Clonage vocal par IA : comment les hackers imitent la voix de votre dirigeant pour vous escroquer

Le téléphone sonne dans le service comptabilité. C’est la voix du dirigeant : son accent, son rythme, sa façon de s’adresser à vous. Il demande un virement urgent et confidentiel pour une opération stratégique, et insiste pour que cela reste entre vous deux. Tout sonne juste, sauf un détail : ce n’est pas lui.

Le clonage vocal par IA permet à des escrocs de reproduire la voix d’une personne à partir de quelques enregistrements, puis de lui faire dire ce qu’ils veulent. La technique renforce une escroquerie ancienne, le faux ordre de virement, que nous détaillons dans notre article sur la fraude au président. Elle en supprime surtout le principal point faible : les emails maladroits et la voix inconnue qui trahissaient autrefois les fraudeurs. Cet article explique comment fonctionne l’attaque, ce que montrent les cas réels et les chiffres officiels, ce que dit le droit français, et comment organiser la défense d’une PME sans équipe de sécurité dédiée.

L’essentiel à retenir

• Le clonage vocal par IA imite le timbre, l’accent et le rythme d’une personne à partir d’enregistrements courts, souvent publics.
• Il sert surtout à des faux ordres de virement, des changements de RIB et des demandes de codes d’accès.
• L’oreille humaine ne suffit pas : dans une étude de l’University College London (2023), les participants ne repéraient les voix synthétiques que dans 73 % des cas.
• La parade efficace est organisationnelle : rappel sur un numéro connu, double validation, question de vérification, refus de donner un code par téléphone.
• En cas de virement frauduleux, chaque heure compte : alerter la banque, demander le retour des fonds, conserver les preuves et déposer plainte.

Qu’est-ce que le clonage vocal par IA ?

Le clonage vocal par IA, aussi appelé deepfake audio ou deepfake vocal, consiste à utiliser un modèle d’intelligence artificielle pour produire une voix synthétique qui imite celle d’une personne réelle : timbre, accent, rythme, intonations. Une fois la voix « apprise », le modèle peut lui faire prononcer n’importe quelle phrase à partir d’un texte. Certains outils transforment aussi, en temps réel, la voix d’un interlocuteur en celle de la personne imitée.

Le seuil d’entrée s’est effondré en quelques années. Dès janvier 2023, des chercheurs de Microsoft ont présenté VALL-E, un modèle capable de reproduire une voix à partir d’un enregistrement de trois secondes seulement. Il s’agissait d’un travail de recherche, mais les services grand public ont suivi. Dans sa synthèse de la menace sur l’IA générative (CERTFR-2026-CTI-001, 4 février 2026), l’ANSSI observe que de nombreux cybercriminels exploitent, pour quelques dizaines de dollars, des services de deepfakes à des fins d’usurpation d’identité.

L’agence précise aussi qu’aucun système d’IA générative n’a pu, à ce jour, mener seul toutes les étapes d’une attaque informatique : l’IA est un amplificateur pour les escrocs, pas un pirate autonome. Le clonage vocal ne pirate d’ailleurs aucun système, il exploite la confiance, ce qui en fait une technique d’ingénierie sociale. Pour son pendant vidéo, consultez notre guide pour reconnaître les deepfakes.

Comment les escrocs clonent la voix de votre dirigeant ?

Une attaque par clonage vocal suit généralement cinq étapes. Aucune n’exige de compétence technique avancée, et la plupart s’appuient sur des informations que votre entreprise rend elle-même publiques.

1. Collecte de la voix. L’escroc récupère des enregistrements du dirigeant : interviews, podcasts, webinaires, vidéos de présentation sur LinkedIn ou YouTube, messages vocaux. Selon l’outil, quelques secondes à quelques minutes d’audio suffisent.
2. Génération du clone. Un service de synthèse vocale reproduit la voix. Le résultat peut être préparé à l’avance ou généré en direct pendant l’appel.
3. Repérage de l’organisation. L’escroc identifie qui peut ordonner ou exécuter un virement : comptable, assistante de direction, directeur administratif et financier. La fiche réflexe de Cybermalveillance.gouv.fr recommande d’ailleurs de limiter la publication d’informations permettant d’identifier et de contacter les collaborateurs habilités à demander des virements ou à modifier des coordonnées bancaires.
4. Mise en scène. L’appel arrive d’un numéro usurpé, d’un compte WhatsApp ou d’une invitation de visioconférence. Le scénario joue sur l’urgence et la confidentialité : rachat, contrôle fiscal, dossier sensible. Cybermalveillance.gouv.fr décrit ce caractère « urgent et confidentiel » comme la marque de l’arnaque au Président.
5. Encaissement. Les fonds sont virés vers un compte bancaire souvent situé à l’étranger. Plus l’alerte est tardive, moins les chances de récupération sont élevées.

