SealfieFraude au président : pourquoi vos procédures de paiement ne suffisent plus.
Pour un directeur administratif et financier, la fraude au président tient en un ordre de virement qui paraît venir du dirigeant. Les outils pour le falsifier coûtent désormais quelques dizaines de dollars. Dans les cas documentés, des procédures existaient et semblent avoir été appliquées.
Reconnaître la voix, rappeler, faire signer à deux, activer le MFA, former : chacun de ces contrôles a un contournement documenté.
Chaque contrôle habituel a un contournement documenté
Ces contrôles restent utiles et doivent rester en place. Les victimes décrites plus bas semblent les avoir appliqués. Ils ont tous la même limite : ils reposent sur ce que la personne voit ou entend, et ces signaux se fabriquent désormais.
« Je reconnais sa voix »Semble tenirContournéRévéler le contournementMasquer
30 $ faux message vocal
Des annonces proposent un faux message vocal dès 30 $. Dans l'étude UCL, les auditeurs n'ont repéré que 73 % des deepfakes vocaux, soit plus d'un sur quatre qui passe (UCL, PLOS ONE, août 2023).
« On fait une visio pour confirmer »Semble tenirContournéRévéler le contournementMasquer
50 $ deepfake vidéo
Le cas Arup : tous les autres participants étaient des deepfakes. Kaspersky (2025) relève des annonces qui proposent l'échange de visage en temps réel pendant des appels vidéo.
Rappeler le dirigeant sur son numéroSemble tenirContournéRévéler le contournementMasquer
10 à 2 000 $ SIM swap
Efficace tant que la ligne est saine. Après un SIM swap, l'appel et les SMS arrivent chez le criminel. Le swap se paie entre 10 et 2 000 $ selon la source et l'année.
Le code SMS ou l'application d'authentification (MFA)Semble tenirContournéRévéler le contournementMasquer
400 $ par mois kit de hameçonnage
Un kit de hameçonnage à 400 $ par mois intercepte la session et contourne les codes SMS et applicatifs. Selon CyberCX, ce kit ne contourne pas l'authentification par clé matérielle. Le MFA a aussi ses failles : AuthQuake contournait le MFA Microsoft en environ une heure (corrigée en octobre 2024).
Double signature, règle des quatre yeuxSemble tenirContournéRévéler le contournementMasquer
Elle double un contrôle, elle ne change pas sa nature. Si la même fausse instruction convainc les deux signataires, l'ordre passe. C'est une analyse de notre part, sans mesure publique. Dans le témoignage d'une comptable de PME, une signature manuelle sur papier n'empêchait pas l'envoi du virement à la banque.
Formation et vigilanceSemble tenirContournéRévéler le contournementMasquer
+3,8 points après des exemples de deepfakes
Le taux de 73 % mélange des participants avertis et non avertis. Montrer des exemples de deepfakes ne l'améliore que de 3,8 points en moyenne. Chez Ferrari, la tentative a échoué parce qu'un collaborateur a posé une question dont seul le vrai dirigeant connaissait la réponse. Un réflexe individuel n'est pas un dispositif.
Outils de détection de deepfakesSemble tenirContournéRévéler le contournementMasquer
0 sur 16 détecteurs fiables
Une étude CSIRO / Sungkyunkwan (mars 2025) a testé 16 détecteurs de référence. Aucun n'a identifié de façon fiable des deepfakes du monde réel.
L'essentiel en quatre lignes
La fraude au président consiste à se faire passer pour un dirigeant afin d'obtenir un virement ou un changement de RIB. Un faux appel, un faux message ou une fausse visio suffisent. Selon Kaspersky (septembre 2025), des annonces proposent un deepfake vidéo à partir de 50 $ et un faux message vocal à partir de 30 $. Au FBI, la perte moyenne par plainte de compromission de messagerie d'entreprise (BEC) est d'environ 129 000 $ (pertes divisées par plaintes, rapport IC3 2024, calcul Inkan.link). Chaque contrôle habituel du DAF (reconnaître la voix, rappeler, faire signer à deux, activer le MFA, former) a un contournement documenté. Dans les cas documentés, des procédures existaient et semblent avoir été appliquées.
Une attaque se déroule en quatre temps
1. Repérage
Le criminel identifie le dirigeant, le DAF et le comptable qui exécute les virements, à partir de LinkedIn, du site de l'entreprise et des communiqués. Quelques secondes d'une interview suffisent pour cloner une voix.
