Deepfakes et vishing : quand l'IA imite votre patron (ou le roi) pour arnaquer votre PME

L'arnaque au président n'est pas nouvelle. Ce qui a changé, c'est le coût de la mise en scène. Il ne s'agit plus seulement d'un courriel bien tourné signé « le CEO » : c'est une voix clonée au téléphone, parfois une visioconférence entièrement fabriquée, capable de convaincre un comptable ou un assistant de direction qu'il parle réellement à son patron. En Belgique, ce sont même des chefs d'entreprise qui ont cru parler au roi.

Cet article établit ce que disent réellement les chiffres belges, décortique le mécanisme d'attaque étape par étape et propose des contre-mesures hiérarchisées. Toutes les données citées portent leur source ; celles qui circulent sans source vérifiable — et il y en a beaucoup sur ce sujet — n'y figurent pas.

Ce que disent les chiffres belges, et ce qu'ils ne disent pas

Commençons par le sol ferme.

Les signalements. En 2025, la boîte suspicious@safeonweb.be du Centre pour la Cybersécurité Belgique (CCB) a reçu 9 929 354 signalements de messages suspects. Ce flux a permis d'identifier 176 183 URL uniques et 40 815 domaines uniques marqués comme malveillants (CCB, chiffres clés 2025).

Le bouclier anti-hameçonnage. Les internautes belges qui cliquaient malgré tout sur un lien de hameçonnage ont été redirigés vers la page d'avertissement du Belgian Anti-Phishing Shield (BAPS) 200 millions de fois en 2025, cette page enregistrant plus de 185 millions de visites (CCB). Formulation importante : ce sont des redirections vers un avertissement, pas une mesure du nombre de fraudes évitées. Combien d'utilisateurs se seraient arrêtés d'eux-mêmes reste inconnu.

La participation citoyenne. 44 % des Belges transmettent les messages suspects à suspicious@safeonweb.be (CCB / news.belgium.be). Sans ces signalements, pas de blocage.

L'accélération en 2026. Sur les trois premiers mois de 2026, la moyenne est passée à environ 42 000 signalements par jour, contre 25 000 à 27 000 par jour en 2025 — soit près de +50 %. Le porte-parole du CCB, Michele Rignanese, avance l'hypothèse que l'intelligence artificielle permet d'automatiser et de rendre ces techniques accessibles à davantage d'acteurs (RTBF, sur la base de chiffres publiés par De Tijd et L'Echo).

L'argent. Selon Febelfin, la fédération du secteur financier belge, les fraudeurs ont détourné 93 millions d'euros par hameçonnage en 2025, pour plus de 11 000 dossiers signalés, soit une hausse d'environ 30 % par rapport à 2024, où le montant s'élevait à 49 millions d'euros (VRT NWS, 8 juillet 2026 ; La Libre pour le chiffre 2024).

La réponse du secteur. Le 8 juillet 2026, le ministre de la Protection des consommateurs Rob Beenders et Febelfin ont présenté un plan d'action : plafond standard des virements ramené à un maximum de 5 000 euros par jour d'ici début 2027, et délai de refroidissement d'au moins quatre heures avant qu'une augmentation de plafond ne prenne effet (Febelfin). Ces mesures visent les particuliers, mais elles disent quelque chose d'utile aux entreprises : le frein le plus efficace contre une fraude au virement, c'est le temps.

Une précision honnête pour finir : ces chiffres agrègent tout l'hameçonnage bancaire belge. Il n'existe pas, à ma connaissance, de statistique publique belge isolant spécifiquement la fraude au président assistée par IA. Quiconque vous cite un tel chiffre devrait pouvoir vous en montrer la méthodologie.

