Dans le cas d’une fraude au deepfake, un escroc clone la voix ou le visage d’un membre de la direction et demande un virement urgent lors d’un appel vidéo. En 2025, cela a coûté environ 930 millions d’euros aux entreprises mondiales, soit trois fois plus que l’année précédente.
En février 2024, la police de Hong Kong a révélé l’affaire qui est devenue un cas d’école. Un employé financier du bureau d’études Arup a reçu un e-mail du directeur financier de Londres concernant une transaction confidentielle. Il s’est méfié, jusqu’à ce qu’il se retrouve dans une réunion vidéo avec ce directeur et plusieurs collègues. Tous les visages et toutes les voix étaient simulés. Il a effectué quinze virements, pour un total de 200 millions de dollars de Hong Kong, soit environ 25 millions de dollars.
Depuis lors, la technologie est devenue moins coûteuse et plus performante. Selon les chiffres de Surfshark, cités par la chaîne néerlandaise BNR en février 2026, les dommages mondiaux causés par la fraude au deepfake sont passés d’environ 304 millions d’euros en 2024 à 930 millions d’euros en 2025. La fédération bancaire Febelfin indique dans sa brochure de 2026 sur la fraude au paiement en entreprise qu’avec l’IA, « même un PDG » peut désormais être imité, une nouvelle variante de la fraude au président que nous avons précédemment décrite dans le cadre de l’ingénierie sociale.
Comment fonctionne la fraude au deepfake
L’attaque commence rarement par l’appel vidéo lui-même. Un message arrive d’abord via WhatsApp ou e-mail, prétendument de la part du PDG ou du directeur financier, concernant une acquisition ou un paiement qui doit rester secret. L’escroc instaure une pression liée au temps et à la confidentialité. Ce n’est qu’ensuite que suit la conversation, avec une voix ou un visage cloné à partir de vidéos publiques, comme un discours sur YouTube ou une interview. C’est l’une des formes par lesquelles les attaques pilotées par l’IA mettent la sécurité sous pression.
Ferrari et WPP
Chez le constructeur automobile italien Ferrari, les faits se sont déroulés selon ce schéma en juillet 2024. Un manager a reçu des messages WhatsApp, puis un appel téléphonique avec la voix imitée du PDG Benedetto Vigna concernant une acquisition majeure. Le manager a demandé quel livre Vigna lui avait recommandé quelques jours plus tôt. L’appelant a raccroché.
Chez le groupe publicitaire WPP, des escrocs ont tenté la même chose en mai 2024 via une réunion Teams avec un clone vocal du dirigeant Mark Read. Cette tentative a également échoué.
Étiquettes et salle d’attente dans Teams
Une image qui saccade un instant ou une voix qui semble un peu trop monocorde trahissent encore une partie des tentatives. Mais on ne peut pas fonder une politique là-dessus, car la qualité des clones s’améliore. Teams aide avec des étiquettes : les participants extérieurs à l’organisation reçoivent la mention « Externe », les participants anonymes « Non vérifié » et les invités « Invité ». Un administrateur peut désactiver l’accès anonyme et configurer la salle d’attente pour que seul l’organisateur laisse entrer les participants. Depuis février 2026, Teams avertit en outre lors d’appels qui imitent une marque connue.
Si l’escroc organise lui-même la réunion à partir d’un compte ressemblant à celui du PDG, aucun inconnu n’apparaît dans la salle d’attente. Si la conversation passe par le téléphone, les étiquettes ne sont pas utilisées.
Rappel et double signature
Febelfin et la police fédérale placent la défense au niveau de la procédure de paiement et donnent le même conseil. Vérifiez toujours une demande de paiement urgente via un second canal, en rappelant le demandeur sur un numéro que vous connaissez déjà, jamais sur le numéro figurant dans le message. Le FBI américain y a ajouté en mai 2025 un mot de code convenu entre la direction et le service financier, qui ne figure dans aucun système.
Par ailleurs, Febelfin recommande de faire approuver les virements dépassant un certain montant par deux personnes, jamais la même personne pour les deux signatures. Convenez que personne ne peut déroger à cette règle, pas même la direction réelle. Un PDG qui exige lui-même le paiement et veut ignorer le contrôle est alors le signal pour s’arrêter. Exercez-vous de temps en temps avec une demande simulée, comme les entreprises le font déjà avec les e-mails de phishing.
Si cela arrive malgré tout
Signalez toujours une tentative à la police, même si aucun argent n’a été envoyé ; la police fédérale le demande expressément. Si un paiement a été effectué, prévenez immédiatement la banque. Febelfin écrit que les banques belges peuvent bloquer ou récupérer les trois quarts des virements frauduleux lors d’un phishing si elles sont informées rapidement. À Singapour, la police a récupéré en avril 2025 une somme de 670 000 dollars de Singapour après qu’un directeur financier a payé suite à un appel vidéo deepfake.
En Belgique, aucun cas de fraude au deepfake via un appel vidéo n’a été rendu public jusqu’à présent. Febelfin ne publie pas non plus de chiffres distincts pour la fraude au président. La brochure de 2026 et l’augmentation des signalements sur Safeonweb, plus de 42 000 par jour en mars 2026, sont des raisons suffisantes pour que la fédération bancaire recommande dès maintenant aux entreprises une procédure de paiement avec contrôle par rappel.
