Disons-le d'emblée, parce que c'est ce que vous êtes venu chercher : l'IA générative a rendu la forme des arnaques parfaite, e-mails impeccables, voix clonées, visioconférences truquées, et il n'existe aucun moyen fiable de détecter le faux « à l'œil » ou « à l'oreille ». Ce qui protège encore votre entreprise, ce n'est pas la vigilance individuelle : ce sont des procédures. Trois suffisent : vérifier tout virement par un second canal, exiger deux personnes pour les opérations sensibles, et traiter l'urgence comme un signal d'alarme. Le reste de cet article détaille les menaces, puis chacune de ces protections, pour que vous puissiez les mettre en place cette semaine.
Ce qui a changé : la forme est devenue parfaite
Pendant vingt ans, on a formé les équipes à repérer les arnaques à la forme : fautes d'orthographe, tournures approximatives, logos pixelisés. Ces indices ont disparu. Un fraudeur équipé d'un modèle de langage rédige aujourd'hui un e-mail dans un français irréprochable, adopte le ton exact de votre fournisseur habituel, reprend la signature, le style et même les tics de langage de la personne qu'il usurpe, souvent en s'appuyant sur ce qu'elle publie en ligne.
Conséquence directe : l'indice fiable n'est plus la forme, c'est le caractère inhabituel de la demande. Trois familles de demandes doivent systématiquement déclencher la vérification, quel que soit l'expéditeur apparent : celles qui touchent à l'argent (virement, changement de RIB, nouvelle domiciliation bancaire d'un fournisseur), celles qui touchent aux accès (mot de passe, code de validation, connexion à un outil), et celles qui invoquent l'urgence (« à faire avant midi », « dossier confidentiel, n'en parlez à personne »). Un message parfait qui demande l'une de ces trois choses est exactement le message qu'il faut vérifier.
La fraude au président 2.0 : la voix clonée
La fraude au président, un escroc se fait passer pour le dirigeant et ordonne un virement confidentiel et urgent, existait bien avant l'IA. Ce qui a changé, c'est le canal : quelques secondes d'enregistrement suffisent aujourd'hui pour cloner une voix, avec le timbre, l'accent et les intonations. Le cas le plus documenté est celui du groupe d'ingénierie Arup : début 2024, un employé de la filiale de Hong Kong a validé 15 virements pour 25,6 millions de dollars après une visioconférence où le « directeur financier » et tous les collègues présents étaient générés par IA. L'ampleur est mesurable : le FBI a enregistré 2,77 milliards de dollars de pertes liées à la fraude au virement (BEC) sur la seule année 2024, avec une perte médiane d'environ 50 000 dollars par incident, un montant qui dit bien que les PME sont des cibles de choix, pas seulement les grands groupes : les fraudeurs savent que les procédures y sont souvent plus légères.
Retenez le point essentiel : votre oreille ne fera pas la différence, et celle de votre comptable non plus. Ce n'est pas une question de compétence, c'est une question de technologie. La voix du dirigeant au téléphone ne peut plus, à elle seule, valoir autorisation. C'est un changement de culture pour beaucoup d'entreprises, et il doit venir de la direction elle-même : un dirigeant qui dit à son équipe « si je vous appelle pour un virement inhabituel, raccrochez et rappelez-moi » offre à sa comptabilité la meilleure protection qui existe.
Les faux outils IA et les faux prestataires
Troisième famille, moins spectaculaire mais bien réelle : l'engouement pour l'IA est lui-même devenu un terrain de chasse. Faux sites proposant de télécharger un « assistant IA gratuit » qui installe un logiciel malveillant, fausses extensions de navigateur qui aspirent les données saisies, faux prestataires qui démarchent les PME avec des promesses d'automatisation et demandent un acompte ou des accès à vos systèmes. Là encore, la forme est soignée : site propre, plaquette crédible, discours à jour.
La parade est la même que pour les outils légitimes : une liste d'outils autorisés, validés par l'entreprise, en dehors de laquelle rien ne s'installe. C'est l'une des six rubriques de la politique IA d'une page dont nous avons déjà détaillé le contenu, et c'est aussi une exigence de bon sens du point de vue des données : un outil non vérifié qui reçoit vos fichiers clients pose un problème de sécurité et un problème de conformité, comme nous l'expliquons dans notre article sur l'IA et le RGPD. Pour les prestataires, un réflexe simple : vérifier l'existence légale de l'entreprise (SIREN, ancienneté), demander des références joignables, et ne jamais accorder d'accès à vos systèmes sur la seule foi d'un premier rendez-vous.
Les protections qui fonctionnent encore
Aucune des protections qui suivent ne demande de logiciel. Elles demandent d'être écrites, connues de tous, et appliquées sans exception, y compris quand c'est le patron qui demande.
1 · Le protocole deux canaux
C'est la protection reine. Toute demande de virement ou de changement de RIB reçue par un canal (e-mail, téléphone, messagerie) est vérifiée par un autre canal, à l'initiative de votre équipe. Concrètement : un fournisseur écrit pour signaler ses nouvelles coordonnées bancaires ? On l'appelle, sur le numéro déjà connu, celui de votre fiche fournisseur, jamais celui qui figure dans l'e-mail reçu (le fraudeur y met le sien, et son complice décroche). Le dirigeant appelle pour un virement urgent ? On raccroche et on le rappelle sur son numéro habituel. Ce protocole neutralise à lui seul la voix clonée, l'e-mail usurpé et le faux fournisseur, parce qu'il ne repose pas sur la détection du faux : il repose sur la vérification du vrai.
