Une arnaque faux patron IA aurait permis de détourner plus de 129 millions de dollars, selon la justice américaine. Le plus troublant n'est pas la voix imitée. C'est l'instant où un salarié doit pouvoir répondre : « Je vous rappelle ».
Qui est poursuivi, et qu'est-ce qui est réellement établi ?
Rien n'est jugé à ce stade. Le parquet fédéral de Manhattan a rendu publiques, le 5 novembre, des poursuites contre trois hommes soupçonnés d'avoir utilisé des voix ou des images de dirigeants produites avec l'IA pour escroquer des entreprises. Le montant allégué dépasse 129 millions de dollars.
Quelques repères, tous au conditionnel puisqu'il s'agit d'accusations :
- Période : 2024-2026. Le communiqué, relayé par NBC News, parle de juillet 2024 à février 2026.
- Charges : selon CBS News, fraude électronique (wire fraud), usurpation d'identité aggravée et blanchiment.
- Rôles allégués : Jacob Soall se serait surtout fait passer pour des avocats britanniques, et Sharon Hazan aurait blanchi les fonds. Guy Sheetrit est le troisième accusé.
- Arrestations : elles sont intervenues séparément en Espagne et au Royaume-Uni, entre juin et septembre 2026. Menow précise que l'annonce de novembre ne correspond pas à trois arrestations de la semaine. Les demandes d'extradition étaient pendantes, d'après CBS.
Les victimes citées vont d'un groupe hospitalier du Missouri (4,83 M$) à une fintech britannique (11,58 M$). On trouve aussi une banque du Rhode Island, un hôpital californien, un fonds du Massachusetts et un fabricant d'aliments pour animaux en Floride. D'après les montants publiés, ces six cas totalisent environ 32 M$. Le reste des 129 M$ n'est pas détaillé dans les sources que nous avons lues.
Comment un salarié se retrouve-t-il à lancer le virement ?
Selon le schéma décrit, le salarié n'est jamais confronté à une seule demande. Il est conduit pas à pas par plusieurs interlocuteurs qui se confirment les uns les autres, jusqu'à un ordre de paiement qui paraît validé de partout.
- Le ciblage. Les fraudeurs viseraient des employés, typiquement des services comptables.
- Le courriel. Un message attribué au dirigeant ouvrirait la discussion autour d'une opération confidentielle.
- L'appel. Une imitation de sa voix ou de son image viendrait conforter la demande. Le salarié reconnaît « son » patron.
- L'avocat. La victime serait orientée vers un prétendu avocat d'un grand cabinet, lui aussi usurpé, chargé d'organiser le paiement. Selon le communiqué, Soall aurait gardé un script manuscrit intitulé « Lawyer Call ».
- Le virement. Un des complices demanderait alors d'envoyer de grosses sommes vers des comptes bancaires ouverts dans plusieurs pays.
Le détail du script manuscrit mérite qu'on s'y arrête. Il laisse penser que le dispositif mêlait de la technologie et du théâtre ordinaire, et que la voix imitée n'était qu'un des leviers.
Nous ne savons pas non plus combien de salariés ont refusé, ni quelles procédures internes existaient chez les victimes. Les sources n'en disent rien. Tout ce qui suit est donc un raisonnement sur le schéma décrit, pas un constat sur ces entreprises.
À quelle étape un contre-appel aurait-il cassé la chaîne ?
À presque chacune, sauf si le rappel se fait au mauvais endroit. Le principe tient en une phrase : on vérifie la demande hors de la conversation, en rappelant la personne sur son numéro habituel, déjà enregistré ou connu. Menow en fait le réflexe central.
| Étape du schéma allégué | Ce que fait le fraudeur | Ce qui aurait pu le bloquer |
|---|---|---|
| Courriel « du dirigeant » | Ouvre une opération confidentielle | Ne rien engager sur la foi d'un courriel : le nom affiché n'est pas une preuve |
| Appel avec voix imitée | Fait reconnaître une voix familière | Raccrocher, puis rappeler le vrai numéro. Une voix n'authentifie plus rien |
| Appel du « faux avocat » | Transfère la confiance à un tiers | Refuser de valider via un contact fourni par la demande elle-même |
| Coordonnées bancaires | Impose un compte inconnu, parfois à l'étranger | Exiger une seconde validation interne pour tout nouveau bénéficiaire |
| Ordre de virement | Joue l'urgence et la confidentialité | Une double signature : le salarié n'est plus seul à décider |
Le troisième maillon est le plus instructif. Consulter « l'avocat » ne constituait pas une vérification indépendante, car les deux personnages faisaient partie du même dispositif présumé. Beaucoup d'entreprises croient avoir un contrôle parce qu'elles ont fait appel à une seconde personne. Si cette personne a été fournie par celui qu'on veut vérifier, ce n'est pas un contrôle.
