La deepfake visioconférence fraude désigne une escroquerie où un faux dirigeant, souvent un DAF ou un président, apparaît en réunion vidéo pour faire valider un virement. Le risque n’est plus théorique : des cas vérifiés ont déjà coûté des dizaines de millions. Pour une PME, la meilleure défense n’est pas un outil miracle, mais une procédure simple : rappel indépendant, double validation et limites de paiement.
Deepfake visioconférence fraude : ce qui a changé
La fraude au président existe depuis longtemps. INTERPOL la décrit dès 2019 comme une forme de social engineering, c’est-à-dire une manipulation psychologique visant à pousser un salarié à transférer de l’argent. La nouveauté, c’est que l’e-mail frauduleux ne vient plus seul : il peut être renforcé par une voix clonée, un visage synthétique et une réunion vidéo crédible.
Le cas le plus cité reste celui révélé par la police de Hong Kong en février 2024. Un employé d’une multinationale a participé à une visioconférence où figuraient un faux directeur financier et d’autres faux participants. Résultat : 15 virements vers 5 comptes bancaires locaux, pour 200 millions de dollars de Hong Kong, soit environ 25,6 millions de dollars américains.
En mai 2024, Arup a confirmé être l’entreprise concernée par cette fraude, tout en précisant que l’incident n’avait pas affecté sa stabilité financière ni ses opérations. Ce détail compte. Les grandes entreprises encaissent parfois le choc. Une PME, elle, peut perdre sa trésorerie, rater une paie ou bloquer un investissement en quelques heures.
Le FBI classe ce type d’attaque dans les Business Email Compromise, ou BEC : des fraudes où l’identité d’une entreprise ou d’un dirigeant est usurpée pour demander un virement. En septembre 2024, l’IC3, le centre de signalement du FBI, évoquait plus de 55,4 milliards de dollars de pertes exposées liées au BEC au niveau mondial. La vidéo ne remplace donc pas l’arnaque classique. Elle la rend plus convaincante.
Pourquoi la visioconférence rend l’arnaque plus crédible
Une réunion vidéo crée un réflexe de confiance. On voit un visage, on entend une voix, on reconnaît un décor, parfois même une intonation. Beaucoup de dirigeants ont appris à se méfier d’un e-mail suspect ; beaucoup moins d’une injonction donnée en visio par une personne qui ressemble au président du groupe.
Les outils d’intelligence artificielle générative permettent aujourd’hui de produire ou d’altérer des images, des voix et des comportements. La CNIL parle d’hypertrucage : reproduction d’un visage, d’une voix ou d’une attitude pour usurper une identité. Le danger n’est pas seulement technique. Il vient surtout du contexte : urgence, confidentialité, autorité hiérarchique.
Un scénario typique tient en peu de lignes. Un responsable financier reçoit un message préparatoire, souvent depuis une adresse proche de l’originale ou un compte compromis. On lui demande de rejoindre une réunion Zoom, Microsoft Teams ou Google Meet. Un faux dirigeant explique qu’une acquisition, un litige ou une opération sensible exige un virement rapide.
Sur les projets que nous menons, nous voyons souvent le même angle mort côté PME : la sécurité est pensée comme un sujet informatique, alors que la fraude au président est d’abord un sujet d’organisation. Même avec un site bien sécurisé, une messagerie protégée et une authentification forte, un collaborateur peut céder si la procédure de paiement dépend d’une seule personne sous pression. Pour les risques applicatifs proches, la même logique de contrôle existe côté technique, notamment dans la sécurisation des API exposées.
Comment détecter un deepfake en visio ?
Il faut être honnête : demander à un salarié de “repérer” un deepfake à l’œil nu est insuffisant. Les défauts visuels existent encore, mais ils varient selon la qualité de la connexion, la compression vidéo et l’éclairage. Un visage qui cligne peu des yeux ne prouve rien. Une image figée non plus.
Certains signaux doivent toutefois alerter. Une demande inhabituelle de virement, un refus de passer par les outils habituels, une insistance sur le secret ou une impossibilité soudaine de rappeler la personne sur son numéro connu sont plus fiables que l’analyse du visage. Le meilleur détecteur reste souvent la rupture de procédure.
- La réunion est organisée depuis un compte inconnu ou un lien reçu hors canal habituel.
