Une arnaque « deepfake » visant un directeur financier est une attaque de type « Business Email Compromise » (BEC) utilisant une voix ou une vidéo falsifiée : les cybercriminels se font passer pour un directeur financier ou un cadre supérieur, vous invitent à participer à une réunion ou à un appel en direct, puis vous poussent à effectuer un virement urgent, à leur transmettre vos identifiants ou à exécuter une action liée à un logiciel malveillant. En 2026, la solution la plus sûre ne consistera pas à « repérer le faux ». Il s’agit de vérifier la demande par un canal distinct avant tout transfert d’argent, d’accès ou de données.
Guide pratique des escroqueries au « deepfake » visant les directeurs financiers en 2026
L'intention de recherche est ici d'ordre informatif, avec un accent marqué sur la gestion des risques : vous souhaitez savoir comment ces escroqueries fonctionnent, dans quelle mesure elles sont crédibles, et ce que votre équipe financière doit faire avant de recevoir la prochaine demande de paiement urgente. Le terme « escroquerie au deepfake du directeur financier » fait généralement référence à une usurpation d'identité en temps réel, et pas seulement à un faux message vocal.
Le schéma est désormais bien connu. Les pirates collectent des vidéos publiques, des enregistrements audio de conférences téléphoniques sur les résultats financiers, des documents LinkedIn, des enregistrements de réunions divulgués ou des fichiers multimédias volés ; ils clonent ensuite la voix ou le visage du dirigeant, puis intègrent cette usurpation d’identité dans une tentative d’hameçonnage, une attaque par compromission de messagerie professionnelle, une fausse session Zoom ou un faux processus de recrutement.
Une affaire survenue en 2024 a rendu ce risque douloureusement concret. La police de Hong Kong a décrit une escroquerie par visioconférence au cours de laquelle un employé a transféré $200 millions de HK$, soit environ $25 millions de dollars américains en 2024, à la suite d’un appel avec de faux cadres supérieurs, dont un soi-disant directeur financier. Ce chiffre est révélateur, car il démystifie l’idée selon laquelle la fraude par deepfake resterait essentiellement théorique.
D’ici 2026, les escroqueries les plus efficaces ne reposeront plus sur une vidéo irréprochable. Elles s’appuieront sur l’autorité, le bon timing et une demande qui paraîtra juste assez plausible : effectuer un virement à ce fournisseur dès aujourd’hui, valider ce transfert de cryptomonnaie, rejoindre ce lien de réunion de secours ou aider le « service informatique » à régler votre problème audio en suivant des instructions.
Comment se déroulent concrètement les attaques par usurpation d'identité de dirigeants en temps réel ?
Une arnaque de type « deepfake » visant un directeur financier commence généralement avant même l'appel. Le pirate repère les chaînes hiérarchiques, les procédures de paiement, les filiales, les banquiers, les fournisseurs et les calendriers de déplacement, puis choisit un moment où une confirmation habituelle semblerait inopportune.
À partir de là, l'ingénierie sociale fait l'essentiel du travail. Le faux dirigeant peut apparaître lors d'une visioconférence en direct ou simulée, utiliser une voix clonée lors d'un appel téléphonique, ou associer un échange d'e-mails convaincant à une brève apparition vidéo qui dissuade de poser des questions.
Google Cloud/Mandiant a révélé en 2026 que le groupe UNC1069 avait utilisé des comptes Telegram piratés, une fausse infrastructure Zoom, une vidéo « deepfake » du PDG et des instructions de dépannage « ClickFix » pour diffuser des logiciels malveillants. Dans cette affaire, Mandiant a précisé que l’infrastructure comprenait le domaine zoom.uswe05.us, un petit détail qui montre à quel point ces leurres peuvent paraître naturels lorsqu'ils sont lancés à grande vitesse.