Pourquoi la détection de deepfake n'est pas la bonne piste
On entend souvent qu'il faut apprendre à repérer les voix synthétiques. Nous voyons l'inverse sur le terrain : à 17 h, fatigué, face à un dirigeant qui demande de la discrétion, personne ne tend l'oreille pour chercher des défauts. Une règle fonctionne même quand le deepfake est parfait, alors que l'oreille ne le fait pas.
La confidentialité est aussi un signal d'alarme, pas une consigne à respecter. Elle isole le salarié de ses collègues, c'est-à-dire du seul contrôle qui l'aurait aidé.
Cette règle a un coût qu'il faut assumer : une opération légitime peut attendre dix minutes, ou jusqu'au lundi si le vrai dirigeant est injoignable. Elle ne tient que si le dirigeant a dit à l'avance que le rappel est attendu et ne sera jamais pris pour de la défiance. Sans cela, le salarié aura peur de déranger.
Vendredi, 17 h : que feriez-vous ?
Prenons une scène imaginaire, construite sur le schéma décrit et sans rapport avec un fait précis de l'affaire. Vous êtes assistante comptable dans une PME. À 16 h 40, un courriel de votre dirigeant évoque une acquisition confidentielle et annonce qu'il va vous appeler. À 16 h 55, vous reconnaissez sa voix. Il vous dit qu'un avocat, Maître X, va vous contacter. À 17 h 05, l'avocat appelle, très courtois, avec des détails précis et un IBAN : la banque ferme bientôt et tout doit partir ce soir.
Où est le moment critique ? Pas au dernier appel, quand tout semble cohérent, ni même à la voix. Il est dès le premier échange, quand on vous demande à la fois la confidentialité, l'urgence et un nouveau compte. À ce stade, le bon réflexe n'est pas de juger si la voix est vraie. Il consiste à appliquer la règle :
« Je vous rappelle dans cinq minutes sur votre numéro habituel. »
C'est le seul enseignement pratique à garder : un ordre de virement reçu par un canal que l'émetteur contrôle se confirme par un canal que vous contrôlez. Le numéro vient de votre répertoire ou du site officiel, jamais du courriel, ni de l'appel, ni de l'avocat.
Pour une TPE ou une PME, la question à se poser avant l'incident est de savoir qui, chez vous, a le droit de dire non à un patron pressé. Cette règle se construit au cas par cas. Dans un programme de formation IA sur mesure pour les entreprises, nous partons d'un audit des besoins. Cet audit peut inclure ce que l'IA sait désormais imiter et les circuits de validation de vos équipes.
Questions fréquentes
Qu'est-ce qu'une arnaque faux patron IA, concrètement ?
C'est une variante de la fraude au président : le fraudeur se fait passer pour un dirigeant, avec une voix ou une image générée par IA en plus du courriel, pour obtenir un virement. Dans l'affaire de New York, la demande est présentée comme confidentielle et un faux avocat est censé la valider.
Peut-on reconnaître une fausse voix de dirigeant à l'oreille ?
Il vaut mieux ne pas compter dessus. Selon Menow, reconnaître la voix de son patron ne suffit plus à authentifier une demande de virement. Une règle de rappel sur un numéro connu est plus fiable que le flair d'un salarié sous pression.
Les trois hommes sont-ils condamnés ?
Non. Ils sont poursuivis, donc présumés innocents, et les faits sont allégués. D'après les médias américains, des demandes d'extradition les concernant étaient en cours au moment de la publication.
Que faire si un virement douteux est déjà parti ?
Contactez votre banque sans attendre pour demander un rappel de fonds, prévenez le vrai dirigeant par un canal habituel, conservez les courriels et les traces d'appel, puis déposez plainte. Dans ce type de fraude, la rapidité compte.
Une petite entreprise française est-elle concernée par ce type de fraude ?
Les articles consultés ne disent rien sur la France et décrivent des victimes américaines et britanniques. Le mécanisme (une demande urgente, une voix connue, un virement) ne dépend pourtant pas de la taille de l'entreprise. Pour examiner vos propres circuits de validation, vous pouvez nous écrire.