- Le dirigeant refuse un rappel téléphonique sur le numéro déjà enregistré dans l’annuaire interne.
- La demande porte sur un montant, un bénéficiaire ou un pays inhabituel.
- La validation doit être faite “tout de suite”, avec interdiction d’en parler à l’équipe.
- La voix ou les réponses semblent légèrement décalées, surtout lors de questions précises.
La Banque Postale a cité en 2026 un cas décrit par la DGSI : le responsable d’un site industriel français aurait reçu une visioconférence d’une personne se faisant passer pour le PDG du groupe, tentative ensuite identifiée comme une fraude au président par deepfake. Ce type de cas montre que la cible n’est pas seulement la direction financière. Un responsable de site, un office manager ou un assistant de direction peut devenir le point d’entrée.
Comment se protéger de la fraude au président ?
La règle la plus rentable est simple : toute demande inhabituelle d’argent ou de données sensibles doit être vérifiée par un autre canal. La CNIL recommande en 2026 un appel direct ou un message séparé. Le FBI conseille aussi de confirmer les demandes de transfert par téléphone, en utilisant un numéro déjà connu, jamais le numéro fourni dans la demande.
Cette précision paraît administrative. Elle est décisive. Si l’escroc vous donne le numéro à rappeler, il contrôle aussi la vérification. À ce budget, mieux vaut investir dans une procédure écrite et une courte formation que dans un logiciel coûteux que personne n’utilise le jour où l’urgence arrive.
Une PME peut mettre en place une défense correcte en quelques semaines. Pas besoin de transformer l’entreprise en bunker. Il faut surtout rendre impossible le virement important décidé par une seule personne, après une seule interaction, sur un seul canal.
| Mesure | Délai réaliste | Coût indicatif en France | Bénéfice principal |
|---|---|---|---|
| Procédure de rappel sur numéro connu | 1 à 3 jours | Temps interne | Bloque la majorité des demandes frauduleuses urgentes |
| Double validation des virements sensibles | 1 à 2 semaines | Temps interne, parfois paramétrage bancaire | Réduit le risque de décision isolée |
| Formation courte finance, direction, assistanat | 2 à 4 semaines | Environ 800 à 3 000 € selon prestataire et effectif | Crée les bons réflexes face à la pression |
| Authentification forte sur messagerie et outils | 1 à 3 semaines | Inclus Microsoft 365/Google Workspace ou projet autour de 1 000 à 5 000 € | Limite la compromission des comptes internes |
| Test de crise ou simulation BEC | 3 à 6 semaines | Autour de 2 000 à 8 000 € pour une PME | Vérifie que la procédure tient en situation réelle |
Le mot de passe reste un point faible, surtout quand la messagerie sert à préparer l’arnaque. Les passkeys, ou clés d’accès sans mot de passe, deviennent pertinentes pour certains accès sensibles ; elles remplacent le secret mémorisé par une preuve cryptographique. Pour comprendre l’arbitrage, vous pouvez lire ce guide sur les passkeys pour un site web, car la logique est la même : réduire ce qui peut être volé ou réutilisé.
Honnêtement, un outil de détection automatique de deepfake ne se justifie que si votre exposition est élevée : dirigeants très visibles, virements internationaux fréquents, équipes dispersées, opérations confidentielles. Pour une PME classique, la priorité est ailleurs : droits bancaires, validation à deux, journalisation des décisions, sensibilisation ciblée.
Budget, délais et arbitrages pour une PME
Le premier arbitrage consiste à ne pas traiter tous les collaborateurs de la même manière. Former 120 personnes avec le même module générique coûte cher et dilue le message. Mieux vaut commencer par les personnes qui peuvent initier, valider ou influencer un paiement : direction, finance, achats, assistanat, responsables de sites.
Un cadrage sérieux prend souvent une demi-journée à deux jours : cartographier les flux de paiement, identifier les comptes bancaires utilisés, lister les exceptions récurrentes et vérifier qui peut valider quoi. Ensuite, les règles doivent être courtes. Trois pages que personne ne lit pas. Une fiche opérationnelle, affichée et intégrée au processus bancaire, fonctionne mieux.
