Un appel téléphonique en pleine réunion. La voix, au bout du fil, est celle de votre PDG. Le ton est pressant, presque anxieux : un virement urgent doit partir avant la clôture bancaire, pour une acquisition confidentielle qui ne peut pas attendre. Sauf que ce n’est pas votre PDG. C’est une voix clonée par intelligence artificielle, à partir de quelques secondes d’une interview publiée sur YouTube. Ce scénario, longtemps digne d’un scénario de film d’espionnage, est aujourd’hui une réalité documentée dans plusieurs PME françaises.
Le spear phishing et les attaques BEC (Business Email Compromise) ne sont plus de simples emails mal traduits truffés de fautes d’orthographe. Le FBI estime que ces fraudes ont généré plus de 50 milliards de dollars de pertes cumulées dans le monde depuis 2013, et la tendance s’accélère avec l’arrivée d’outils d’IA générative accessibles à n’importe quel attaquant. Les dirigeants de PME, souvent identifiables en quelques clics sur LinkedIn ou sur le site de l’entreprise, sont devenus des cibles de choix. Cet article détaille les nouvelles techniques de fraude ciblée, les signaux d’alerte à connaître, et les protocoles concrets pour protéger votre entreprise.
Spear phishing et fraude BEC : de quoi parle-t-on ?
Le phishing classique ratisse large : un email générique envoyé à des milliers de destinataires, dans l’espoir qu’une poignée clique sur un lien piégé. Le spear phishing fonctionne à l’inverse. L’attaquant cible une seule personne, ou un petit groupe, après avoir mené une reconnaissance minutieuse sur ses habitudes, son organigramme, ses fournisseurs et son actualité professionnelle. Le message qui en résulte est crédible, personnalisé, et souvent impossible à distinguer d’une communication légitime au premier regard.
La fraude BEC (Business Email Compromise, parfois appelée fraude au président) est la finalité commerciale la plus répandue du spear phishing. L’attaquant usurpe l’identité d’un dirigeant, d’un fournisseur ou d’un partenaire de confiance pour déclencher une action financière : virement bancaire, changement de coordonnées de paiement, achat de cartes cadeaux, ou transmission de données confidentielles. Notre article sur la fraude au président et l’arnaque au virement détaille les mécanismes classiques de cette escroquerie. Ce qui change aujourd’hui, c’est l’échelle et la sophistication apportées par l’intelligence artificielle générative, qui permet d’automatiser la reconnaissance et de fabriquer des preuves audio ou vidéo falsifiées.
Pourquoi les dirigeants sont devenus la cible prioritaire
Un dirigeant de PME cumule plusieurs caractéristiques qui en font une cible de choix. Il dispose généralement d’un pouvoir de décision et de signature sur les paiements, sans les contrôles à double validation que l’on trouve dans les grands groupes. Son emploi du temps est chargé et ses échanges par email ou messagerie instantanée sont fréquents, ce qui rend plus facile de glisser un message frauduleux dans le flux. Enfin, son identité et ses habitudes professionnelles sont souvent exposées publiquement : profil LinkedIn détaillé, interviews vidéo, communiqués de presse, participation à des salons professionnels.
Cette exposition numérique constitue une mine d’or pour un attaquant qui prépare une attaque BEC. Quelques minutes de recherche suffisent pour reconstituer l’organigramme d’une PME, identifier qui a le pouvoir de valider un virement, et repérer le ton et le vocabulaire habituels du dirigeant. Les PME sont d’autant plus vulnérables qu’elles pensent souvent, à tort, ne pas être une cible suffisamment intéressante pour des attaquants organisés. Les chiffres démontrent l’inverse : les structures de moins de 250 salariés concentrent une part croissante des dossiers de fraude BEC traités par les assureurs cyber et les cellules de gendarmerie spécialisées.
Deepfake vocal, clonage vidéo : les nouvelles armes de l’IA
La véritable rupture de ces deux dernières années tient à la démocratisation des outils de clonage vocal et de génération vidéo par IA. Il suffit désormais de quelques secondes d’un enregistrement audio, extraites d’une conférence, d’une vidéo YouTube ou d’un podcast, pour entraîner un modèle capable de reproduire la voix d’une personne avec un réalisme troublant. Certains outils grand public permettent de générer une phrase inédite dans la voix cible en quelques minutes, sans compétence technique particulière.
