Un jeudi de décembre, 17 h. Votre comptable décroche. C'est votre voix au bout du fil : calme, posée, un peu pressée. Vous lui parlez d'une opération confidentielle, d'un virement à faire aujourd'hui, et vous lui dites de ne surtout pas en parler. Sauf que ce n'est pas vous.
Ce scénario n'a rien de théorique. Le 5 novembre 2026, le parquet fédéral de Manhattan a rendu publique une inculpation qui le décrit en détail. Vous nous avez demandé comment éviter que votre entreprise tombe dans ce piège. La réponse tient en une phrase : on ne contrôle plus la voix, on contrôle la procédure.
Ce que dit l'affaire de Manhattan
Trois hommes, Jacob Soall, Sharon Hazan et Guy Sheetrit, sont accusés d'avoir utilisé l'IA pour imiter la voix, et parfois le visage, de dirigeants d'entreprise et d'avocats bien réels. Leur but : pousser des employés à effectuer des virements pour des opérations confidentielles qui n'existaient pas. Selon l'accusation, les faits s'étalent de juillet 2024 à février 2026, pour un préjudice allégué de plus de 129 millions de dollars. Les victimes sont des entreprises américaines et européennes. Le parquet affirme que des milliers d'entreprises ont été ciblées.
Parmi les victimes citées sans être nommées : une fintech britannique (11,6 millions de dollars), une entreprise d'alimentation pour animaux en Floride (5 millions), un fonds d'investissement du Massachusetts (4,7 millions), un système hospitalier californien (3 millions) et une banque du Rhode Island (2,7 millions). Des PME et des ETI aussi, donc, pas seulement des géants.
Deux précisions de prudence. Ce sont des accusations, pas un jugement. Les trois hommes ont été arrêtés en Espagne et au Royaume-Uni, et leur extradition est en attente. Pour les détails, voyez l'article du New York Times et la dépêche d'ABC News (AP).
Le scénario : très rodé, peu technique
D'après l'acte d'accusation, la méthode suit toujours le même fil. Un script intitulé « Lawyer Call » a même été retrouvé. Chaque étape sert à installer la pression.
| Étape | Ce que fait le fraudeur |
| 1. L'e-mail | Un message qui semble venir du dirigeant, souvent via un service de signature électronique, demande de l'aide pour une opération secrète et un accord de confidentialité à signer. |
| 2. L'appel | La voix clonée du dirigeant rappelle l'urgence et la confidentialité. Parfois, une visio avec un deepfake (une vidéo truquée par IA). |
| 3. L'avocat | Le faux dirigeant passe l'employé à un faux avocat, qui emprunte le nom d'un vrai juriste d'un vrai cabinet, souvent un très grand. |
| 4. Le virement | L'avocat envoie les instructions. L'argent part vers des comptes contrôlés par le groupe, puis est converti en cryptomonnaies. |
Ce qui est neuf, c'est la voix et l'image. Le mécanisme, lui, est une vieille connaissance : en France, on parle d'arnaque au président ou de faux ordre de virement (FOVI). Le piège repose sur trois leviers : l'urgence, la confidentialité et l'autorité. Un fraudeur qui sait imiter votre voix ne change pas la recette, il rend simplement l'autorité plus crédible.
Ce que ça change pour une PME
Première conséquence : une voix ou une visio ne prouvent plus l'identité de quelqu'un. Votre comptable a beau connaître votre timbre depuis dix ans, il ne peut plus s'y fier. Ce n'est pas un défaut de vigilance, c'est un changement de décor.
Deuxième point : la cible, c'est la personne qui a le droit d'exécuter un virement. Comptabilité, assistante de direction, responsable financier. Ce sont elles qu'il faut protéger et outiller.
Troisième point, moins confortable : une PME est souvent plus exposée qu'un grand groupe. Un ou deux signataires, peu de circuits de validation. Et votre voix est probablement déjà en ligne, dans une interview, une vidéo ou un webinaire. Enfin, la fin d'année est la saison idéale pour un fraudeur : clôtures, paiements fournisseurs, congés, tout le monde court. Une demande pressante passe plus facilement.