Les fausses réunions recoupent également la fraude à l’embauche. Le rapport annuel 2025 de l’IC3 du FBI a décrit des plaintes liées à l’emploi et à l’IA impliquant l’usurpation de voix ou des « deepfakes » vocaux potentiels lors d’entretiens en ligne, avec un décalage entre les mouvements des lèvres et le son, visant souvent à accéder à des réseaux informatiques privés. Si votre entreprise considère l’intégration des prestataires comme un processus moins rigoureux que les validations de la trésorerie, cela constitue une faille dont les attaquants peuvent tirer parti.
La leçon à en tirer est sans appel : votre plateforme de visioconférence n’est pas un système d’identification. Zoom et BrightHire ont annoncé en juin 2026 la mise en place d’un système de détection des fraudes commises par les candidats lors d’entretiens en direct sur Zoom, comprenant notamment des signaux de détection des « deepfakes » pour les clients de Zoom Workplace disposant d’un abonnement BrightHire actif ; toutefois, même les outils de détection les plus performants ne remplacent pas une vérification effectuée par l’entreprise.
Les chiffres qui se cachent derrière cette menace
Il est difficile de chiffrer la criminalité liée aux « deepfakes », car les victimes la signalent sous les rubriques « piratage de messagerie professionnelle », « fraude à l'embauche », « logiciels malveillants » ou « prise de contrôle de compte ». Néanmoins, les chiffres disponibles pour la période 2024-2026 vont dans un seul sens : l'usurpation d'identité assistée par l'IA n'est plus une simple nouveauté, mais est devenue un modèle opérationnel.
Le rapport 2025 d'IBM sur le coût des fuites de données a révélé que 16% de ces incidents impliquaient des attaquants utilisant l'IA. Parmi ces incidents impliquant l'IA, les tentatives d'hameçonnage générées par l'IA représentaient 37% et les attaques par usurpation d'identité via des « deepfakes » 35%.
Faites le calcul. Si l’on imagine 1 000 violations de données suivant cette répartition, 160 impliqueraient une IA malveillante et 56 une usurpation d’identité par « deepfake ». Cela ne représente que 5,61 TP7T de l’ensemble des violations dans ce calcul simplifié, mais cela constitue une part importante du sous-ensemble impliquant l’IA, et l’impact peut se concentrer sur une seule chaîne d’approbation.
Le rapport annuel 2025 de l'IC3 du FBI a recensé 22 364 plaintes et $893 346 472 de pertes liées à l'utilisation de l'IA dans le cadre de fraudes et d'escroqueries. Il a également recensé 135 plaintes faisant référence à l’IA dans le cadre d’escroqueries de type BEC et 691 dans le domaine de l’emploi ; les escroqueries à l’emploi impliquant l’IA ont entraîné près de $13 millions de pertes en 2025.
| Source et année | Recherche | Pourquoi c'est important pour les équipes financières |
|---|---|---|
| Police de Hong Kong, 2024 | HK$200 millions, soit environ US$25 millions, ont été transférés à la suite d'un appel vidéo « deepfake » impliquant des cadres supérieurs | Cela montre comment une seule réunion peut faire oublier toute prudence |
| Sondage Deloitte, 2024 | 51,61 TP7T de cadres s'attendent à une recrudescence ou à une intensification des attaques par « deepfake » visant les données financières et comptables au cours des 12 prochains mois | Les hauts dirigeants considéraient déjà la finance comme une cible de choix |
| Coût d'une fuite de données chez IBM, 2025 | 16% des violations impliquaient une IA malveillante ; 35% d'entre elles utilisaient l'usurpation d'identité par deepfake | Les « deepfakes » constituent une méthode d'intrusion quantifiable assistée par l'IA |
| FBI IC3, 2025 | 22 364 plaintes pour fraude liée à l'IA et $893 346 472 de pertes | Les pertes liées aux escroqueries à l'IA ne sont plus un simple bruit de fond dans l'actualité |
| IBM X-Force, 2026 | 49% : augmentation du nombre de groupes de ransomware actifs en 2025 par rapport à 2024 | L'usurpation d'identité peut constituer la première étape vers l'installation de logiciels malveillants et le chantage |
À vrai dire, ce tableau minimise l'ampleur du problème pour les petites et moyennes entreprises. Une multinationale peut se permettre d'encaisser l'échec d'une tentative de virement et d'améliorer ses contrôles ; une petite entreprise, en revanche, peut perdre en un après-midi à la fois l'argent destiné au paiement des salaires, la confiance de ses fournisseurs et gagner du temps dans la gestion des incidents.