Notre article sur les deepfakes et comment les reconnaître détaille les techniques de détection. Dans le contexte spécifique de la fraude BEC, ces deepfakes vocaux sont utilisés pour authentifier une demande de virement urgent lors d’un appel téléphonique, contourner une procédure de rappel téléphonique mal conçue en imitant la voix attendue, ou accompagner un email frauduleux d’un message vocal WhatsApp soi-disant envoyé par le dirigeant. Certains groupes cybercriminels vont plus loin en organisant de faux appels en visioconférence avec un deepfake vidéo temps réel, une technique encore rare mais déjà documentée sur de grandes entreprises internationales et qui devrait se démocratiser sur des cibles plus petites.
L’IA générative sert également en amont de l’attaque, pour rédiger des emails de spear phishing parfaitement écrits, sans les fautes de grammaire qui trahissaient autrefois les tentatives de fraude, et adaptés au registre de langue et aux habitudes rédactionnelles observées sur les communications publiques du dirigeant ciblé.
Anatomie d’une attaque BEC moderne
Une attaque BEC ciblée suit généralement un déroulé en plusieurs phases, étalé sur plusieurs jours voire plusieurs semaines. La phase de reconnaissance consiste à cartographier l’entreprise : identité du dirigeant et de son équipe financière, fournisseurs habituels, dates de déplacement professionnel du dirigeant (souvent visibles sur les réseaux sociaux), et éventuellement compromission d’une boîte mail par un phishing préalable pour observer le style des échanges réels.
Vient ensuite la phase de mise en scène : l’attaquant enregistre un nom de domaine visuellement proche du domaine légitime de l’entreprise (une lettre remplacée par un caractère similaire, une extension différente), ou compromet directement une messagerie professionnelle existante. Le message est envoyé à un moment stratégique, souvent en fin de journée ou pendant un déplacement connu du dirigeant, pour réduire les chances de vérification immédiate. La demande joue systématiquement sur l’urgence et la confidentialité : « ne pas en parler à l’équipe avant la finalisation », « dossier sensible qui ne doit pas fuiter ». Enfin, la phase d’exécution vise à obtenir le virement, la modification d’un RIB fournisseur, ou l’envoi de données confidentielles, avant que la supercherie ne soit découverte.
Les principales variantes de fraude BEC
Toutes les attaques BEC ne se ressemblent pas. Le tableau ci-dessous récapitule les variantes les plus fréquentes rencontrées par les PME françaises.
| Variante | Cible visée | Vecteur principal | Signal d’alerte typique |
|---|---|---|---|
| Fraude au président | Comptabilité, contrôle de gestion | Email usurpé + urgence + confidentialité | Demande de virement inhabituel hors procédure |
| Faux fournisseur / changement de RIB | Service achats, comptabilité fournisseurs | Compromission d’une boîte mail fournisseur réelle | Changement de coordonnées bancaires par simple email |
| Deepfake vocal du dirigeant | Direction financière, assistants de direction | Appel téléphonique avec voix clonée par IA | Demande orale non confirmée par écrit officiel |
| Usurpation d’avocat ou de notaire | Direction générale | Email lors d’une opération confidentielle (rachat, contentieux) | Pression sur la confidentialité et le délai |
| Phishing de paie (payroll diversion) | Service RH | Email usurpant un salarié demandant à modifier son IBAN | Changement d’IBAN juste avant une échéance de paie |
Les signaux d’alerte à repérer
Même les attaques les plus sophistiquées laissent des traces. Voici les signaux qui doivent systématiquement déclencher une vérification, quelle que soit la pression ressentie :
- Une demande de virement ou de changement de coordonnées bancaires accompagnée d’une insistance sur l’urgence et la confidentialité
- Un nom de domaine légèrement différent de celui utilisé habituellement (vérifier lettre par lettre l’adresse complète de l’expéditeur, pas seulement le nom affiché)
- Une demande formulée en dehors des canaux et horaires habituels de communication avec la personne concernée
- Un interlocuteur qui refuse ou élude un rappel téléphonique sur un numéro connu et vérifié au préalable
- Un ton ou un vocabulaire légèrement différent des habitudes rédactionnelles de la personne, malgré une orthographe parfaite
- Une pièce jointe ou un lien à ouvrir pour « confirmer » ou « valider » l’opération
Notre article sur l’ingénierie sociale et les techniques de manipulation des hackers approfondit les biais psychologiques (autorité, urgence, réciprocité) exploités par ces attaques.
