Fraude au président par IA : une voix clonée, 95 millions envolés

En février 2026, Paolo Molesini, alors président de Fideuram, la banque privée du géant italien Intesa Sanpaolo, reçoit un message WhatsApp de Carlo Messina, le directeur général du groupe. Une opération urgente à l’étranger, il a besoin de son aide. Peu après, son téléphone sonne et, au bout du fil, un avocat dont il connaît très bien la voix lui confirme le dossier. Les coordonnées bancaires arrivent par e-mail, les virements partent. En quelques jours, 95 millions d’euros quittent la banque en direction de la Chine et de Hong Kong.

Le message n’était pas de Carlo Messina. Et la voix de l’avocat avait été fabriquée par une intelligence artificielle. Aucun serveur n’a été piraté, aucun mot de passe n’a été volé. Il a suffi d’une voix familière. Bienvenue dans la nouvelle génération de la fraude au président, celle qui n’a plus besoin d’imiter votre patron, parce qu’elle peut le copier.

La fraude au président change de visage

Le principe n’a rien de neuf. Un escroc se fait passer pour un dirigeant et demande à un collaborateur un virement urgent et confidentiel. Un rachat discret, une affaire sensible, un « je compte sur toi, n’en parle à personne ». Pendant des années, cette arnaque reposait sur des e-mails usurpés et, parfois, sur un comédien au téléphone. Il restait une faille de taille pour l’escroc : la voix. Un accent approximatif ou une intonation qui sonnait faux et le doute s’installait.

Cette faille est progressivement en train de disparaître. Les outils de clonage vocal savent désormais reproduire une voix à partir de quelques extraits audio. Et ce qui demandait hier des moyens de professionnels est aujourd’hui à la portée de n’importe quel fraudeur un petit peu organisé.

Dans l’affaire Fideuram, rapportée par Reuters et reprise par Le Journal du Geek, la banque a réussi à récupérer environ 53 millions d’euros grâce à une coopération internationale. Mais environ 36 millions restent toujours introuvables.

Arup, Ferrari, Fideuram : trois histoires, une même mécanique

Fideuram n’est pas un cas isolé. Début 2024, un employé du bureau de Hong Kong d’Arup, le groupe d’ingénierie britannique, rejoint une visioconférence avec le directeur financier et plusieurs collègues. Il a des doutes au départ, mais voir ces visages connus le rassure. Il effectue 15 virements, pour environ 25 millions de dollars. Tous les participants de la réunion étaient des deepfakes.

À l’été 2024, c’est un cadre de Ferrari qui reçoit des messages WhatsApp de Benedetto Vigna, le PDG du constructeur, depuis un numéro inhabituel. Suit un appel, la voix est bluffante, jusqu’à l’accent du sud de l’Italie. Le cadre trouve pourtant quelque chose d’un peu mécanique dans l’intonation. Il s’excuse auprès de son « patron » et lui pose une question toute simple : quel était le titre du livre qu’il lui avait recommandé quelques jours plus tôt ? L’appel se coupe net.

Mettez ces trois histoires côte à côte, et le scénario se dessine toujours de la même façon :

• une autorité : le dirigeant, ou quelqu’un qui parle en son nom
• une urgence : il faut agir aujourd’hui, pas demain
• une confidentialité : n’en parle à personne, c’est sensible
• un canal inhabituel : WhatsApp, un nouveau numéro, une visio organisée à la hâte
• une opération exceptionnelle qui justifie de sortir des procédures habituelles.

La technologie a changé. Les ressorts psychologiques, eux, sont exactement les mêmes.

« Nous, on est une PME, ça ne nous concerne pas »

C’est sans doute la phrase la plus dangereuse de cet article. Les montants de Fideuram ou d’Arup donnent l’impression d’une menace réservée aux grands groupes. C’est pourtant tout l’inverse.

Dans une PME, le dirigeant est souvent plus visible. Une vidéo de présentation sur le site, une interview dans la presse locale, des prises de parole sur LinkedIn… Sa voix est également plus facile à trouver. Les procédures, elles, sont souvent plus légères avec généralement une seule personne qui fait les virements. Et comme tout le monde se connaît, on n’imagine pas refuser une demande du patron. Pour un escroc, c’est une cible idéale, avec moins de contrôles et moins de témoins.

La menace est prise au sérieux jusque dans les institutions. Selon BNP Paribas, la Banque de France a elle-même dû alerter en avril 2026 sur des vidéos truquées imitant son gouverneur.

LE SAVIEZ-VOUS ?
Chez Ferrari, ce n’est pas un logiciel qui a déjoué l’arnaque, mais une question à laquelle seul le vrai PDG pouvait répondre. Une IA peut copier une voix. Elle ne peut pas deviner ce que vous vous êtes dit autour d’un café.

Ce qui protège vraiment : une règle, pas un logiciel

On pourrait espérer un outil capable de détecter les fausses voix. Ils existent, mais ils restent imparfaits, et les deepfakes progressent plus vite qu’eux. La meilleure défense est beaucoup plus simple, et elle ne coûte rien : une règle connue de tous, et appliquée sans exception.

Raccrocher et rappeler

Face à toute demande de virement inhabituelle, même avec la bonne voix, même avec le bon visage, raccrochez et rappelez la personne sur son numéro habituel. Jamais sur celui qui vient de vous appeler. Si c’est vraiment votre dirigeant, il comprendra. Et s’il ne comprend pas, c’est peut-être qu’il ne s’agit pas de lui.

Une validation à deux, toujours

Comme nous l’avons vu dans notre précédent article sur l’arnaque au faux RIB, au-delà d’un certain montant, aucun virement ne doit pouvoir partir sur la décision d’une seule personne, dirigeant compris. C’est précisément ce qui a manqué chez Fideuram. La « confidentialité » ne doit jamais être une raison de contourner la procédure, c’est au contraire un signal d’alerte.

Un petit code entre vous

Inspirez-vous de Ferrari. Convenez avec les personnes qui gèrent les paiements d’une question ou d’un mot de passe que seul le vrai dirigeant connaît. Ça paraît un peu théâtral ? C’est pourtant la parade la plus efficace contre une voix clonée.

Que le patron le dise lui-même

Le message le plus protecteur vient du dirigeant : « Je ne vous demanderai jamais un virement urgent par WhatsApp ou par téléphone sans passer par la procédure. Si ça arrive, ce n’est pas moi. ». Dit une fois, clairement, devant l’équipe, il enlève toute hésitation le jour où l’appel arrive.

Une arnaque cousine du faux RIB

La fraude au président par IA partage beaucoup avec la fraude au faux RIB car dans les deux cas, c’est la confiance qui est attaquée, pas uniquement le système informatique. Les bons réflexes en cas de virement frauduleux sont d’ailleurs les mêmes : appeler sa banque sans attendre, conserver les preuves et porter plainte. Nous les détaillons dans notre article sur la fraude au faux RIB.