Côté agence, le réflexe est de relier cette procédure aux outils existants plutôt que d’ajouter une couche abstraite. Annuaire interne, messagerie Microsoft 365 ou Google Workspace, SSO (connexion centralisée), gestion des droits, sauvegarde des preuves : tout cela doit raconter la même histoire. Dans une application mobile métier, par exemple, la checklist de sécurité avant publication aide déjà à penser les validations et les accès sensibles.
Le piège que les non-techniciens ignorent souvent : l’attaque ne commence pas forcément par la vidéo. Elle commence parfois des semaines avant, par de l’observation. LinkedIn donne les organigrammes, les communiqués de presse donnent les acquisitions, les signatures e-mail donnent les numéros directs, et une boîte mail compromise donne le ton exact des échanges internes.
Technologie utile, mais procédures prioritaires
Les solutions techniques ont leur place. Cloudflare peut réduire certains risques liés aux accès web, Microsoft Entra ID ou Google Workspace permettent d’imposer l’authentification multifacteur, et les banques proposent des workflows de validation. Mais aucune technologie ne doit autoriser une exception verbale dictée en visioconférence.
Une bonne architecture de sécurité soutient la procédure. Elle ne la remplace pas. Les journaux de connexion, les alertes sur connexion inhabituelle, les restrictions géographiques ou les clés de sécurité FIDO2 donnent des indices avant la fraude. Si votre projet digital inclut des extranets, portails clients ou applications internes, l’authentification forte doit être pensée dès la conception, pas ajoutée après incident.
Le RGPD reste aussi présent dans le sujet. Un deepfake peut servir à obtenir des données personnelles : listes de salariés, RIB, copies de pièces d’identité, fichiers clients. Dès qu’une fuite touche des données personnelles, l’entreprise doit évaluer le risque et, selon les cas, notifier la CNIL dans les délais prévus par le règlement européen applicable depuis 2018.
Enfin, gardez une trace des refus. Si un collaborateur interrompt un virement suspect, ce n’est pas un excès de prudence : c’est un comportement à valoriser. Les organisations qui punissent les ralentissements créent malgré elles les conditions parfaites pour une fraude rapide.
Que faire après une tentative ou un virement frauduleux ?
La réaction doit être immédiate. Prévenez la banque, demandez le gel ou le rappel des fonds, conservez tous les éléments disponibles : invitations de réunion, e-mails, captures, numéros appelants, horodatages, adresses IP si elles sont accessibles. Chaque heure compte.
Ensuite, évitez de nettoyer trop vite. Supprimer les messages ou réinitialiser tous les comptes sans méthode peut faire disparaître des preuves utiles. Un prestataire cybersécurité ou votre équipe informatique doit d’abord isoler les comptes suspects, vérifier les règles de transfert automatique dans la messagerie et rechercher d’autres connexions anormales.
Un dépôt de plainte est nécessaire, avec un signalement aux autorités compétentes. Les entreprises opérant avec des partenaires internationaux doivent aussi prévenir les bénéficiaires et banques correspondantes. En parallèle, il faut communiquer en interne sans dramatiser : rappeler la procédure, expliquer le scénario et dire clairement que le ralentissement volontaire est attendu en cas de doute.
Cadrer ce type de risque en amont évite la plupart des mauvaises surprises. Un regard extérieur aide souvent à transformer une inquiétude vague en règles concrètes, compatibles avec vos délais de paiement, vos outils et votre culture de décision.
FAQ sur les deepfakes en visioconférence et la fraude
Un deepfake en visioconférence peut-il être en temps réel ?
Oui. Les techniques actuelles permettent déjà de modifier une voix ou une apparence pendant un échange vidéo, avec une qualité variable selon les outils et la connexion. Il faut donc vérifier la demande, pas seulement l’image.
Quelle est la première mesure contre la fraude au président ?
Le rappel indépendant sur un numéro déjà connu est la mesure la plus simple et la plus efficace. Elle doit être obligatoire pour tout virement inhabituel, même si la demande semble venir d’un dirigeant.
Faut-il acheter un logiciel de détection de deepfake ?
Pas en premier. Pour la plupart des PME, double validation, limites bancaires, authentification forte et formation ciblée donnent un meilleur rapport coût/bénéfice.
Quels services sont les plus exposés ?
La finance, la direction, les achats, l’assistanat et les responsables opérationnels pouvant valider une dépense sont les plus ciblés. Les attaquants cherchent la personne capable d’agir vite, pas forcément la plus haut placée.