La Gendarmerie nationale rappelle que ces attaques surviennent souvent en soirée, pendant les vacances ou au milieu d’un pont, quand l’équipe comptable est réduite. Le clonage vocal ajoute à ce calendrier une crédibilité que l’email ne permettait pas. Notre article sur le spear phishing et les attaques BEC ciblées détaille le volet email de ces campagnes.

Cas réels : ce que révèlent les fraudes par voix clonée

Plusieurs affaires documentées montrent que la technique fonctionne, et surtout comment elle a parfois été déjouée.

2019, Royaume-Uni : 220 000 € détournés. Le dirigeant d’une entreprise britannique du secteur de l’énergie reçoit un appel qu’il croit venir du PDG de sa maison mère allemande. Il reconnaît l’accent et la mélodie de la voix. On lui demande de virer 220 000 € à un fournisseur hongrois dans l’heure. D’après le Wall Street Journal, qui citait l’assureur Euler Hermes (devenu Allianz Trade), il s’agit de l’un des premiers cas connus en Europe de cybercriminalité reposant clairement sur l’IA, et la presse spécialisée française s’en est fait l’écho. L’assureur a indemnisé la totalité de la perte.

Début 2024, Hong Kong : 25,6 millions de dollars chez Arup. Un salarié de la direction financière du groupe d’ingénierie reçoit un message se réclamant du directeur financier britannique, qui évoque une transaction confidentielle. Il soupçonne d’abord un hameçonnage, puis participe à une visioconférence où le directeur financier et plusieurs collègues, tous recréés par IA à partir de vidéos et de voix publiques, dissipent ses doutes. Il exécute 15 virements, soit environ 200 millions de dollars de Hong Kong, vers cinq comptes (CFO Dive, South China Morning Post). La fraude n’est découverte que lorsqu’il interroge le siège. Arup, qui avait signalé l’affaire à la police dès janvier, a confirmé à la presse que des voix et des images falsifiées avaient été utilisées et a indiqué qu’aucun de ses systèmes internes n’avait été compromis. Son responsable informatique, Rob Greig, en a tiré les enseignements dans un témoignage publié par le Forum économique mondial.

Mai 2024, WPP : une tentative déjouée. Des escrocs créent un faux compte WhatsApp à partir d’une photo publique du PDG, Mark Read, puis organisent une réunion Microsoft Teams avec un clone de sa voix et des extraits vidéo issus de YouTube, pour demander à un responsable d’agence de lancer une nouvelle activité et de transmettre argent et informations personnelles. Selon le Guardian, l’attaque a échoué grâce à la vigilance des équipes.

Juillet 2024, Ferrari : la question qui a fait raccrocher l’escroc. Un cadre dirigeant reçoit des messages WhatsApp d’un numéro inconnu avec une photo de profil différente, puis un appel imitant l’accent du PDG Benedetto Vigna. Selon Bloomberg, il remarque des intonations légèrement mécaniques et demande quel livre le PDG lui a recommandé quelques jours plus tôt. L’appel s’interrompt aussitôt. Ferrari n’a pas commenté l’affaire (récapitulatif OECD.AI).

2025, des responsables américains usurpés. Le FBI a publié le 15 mai 2025 une alerte sur une campagne de messages texte et de messages vocaux générés par IA se faisant passer pour de hauts responsables américains, afin de gagner la confiance de leurs contacts et de prendre le contrôle de leurs comptes. Une mise à jour de décembre 2025 indique que ces pratiques remontent à 2023 au moins, avec un passage quasi immédiat vers une messagerie chiffrée. Le schéma est transposable à une PME : faux dirigeant, appel ou message vocal, puis changement de canal.

Dans les cas Ferrari et WPP, ce n’est pas un outil de détection qui a protégé l’entreprise, mais un réflexe : poser une question que seul le vrai dirigeant pouvait résoudre, ou remonter l’alerte. C’est précisément ce que formalise la partie protection de cet article.

Les chiffres : une menace en forte hausse

Les statistiques disponibles viennent de déclarations, pas d’un recensement exhaustif. Elles convergent toutefois toutes dans la même direction.

