaction.
Le plus important reste que cette règle soit annoncée et acceptée avant la première situation réelle, jamais improvisée au moment où elle devient nécessaire.
Les angles morts à éviter
Premier piège : limiter cette vigilance aux virements bancaires. Les demandes d'accès, de mots de passe, ou d'informations confidentielles présentent exactement les mêmes risques et méritent la même règle de vérification.
Deuxième piège : ne former que les équipes financières. Un appel frauduleux peut tout aussi bien viser un assistant, un responsable technique disposant d'accès sensibles, ou toute personne en mesure d'exécuter une action rapide sans validation intermédiaire.
Troisième piège : croire qu'un seul rappel de sensibilisation suffit à installer durablement le réflexe. Une piqûre de rappel régulière, même brève, maintient la vigilance bien mieux qu'une formation isolée vite oubliée.
Quatrième piège : sanctionner un salarié qui a vérifié une demande finalement légitime. Rien ne décourage plus rapidement l'application d'une règle de sécurité qu'une remarque agacée après une vérification pourtant justifiée sur le moment.
Conclusion
Un appel qui semble parfaitement authentique ne l'est pas nécessairement, et cette réalité ne va aller qu'en s'aggravant à mesure que les outils de synthèse vocale et vidéo progressent. La bonne nouvelle, c'est que la protection la plus efficace ne dépend d'aucune technologie : elle dépend d'une règle simple, connue à l'avance, appliquée sans exception dès qu'un signal d'alerte apparaît.
Un salarié qui applique cette règle n'a jamais besoin de juger, seul et sous pression, si la voix qu'il entend est authentique. Il applique une procédure, et la question ne se pose plus.
La question à vous poser dans votre entreprise n'est donc pas « nos équipes sauraient-elles reconnaître une voix truquée ? ». Elle est : savent-elles, dès aujourd'hui, à partir de quel signal elles doivent vérifier avant d'agir ?
FAQ
Comment se protéger d'un faux appel du patron par deepfake ?
En appliquant une règle systématique de vérification par un second canal dès qu'une demande présente un signal d'alerte : urgence forte, action inhabituelle, canal unique, demande de confidentialité, ou enjeu financier, plutôt qu'en essayant de juger si la voix entendue est authentique.
Qu'est-ce que le framework PAUSE contre la fraude au président ?
C'est un framework qui rassemble cinq signaux d'alerte, Pression temporelle, Action inhabituelle, Unique canal utilisé, Secret demandé et Enjeu financier ou sensible, dont la présence doit systématiquement déclencher une vérification avant d'exécuter une demande.
Comment vérifier l'identité de quelqu'un sans le vexer ?
En présentant la vérification comme une procédure impersonnelle et systématique, appliquée à tout le monde y compris aux dirigeants, plutôt que comme un signe de méfiance envers une personne en particulier. Un rappel sur un numéro déjà connu suffit généralement.
Les deepfakes vocaux rendent-ils la fraude au président plus dangereuse ?
Oui, car ils rendent la détection à l'oreille beaucoup moins fiable. C'est pourquoi la protection efficace ne repose plus sur la capacité à repérer une fausse voix, mais sur une procédure de vérification appliquée systématiquement, indépendamment de la qualité de l'imitation.
Quelles demandes doivent toujours être vérifiées par un second canal ?
Les demandes de virement inhabituel, de transmission de mots de passe ou d'accès sensibles, et plus généralement toute demande urgente, sortant du cadre habituel, ou accompagnée d'une exigence de confidentialité.