Pourquoi l'IA a périmé les vieux signaux de détection

Pendant quinze ans, la formation anti-hameçonnage tenait en trois réflexes : repérer les fautes d'orthographe, se méfier du ton bizarre, vérifier l'adresse de l'expéditeur. Deux de ces trois réflexes sont aujourd'hui largement neutralisés : les modèles de langue génèrent un français, un néerlandais et un anglais irréprochables, adaptent le registre et imitent le style d'une entreprise à partir de quelques exemples publics. L'ENISA estime que, dès début 2025, les campagnes d'hameçonnage assistées par IA représentaient plus de 80 % de l'activité d'ingénierie sociale observée dans le monde (ENISA Threat Landscape 2025).

Une précision de rigueur sur ce même rapport, parce que le chiffre est souvent déformé : l'hameçonnage y est décrit comme le premier vecteur d'intrusion, à 60 %, devant l'exploitation de vulnérabilités (21,3 %). Ce n'est pas « 60 % des incidents » : c'est 60 % des points d'entrée initiaux identifiés, sur 4 875 incidents analysés entre le 1er juillet 2024 et le 30 juin 2025.

Conséquence pratique : le seul réflexe de détection qui survit à l'IA générative n'est pas perceptif, il est procédural. On ne cherche plus à reconnaître un faux ; on vérifie l'identité de l'interlocuteur par un canal indépendant, quel que soit le degré de conviction produit par le message.

Le cas belge documenté : l'usurpation du roi Philippe

C'est le dossier belge le plus solidement établi sur ce sujet, parce qu'il a fait l'objet d'une communication du parquet fédéral.

Depuis plus d'un an au moment de l'alerte publique de janvier 2026, des escrocs contactent des dignitaires étrangers, des familles belges et des chefs d'entreprise en se faisant passer pour le roi Philippe, pour son chef de cabinet Vincent Houssiau, ou pour le général-major Stéphane Dutron, chef du Service général du renseignement et de la sécurité. Les canaux utilisés : téléphone, WhatsApp, courriel et appels vidéo. Les cibles étaient sélectionnées en fonction de leurs liens possibles avec la famille royale.

Deux vagues successives sont décrites :

1. Première vague : demande de soutien financier pour « libérer des journalistes belges prétendument retenus en otage en Syrie ». La plupart des personnes contactées ont reconnu l'arnaque ; dans un seul cas, de l'argent a effectivement été transféré.
2. Deuxième vague, début janvier 2026 : des chefs d'entreprise reçoivent de fausses invitations à un dîner de gala de la Fondation Roi Baudouin, censé se tenir en février ou avril 2026, assorties de demandes de contribution ou de parrainage. L'événement n'existe pas.

Les images des visioconférences auraient été générées par intelligence artificielle. Le parquet fédéral a ouvert une enquête, menée avec la Federal Computer Crime Unit et des services spécialisés de la police fédérale (RTBF, 24 janvier 2026 ; Le Vif).

Deux enseignements. D'abord, le taux de réussite a été faible : la plupart des cibles ont flairé l'arnaque. Ensuite, il a suffi d'un seul succès pour que l'opération soit rentable — c'est toute l'économie de ce type de fraude.

Le cas de référence mondial : Arup

Pour comprendre à quoi ressemble une attaque pleinement aboutie, il faut sortir de Belgique.

En janvier 2024, un employé du bureau d'ingénierie britannique Arup, basé à Hong Kong, reçoit un courriel se présentant comme émanant du directeur financier. Il le suspecte d'être une tentative d'hameçonnage. Il est ensuite invité à une visioconférence : le directeur financier et plusieurs collègues y apparaissent et y parlent. Rassuré, il exécute 15 virements pour un total de 200 millions de dollars de Hong Kong, soit environ 25,6 millions de dollars américains, en une seule journée. Aucun des participants à l'appel n'existait : tous étaient générés. Arup a signalé les faits à la police de Hong Kong en janvier 2024 et n'a été identifié publiquement comme la victime qu'en mai 2024 (CNN Business).

Ce cas est intéressant précisément parce que la première défense a fonctionné : l'employé a douté du courriel. C'est la visioconférence qui a annulé son doute. La preuve visuelle et sonore est devenue un argument d'autorité qui désarme la méfiance légitime.