Comment l'arnaque au « deepfake » visant le directeur financier contourne les contrôles habituels
De nombreuses entreprises continuent de protéger leurs systèmes de paiement comme si la principale menace provenait d'un e-mail suspect. L'arnaque au « deepfake » visant le directeur financier modifie le contexte émotionnel en intégrant un visage, une voix ou un titre familier au moment de la validation.
L'authentification multifactorielle standard est utile, mais elle ne permet pas de vérifier les intentions. Un responsable financier peut passer avec succès l'authentification multifactorielle, se connecter au véritable portail bancaire et tout de même transférer de l'argent vers le compte d'un criminel si le « directeur financier » avec lequel il est en ligne l'a convaincu que le virement est confidentiel.
Les seuils de paiement peuvent eux aussi être contournés. Les pirates peuvent fractionner les factures, utiliser une demande de changement de fournisseur inférieure au seuil de validation, ou demander un accès plutôt que de l'argent. Cette dernière technique est souvent négligée : un faux dirigeant vous demande d'inviter un « consultant », d'approuver un télétravailleur ou de suivre des étapes de dépannage, et la perte finale résulte d'un accès au réseau plutôt que d'un virement bancaire.
Pour les risques connexes, votre équipe de sécurité devrait comparer ce schéma avec Fraude vocale par « deepfake » et contrôles de fiabilité de l'identité, car la voix seule est désormais trop peu coûteuse pour être considérée comme une preuve. Ces mêmes tactiques de pression apparaissent également dans un contexte plus large Cyberattaques basées sur l'IA, où l'automatisation permet aux criminels de tester plus rapidement leurs leurres.
Autre écueil dont on ne parle pas assez : les phrases codées peuvent perdre de leur efficacité. Si votre phrase d'urgence est imprimée dans un document d'intégration, stockée dans un wiki partagé ou réutilisée pendant des années, ce n'est plus un secret ; c'est un souvenir.
Peut-on détecter les deepfakes en temps réel ?
Certains fournisseurs et prototypes de recherche prétendent offrir une détection en temps réel ou une détection par sonde active, et certains aspects de ces travaux sont prometteurs. Cependant, une détection fiable n’est pas garantie en 2026, surtout lorsque l’attaquant n’a besoin que d’une brève apparition, d’un éclairage insuffisant, d’un faux problème de connexion ou d’une pression axée sur l’audio.
L'annonce faite en juin 2026 par Zoom et BrightHire donne une bonne indication de l'orientation que prend le marché : la détection des fraudes lors d'entretiens en direct, grâce à des indicateurs propriétaires et à une technologie de détection des deepfakes. Il s'agit là d'un cas d'utilisation précis et concret, et non d'un bouclier magique applicable à toutes les réunions de conseil d'administration, discussions de fusions-acquisitions ou paiements de fournisseurs.
La détection soulève également une question de gouvernance. Qui voit l'alerte ? La réunion s'interrompt-elle automatiquement ? Que se passe-t-il si le directeur financier est en déplacement et utilise le Wi-Fi peu fiable d'un hôtel, et que le système génère un faux positif alors qu'il s'agit d'une véritable urgence ?
Mon point de vue : considérez la détection comme un détecteur de fumée, et non comme une porte coupe-feu. Elle peut vous alerter, mais votre processus doit tout de même empêcher qu’un seul employé sous pression n’ouvre les issues de secours.
Mettre en place un processus de vérification capable de résister à un faux patron
La meilleure défense contre une arnaque au « deepfake » visant un directeur financier repose justement sur son caractère ennuyeux. Il faut un processus qui fonctionne lorsque les gens sont fatigués, que la demande est urgente et que la personne à l'écran semble avoir un rang supérieur à tout le monde.
