# Fraude par voix clonée (hypertrucage) : protéger l'entreprise

Source : https://cybercaribou.com/blogue/fraude-hypertrucage-voix-clonee-entreprise · Cyber Caribou

> Un appel du « président » qui exige un virement urgent ? Rappel à un numéro connu, mot de code, double approbation : comment contrer la fraude par voix clonée.

Mardi, 16 h 40. La contrôleuse d'un distributeur alimentaire de Saint-Hyacinthe reçoit un appel du président, en déplacement à Toronto. C'est sa voix, son débit, sa façon de dire « écoute-moi bien ». Il lui demande un virement de 48 000 $ pour conclure une acquisition confidentielle, avant 17 h, sans en parler à personne.

Le président était en réunion à deux coins de rue. Sa voix avait été fabriquée à partir de ses entrevues et de ses vidéos publiées en ligne.

C'est ce qu'on appelle un hypertrucage audio, ou voix clonée. L'histoire est fictive, mais la technique est réelle, et elle ne se combat pas à l'oreille : elle se combat par la procédure.

- Une voix ne prouve plus l'identité : en juin 2025, le Centre canadien pour la cybersécurité et le Centre antifraude du Canada ont signalé des messages vocaux générés par l'IA imitant de hauts responsables, qui visaient notamment des dirigeants d'entreprise.
- La parade la plus fiable : raccrocher et rappeler à un numéro déjà connu, jamais à celui fourni par l'appelant ou affiché à l'écran.
- Pour l'argent : double approbation, et aucune exception « urgente », même pour le président.
- Un mot de code connu des finances et de la direction ajoute une vérification simple.

## Qu'est-ce qu'une fraude par voix clonée ?

Une fraude par voix clonée est une arnaque où l'appelant utilise une voix générée par l'intelligence artificielle pour se faire passer pour une personne que vous connaissez : un dirigeant, un fournisseur, un collègue.

Le Bureau de la concurrence du Canada définit les hypertrucages (en anglais, *deepfakes*) comme des images, des vidéos ou des enregistrements audio réalistes qui imitent de vraies personnes. La matière première est souvent publique : entrevues, balados, webinaires, vidéos sur les réseaux sociaux.

L'appel est d'autant plus crédible que le numéro affiché peut être falsifié. Le Centre antifraude du Canada le rappelle : ne vous fiez pas au nom et au numéro qui apparaissent sur votre afficheur. C'est la vieille [fraude du président](https://cybercaribou.com/blogue/fraude-president-courriel-affaires-compromis), qui passe du courriel au téléphone.

## Ce que disent les autorités canadiennes

Les autorités canadiennes traitent les hypertrucages comme une menace active, et non comme une curiosité.

- **Centre canadien pour la cybersécurité.** Dans son *Évaluation des cybermenaces nationales 2025-2026*, le Centre écrit que l'IA générative permet de « créer du contenu visuel et audio réaliste en usurpant l'identité de personnes de confiance », pour gagner la confiance des cibles.
- **Avis conjoint du 23 juin 2025.** Le Centre et le Centre antifraude du Canada décrivent une campagne de textos et de messages vocaux générés par l'IA qui usurpent l'identité de hauts responsables. Parmi les cibles : des dirigeants d'entreprise. Signaux d'alarme : l'urgence, la demande de passer à une autre application de messagerie, les liens suspects, un ton qui ne ressemble pas à la personne.
- **Bureau de la concurrence, 9 mars 2026.** Il signale que les fraudeurs utilisent le clonage vocal et les messages générés par l'IA pour se faire passer pour des représentants gouvernementaux.

Le cas le plus connu vient de l'étranger. Selon CNN (mai 2024), un employé des finances de la firme d'ingénierie Arup, à Hong Kong, a transféré environ 200 millions de dollars de Hong Kong (environ 25 millions de dollars américains) en 15 transactions, après une visioconférence où le directeur financier et des collègues étaient des hypertrucages. Arup a confirmé que de fausses voix et images avaient été utilisées.