2. Usurpation
Il contacte le comptable ou le DAF par e-mail, WhatsApp, téléphone ou visio, avec la voix et parfois le visage du dirigeant.
3. Pression
L'ordre est urgent et confidentiel : acquisition, litige, contrôle fiscal. La personne ciblée n'ose ni rappeler ni en parler.
4. Virement
Le virement part vers un compte contrôlé par le criminel, souvent à l'étranger. Les fonds sont dispersés en quelques heures.
Le FBI recense environ 5 milliards de dollars de pertes exposées par an (« exposed dollar loss », d'après les plaintes au FBI, les forces de l'ordre et les dossiers d'établissements financiers) pour la compromission de messagerie d'entreprise, en moyenne d'octobre 2013 à décembre 2023 (calcul Inkan.link à partir du total publié par le FBI).
Six cas documentés
Visioconférence : Arup, 25 M$ (2024)
Un employé du groupe d'ingénierie Arup à Hong Kong participe à une visio où tous les autres participants sont des deepfakes. Il exécute les virements sur instruction de ce qu'il croit être son directeur financier et ne découvre la fraude qu'en contactant le siège.
WhatsApp et voix clonée : Fideuram, environ 95 M€ (février 2026)
Le président de la banque privée Fideuram reçoit un faux message WhatsApp attribué au patron du groupe, puis un appel avec la voix clonée d'un avocat qu'il connaît. Les virements partent en quelques heures vers des comptes à l'étranger. Selon Reuters, 53 M€ ont été récupérés et 36 M€ restent à retrouver. Le détail.
Appel avec la voix d'un ministre : près d'1 M€ (février 2025)
Des escrocs clonent la voix du ministre de la Défense italien pour demander de l'argent à des chefs d'entreprise, sous prétexte de libérer des journalistes enlevés. Un seul cible, l'ancien propriétaire de l'Inter Massimo Moratti, a viré près d'un million d'euros en deux paiements. La police a gelé la somme sur un compte néerlandais (Reuters, 12 février 2025).
PME familiale : 520 000 € virés par une comptable (juillet 2020)
Une comptable recrutée huit mois plus tôt, dans une entreprise familiale de production industrielle d'environ 50 salariés, est contactée par un faux avocat. Il lui confie un rôle clé dans une opération confidentielle d'acquisition. Elle vire 520 000 €. Les appels et messages se répètent, avec l'interdiction d'en parler à ses collègues ou à son employeur. Elle pouvait émettre les virements seule, et sa hiérarchie, centrée sur les clients et la production, ne la suivait pas de près (témoignage de la victime, podcast Fraudologie, épisode 10).
Petite chaudronnerie et ses clients du nucléaire : tentative déjouée (été 2020)
Une chaudronnerie près de Bourgoin-Jallieu, qui travaille avec Framatome, le CEA, Air Liquide et Michelin, reçoit un faux courriel signé d'un faux agent du ministère des Finances. Il réclame tous les détails sur ses trois principaux clients, factures impayées comprises, sous menace d'amende. Les pirates écrivent ensuite à au moins un de ses clients pour demander de payer ses factures sur un compte de la banque Banco BPM qu'ils contrôlent. Averties par Trend Micro, les entreprises concernées déjouent l'attaque. Au moins 70 entreprises françaises ont reçu un courriel semblable (Le Monde, 6 octobre 2020).
Appel avec la voix du PDG : Ferrari, échec (juillet 2024)
Un cadre reçoit des messages WhatsApp depuis un numéro inhabituel, puis un appel avec la voix clonée du PDG. Il demande le titre d'un livre que le PDG lui avait recommandé quelques jours plus tôt. L'appel s'interrompt (Bloomberg via Fortune, 27 juillet 2024). La défense a tenu par un réflexe individuel.
Des procédures en place, qui rassuraient ceux qui les appliquaient
Dans les cas documentés, les équipes visées disposaient de contrôles et semblent les avoir appliqués. D'après les récits publiés, c'est la réponse du contrôle qui a fait tomber le doute.
Arup : les trois réflexes de la sensibilisation
Le collaborateur de Hong Kong soupçonne le courriel, refuse d'agir sur ce seul message et cherche une confirmation par un autre canal. C'est ce que tout programme de formation enseigne. La visioconférence qui le « confirme » est un deepfake. Il exécute ensuite quinze virements vers cinq comptes, environ 25 M$. Le détail.
