Le clonage vocal par IA a transformé la fraude au PDG en un problème téléphonique

La compromission de courriel professionnel (BEC) a coûté 3,05 milliards de dollars aux entreprises américaines en 2025, selon le centre de plaintes du FBI pour la cybercriminalité — la plus grande catégorie de pertes signalées. Pendant une décennie, les défenses reposaient sur une hypothèse : un e-mail peut être falsifié, mais un appel téléphonique est plus difficile à imiter. Cette hypothèse ne tient plus. Le clonage vocal, qui ne nécessite que quelques secondes d’audio public, a transformé le BEC d’un problème textuel en problème téléphonique.

Comment fonctionnait l’ancienne défense

Le BEC classique repose sur un compte e-mail usurpé : un attaquant se fait passer pour un dirigeant et demande un virement urgent. Les équipes de sécurité ont formé le personnel à vérifier via un second canal, généralement un appel à un numéro connu. Ce contrôle fonctionnait car synthétiser une voix convaincante exigeait autrefois des outils coûteux.

Ce qui a changé

Les outils de clonage vocal grand public produisent désormais une imitation utilisable à partir d’un court extrait public. Les attaquants combinent cela avec une reconnaissance tirée de LinkedIn et des documents publics pour identifier qui approuve les virements.

Le mécanisme n’est pas nouveau : le cas de 2019 où des fraudeurs ont cloné la voix du PDG de la maison-mère allemande d’une entreprise énergétique britannique pour voler 220 000 € l’a démontré. Ce qui a changé d’ici 2025, c’est le coût et la rapidité de production d’un clone convaincant.

Ce que montrent les chiffres

Le rapport 2025 du FBI chiffre les pertes totales signalées à 20,877 milliards de dollars, en hausse de 26 %. Le BEC reste la plus grande catégorie de pertes professionnelles avec 3,05 milliards. Le bureau a recensé plus de 22 000 plaintes explicitement liées à la fraude assistée par IA, pour environ 893 millions de dollars.

Pourquoi la vérification écrite seule échoue désormais

Le problème central est que les attaquants peuvent désormais satisfaire les deux volets d’une procédure de vérification standard : un e-mail falsifié rend la demande initiale plausible, une voix clonée lors de l’appel de confirmation rend la vérification suivante plausible aussi.

Ce qui fonctionne réellement aujourd’hui

Vérification hors bande ne reposant pas uniquement sur la reconnaissance vocale : un rappel vers un numéro prévérifié reste utile, mais doit être couplé à une phrase ou un code convenu à l’avance.

Double autorisation avec seuil monétaire strict : tout virement au-delà d’un montant fixé nécessite l’accord de deux personnes via deux systèmes distincts.

Traiter l’urgence elle-même comme le signal d’alerte principal : des politiques autorisant explicitement à retarder toute demande marquée urgente, sans pénalité, retirent le levier principal de la fraude.

Conclusion

Le contrôle qui a compté durant la dernière décennie de BEC — « appeler pour vérifier » — supposait que le téléphone était plus difficile à falsifier que l’e-mail. Cette hypothèse a disparu.