• FBI, rapport IC3 2025 (publié en avril 2026). 24 768 plaintes pour compromission de messagerie d’entreprise (BEC) en 2025, contre 21 442 en 2024, pour 3,05 milliards de dollars de pertes déclarées (2,77 milliards en 2024). Le rapport indique que le clonage vocal peut servir à demander un virement, et que les entreprises ont déclaré plus de 30 millions de dollars de pertes liées à des BEC impliquant l’IA. Ce sont des données américaines, mais les techniques sont les mêmes en France.
• Gartner, enquête publiée le 22 septembre 2026. Sur 297 responsables de la cybersécurité interrogés entre mars et mai 2026, 41 % déclarent au moins un incident d’ingénierie sociale impliquant un deepfake lors d’un appel audio d’employé au cours des douze derniers mois, et 36 % lors d’un appel vidéo. Gartner recommande de déclencher un processus de vérification pour toute demande à enjeu, quelle que soit la crédibilité de l’échange.
• France, baromètre fraude 2026 d’Allianz Trade et Odoxa. Selon le Journal du Net, 76 % des dirigeants estiment que l’IA accroît le risque de fraude, notamment via le clonage vocal et le deepfake vidéo, et 60 % des PME déclarent avoir subi au moins une tentative de fraude sur douze mois, toutes fraudes confondues.
• Cybermalveillance.gouv.fr. La fiche sur les faux ordres de virement précise que cette escroquerie « concerne tous les types d’organisation ».

Pourquoi les PME françaises sont des cibles idéales ?

Une grande entreprise dispose d’une chaîne de validation, d’un service juridique et souvent d’une équipe de sécurité. Dans une PME, le dirigeant décide vite, la comptable reconnaît sa voix, et personne n’ose rappeler le patron pour vérifier. Quatre facteurs expliquent cette exposition :

• Un dirigeant très exposé. Site web, LinkedIn, vidéos de présentation, podcasts, salons : sa voix est souvent publique et de bonne qualité.
• Des circuits de décision courts. Un virement peut être déclenché par une seule personne, sans seconde validation.
• Une relation de proximité. L’équipe connaît la voix du dirigeant et hésite à contester un ordre direct, surtout lorsqu’il est présenté comme confidentiel.
• Peu de procédures formalisées. Ni rappel obligatoire, ni mot de code, ni entraînement aux appels frauduleux.

Pour une petite structure, un seul virement perdu peut peser lourd sur la trésorerie : notre analyse du coût réel d’une cyberattaque pour une PME et notre étude sur les raisons pour lesquelles les PME sont les cibles préférées des hackers détaillent cette logique économique.

Les scénarios d’attaque les plus fréquents

Le clonage vocal sert plusieurs scénarios, qui ont un point commun : une demande inhabituelle, présentée comme urgente, par un canal qui contourne la procédure habituelle. Le tableau ci-dessous les résume, avec le signal d’alerte à rechercher.

Les trois premiers scénarios correspondent aux variantes décrites par Cybermalveillance.gouv.fr : faux dirigeant, changement de RIB fournisseur et usurpation d’un salarié pour détourner sa paie. Les deux suivants, changement de canal et visioconférence, sont ceux qu’ont documentés le FBI, Ferrari, WPP et Arup.

Peut-on reconnaître une voix clonée à l’oreille ?

La réponse honnête est non, pas de façon fiable. Une étude de l’University College London, publiée dans la revue PLOS ONE en 2023, a fait écouter des échantillons de voix à 529 participants, en anglais et en mandarin. Ils n’ont identifié les voix synthétiques que dans 73 % des cas, et un entraînement préalable n’a que légèrement amélioré les résultats. Les auteurs notent que ces voix avaient été produites avec des algorithmes relativement anciens : les technologies actuelles posent la question d’une détection encore plus difficile.

Quelques indices peuvent éveiller des soupçons, sans jamais constituer une preuve :

• une intonation légèrement mécanique, comme l’a remarqué le cadre de Ferrari ;
• un temps de latence inhabituel avant les réponses ;
• un numéro, un compte de messagerie ou une photo de profil différents de ceux habituels ;
• une difficulté à répondre à une question imprévue.

Mais un faux peut très bien combiner une voix quasi parfaite et un numéro usurpé. La conclusion de Gartner est la bonne : pour toute demande à enjeu, déclenchez une vérification, quelle que soit la conviction de l’échange. Les outils de détection automatique progressent, mais ils ne remplacent pas une procédure.