Fideuram : trois canaux, une seule source
Un message du patron du groupe, la voix d'un avocat connu, des e-mails du cabinet : l'ordre paraissait vérifié de trois façons. Les trois canaux étaient aux mains des fraudeurs. La chaîne hiérarchique a aussi été respectée : le directeur financier exécutait l'ordre du président. Selon les sources, aucun dirigeant de la banque n'est visé par l'enquête. Le détail.
Ce que les deux cas suggèrent
Un contrôle qui vérifie le message ou le canal peut être contourné dès que le message et le canal se fabriquent. Tant qu'il répond, il rassure, et l'ordre suivant passe plus facilement. C'est notre lecture de ces deux récits.
Après la fraude : prouver sa bonne foi
Quand l'entreprise porte plainte, le comptable ou le directeur financier qui a exécuté le virement est, d'après les échanges d'Inkan.link avec le renseignement territorial (propos recueillis en 2024, non publiés), considéré par défaut comme suspect au début de l'enquête. Il doit alors expliquer ce qu'il a vérifié. Des avocats rapportent que les tribunaux examinent les signaux d'alerte ignorés et les contrôles en place lorsqu'un licenciement est contesté. Sans trace datée de qui a confirmé quoi, et quand, il ne reste que sa parole. Les récits d'Arup et de Fideuram ne rapportent pas de trace de ce type. Cette lecture est une analyse de notre part.
Le prix d'une attaque : de 30 à 2 000 dollars par brique
Les prix ci-dessous viennent d'annonces et d'enquêtes publiées. Ce sont des tarifs de départ, pas des devis. Kaspersky précise que beaucoup d'annonces sont probablement des arnaques visant les acheteurs eux-mêmes. L'ordre de grandeur reste le même : quelques dizaines à quelques centaines de dollars par brique.
| Faux message vocal (clonage de voix) | à partir de 30 $ (annonces). Kaspersky, 23 septembre 2025 |
|---|---|
| Deepfake vidéo | à partir de 50 $ (annonces). Kaspersky, 23 septembre 2025. En mai 2023, la même société relevait de 300 à 20 000 $ la minute |
| Kit de hameçonnage qui contourne le MFA (EvilProxy) | 400 $ par mois. Resecurity via iTnews, 6 septembre 2022 |
| SIM swap, avec un salarié d'opérateur corrompu | de 10 à 15 $ par carte SIM activée (Kaspersky, 2019) jusqu'à 300 $ proposés par swap en 2024 (Bitdefender, 17 avril 2024). Dans une affaire jugée aux États-Unis, un ancien employé d'une boutique AT&T percevait en général de 1 000 à 2 000 $ par swap (ministère américain de la Justice) |
| Gain visé : perte moyenne par plainte BEC | environ 129 000 $ (environ 119 000 €). Pertes BEC divisées par plaintes BEC, rapport annuel IC3 2024, calcul Inkan.link |
Un faux message vocal et un deepfake vidéo aux tarifs de départ coûtent 80 $ au total. Ce sont des prix d'annonces : selon Kaspersky, beaucoup sont probablement des arnaques. Une plainte BEC moyenne au FBI représente environ 129 000 $ de pertes. La défense doit résister à tout le monde. L'attaque n'a besoin de réussir qu'une fois.
Valider le demandeur réel, pas le message
Une voix, un visage ou un e-mail ne prouvent plus qui demande. Ce qui reste difficile à falsifier tient dans la personne et dans son téléphone. Avant l'exécution d'un ordre sensible, le vrai demandeur confirme d'un selfie sur son propre appareil. Sealfie recoupe alors, automatiquement, plusieurs sources indépendantes :
L'opérateur mobile
Interrogé en temps réel : un échange de carte SIM sur les 48 dernières heures bloque la validation.
L'appareil
L'empreinte matérielle confirme que la validation vient du téléphone habituel du demandeur.
La personne
La détection de vivacité confirme une présence physique réelle, pas une photo ni une vidéo.
Le journal
Chaque validation est horodatée et scellée. Un auditeur ou un assureur voit qui a validé quoi, et quand.
Sealfie coûte 950 € HT par an et par utilisateur, pour 30 validations simples par an et par utilisateur, mutualisées dans l'entreprise. Aucune formation n'est nécessaire.
Voyez où votre procédure cède avant qu'un criminel le fasse
Le Challenge de 30 minutes : nous vous expliquons comment les pirates contournent les procédures humaines mises en place par les financiers, et où la vôtre cède. Rapport écrit sur demande, quel que soit le résultat.
Réserver le Challenge →L'arnaque au faux président. 5 milliards de dollars par an. Arup : il a vérifié, et la vérification a menti. Calculateur gratuit de risque BEC.