Un vendredi de fin de mois, Sophie B., associée gérante d'une fiduciaire romande, reçoit un appel de l'un de ses associés en déplacement. La voix est la bonne, le ton pressé aussi : un acompte à verser aujourd'hui pour sécuriser un dossier client, discrètement, avant la clôture. Tout sonne juste — sauf que son associé n'a jamais passé cet appel.
Ce scénario n'appartient plus au cinéma. Cloner une voix crédible demande aujourd'hui quelques dizaines de secondes d'enregistrement : un message d'accueil téléphonique, une interview, une courte vidéo publiée en ligne suffisent. Pour une PME suisse, où les circuits de décision sont courts et la confiance immédiate, l'attaque est d'autant plus efficace.
Pourquoi le phishing vocal vise les PME
Un deepfake, c'est un contenu audio ou vidéo fabriqué par intelligence artificielle pour imiter une personne réelle — sa voix, son visage, ses intonations. Le terme mélange « deep learning » (apprentissage automatique) et « fake » (faux). Ce qui relevait de la recherche il y a quelques années tient désormais dans des outils grand public : à partir de contenus déjà en ligne, un escroc reconstitue une voix, parfois un visage animé en temps réel.
Le phishing vocal — le « vishing », c'est-à-dire l'hameçonnage par téléphone — en sort transformé. Avant, il fallait un imitateur de talent ; aujourd'hui, quelques échantillons audio et un logiciel accessible suffisent. Et la mécanique reste la même que la bonne vieille fraude au président (le « BEC », business email compromise : un e-mail ou un appel qui usurpe l'identité d'un dirigeant pour déclencher un paiement). L'IA ne change pas le scénario, elle le rend simplement beaucoup plus convaincant.
Le cas qui a marqué les esprits est celui d'un grand cabinet d'ingénierie international, qui a reconnu les faits publiquement : début 2024, un collaborateur à Hong Kong exécute une série de virements pour environ 25 millions de dollars après une visioconférence où figuraient son directeur financier et plusieurs collègues. Tous étaient des deepfakes. Ce qui glace, c'est que l'employé avait fait exactement ce qu'on recommande — demander une vidéo pour vérifier. La vérification elle-même était truquée.
On pourrait se rassurer : « Nous, une petite fiduciaire, qui viendrait nous viser ? » C'est justement ce raisonnement qui expose. Les outils sont devenus bon marché : les attaquants n'ont plus besoin de gros poissons pour rentabiliser leur coup, ils ratissent large. Une PME a souvent des procédures de paiement moins formalisées qu'un grand groupe — un virement urgent « demandé par le patron » passe parfois sans second regard. Et une perte de 50 000 ou 100 000 francs, embarrassante pour une multinationale, peut fragiliser durablement une entreprise familiale qui n'a ni service juridique ni cellule de crise. Chez une fiduciaire, s'ajoute le risque de confiance : ses clients lui confient leurs données les plus sensibles.
En clair, par Camille. Vous n'avez pas besoin de comprendre comment l'IA clone une voix pour vous protéger. Il suffit de retenir une chose : la voix, le visage et le numéro qui s'affiche ne prouvent plus l'identité de personne. La preuve, désormais, c'est vous qui la demandez.
Ce qu'il faut retenir
D'abord, la confiance par défaut — « c'est la voix de mon associé, donc c'est lui » — n'est plus tenable pour une demande sensible. Ce n'est pas de la paranoïa, c'est de l'hygiène professionnelle, au même titre que vérifier un IBAN.
Ensuite, la parade est humaine avant d'être technique. Les entreprises qui ont déjoué ces fraudes ne l'ont pas fait grâce à un logiciel de détection, mais grâce à un réflexe simple : reprendre la main sur la vérification. Dans une tentative visant un grand constructeur automobile, un cadre a suffi à faire raccrocher l'escroc en posant une question personnelle dont seul le vrai dirigeant connaissait la réponse.
Enfin, l'urgence et le secret sont les deux leviers de toutes ces arnaques. Dès qu'une demande combine « c'est urgent » et « n'en parlez à personne », le bon réflexe n'est pas d'accélérer, mais de ralentir. Ces signaux comptent plus que les prétendus « indices techniques » d'un deepfake : les micro-décalages de voix ou d'image, bien réels il y a deux ans, disparaissent à mesure que les outils progressent. On ne peut plus miser sur son oreille — seulement sur sa procédure.
Et si le virement est déjà parti ? Chaque heure compte. Deux gestes immédiats, avant tout le reste : appeler votre banque pour tenter un rappel des fonds (le recall, parfois possible dans les toutes premières heures), et déposer plainte auprès de la police cantonale. Si des données personnelles ont fuité au passage, une annonce au Préposé fédéral (PFPDT) peut aussi s'imposer. La marche à suivre détaillée — qui appeler, dans quel ordre, avec quel message — fait partie d'un plan de réponse que vous préparez à froid, pas dans la panique.
Les gestes à installer cette semaine
1. Un mot de passe verbal pour les demandes de paiement
Convenez à l'oral, hors de tout canal numérique, d'un mot ou d'une question que seuls les signataires connaissent — un détail qui ne figure nulle part en ligne. Toute demande de virement inhabituelle exige ce mot. Une voix clonée ne peut pas répondre à ce qu'elle n'a jamais appris. C'est rudimentaire, et c'est précisément pour ça que ça marche.
2. Le rappel systématique sur un numéro connu
Aucune demande financière reçue par téléphone, message ou visio ne se valide sur le canal entrant. On raccroche, et on rappelle la personne sur le numéro enregistré dans vos contacts — jamais celui qui s'affiche ni celui donné pendant l'appel. Trente secondes de vérification pèsent peu face au temps passé à gérer une fraude.
3. La double validation au-delà d'un seuil
Fixez un montant à partir duquel deux personnes valident tout paiement, sur deux canaux différents. Une demande arrivée par e-mail se confirme de vive voix ; une demande orale se confirme par écrit. C'est la mesure la moins technologique de la liste, et la plus efficace : elle transforme une décision solitaire et pressée en un contrôle à quatre yeux.
Où en êtes-vous vraiment ?
Ces trois réflexes relèvent de la gouvernance des paiements et de la sensibilisation des équipes — deux terrains que la nLPD (la loi suisse sur la protection des données, en vigueur depuis septembre 2023) attend d'une entreprise qui manipule des données sensibles, et sur lesquels l'Office fédéral de la cybersécurité (OFCS/NCSC) publie régulièrement des recommandations. Le cadre juridique, lui, reste en retrait : en Europe, le règlement sur l'IA (AI Act) impose depuis août 2026 d'étiqueter certains contenus générés par IA, mais aucune loi ne vous protège à la place de vos procédures internes.
Face au phishing vocal, la vraie question n'est donc pas « saurais-je repérer un deepfake ? » mais « mes procédures de paiement résistent-elles à une demande parfaitement crédible ? ». Cyber Passport ne certifie rien : l'auto-évaluation vous montre, question par question, où votre organisation est solide et où elle repose encore sur la seule confiance interpersonnelle. Et pour dérouler la procédure complète — seuils de double validation, circuit de rappel, script de vérification, trame de sensibilisation des équipes et plan de réponse si la fraude a réussi — le blueprint « Fraude au président » vous donne les modèles prêts à l'emploi, à adapter à votre PME.