Anatomie d'une fraude au président assistée par IA

Le schéma type, décrit au niveau utile à la défense.

1. La reconnaissance. L'attaquant construit l'organigramme financier depuis des sources ouvertes : site web, LinkedIn, publications au Moniteur belge, communiqués de presse, comptes annuels déposés. Il identifie qui peut ordonner un virement, qui l'exécute, et qui est en congé.

2. La collecte d'échantillons. Voix et image se récoltent dans du contenu public : interview, webinaire, vidéo institutionnelle, podcast sectoriel, prise de parole en conférence. Un dirigeant qui communique publiquement fournit involontairement la matière première.

3. La mise en scène. Domaine proche du vôtre à une lettre près, usurpation du numéro appelant, compte de messagerie éphémère. Le tout est cohérent : signature, formules, tutoiement ou vouvoiement conformes aux habitudes de la maison.

4. Le déclencheur. Trois ingrédients quasi systématiques : l'urgence (« ça doit partir avant 16h »), la confidentialité (« acquisition en cours, n'en parle à personne ») et l'autorité (« je te fais confiance, c'est pour ça que je t'appelle toi »). Le troisième est le plus efficace : il transforme la vérification en marque de défiance envers un supérieur.

5. La désactivation du contrôle. C'est l'étape que la visioconférence et le clonage vocal servent à franchir. La cible ne se demande plus « est-ce vrai ? » mais « comment fais-je vite ? ».

6. L'exécution et l'évasion des fonds. Le compte destinataire est souvent un compte de passage, vidé dans les heures qui suivent. D'où un délai de réaction qui se compte en heures, pas en jours.

7. La couverture. Demande de discrétion prolongée, faux courriel de confirmation, parfois une deuxième demande avant que l'alerte ne soit donnée.

Un mot sur les moyens techniques : les outils de synthèse vocale et vidéo sont aujourd'hui des produits grand public sur abonnement, et l'usurpation du numéro appelant est un problème structurel ancien de la téléphonie. Je ne cite volontairement ni prix, ni noms d'outils, ni durée minimale d'échantillon : ces chiffres circulent surtout dans de la documentation commerciale, sans méthodologie vérifiable, et n'ajoutent rien à votre capacité à vous défendre.

Les signaux d'alerte qui restent valables

Puisque la qualité linguistique n'est plus un indice, voici ceux qui tiennent encore :

• une demande urgente qui contourne le circuit habituel — c'est le signal numéro un, avant tout le reste ;
• une consigne de confidentialité qui vous interdit d'en parler à un collègue ou à un supérieur ;
• un changement de coordonnées bancaires d'un fournisseur connu, même bien justifié ;
• une pression sur le timing liée à une échéance que vous ne pouvez pas vérifier ;
• un canal inhabituel : le patron qui écrit d'ordinaire par courriel vous appelle sur WhatsApp ;
• une réticence à passer sur un autre canal : l'interlocuteur refuse d'être rappelé, prétexte une réunion, un avion, un mauvais réseau ;
• une flatterie sur la confiance placée en vous, surtout si elle est inhabituelle ;
• un montant juste sous un seuil de validation que vous connaissez.

En visioconférence, méfiez-vous d'une interaction anormalement pauvre : peu de réactions spontanées, refus de répondre à une question imprévue, image de qualité étrangement dégradée « à cause du réseau ». Mais ne comptez pas là-dessus : traitez ces indices comme un bonus, jamais comme votre défense principale.

Pourquoi une PME est structurellement exposée

Ce n'est pas une question de naïveté, c'est une question de structure.

Une grande entreprise sépare les rôles : celui qui ordonne n'est pas celui qui saisit, qui n'est pas celui qui valide. Une PME de vingt à cent personnes combine souvent des flux financiers significatifs avec un circuit court : un seul comptable habilité, une relation directe et informelle avec la direction, aucun protocole écrit pour les demandes urgentes, et une culture où redemander confirmation au patron passe pour de la lourdeur administrative. S'y ajoutent deux facteurs aggravants : la direction est très visible publiquement — ce qui fournit les échantillons de voix et d'image —, et les périodes de congés créent des fenêtres où les circuits normaux sont déjà dégradés, ce qui rend une demande hors circuit moins suspecte.