Ce que dit la loi : sanctions et responsabilités

En France, utiliser une voix clonée pour obtenir un virement n’est pas un vide juridique. La fiche réflexe sur les faux ordres de virement, publiée par Cybermalveillance.gouv.fr avec le ministère de l’Intérieur et l’ANSSI, rappelle les infractions qui peuvent être retenues :

• Escroquerie (article 313-1 du Code pénal) : cinq ans d’emprisonnement et 375 000 € d’amende, la tentative étant punie des mêmes peines.
• Usurpation d’identité (article 226-4-1) : un an d’emprisonnement et 15 000 € d’amende.
• Accès frauduleux à un système de traitement automatisé de données (article 323-1), lorsque l’attaque s’appuie sur le piratage d’une messagerie : trois ans d’emprisonnement et 100 000 € d’amende.

Les deepfakes ont en outre leur propre texte. Depuis la loi du 21 mai 2024 visant à sécuriser et réguler l’espace numérique (SREN), l’article 226-8 du Code pénal sanctionne la diffusion d’un contenu sonore ou visuel généré par un traitement algorithmique et reproduisant la voix ou l’image d’une personne sans son consentement, lorsque son caractère artificiel n’est pas évident ou n’est pas signalé. La peine est d’un an d’emprisonnement et 15 000 € d’amende, portée à deux ans et 45 000 € en cas de diffusion par un service de communication en ligne (voir la page de la CNIL sur les hypertrucages).

Au niveau européen, l’article 50 du règlement sur l’IA (AI Act) oblige les déployeurs de systèmes d’IA à indiquer qu’un contenu audio, image ou vidéo de type deepfake a été généré ou manipulé artificiellement, à compter du 2 août 2026. Ces obligations visent les utilisateurs de bonne foi : elles ne protègent pas votre entreprise contre des escrocs qui ne les respecteront pas.

Reste la question de l’argent perdu. Par deux arrêts du 12 juin 2025 (n° 24-13.697 et n° 24-10.168), la chambre commerciale de la Cour de cassation a jugé que l’entreprise victime d’une fraude au président doit établir l’existence d’anomalies apparentes dans les ordres de virement pour engager la responsabilité de sa banque. En présence de telles anomalies, la banque doit surseoir au virement ou le refuser (analyse du Monde du Droit). Autrement dit, la banque n’est pas un filet de sécurité automatique : la prévention reste d’abord l’affaire de l’entreprise. Pour évaluer votre situation précise, rapprochez-vous d’un avocat, et lisez notre article sur la responsabilité du dirigeant en cas de cyberattaque.

Enfin, si votre entreprise relève de la directive NIS2, son article 21 prévoit parmi les mesures de gestion des risques des pratiques d’hygiène informatique de base et la formation à la cybersécurité, ainsi que, lorsque c’est approprié, l’authentification multifacteur et des communications vocales, vidéo et textuelles sécurisées. Notre guide de conformité NIS2 pour PME détaille ces mesures.

Comment protéger votre PME ? Sept règles concrètes

Ces règles reprennent les recommandations de Cybermalveillance.gouv.fr, du FBI et de Gartner, traduites pour une PME sans équipe de sécurité dédiée.

1. Rendre non dérogeable la validation des virements inhabituels. Cybermalveillance.gouv.fr recommande une procédure de vérification et de validation hiérarchique interne non dérogeable pour les demandes de virement imprévues et les changements de coordonnées bancaires. Au-delà d’un seuil, exigez deux validateurs distincts, sans exception pour « le dirigeant en déplacement ».
2. Rappeler sur un numéro connu. Raccrochez, puis rappelez la personne sur un numéro identifié de façon indépendante (annuaire interne, contrat), jamais sur celui qui vient de vous appeler. C’est la recommandation du FBI.
3. Convenir d’une question ou d’un mot de code. Le FBI conseille de convenir d’un mot secret pour confirmer une identité. Entre le dirigeant et l’équipe finance, une question dont la réponse n’est pas publique, comme dans le cas Ferrari, joue le même rôle. Renouvelez-la régulièrement et ne l’écrivez jamais dans un message non chiffré.
4. Ne jamais donner un code ou un mot de passe par téléphone. Le FBI rappelle de ne jamais communiquer un code d’authentification à deux facteurs à quiconque. Activez l’authentification multifacteur partout, et partagez les accès via un gestionnaire de mots de passe plutôt qu’à voix haute. Notre pilier sur la gestion des identités et des accès détaille la démarche.
5. Limiter l’exposition publique. Évitez de publier un organigramme détaillé avec des lignes directes et l’identité des personnes habilitées à payer. Pour la voix, réfléchissez avant de diffuser de longs enregistrements propres du dirigeant, et protégez les enregistrements de réunions et les messageries vocales.
6. Former et entraîner les équipes. Simulez des appels de faux dirigeant, comme on simule du phishing, et autorisez explicitement chaque salarié à raccrocher et à vérifier sans crainte de reproche. Voir notre guide pour former ses employés à la cybersécurité.
7. Mettre à jour vos documents de référence. Intégrez la voix clonée à votre charte IA et à votre plan de réponse à incident, et vérifiez avec votre assureur si les fraudes par usurpation d’identité sont couvertes, et à quelles conditions (voir pourquoi un assureur refuse parfois d’indemniser).

