Le deepfake comme dépense opérationnelle : comment une PME perd son contrôle financier lorsque la voix du PDG n'est plus une preuve
Le récit habituel de la fraude d'entreprise était linéaire : un faux courriel, un nouveau compte bancaire, un employé distrait et un paiement qui n'aurait pas dû être effectué. La technologie des deepfakes a brisé ce scénario et l'a remplacé par une menace plus coûteuse à contrer, car elle attaque un point où l'organisation concentre beaucoup de valeur : l'autorité.
Le risque n'est pas seulement technologique : il dépend aussi de la préparation des personnes qui autorisent les paiements. Dans une enquête menée par business.com en mai 2024 auprès de 244 dirigeants d'entreprise, 32 % n'avaient pas confiance dans la capacité de leurs employés à reconnaître des tentatives de fraude par deepfake, et 61 % déclaraient ne pas avoir établi de protocoles pour traiter ce risque. Il s'agit des réponses d'un échantillon précis, et non d'une mesure universelle de préparation ou d'une estimation des pertes des entreprises. Pour la direction, le signal utile est l'écart entre l'autorité accordée à une instruction et les preuves exigées pour l'exécuter.
Pour une PME, cela ne relève pas de la "gouvernance sophistiquée" ou des comités. C’est un problème de continuité : quand une entreprise ne peut pas distinguer une véritable instruction d'une fausse, son système de paiements devient une vulnérabilité pour sa marge.
La mécanique du coup : le deepfake transforme l'urgence en autorisation
Un cas documenté par le Gouvernement de Hong Kong illustre le mécanisme. Fin janvier 2024, la police a reçu une plainte concernant une vidéoconférence préenregistrée usurpant l'identité du directeur financier d'une entreprise : la victime a autorisé des virements et perdu environ 200 millions de dollars de Hong Kong. Selon l'enquête présentée en juin de la même année, la vidéo avait été créée à partir d'images et de voix accessibles au public ; il n'y avait aucune interaction réelle pendant la réunion, et les instructions se sont poursuivies par messagerie. Ce cas montre comment plusieurs canaux peuvent sembler confirmer la même autorité sans apporter de vérification indépendante.
Ce qui est pertinent pour une PME, ce n'est pas le montant en question, mais la structure de persuasion.
1) Le deepfake peut compromettre les processus humains sans pénétrer d'abord dans un système. Une vidéoconférence ou un message audio peuvent jouer le rôle de l'équivalent moderne de « transmets-le, s'il te plaît, c'est urgent ». Dans les organisations où les contrôles sont faibles, l'urgence remplace la vérification. Cela n'exclut pas que d'autres attaques combinent usurpation d'identité et intrusion technique.
2) L’attaque est déjà multicanale. Photo par messagerie, appel sur Teams, courriel formel et parfois pression temporelle. Cette combinaison crée un faux sentiment de "validation croisée". Quand l’attaquant simule plusieurs sources, la victime croit avoir validé.
3) Cela cible le point où l’entreprise convertit la confiance en liquidité : la trésorerie. Il n'est pas nécessaire de pénétrer un ERP si le processus permet qu'une instruction de paiement soit effectuée par "autorité perçue".
Exprimé en termes financiers simples, le deepfake est une taxe sur la liquidité : il augmente la probabilité qu’une sortie de trésorerie se produise sans contrepartie réelle. Et ce type de fuite ne se récupère pas par du marketing ou par plus de ventes ; elle se récupère par une discipline de contrôle ou par des capitaux externes.
Le coût réel pour les PME : ce n'est pas la fraude, c'est la redéfinition du contrôle interne
Une PME pense souvent à la cybersécurité comme une dépense discrétionnaire jusqu'à ce qu'un incident survienne. Le deepfake contraint à la traiter comme un coût structurel, car il augmente le coût attendu de chaque exception en matière de paiements.
La métrique clé est la valeur attendue de perte, qui ne nécessite pas de mathématiques sophistiquées : probabilité d’incident par impact moyen.