## Les scénarios qui visent les PME

Dans une PME, la voix clonée sert surtout à obtenir de l'argent, des accès ou un changement de procédure, en jouant sur l'urgence et l'autorité.

| Scénario | Demande typique | Vérification |
|---|---|---|
| Faux président | Un virement urgent et confidentiel | Rappel au numéro connu du dirigeant, puis double approbation |
| Faux fournisseur | De nouvelles coordonnées bancaires | Rappel au numéro du dossier fournisseur, jamais celui de l'appel |
| Faux employé qui appelle le soutien TI | Réinitialiser son mot de passe ou son MFA | Rappel au numéro du dossier RH et approbation du gestionnaire |
| Faux technicien qui appelle un employé | Un code MFA, ou l'installation d'un logiciel d'accès à distance | Aucun code ne se donne au téléphone, à personne |
| Message vocal d'un dirigeant | Poursuivre sur une autre application de messagerie | Rappel par les canaux habituels |

Le scénario du faux fournisseur est détaillé dans notre article sur la [fraude au changement de coordonnées bancaires](https://cybercaribou.com/blogue/fraude-changement-coordonnees-bancaires-fournisseur).

## La parade : une procédure qui ne dépend pas de la voix

La seule défense fiable est de rendre la voix insuffisante : aucune demande sensible ne doit être exécutée sur la seule foi d'un appel, quelle que soit la voix au bout du fil.

L'avis conjoint de juin 2025 le formule ainsi : vérifiez la source de façon indépendante, en communiquant avec la personne ou l'organisation par un autre moyen déjà confirmé. Traduit en règles internes :

- [ ] **Rappel obligatoire** à un numéro déjà connu (annuaire interne, dossier fournisseur), jamais celui donné par l'appelant ni celui affiché.
- [ ] **Double approbation** pour tout virement au-delà d'un seuil, et pour tout changement de coordonnées bancaires.
- [ ] **Délai d'attente** pour un nouveau bénéficiaire, par exemple jusqu'au lendemain.
- [ ] **Mot de code** entre les finances et la direction, jamais écrit dans un courriel, changé régulièrement.
- [ ] **Engagement écrit de la direction** : « Je ne vous demanderai jamais de contourner la procédure, même en urgence. »
- [ ] **Soutien TI** : aucune réinitialisation de mot de passe ou de MFA sur simple appel.
- [ ] **Codes MFA** : on ne les communique jamais par téléphone.

Le mot de code n'est pas une invention de film : en décembre 2024, le FBI recommandait aux familles de convenir d'un mot ou d'une phrase secrète pour vérifier l'identité d'un appelant. En entreprise, il complète le rappel ; il ne le remplace pas.

L'engagement de la direction est le point le plus important. Les fraudeurs misent sur la peur de déplaire au patron. Une contrôleuse qui sait qu'elle sera félicitée pour avoir raccroché au nez du « président » ne cédera pas.

## Former l'équipe à raccrocher

Apprendre à raccrocher sans gêne compte davantage qu'apprendre à reconnaître une fausse voix, car les meilleurs clones ne laissent pas d'indices audibles.

L'avis conjoint cite quelques signes à l'écoute : un ton plat et artificiel, des bruits de fond inattendus, des phrases entrecoupées. Utiles, mais pas suffisants. Misez plutôt sur des réflexes :

- toute demande urgente, confidentielle ou inhabituelle déclenche la procédure, peu importe qui appelle ;
- on peut toujours dire : « Je vous rappelle dans cinq minutes » ;
- personne n'est blâmé pour avoir vérifié.

Intégrez un scénario d'appel frauduleux à vos [simulations d'hameçonnage](https://cybercaribou.com/blogue/simulation-hameconnage-employes), en particulier pour les finances, la paie, la réception et le soutien TI.

Le FBI suggère aussi de limiter les contenus publics où l'on entend votre voix. Pour une PME, impossible d'effacer les entrevues du président ; c'est justement pourquoi la procédure doit tenir même si la voix est parfaite.

Enfin, un faux appel peut être suivi d'un courriel de « confirmation » qui semble venir de votre propre domaine. Vérifiez que votre domaine est protégé contre l'usurpation avec notre [vérificateur DMARC, SPF et DKIM](https://cybercaribou.com/outils/verificateur-dmarc-spf-dkim).

## Si vous pensez avoir été ciblé

Raccrochez, rappelez la vraie personne à un numéro connu, puis, si de l'argent est parti, appelez votre institution financière immédiatement : chaque heure compte pour bloquer un virement.