Pour faire le point sur vos procédures de paiement, d’accès et de formation, l’audit cybersécurité PME de SIAC Media permet d’identifier les failles prioritaires. Pour ajouter un volet sur l’usage de l’IA et des voix synthétiques à votre document existant, le générateur de charte IA de SIAC Media vous guide pas à pas. Ces règles s’inscrivent dans une démarche globale, présentée dans notre guide complet de la cybersécurité PME 2026 et notre panorama des technologies IA en cybersécurité.

Procédure de vérification : qui valide quoi ?

Une règle n’est efficace que si chacun sait quoi faire dans chaque situation. Ce modèle de procédure peut être adapté, imprimé et affiché dans le service comptable.

Le point décisif est la mention « sans exception ». Une procédure que l’on contourne dès qu’une demande semble venir du haut est exactement celle que les escrocs exploitent. Veillez aussi à ce que le dirigeant lui-même applique la règle : un dirigeant qui valide un virement en un coup de fil, une fois, rend la procédure inapplicable pour tous les autres.

Souveraineté : où sont stockés vos enregistrements audio et vos échanges ?

Un clone vocal a besoin de matière première : de l’audio. Les enregistrements d’appels, les messageries vocales et les comptes rendus audio de réunions hébergés chez des prestataires constituent une cible pour qui veut cloner une voix après une fuite de données. Savoir où sont stockés ces enregistrements, par qui, et sous quel droit, est donc un enjeu de sécurité autant que de conformité.

Le CLOUD Act américain de 2018 permet aux autorités américaines d’exiger d’un fournisseur soumis à leur droit la communication de données qu’il contrôle, y compris lorsqu’elles sont hébergées hors des États-Unis. Pour la téléphonie, la visioconférence et la transcription d’une PME, privilégier des fournisseurs européens ou suisses réduit cette exposition. Notre guide sur la cybersécurité souveraine et le CLOUD Act détaille la démarche.

Deuxième enjeu : disposer d’un canal de vérification indépendant du téléphone. Quand un faux dirigeant appelle, le bon réflexe consiste à le contacter sur un canal où son identité est liée à un compte protégé par authentification forte, par exemple une messagerie d’équipe ou une visioconférence interne. C’est ce que permet kSuite d’Infomaniak, qui réunit messagerie, kChat et visioconférence kMeet, développées et hébergées en Suisse par une société indépendante des géants américains. La Suisse bénéficie d’une décision d’adéquation de la Commission européenne pour la protection des données. Pour en savoir plus, lisez notre analyse de kSuite, l’alternative souveraine à Microsoft 365 et notre dossier sur l’écosystème cloud souverain d’Infomaniak. Un canal sécurisé ne protège évidemment pas d’un compte piraté : l’authentification multifacteur reste indispensable.

Que faire si votre PME a été victime ?

Si un virement a été exécuté, la rapidité conditionne les chances de récupération. Voici l’ordre d’action recommandé par la fiche réflexe de Cybermalveillance.gouv.fr, que nous complétons sur les volets assurance et données personnelles.

1. Identifier tous les virements frauduleux exécutés, en instance ou à venir, informer la hiérarchie et le service comptable, et demander le blocage des coordonnées bancaires frauduleuses dans vos applications métiers.
2. Suspendre le virement s’il n’est pas encore exécuté, en contactant immédiatement le service comptable.
3. Alerter immédiatement la banque et demander le retour des fonds. La banque peut exiger votre dépôt de plainte pour récupérer les sommes.
4. Conserver les preuves : numéros de téléphone, messages reçus, ordres de virement, factures, et tout enregistrement de l’appel s’il existe.
5. Changer les mots de passe si la fraude a pu être permise par le piratage d’une messagerie, et réinitialiser les méthodes d’authentification associées.
6. Déposer plainte sans tarder au commissariat de police ou à la gendarmerie, avec toutes les preuves en votre possession.
7. Prévenir votre assureur dans les délais prévus par le contrat, et évaluer avec votre délégué à la protection des données si une violation de données personnelles impose une notification à la CNIL.

