Deepfake de dirigeant et fraude au président : que faire

1. Ce qui arrive aux entreprises : trois cas documentés

• Arup (Hong Kong, janvier 2024) : un salarié de la filiale de Hong Kong de ce groupe d'ingénierie britannique reçoit un message sur une « transaction confidentielle » au nom du directeur financier, basé au Royaume-Uni. Lors d'une visioconférence, le directeur financier et plusieurs collègues sont en réalité des imitations générées par IA. Le salarié effectue 15 virements vers cinq comptes à Hong Kong, pour un total de 200 millions de dollars de Hong Kong (environ 25 millions de dollars US). Arup a confirmé que « de fausses voix et de fausses images » avaient été utilisées.
• WPP (révélé en mai 2024) : des escrocs créent un faux compte WhatsApp avec la photo publique du PDG, Mark Read, et organisent une réunion Microsoft Teams censée réunir Mark Read et un autre cadre dirigeant. Ils y utilisent un clone de la voix de ce cadre et des vidéos YouTube de lui, le faux Mark Read restant hors caméra dans la messagerie, et demandent à un dirigeant d'agence de créer une nouvelle activité pour lui soutirer argent et informations personnelles. La tentative a échoué grâce à la vigilance des personnes visées.
• Ferrari (juillet 2024) : un cadre reçoit des messages WhatsApp puis un appel imitant la voix du PDG, Benedetto Vigna, au sujet d'une acquisition confidentielle. Il demande à son interlocuteur le titre d'un livre que Benedetto Vigna lui avait récemment recommandé. L'escroc raccroche.

Le même procédé vise aussi les dirigeants à travers des personnalités publiques : en février 2025, la voix du ministre italien de la Défense, Guido Crosetto, a été clonée pour solliciter de grands chefs d'entreprise. Massimo Moratti, ancien propriétaire de l'Inter Milan, a versé près d'un million d'euros, que la police a ensuite pu geler sur un compte aux Pays-Bas.

En France, l'Observatoire de la sécurité des moyens de paiement range la fraude au président parmi les « fraudes par manipulation », qui ont atteint 516 millions d'euros en 2025, un peu plus de 40 % de la fraude aux moyens de paiement.

2. Un virement a été demandé ou effectué : les premières heures

1. Si le virement est parti, appelez votre banque tout de suite et demandez le rappel des fonds (retour des fonds). Plus la demande est rapide, plus les chances de blocage sont grandes.
2. Si le virement n'est pas encore exécuté, bloquez-le et bloquez les coordonnées bancaires frauduleuses dans vos outils de paiement.
3. Prévenez la direction et la comptabilité, et le dirigeant imité, par un canal sûr.
4. Gardez toutes les preuves : numéros appelants, messages, e-mails avec en-têtes, enregistrements ou notes de l'appel, invitations de visioconférence, ordres de virement.
5. Portez plainte au commissariat, à la gendarmerie ou par écrit au procureur de la République, avec le dossier. La plainte appuie aussi la demande de la banque.
6. Faites-vous orienter par 17Cyber, le guichet public d'assistance aux victimes de cybermalveillance, ouvert aux entreprises.
7. Changez les mots de passe et activez la double authentification si une messagerie a pu être compromise, et prévenez votre assureur si vous avez une garantie cyber ou fraude.

3. Une fausse vidéo ou une fausse publicité de votre dirigeant circule

1. Gardez les preuves : URL de chaque publicité, vidéo et page, captures datées, nom de l'annonceur ou du compte, et, pour une publicité Meta, sa page dans la Bibliothèque publicitaire.
2. Prévenez publiquement depuis vos canaux officiels : « Une vidéo truquée de [nom] circule. Nous ne proposons aucun placement par ce biais, ne versez rien. »
3. Signalez chaque contenu sur la plateforme avec le motif d'usurpation d'identité ou d'escroquerie, puis cherchez les autres publicités du même annonceur. Les étapes sont dans notre guide fausse publicité avec votre visage.
4. Activez les protections proposées aux personnalités publiques : Meta propose aux personnalités publiques une reconnaissance faciale qui repère les publicités utilisant leur visage : sur inscription volontaire au Royaume-Uni et dans l'Union européenne depuis mars 2025 ; ailleurs, Meta inscrit lui-même les personnalités ciblées, qui peuvent se désinscrire.
5. Si c'est la voix qui est clonée (message vocal, appel, vidéo doublée), suivez aussi notre guide voix clonée par IA.
6. Si la plateforme refuse ou ne répond pas, utilisez le recours interne qu'elle doit proposer dans l'Union européenne (règlement DSA), et signalez sur Pharos si le contenu est manifestement illicite.

4. Prévenir : les procédures qui arrêtent ces fraudes

1. Rappel systématique : toute demande de virement urgente, confidentielle ou inhabituelle se vérifie en rappelant la personne sur un numéro déjà enregistré, jamais sur celui donné dans le message. C'est la recommandation centrale du FBI face aux voix clonées.
2. Double validation : aucun virement inhabituel ni changement de coordonnées bancaires sans la validation d'une seconde personne, selon une procédure écrite. Cybermalveillance.gouv.fr recommande une validation hiérarchique obligatoire pour ces opérations.
3. Question ou mot de vérification : une information que seuls les vrais interlocuteurs connaissent, comme le livre cité chez Ferrari, ou un mot convenu à l'avance.
4. Aucune exception pour le dirigeant : la procédure doit s'appliquer même si « le PDG » dit qu'il est pressé ou que l'affaire est secrète. Ce sont précisément les arguments des escrocs.
5. Former les équipes exposées : comptabilité, trésorerie, assistants de direction, filiales à l'étranger. Montrez-leur les cas réels ci-dessus.
6. Limiter ce qui est public : organigrammes détaillés et coordonnées des salariés en ligne facilitent le ciblage. Les vidéos publiques des dirigeants servent à cloner leur voix : on ne peut pas les supprimer, mais on peut faire en sorte qu'une voix seule ne suffise jamais à déclencher un paiement.

5. Ce que dit la loi

Se faire passer pour un dirigeant afin d'obtenir un virement relève de l'escroquerie (article 313-1 du Code pénal), et l'usage de son nom ou de son image peut constituer une usurpation d'identité (article 226-4-1) s'il vise à troubler sa tranquillité ou celle d'autrui, ou à porter atteinte à son honneur ou à sa considération. Depuis la loi n° 2024-449 du 21 mai 2024 visant à sécuriser et à réguler l'espace numérique (SREN), est aussi punie (article 226-8) la diffusion sans consentement d'un contenu visuel ou sonore généré par un traitement algorithmique représentant l'image ou les paroles d'une personne, s'il n'apparaît pas à l'évidence ou s'il n'est pas expressément indiqué qu'il s'agit d'un contenu généré. Pour engager des poursuites, chercher la responsabilité de la banque ou d'un prestataire, adressez-vous à un avocat : cette page est une information générale, pas un conseil juridique.