Ensuite :

1. Signalez l'incident à la police locale, au Centre antifraude du Canada et au Centre canadien pour la cybersécurité, comme le recommande l'avis conjoint.
2. Notez le numéro affiché, l'heure, la durée et le contenu de l'appel, et conservez les messages vocaux et textos.
3. Prévenez vos équipes : les fraudeurs pourraient essayer d'autres personnes de l'organisation.
4. Si des renseignements personnels ont été communiqués, évaluez s'il s'agit d'un incident de confidentialité au sens de la Loi 25 et validez avec votre conseiller juridique.
5. Révisez la procédure qui a cédé, sans chercher de coupable.

Vous voulez savoir si vos procédures de paiement et de soutien TI résisteraient à un appel bien imité ? Notre [audit de cybersécurité](https://cybercaribou.com/services/audit-cybersecurite) les passe en revue avec vos équipes. Pour en parler d'abord, réservez une [discussion gratuite](https://cybercaribou.com/discussion-gratuite).

## FAQ

**Est-ce qu'on peut vraiment cloner la voix de quelqu'un avec l'IA ?**
Oui. Le Bureau de la concurrence du Canada définit les hypertrucages comme des images, des vidéos ou des enregistrements audio réalistes qui imitent de vraies personnes, et signale que les fraudeurs utilisent le clonage vocal. En juin 2025, le Centre canadien pour la cybersécurité et le Centre antifraude du Canada ont aussi mis en garde contre des messages vocaux générés par l'IA qui imitaient de hauts responsables.

**Comment savoir si un appel utilise une voix clonée ?**
On ne peut pas s'y fier à l'oreille. Les autorités canadiennes citent quelques indices, comme un ton plat et artificiel, des bruits de fond inattendus ou des phrases entrecoupées, mais un bon clone peut ne présenter aucun de ces signes. La seule vérification fiable : raccrocher et rappeler la personne à un numéro que vous connaissez déjà.

**Un mot de code, est-ce vraiment utile contre les hypertrucages ?**
Oui, en complément. En décembre 2024, le FBI recommandait aux familles de convenir d'un mot ou d'une phrase secrète pour vérifier l'identité d'un appelant. En entreprise, une phrase de vérification connue seulement des finances et de la direction, jamais écrite dans un courriel et changée régulièrement, ajoute une barrière simple. Elle ne remplace ni le rappel ni la double approbation des virements.

**Que faire si on a fait un virement après un faux appel du président ?**
Appelez immédiatement votre institution financière pour tenter de bloquer ou de rappeler le virement, puis la police locale. Signalez ensuite l'incident au Centre antifraude du Canada et au Centre canadien pour la cybersécurité. Notez le numéro affiché, l'heure et le contenu de l'appel, et prévenez votre équipe : d'autres personnes pourraient être ciblées.

## Sources

- [Centre antifraude du Canada : Avis conjoint sur une campagne d'usurpation de l'identité de personnalités publiques (23 juin 2025)](https://antifraudcentre-centreantifraude.ca/news-nouvelles/2025/2025-06-23-fra.htm)
- [Bureau de la concurrence Canada : Méfiez-vous des imposteurs gouvernementaux générés par l'IA (9 mars 2026)](https://www.canada.ca/fr/bureau-concurrence/nouvelles/2026/03/mefiez-vous-des-imposteurs-gouvernementaux-generes-par-lia.html)
- [Centre canadien pour la cybersécurité : Évaluation des cybermenaces nationales 2025-2026](https://www.cyber.gc.ca/fr/orientation/evaluation-cybermenaces-nationales-2025-2026)
- [Centre antifraude du Canada : Besoin urgent d'argent (fraudes d'urgence)](https://antifraudcentre-centreantifraude.ca/scams-fraudes/emergency-urgence-fra.htm)
- [FBI IC3 : Criminals Use Generative Artificial Intelligence to Facilitate Financial Fraud (3 décembre 2024)](https://www.ic3.gov/PSA/2024/PSA241203)
- [CNN : British engineering giant Arup revealed as $25 million deepfake scam victim (16 mai 2024)](https://edition.cnn.com/2024/05/16/tech/arup-deepfake-scam-loss-hong-kong-intl-hnk)