En janvier 2026, la police cantonale de Schwytz a signalé un cas qui pourrait se produire dans beaucoup d’entreprises. Un entrepreneur a reçu pendant deux semaines des appels d’un partenaire commercial qu’il croyait connaître. La voix avait été imitée par IA. Il s’agissait d’une prétendue affaire internationale confidentielle, et au final plusieurs millions de francs avaient été virés sur un compte en Asie.
L’Office fédéral de la cybersécurité (OFCS) a reçu 971 signalements de fraude au président en 2025, contre 719 l’année précédente. Les escrocs utilisent de plus en plus le téléphone, WhatsApp et les messages vocaux.
Comment fonctionne l’arnaque
Le schéma est ancien : quelqu’un se fait passer pour le directeur, un administrateur ou un partenaire important et exige un paiement urgent et confidentiel. Autrefois, la demande arrivait par e-mail, souvent depuis un domaine qui ne diffère de l’original que par une lettre. Aujourd’hui, la voix s’y ajoute.
Pour copier une voix, des enregistrements d’interviews, de webinaires ou de vidéos sur les réseaux sociaux suffisent. Les autres informations, les escrocs les trouvent sur le site de l’entreprise, sur LinkedIn et au registre du commerce. Ils savent ainsi qui a la signature, qui travaille à la comptabilité et avec quels partenaires l’entreprise collabore.
Les appels vidéo aussi peuvent être falsifiés
Le cas le plus connu concerne le groupe d’ingénierie Arup. Début 2024, un employé à Hong Kong a participé à une visioconférence où se trouvaient, en apparence, le directeur financier et d’autres collègues. Tous avaient été générés par IA. L’employé a viré au total 200 millions de dollars de Hong Kong, environ 25 millions de dollars américains, en 15 paiements.
Selon l’OFCS, les fausses visioconférences restent rares en Suisse, car elles sont coûteuses à produire. Les fausses voix, elles, sont déjà utilisées, comme le montre le cas de Schwytz.
L’oreille ne suffit pas
Au téléphone, un bon deepfake est presque impossible à reconnaître, surtout sous pression. Certains signaux d’alerte reviennent pourtant régulièrement :
- L’affaire est urgente et doit être réglée aujourd’hui.
- Vous ne devez en parler à personne.
- Le paiement va sur un nouveau compte, souvent à l’étranger.
- L’interlocuteur esquive quand vous proposez de rappeler.
Des procédures fixes sont plus fiables que l’intuition, et elles s’appliquent aussi lorsque le patron semble appeler en personne.
Sécuriser les paiements avec rappel et principe des quatre yeux
- Rappel sur un numéro connu. Tout ordre de paiement inhabituel est confirmé par un second canal. On rappelle le numéro de son propre carnet d’adresses, jamais celui indiqué dans l’appel ou le message.
- Principe des quatre yeux. Au-delà d’un montant défini, une seconde personne valide le paiement, configuré comme signature collective dans l’e-banking. Une seule personne trompée ne peut ainsi pas virer d’argent.
- Protéger les données de base. Les modifications de coordonnées bancaires des fournisseurs sont contrôlées aussi strictement que les paiements. Un nouvel IBAN envoyé par e-mail est une ruse fréquente.
- Pas d’exception pour la direction. La direction respecte elle-même les règles et le dit clairement en interne. Personne à la comptabilité ne craint alors de fâcher le patron en posant une question.
- Convenir d’un mot de code. Pour les appels sensibles, un mot de code interne qui n’apparaît dans aucun e-mail ni chat est utile.
Il vaut aussi la peine d’ajouter une mention « Externe » aux e-mails venant de l’extérieur de l’entreprise. Les faux expéditeurs se remarquent ainsi plus vite.
Si l’argent est déjà parti
Appelez immédiatement votre banque et demandez-lui de tenter de bloquer le paiement. Plus vous êtes rapide, meilleures sont les chances. Déposez ensuite plainte à la police et signalez le cas à l’OFCS. Les numéros nécessaires ont leur place dans votre plan d’urgence informatique. Vérifiez aussi si votre assurance cyber couvre ce type de cas. La fraude par tromperie est exclue de certaines polices ou n’est assurée qu’avec une couverture complémentaire.
Formation et procédures avec A BOT
Nous formons vos collaborateurs de manière concrète au phishing et aux appels frauduleux, mettons en place des avertissements pour les e-mails externes et vous aidons à définir vos processus de validation. Pour savoir comment repérer les faux e-mails, lisez l’article reconnaître le phishing. Plus d’informations sous sécurité informatique.
Questions fréquentes
Peut-on reconnaître de manière fiable un appel deepfake ?
Non. Une intonation monotone ou de brefs décalages peuvent parfois attirer l’attention, mais il ne faut pas s’y fier. Seul le rappel sur un numéro connu apporte une certitude.
À partir de quel montant appliquer le principe des quatre yeux ?
Chaque entreprise le fixe elle-même. Un seuil de 5’000 ou 10’000 francs est praticable pour beaucoup d’entreprises. Indépendamment du montant, tout paiement vers un nouveau compte devrait être contrôlé par deux personnes.
Que faire si nous avons déjà payé ?
Contacter immédiatement votre banque, puis la police. Si la banque est informée rapidement, elle peut parfois encore rappeler un paiement.
Les solutions techniques aident-elles contre les deepfakes ?
En partie. Les filtres de messagerie, les avertissements et l’authentification multifacteur compliquent l’accès. Face à un appel convaincant, la protection repose au final sur une procédure que tout le monde respecte.