2 · La règle des deux personnes
Au-dessus d'un seuil que vous fixez (selon votre taille : 1 000, 5 000, 10 000 euros), aucun virement ne part sans la validation de deux personnes distinctes. La plupart des banques professionnelles proposent cette double validation nativement, il suffit de l'activer. Son intérêt est autant psychologique que technique : le fraudeur mise sur l'isolement de sa cible (« c'est confidentiel, n'en parlez à personne »). Une règle qui impose d'en parler à quelqu'un casse le scénario par construction.
3 · L'urgence comme signal d'alarme n°1
Toutes les fraudes de ce type reposent sur le même levier : l'urgence, souvent doublée de confidentialité. C'est logique, le temps et le regard d'un collègue sont les deux ennemis du fraudeur. Retournez le levier : dans votre entreprise, « urgent + argent » ou « urgent + accès » ne déclenche pas l'exécution, mais la vérification. Formulez-le ainsi auprès des équipes : plus la demande presse, plus elle mérite les cinq minutes du rappel. Aucune opération légitime n'a jamais échoué pour cinq minutes de délai ; beaucoup d'entreprises ont perdu gros pour les avoir sautées.
4 · La charte qui fixe tout ça noir sur blanc
Ces règles ne valent que si elles sont écrites, signées et affichées. C'est exactement le rôle de la politique IA d'une page : outils autorisés, données interdites, et désormais protocole de vérification des demandes sensibles. Une procédure écrite protège aussi vos collaborateurs : le comptable qui rappelle le dirigeant pour vérifier un ordre ne fait pas preuve de défiance, il applique la règle de l'entreprise. Personne ne doit avoir à choisir entre obéir vite et vérifier, la charte tranche pour lui, et c'est un vrai sujet de gouvernance pour la direction.
5 · La sensibilisation d'équipe
Une procédure que les équipes ne connaissent pas n'existe pas. La sensibilisation efficace ne consiste pas à faire peur, mais à faire pratiquer : montrer un e-mail de phishing généré par IA (troublant de réalisme), dérouler le scénario de la voix clonée, puis répéter le réflexe deux canaux jusqu'à ce qu'il devienne automatique. C'est le contenu du module 10 de la formation 8 Academy, suivi par toutes les équipes quel que soit leur métier, parce qu'un fraudeur ne cible pas un service, il cible la personne qui décrochera. Les ressources publiques de cybermalveillance.gouv.fr et les guides de l'ANSSI constituent d'excellents compléments pour entretenir cette culture dans la durée.
À retenir : la vérification bat la détection
Vous ne détecterez pas un e-mail généré par IA ni une voix clonée, personne ne le peut de façon fiable. Mais un fraudeur ne peut pas répondre sur le vrai numéro de votre fournisseur, ni fournir la seconde validation de votre banque. Déplacez la défense de la détection vers la vérification : c'est tout l'esprit du protocole deux canaux, et c'est pour cela qu'il reste efficace quelle que soit la prochaine génération de deepfakes.
Vous vous êtes fait avoir : les trois réflexes
Même bien préparée, une entreprise peut se faire piéger. Trois réflexes, dans l'ordre et sans délai. Un : la banque, immédiatement, un virement frauduleux peut parfois être rappelé dans les toutes premières heures, chaque minute compte ; demandez le retour des fonds (« recall ») et le gel si possible. Deux : cybermalveillance.gouv.fr, le dispositif national d'assistance aux victimes, qui établit un diagnostic et vous oriente vers des prestataires référencés ; si des données personnelles ont fui, pensez aussi à la notification à la CNIL sous 72 heures. Trois : le dépôt de plainte, au commissariat, en gendarmerie ou en ligne, avec toutes les pièces (e-mails, numéros appelants, relevés), il est indispensable pour l'enquête comme pour l'assurance. Et un quatrième réflexe, culturel celui-là : ne sanctionnez pas la personne qui s'est fait piéger et qui l'a signalé vite. Une équipe qui a peur de le dire est une équipe qui signale tard, et c'est le délai qui coûte le plus cher.
Par où commencer cette semaine
Lundi : activez la double validation des virements auprès de votre banque et fixez le seuil. Mardi : rédigez le protocole deux canaux en cinq lignes et ajoutez-le à votre charte. Dans la semaine : quinze minutes en réunion d'équipe pour l'annoncer, dirigeant en tête (« si c'est ma voix qui demande un virement, rappelez-moi »). Ce socle tient sur une page et ne coûte rien. Pour aller plus loin, outils, données, formation par métier, , notre guide complet de l'IA en PME remet la sécurité à sa place dans une démarche d'ensemble : celle d'une entreprise qui utilise l'IA sereinement parce qu'elle en connaît les règles.
La sécurité fait partie de chaque parcours 8 Academy.
Phishing augmenté, voix clonées, protocole deux canaux : le module 10 forme toutes vos équipes aux bons réflexes, avec des exercices sur des cas réalistes.