Autrement dit : ce qui vous rend agile vous rend vulnérable. La réponse n'est pas de devenir bureaucratique, mais d'ajouter un seul point de friction, au bon endroit.

Contre-mesures, classées par rapport coût/efficacité

Niveau 1 — effet élevé, coût quasi nul. À faire cette semaine.

1. La règle du rappel sortant. Toute demande de paiement, de changement de coordonnées bancaires ou de communication de données sensibles reçue par téléphone, message ou visioconférence est confirmée en rappelant un numéro déjà connu, jamais celui fourni par l'interlocuteur. Cette règle unique neutralise l'essentiel du clonage vocal.
2. Un mot de passe verbal interne entre la direction et les personnes habilitées aux paiements, changé périodiquement, jamais écrit dans un courriel. Coût : zéro.
3. Le droit explicite de vérifier. La direction écrit noir sur blanc, et le répète en réunion : personne ne sera jamais sanctionné pour avoir vérifié une demande, même la mienne, même urgente. C'est la mesure culturelle la plus efficace du lot, parce que la fraude au président exploite d'abord la hiérarchie.
4. Un délai plancher sur tout virement hors circuit habituel : rien ne part avant un délai fixé à l'avance, et ce délai n'est jamais raccourci pour cause d'urgence. Le plan Febelfin applique exactement cette logique aux particuliers.

Niveau 2 — effet élevé, coût modéré.

1. Double validation obligatoire au-delà d'un seuil défini, avec deux personnes distinctes et deux appareils distincts.
2. Procédure écrite de changement de coordonnées bancaires fournisseur : contre-appel sur le numéro figurant au contrat d'origine, jamais celui de la demande.
3. Authentification multifacteur sur la messagerie et les outils bancaires. Beaucoup de fraudes commencent par une boîte mail réellement compromise, ce qui rend le message parfaitement authentique — parce qu'il l'est.
4. Formation ciblée de la comptabilité, de la direction et des assistants, avec les cas réels ci-dessus plutôt qu'un module générique. Une demi-journée par an suffit si elle est concrète.
5. Mesurer la surface d'exposition publique de la voix et de l'image des dirigeants. Il ne s'agit pas d'arrêter de communiquer, mais de savoir que ce matériel existe et d'en tenir compte.

Niveau 3 — pour ceux qui ont déjà le reste.

1. Un exercice de simulation : quelqu'un de confiance appelle la comptabilité avec un scénario réaliste, et l'on observe où le processus casse. À faire avec l'accord de la direction, sans piéger personne publiquement.
2. Négocier avec votre banque des plafonds, des listes de bénéficiaires de confiance et des alertes sur virements sortants inhabituels.
3. Vérifier la couverture de votre assurance : la fraude par ingénierie sociale est souvent exclue des polices cyber standard, parce que le virement a été « autorisé » par un collaborateur légitime. À lire avant, pas après.

Ce que NIS2 exige sur ce risque

On associe rarement NIS2 à la fraude au président, à tort. L'article 21(2) de la directive NIS2 impose aux entités essentielles et importantes, entre autres : des pratiques d'hygiène informatique de base et de formation à la cybersécurité — la sensibilisation du personnel est une obligation, pas une option ; des politiques de contrôle d'accès et de gestion des actifs ; l'authentification à plusieurs facteurs ; la gestion des incidents, qui couvre aussi ceux d'origine humaine ; et la sécurisation des communications.

Si une fraude aboutit à une compromission de messagerie ou à une exfiltration de données, les délais de l'article 23(4) s'appliquent : alerte précoce dans les 24 heures, notification dans les 72 heures, rapport final dans le mois. Si des données à caractère personnel sont concernées, l'obligation RGPD de notifier l'Autorité de protection des données dans les 72 heures s'ajoute.