Le numéro vert Info Escroqueries du ministère de l’Intérieur (0 805 805 817) conseille les victimes, mais il ne remplace pas le dépôt de plainte. Pour la démarche complète, consultez notre guide Qui prévenir en cas de cyberattaque, notre plan de réponse à incident et les 24 premières heures après une cyberattaque. Traitez le salarié qui a exécuté l’ordre comme une victime de manipulation et non comme un coupable : c’est le meilleur moyen d’obtenir un récit fiable et de maintenir une culture où l’on signale vite.

Questions fréquentes sur le clonage vocal par IA

Combien de secondes d’audio faut-il pour cloner une voix ?

Des chercheurs de Microsoft ont montré en 2023, avec le modèle VALL-E, qu’un enregistrement de trois secondes pouvait suffire à imiter une voix en laboratoire. Dans la pratique, la qualité dépend de l’outil et augmente avec la durée et la propreté des enregistrements, d’où l’intérêt de limiter ceux que votre entreprise publie.

Le clonage vocal est-il illégal en France ?

Reproduire la voix d’une personne avec son accord n’est pas interdit en soi. L’utiliser pour tromper une victime constitue une escroquerie, punie de cinq ans d’emprisonnement et 375 000 € d’amende, et peut relever de l’usurpation d’identité. Diffuser une voix synthétique sans le consentement de la personne et sans en signaler le caractère artificiel est puni par l’article 226-8 du Code pénal.

Comment savoir si l’appel de mon dirigeant est authentique ?

Raccrochez, puis rappelez-le sur un numéro que vous connaissez déjà, ou contactez-le via votre messagerie interne. Posez une question dont seule la vraie personne connaît la réponse. Ne vous fiez ni à la voix ni au numéro affiché, qui peut être usurpé.

Quelle est la différence entre fraude au président et clonage vocal ?

La fraude au président, ou faux ordre de virement, est l’escroquerie : amener un salarié à virer des fonds en usurpant l’identité d’un dirigeant. Le clonage vocal est une technique qui rend cette escroquerie plus crédible en imitant la voix du dirigeant.

Mon assurance cyber couvre-t-elle un virement obtenu avec une fausse voix ?

Cela dépend entièrement de votre contrat : certaines polices prévoient une garantie spécifique pour la fraude par usurpation d’identité, d’autres l’excluent ou l’assortissent de conditions de procédure. Vérifiez-le avant d’en avoir besoin, et lisez notre article sur les refus d’indemnisation par les assureurs.

Faut-il interdire les ordres de virement par téléphone ?

Aucune voix, même parfaitement reconnaissable, ne devrait suffire à déclencher un virement inhabituel. Plutôt que d’interdire le téléphone, imposez une validation indépendante : rappel sur un numéro connu et double validation au-delà d’un seuil.

Que faire si un salarié a déjà exécuté le virement ?

Alertez immédiatement la banque pour demander le retour des fonds, conservez toutes les preuves et déposez plainte. Le détail des étapes figure dans la section « Que faire si votre PME a été victime ? » ci-dessus.

Conclusion

Le clonage vocal par IA ne crée pas une nouvelle escroquerie : il rend crédible une escroquerie ancienne. Les cas d’Arup, de WPP et de Ferrari, les alertes du FBI et les enquêtes de Gartner et d’Allianz Trade convergent sur un point : la voix, le visage et le numéro affiché ne prouvent plus l’identité d’un interlocuteur. Ce qui protège une PME, ce n’est pas l’oreille de ses collaborateurs, mais une procédure simple, connue de tous et appliquée sans exception, y compris lorsque la demande semble venir du dirigeant.

La bonne séquence consiste à vérifier avant d’agir, à limiter ce que l’on rend public, à former les équipes et à préparer la réaction en cas d’incident. Cette démarche s’intègre dans votre stratégie globale, présentée dans notre guide complet de la cybersécurité PME 2026 et notre panorama des technologies IA en cybersécurité. Elle prolonge aussi la réflexion engagée sur le shadow AI et sur les agents IA autonomes, deux autres usages de l’IA qui déplacent le risque vers l’action. Pour situer ce chantier parmi vos priorités réelles, l’audit cybersécurité PME de SIAC Media reste le point de départ le plus rapide.