La « fraude au président », aussi appelée CEO fraud, est un grand classique de la criminalité économique. Le principe : un escroc se fait passer pour un dirigeant de l’entreprise et ordonne à un collaborateur, souvent au service comptable, d’effectuer un virement urgent et confidentiel. Jusqu’ici, l’arme principale était le courriel truqué. Aujourd’hui, l’intelligence artificielle change la donne.

L’Office fédéral de la cybersécurité (NCSC, l’autorité fédérale chargée de la cybersécurité) a fait de cette menace le sujet d’une de ses alertes hebdomadaires début 2026. Les chiffres qu’il communique méritent l’attention des dirigeants de PME.

Une menace qui progresse fortement

Selon le NCSC, la fraude au président figure parmi les types d’escroquerie les plus fréquemment signalés en Suisse. Le nombre de cas annoncés est passé de 719 à 971 d’une année sur l’autre, soit une hausse d’environ 35 %. Cette progression traduit à la fois une intensification des attaques et une meilleure prise de conscience du phénomène.

Surtout, la méthode évolue. Les escrocs ne se contentent plus de faux courriels : ils passent de plus en plus par la messagerie WhatsApp ou par téléphone, terrains où la vérification est plus difficile et la pression psychologique plus forte.

Le tournant du clonage vocal

Le point le plus préoccupant concerne l’usage de l’intelligence artificielle. Un deepfake désigne un contenu (image, vidéo ou voix) fabriqué par intelligence artificielle pour imiter de façon très réaliste une personne réelle. Appliqué à la voix, le procédé permet de reproduire le timbre et l’intonation d’un dirigeant à partir de quelques enregistrements, par exemple une interview, une conférence en ligne ou un simple message vocal.

Le NCSC cite un cas concret survenu dans le canton de Schwyz : une entreprise y a perdu plusieurs millions de francs à la suite d’appels et de messages vocaux truqués reproduisant la voix d’un responsable. L’employé qui reçoit l’appel entend une voix qu’il croit connaître, dans un contexte d’urgence, et exécute la demande sans se douter de rien.

Le NCSC avait déjà alerté, à l’été 2025, sur l’utilisation de l’IA pour usurper l’image et la voix de personnalités publiques dans des arnaques diffusées en ligne. La même technologie sert désormais à cibler directement les entreprises.

Pourquoi les PME sont particulièrement exposées

On imagine souvent que ce type de fraude vise les grands groupes. C’est une erreur. Dans une PME, les circuits de décision sont courts et informels, la relation avec la direction est directe, et il est parfois difficile pour un collaborateur de remettre en question un ordre venu « d’en haut ». Ce sont justement ces caractéristiques que les escrocs exploitent : l’autorité, l’urgence et la confidentialité, trois leviers qui court-circuitent la réflexion.

De plus, une PME dispose rarement de procédures écrites et strictes pour valider un paiement inhabituel. C’est précisément l’absence de garde-fou qui fait la différence entre une tentative déjouée et une perte sèche.

Ce que vous pouvez faire dès maintenant

La bonne nouvelle, c’est que la parade principale ne coûte rien et repose sur l’organisation, pas sur la technologie. Le NCSC recommande le principe des quatre yeux (ou principe des deux personnes) : tout paiement important ou toute modification de données sensibles, comme un changement de coordonnées bancaires d’un fournisseur, doit être validé conjointement par deux personnes.

À cela s’ajoutent quelques règles simples. Vérifiez toujours une demande urgente par un canal connu et différent : rappelez le dirigeant sur son numéro habituel, ne répondez jamais au numéro fourni dans le message suspect. Établissez clairement, auprès de vos équipes, qu’aucune procédure de sécurité ne peut être contournée, même sur ordre de la direction. Une voix, aujourd’hui, ne prouve plus l’identité de son interlocuteur.

En conclusion

La fraude au président par clonage vocal montre que la cybersécurité n’est plus seulement une affaire de pare-feu et d’antivirus, mais aussi de processus humains. Mettre en place le principe des quatre yeux et des règles de vérification est à la portée de toute PME, et c’est une première ligne de défense indispensable. Mais chaque entreprise a ses propres flux financiers, ses interlocuteurs, ses habitudes. Définir des procédures réellement adaptées à votre organisation, former vos équipes aux bons réflexes et tester leur solidité demande un accompagnement sur mesure, car c’est là que se joue la différence entre une règle affichée et une protection qui fonctionne vraiment.