Pour une PME hors du champ de NIS2, cette liste garde sa valeur : elle indique ce que vos clients soumis à la loi finiront par exiger par contrat.

Les premières heures après un virement frauduleux

Le temps est le seul facteur qui compte réellement ici.

Dans l'heure.

1. Appelez votre banque immédiatement et demandez le rappel des fonds (recall). Les chances chutent très vite dès que l'argent quitte le premier compte.
2. Demandez à la banque destinataire, via la vôtre, le gel du compte bénéficiaire.
3. Ne modifiez rien : conservez les courriels avec leurs en-têtes complets, les journaux d'appels, les enregistrements éventuels, les captures d'écran. C'est le dossier de preuve.

Dans les premières heures. 4. Déposez plainte à la police. C'est indispensable pour la banque, pour l'assurance et pour l'enquête. 5. Vérifiez si une boîte mail a été compromise : règles de transfert automatique inconnues, connexions depuis l'étranger, modifications récentes des paramètres. Si oui, changez les mots de passe et révoquez les sessions actives. 6. Prévenez les autres personnes habilitées aux paiements : une attaque réussie est souvent suivie d'une seconde tentative. 7. Signalez au CCB via Safeonweb et transmettez le message frauduleux à suspicious@safeonweb.be — cela alimente le blocage collectif décrit plus haut.

Dans les jours suivants. 8. Déclarez le sinistre à votre assureur, en vérifiant les clauses d'ingénierie sociale, et évaluez l'obligation de notification RGPD si des données personnelles sont concernées. 9. Faites un retour d'expérience sans chercher de coupable. La personne qui a exécuté le virement est une victime : elle a suivi une instruction qui semblait venir de sa hiérarchie. Désigner un responsable individuel est le meilleur moyen de garantir que la prochaine alerte ne remontera pas.

Ce que je retiens

Ce sujet a une particularité désagréable : la technologie de détection court derrière la technologie de génération, et continuera de courir derrière. Miser sa défense sur la capacité à repérer un faux, c'est miser sur le mauvais cheval.

Ce qui tient ne dépend d'aucune technologie : un canal de vérification indépendant, un délai incompressible, et une culture où vérifier une demande du patron est valorisé plutôt que perçu comme un manque de confiance. Ces trois éléments coûtent une réunion et une note de service.

Le dossier du faux roi Philippe l'illustre bien : la mise en scène était sophistiquée, les cibles bien choisies, et pourtant la quasi-totalité des personnes contactées s'est arrêtée avant de payer. Non parce qu'elles ont détecté le trucage, mais parce que quelque chose dans la demande sortait du cadre normal — et qu'elles se sont autorisées à le dire.

Une remarque ou une correction sur cet article ? Écrivez-la-moi, je la prendrai en compte.

---

Sources

• Chiffres clés 2025 | CCB Belgium
• Phishing messages surge: Safeonweb receives nearly 10 million suspicious alerts in 2025 | CCB Belgium
• 44% of Belgians forward phishing messages to suspicious@safeonweb.be | news.belgium.be
• Les signalements de cas de phishing en forte hausse en 2026 | RTBF
• Phishingplan van banken en minister Beenders | VRT NWS, 8 juillet 2026
• Le ministre Rob Beenders et les banques belges lancent un plan d'action contre la fraude en ligne | Febelfin
• Le phishing a rapporté près de 50 millions d'euros aux fraudeurs en 2024 | La Libre
• L'identité du roi Philippe usurpée pour réaliser des escroqueries | RTBF
• Deepfake royal : un roi Philippe généré par IA arnaque des chefs d'entreprise | Le Vif
• Arup revealed as victim of $25 million deepfake scam | CNN Business
• ENISA Threat Landscape 2025
• Directive (UE) 2022/2555 (NIS2) | EUR-Lex