Les observations des prestataires de sécurité décrivent des activités au sein de leurs propres réseaux de clients ; elles ne permettent pas de calculer la probabilité exacte de fraude pour une PME quelconque. Une direction financière ne devrait donc pas transformer un taux sectoriel en prévision automatique de perte. Elle doit évaluer son exposition : qui peut ordonner des paiements, par quels canaux et avec quels contrôles ? Dans une entreprise aux processus informels, deux facteurs peuvent multiplier le risque.
- Concentration d'autorité. Dans les PME, un PDG ou un directeur financier approuve souvent les paiements, les changements de compte et les exceptions. Si cette identité est clonée, le "sceau" de l'entreprise est également cloné.
- Tolérance opérationnelle aux exceptions. Les PME gagnent en rapidité grâce aux raccourcis : paiements via WhatsApp, approbations par audio, changements de compte confirmés par téléphone. Le deepfake transforme cette rapidité en un vecteur de perte.
L'effet secondaire est tout aussi coûteux : paralysie opérationnelle. Si l'entreprise réagit trop tard, elle gèle les paiements, freine les achats, compromet les relations avec les fournisseurs et peut encourir des pénalités. La fraude est la sortie de trésorerie ; le dommage opérationnel est la compression de marge par inefficacité et urgences.
La bonne lecture pour la direction générale est la suivante : la défense ne consiste pas à "détecter les deepfakes" comme s'il s'agissait d’un antivirus, mais à faire en sorte que l'autorisation des paiements ne dépende pas d'un canal falsifiable. La voix et la vidéo peuvent déjà être falsifiées à moindre coût.
Protocoles qui changent vraiment la donne : séparer l'autorité de l'exécution
Les 61 % déclarant ne pas avoir de protocoles dans l'enquête de business.com de 2024 signalent une lacune précise dans cet échantillon. Cela ne prouve pas que toutes les entreprises soient exposées de la même manière, mais impose une question opérationnelle : si un ordre de paiement arrive demain avec une voix ou une image falsifiées, quelle procédure empêchera l'urgence de remplacer la vérification ?
Dans une PME, l'objectif n'est pas de bureaucratiser, mais de concevoir un système où la fraude doit briser plusieurs éléments à la fois. Trois décisions pratiques produisent un impact direct sur le contrôle de la trésorerie.
1) Seuils de paiement avec double contrôle réel, non nominal.
Le double contrôle signifie deux personnes et deux canaux distincts, avec preuve. Si un transfert dépasse un seuil, l’approbation ne peut pas être donnée par audio, vidéoconférence ou messagerie. Il doit exister un second facteur opérationnel : un flux de banque d'entreprise avec permissions séparées, ou une confirmation par canal préalablement convenu et enregistré.
2) Comptes bancaires des fournisseurs avec une « période d'attente ».
Le changement de compte est le point classique de la fraude. La règle raisonnable est simple : les modifications de compte ne s’appliquent pas le même jour pour des paiements importants. Le changement est enregistré, validé par un canal non improvisé et exécuté après un délai minimum. Cela réduit la valeur de l'attaque d'urgence, qui est son principal levier.
3) Processus d’exception avec traçabilité.
Le deepfake prospère lors des exceptions : "fais-le vite", "c'est confidentiel", « ne le transmets pas à un niveau hiérarchique supérieur ». Une PME a besoin de l'équivalent d'une « clôture comptable » pour les paiements urgents : toute exception nécessite enregistrement, motif et preuve. Pas pour punir, mais pour que l’équipe sache que l’exception est un événement audité.