Protocoles de vérification et bonnes pratiques
La parade la plus efficace contre la fraude BEC n’est pas exclusivement technique : c’est avant tout une question de procédure. Le principe central est simple à énoncer et pourtant rarement appliqué avec rigueur : aucune opération financière sensible ne doit reposer sur un seul canal de communication. Toute demande de virement inhabituel, de changement de RIB ou d’opération confidentielle doit être confirmée par un second canal, indépendant du premier.
Le tableau suivant propose un protocole de vérification gradué selon le montant en jeu, adaptable à la taille de votre PME.
| Montant / sensibilité | Niveau de vérification | Action requise |
|---|---|---|
| Tout changement de RIB fournisseur | Systématique | Appel au numéro déjà connu du fournisseur (jamais celui indiqué dans l’email) |
| Virement inférieur au seuil habituel | Standard | Validation par un second collaborateur habilité |
| Virement dépassant le seuil habituel | Renforcé | Rappel téléphonique direct au dirigeant sur un numéro vérifié + double validation |
| Demande urgente hors procédure ou hors horaires | Maximal | Blocage temporaire de l’opération jusqu’à confirmation en personne ou en visioconférence connue |
Au-delà du protocole de vérification, quelques mesures organisationnelles réduisent fortement la surface d’attaque : limiter la publication d’informations sensibles sur l’agenda et les déplacements des dirigeants sur les réseaux sociaux, former régulièrement les équipes comptables et administratives (voir notre guide de formation des employés à la cybersécurité), et instaurer un mot de code oral simple, changé périodiquement, pour authentifier les demandes urgentes par téléphone.
Checklist Cybersécurité PME – Gratuit
29 actions prioritaires pour protéger votre PME.
PDF à imprimer · Conformité RGPD & NIS2
Gratuit · Désabonnement en 1 clic
Solutions techniques : email security et IA
Les procédures humaines doivent s’appuyer sur des couches techniques complémentaires. Les protocoles d’authentification des emails (SPF, DKIM, DMARC) rendent beaucoup plus difficile l’usurpation directe de votre propre nom de domaine ; notre guide SPF, DKIM, DMARC détaille leur mise en place. Les solutions de sécurité des emails intégrant de l’IA détectent aujourd’hui des signaux invisibles à l’œil humain : anomalies dans l’historique de correspondance, incohérences d’en-têtes techniques, ou similarité suspecte avec un domaine légitime. Notre article sur l’IA et la sécurité des emails présente les principaux outils du marché.
La messagerie professionnelle elle-même mérite une attention particulière. De nombreuses attaques BEC démarrent par la compromission d’une boîte mail Microsoft 365 ou Google Workspace via un phishing d’identifiants classique, avant même l’usurpation d’identité proprement dite. Un hébergement email souverain, associé à un filtrage anti-phishing renforcé, réduit la surface d’attaque tout en évitant l’exposition de vos correspondances professionnelles à la portée du CLOUD Act américain.
Un hébergement email souverain pour réduire le risque de compromission
Infomaniak héberge vos emails professionnels exclusivement en Suisse, avec un filtrage anti-spam et anti-phishing intégré, sans exploitation publicitaire de vos données. Une alternative crédible aux suites américaines soumises au CLOUD Act, pour les PME qui veulent réduire leur exposition aux tentatives de compromission de boîte mail à l’origine de nombreuses fraudes BEC.
La gestion des identifiants constitue l’autre maillon technique critique : un mot de passe faible ou réutilisé sur la messagerie d’un dirigeant ou d’un membre de la comptabilité suffit souvent à déclencher toute la chaîne d’attaque décrite plus haut.