- Exiger des rappels hors bande pour les nouveaux bénéficiaires, les changements de coordonnées bancaires, les virements d'urgence, l'accès privilégié et l'intégration à distance des nouveaux employés. Utilisez un numéro figurant dans votre répertoire, et non un numéro fourni dans le message.
- Utiliser la procédure d'approbation par plusieurs personnes pour les décisions financières et d'accès. Deux responsables doivent effectuer une vérification indépendante l'un de l'autre, et aucun d'entre eux ne doit se fonder sur la même réunion comme justificatif.
- Créer de nouvelles phrases d'autocontrôle pour les événements à haut risque, alternez leur utilisation et évitez de les inclure dans les documents partagés et les systèmes de gestion des tickets.
- Entraînez-vous à gérer la pression, pas seulement les artefacts. Les employés doivent considérer le secret, l'urgence, le changement de plateforme et la consigne « n'en parler pas encore au service juridique » comme des signaux d'alerte.
- Consigner les exceptions. Si un cadre déroge à la procédure pour une raison valable, notez le nom de la personne qui a approuvé cette dérogation et confirmez-la par la suite.
Pour les entreprises qui souhaitent renforcer leur programme global d'identité, mesures de lutte contre la fraude à l'identité synthétique font partie du même problème que l'usurpation d'identité de cadres. Le recrutement à distance, l'accès des prestataires, les autorisations financières et les canaux d'assistance privilégiés partagent tous le même point faible : une confiance accordée trop rapidement.
Microsoft 365 et d'autres suites collaboratives font souvent partie de ces flux de travail, mais la « fatigue liée à l'authentification à plusieurs facteurs » et le vol de jetons peuvent encore créer des failles ; ce problème est bien abordé dans Pourquoi l'authentification multifactorielle (MFA) de Microsoft 365 pourrait ne pas suffire. Pour les organisations en pleine croissance, il est également utile d’identifier les contrôles qui atteignent leur maturité en premier, comme décrit dans les priorités en matière de sécurité à mesure que les entreprises se développent.
Une petite équipe financière peut mettre en place dès demain une règle pratique : aucun nouveau bénéficiaire, aucun changement de coordonnées bancaires ni aucun paiement urgent à la direction ne sera validé tant qu’une deuxième personne n’aura pas effectué un rappel via un annuaire fiable. À ce prix-là, difficile de trouver mieux.
FAQ
Comment fonctionnent les escroqueries par « deepfake » ?
Les pirates collectent des contenus multimédias publics ou volés, créent des imitations vocales ou vidéo, les associent à des techniques de hameçonnage, à des escroqueries de type BEC, à de faux liens vers des réunions ou à de fausses procédures d’intégration, puis réclament de l’argent, des identifiants, des instructions pour installer des logiciels malveillants ou un accès. L’usurpation d’identité inspire confiance ; c’est l’échec du processus qui entraîne la perte.
Quels sont les signes avant-coureurs d'une arnaque de type « deepfake » visant un directeur financier ?
Le signe d'alerte le plus évident est la pression exercée pour contourner les procédures de vérification habituelles, notamment dans le cadre d'un transfert urgent, d'un changement de fournisseur, d'un accord secret ou d'une demande d'accès. Les anomalies techniques, les mouvements de lèvres inhabituels et les problèmes audio ont certes leur importance, mais la pression exercée pour contourner les procédures est un facteur encore plus déterminant.
Est-il possible de détecter un deepfake en temps réel lors d'un appel Zoom ?
Parfois, mais pas de manière suffisamment fiable pour fonder les autorisations uniquement sur la détection en 2026. Utilisez les outils de détection là où ils sont adaptés, puis exigez une vérification hors bande pour les actions à haut risque.
Les escroqueries par « deepfake » visant les directeurs financiers concernent-elles uniquement les grandes entreprises ?
Non. Les grandes entreprises font l'objet de tentatives d'escroquerie plus importantes, mais les petites structures comportent souvent moins de niveaux de validation et permettent un accès plus informel aux dirigeants. Un simple appel frauduleux peut tout de même entraîner des préjudices au niveau de la paie, des fournisseurs ou des opérations bancaires.
FR 
EN 
ES