Ces mesures ne nécessitent pas forcément des budgets gigantesques. Elles exigent d'accepter une idée inconfortable : la confiance interne ne suffit pas comme preuve. Pindrop a signalé une hausse annuelle de 680 % de l'activité de deepfake durant 2024, dans le cadre de son analyse des appels. Séparément, Ontinue a annoncé une augmentation de 1 633 % des incidents liés au vishing détectés par son équipe ATO au premier trimestre de 2025 ; son rapport compare ce chiffre au trimestre précédent. Ce sont des observations de prestataires et de phénomènes différents, pas des taux mondiaux interchangeables ni des mesures de pertes de trésorerie. Pour une PME, leur intérêt est de justifier des contrôles vérifiables, non de prédire combien d'argent elle perdra.
L'angle que le conseil d'administration tend à négliger : le deepfake touche aussi les flux de trésorerie
Le titre médiatique met souvent l'accent sur la réputation ou sur le "risque d'image du PDG". Pour une PME, le coup matériel se produit avant tout : dans la trésorerie quotidienne.
Quand une entreprise subit un transfert frauduleux, elle ne perd pas seulement de l'argent. Elle perd des options.
- Elle perd son pouvoir de négociation avec les fournisseurs si elle se retrouve sans liquidité au mauvais moment.
- Elle perd sa marge si elle doit se financer à un coût élevé pour combler un trou de trésorerie.
- Elle perd sa capacité d'investissement si elle redirige son budget pour combler le trou.
Dans les entreprises financées par leurs propres clients, le flux est leur oxygène. Un incident de fraude, même de moindre ampleur que les cas emblématiques, peut obliger à des remises agressives pour réaliser des liquidités rapidement, modifier les politiques de recouvrement, ou retarder des achats critiques. Cela se traduit par une dégradation du service, une perte de clients et une chute des revenus futurs. L'attaque se paie deux fois : d'abord comme perte ponctuelle, ensuite comme érosion opérationnelle.
C'est pourquoi le débat "le conseil n'est pas prêt pour l'ère de l'IA" se traduit pour les PME par une instruction concrète : le PDG et l'équipe financière doivent convenir d'une matrice d'autorisations qui résiste à la falsification d'identité.
La perception compte aussi : dans l'enquête de business.com de mai 2024, 31 % des dirigeants interrogés estimaient que les deepfakes n'avaient pas augmenté leur risque de fraude. L'enquête ne mesure pas combien cette conviction augmente ou réduit le coût d'une attaque. Mon interprétation pour la direction est que sous-estimer l'exposition peut retarder l'investissement dans les contrôles et prolonger des processus fragiles. L'attaquant n'a pas besoin que toutes les entreprises soient vulnérables ; il lui suffit d'en trouver une qui conserve un circuit de paiement sans vérification indépendante.
La bonne direction : transformer les paiements en un système vérifiable, non en un acte de foi
La réponse efficace allie technologie et processus, mais l’ordre compte. Si une PME achète des outils sans redéfinir son flux d’autorisation, le coût augmente et le risque demeure. Si elle redéfinit le flux d’abord, la technologie devient un multiplicateur.
Ma recommandation, strictement d'un point de vue d'architecture financière, est de considérer chaque sortie de trésorerie comme un contrat miniature : preuve, traçabilité et séparation des fonctions. L’entreprise n’a pas besoin d’adopter la paranoïa, elle doit adopter la comptabilité.
La possibilité d'usurper des voix et des images exige un changement culturel opérationnel : personne ne doit « obéir » à une voix comme seule preuve lorsqu'il est question d'argent. On suit un protocole. Nul besoin de supposer un montant mondial de fraude pour prendre cette décision : l'existence de cas documentés suffit pour vérifier si l'autorisation des paiements repose sur des signaux falsifiables. Une PME préserve mieux son contrôle lorsqu'elle fait de cette autorisation un système reproductible, fondé sur des preuves et la séparation des fonctions.
La trésorerie ne se défend pas avec des discours ni avec des hiérarchies, elle se défend avec des mécanismes qui rendent l'erreur plus coûteuse que la vérification, car le seul financement qui maintient le contrôle d’une entreprise est l'argent du client, perçu avec marge et protégé par des processus.