Éliminez les mots de passe faibles qui ouvrent la porte aux attaques BEC
NordPass génère et stocke des mots de passe uniques et robustes pour chaque compte de votre entreprise, avec un chiffrement de bout en bout et une détection des identifiants compromis. Un rempart simple à déployer contre la compromission de boîte mail, première étape de nombreuses fraudes BEC.
Enfin, côté organisation administrative, centraliser vos contrats fournisseurs et vos coordonnées bancaires de référence dans un outil de gestion unique et tracé limite le risque qu’un changement de RIB frauduleux passe inaperçu au milieu d’échanges d’emails dispersés.
Sécurisez le suivi de vos fournisseurs et de vos coordonnées bancaires
Axonaut est un logiciel de gestion PME français (CRM, facturation, contrats fournisseurs) hébergé en France et certifié ISO 27001. Il centralise vos coordonnées bancaires fournisseurs de référence et trace tout changement, un rempart pratique contre les demandes frauduleuses de changement de RIB. Zéro CLOUD Act, zéro données aux États-Unis.
Que faire en cas de fraude avérée
Si un virement frauduleux a déjà été exécuté, chaque minute compte. Contactez immédiatement votre banque pour demander un rappel du virement (SWIFT recall ou équivalent SEPA) : les chances de récupération diminuent fortement au-delà des premières heures. Déposez plainte sans délai auprès des services de police ou de gendarmerie, en mentionnant explicitement qu’il s’agit d’une fraude BEC, et signalez les faits sur la plateforme Perceval ou Thésée selon la nature de l’infraction. Prévenez votre assureur cyber si vous en avez souscrit un, et conservez l’intégralité des échanges (emails, en-têtes techniques, éventuels enregistrements vocaux) sans les modifier, car ils constitueront des preuves essentielles pour l’enquête.
Notre guide sur les 24 premières heures après une cyberattaque détaille l’ensemble des réflexes à adopter dans l’urgence, y compris la communication interne et, le cas échéant, les obligations de notification à la CNIL si des données personnelles ont été exposées.
Responsabilité juridique et assurance cyber
Une fraude BEC réussie n’est pas seulement une perte financière : elle peut engager la responsabilité du dirigeant vis-à-vis des associés ou des actionnaires, s’il s’avère qu’aucune procédure de vérification minimale n’avait été mise en place malgré les alertes largement diffusées sur ce type de menace. Notre article Dirigeant de PME : êtes-vous responsable en cas de cyberattaque ? détaille les conditions dans lesquelles cette responsabilité peut être engagée et les mesures qui permettent de la limiter.
Côté assurance, la plupart des contrats de cyber-assurance couvrent aujourd’hui la fraude au virement, mais souvent sous conditions strictes : existence d’une procédure de double validation documentée, formation des équipes, ou plafond de garantie spécifique à ce type de sinistre. Notre guide complet de l’assurance cyber pour PME permet de vérifier précisément ce que couvre, ou non, votre contrat actuel face à ce risque spécifique.
Cette dimension assurantielle et juridique s’inscrit dans une approche plus large de gouvernance de la sécurité, que notre panorama complet des technologies IA de cybersécurité 2026 et notre guide complet de la cybersécurité PME abordent de façon transversale.
Ressource recommandée
Guide Cybersécurité PME & IA 2026
Protégez votre PME des cyberattaques grâce à l’intelligence artificielle. 41 pages, 6 chapitres, un plan d’action 90 jours. Sans jargon technique, actionnable dès la première lecture.
Conclusion
Le spear phishing et la fraude BEC ne reposent plus uniquement sur la crédulité de la victime : ils exploitent désormais des outils d’intelligence artificielle capables de cloner une voix ou d’imiter un style rédactionnel avec une précision redoutable. Face à cette évolution, la meilleure protection reste paradoxalement humaine et organisationnelle : un protocole de vérification systématique par un second canal, une équipe formée aux signaux d’alerte, et une gouvernance claire sur qui peut valider quoi. Les solutions techniques, authentification des emails, gestionnaire de mots de passe, hébergement souverain et outils de détection par IA, viennent renforcer ce socle sans jamais le remplacer. Prenez le temps, dès aujourd’hui, de formaliser ce protocole avec votre équipe : c’est souvent la seule barrière entre un appel suspect et une perte financière définitive.