Les garde-fous qui bloquent l'essentiel
Une règle absolue, quatre réflexes
La règle : aucun virement inhabituel (nouveau bénéficiaire, nouveau RIB, montant hors norme, opération confidentielle) n'est exécuté sur la seule base d'un appel, d'une visio ou d'un e-mail. Pour l'appliquer, quatre réflexes suffisent à bloquer la plupart des cas.
- Rappeler sur un numéro déjà connu. Annuaire interne, fiche du fournisseur. Jamais le numéro donné par l'appelant.
- Faire valider par deux personnes au-dessus d'un seuil à définir. La plupart des outils bancaires professionnels proposent des circuits d'approbation à plusieurs niveaux, mais cela reste à vérifier chez votre banque ou dans votre outil.
- Convenir d'un mot de contrôle entre vous et la finance, pour les urgences réelles. Une question dont seuls vous deux connaissez la réponse fait aussi l'affaire.
- Donner un droit de refuser. Votre salarié doit savoir qu'il ne sera jamais sanctionné pour avoir vérifié, même si le « patron » proteste. C'est sans doute le garde-fou le plus important : sans lui, les autres tombent dès que la pression monte.
Où l'automatisation aide
Un petit workflow peut imposer que toute demande de paiement sortant passe par un formulaire interne : pièce justificative jointe, demandeur identifié, validation d'un second signataire. Il peut aussi alerter automatiquement quand un RIB change. L'intérêt est simple : la décision ne se prend plus dans la pression du moment, elle suit un circuit. Un test à blanc, c'est-à-dire un faux appel urgent que vous organisez vous-même, vous dira si la procédure tient.
Coût, temps et limites
La partie procédure (règles, rappel, mot de contrôle) ne coûte que du temps de rédaction et de formation. Comptez de l'ordre d'une demi-journée pour la direction et la finance : c'est une estimation, pas un chiffre issu d'une étude. Le coût d'un workflow de validation dépend de l'outil bancaire et comptable que vous utilisez déjà, et nous n'avons pas de chiffre fiable à vous donner à ce stade.
Quelques limites, pour rester honnêtes. L'affaire est américaine et les accusations n'ont pas encore été jugées. Aucune source consultée ne dit que ces personnes ciblent la France, même si des victimes européennes sont citées. Nous n'avons pas non plus de statistique française récente et sourcée sur le nombre ou le montant de ces fraudes : pour en avoir, rapprochez-vous de Cybermalveillance.gouv.fr, qui propose une fiche réflexe sur l'escroquerie aux faux ordres de virement, ou de la Banque de France. Ce que l'affaire montre, c'est une technique, et le clonage de voix est à la portée de n'importe quel fraudeur.
Dernier piège : une procédure trop lourde sera contournée. Gardez-la simple, un rappel et un second regard, et réservez-la aux cas à risque.
Par où commencer dès la semaine prochaine
- Faites le tour et prévenez l'équipe. Listez qui peut exécuter ou demander un virement, et combien de personnes le valident aujourd'hui. Puis parlez-en à la finance cette semaine, avant les clôtures et les paiements de fin d'année, avec l'exemple du faux dirigeant et du faux avocat. Dites clairement que vérifier ne sera jamais reproché.
- Écrivez la règle. Tout virement inhabituel (nouveau bénéficiaire, changement de RIB, opération confidentielle ou urgente) exige un rappel sur un numéro déjà connu avant exécution. Fixez un seuil au-dessus duquel une seconde validation est obligatoire, et demandez à votre banque comment le paramétrer dans l'outil de paiement. Convenez d'un mot de contrôle avec la finance, à changer régulièrement et jamais communiqué par e-mail.
- Testez, puis automatisez. Organisez un faux appel urgent pour voir si la procédure tient. Ensuite, envisagez un petit workflow qui centralise les demandes de paiement et alerte sur les changements de RIB.
Et si le patron, c'était la procédure ?
Si votre voix ne suffit plus à prouver que c'est vous, la vraie question devient : qui, dans votre entreprise, a le droit de dire « d'accord, mais je vérifie d'abord » ?
Vous vous demandez ce que ça donnerait chez vous ? Parlons-en : nous faisons le point avec vous sur vos tâches les plus chronophages, circuits de paiement compris.