Deepfakes et vishing : quand l'IA imite votre patron (ou le roi) pour arnaquer votre PME

L'arnaque au président n'est pas nouvelle, mais sa version 2026 change de nature. Ce n'est plus seulement un e-mail bien écrit signé « le CEO » : c'est une voix clonée, parfois une visioconférence entièrement générée, capable de convaincre un comptable ou un assistant de direction qu'il parle réellement à son patron — ou, en Belgique, à des personnalités bien plus haut placées encore. Pour les PME belges, cette évolution technique change directement la nature du risque et les réflexes à adopter.

Le phishing belge en chiffres : près de 10 millions de signalements en 2025

Selon le CCB, la plateforme suspicious@safeonweb.be a reçu près de 10 millions de signalements de messages suspects en 2025 (9 929 354 exactement) — un volume qui confirme que le phishing reste, de loin, la menace la plus fréquente à laquelle sont exposés les Belges et leurs entreprises. Un peu plus de quatre Belges sur dix transmettent aujourd'hui ces messages suspects, un réflexe qui alimente le système d'alerte BAPS et qui aurait permis d'éviter près de 200 millions de clics vers des sites malveillants sur la seule année 2025. C'est un dispositif unique en Europe — mais son efficacité dépend directement du nombre de personnes qui gardent ce réflexe de signalement.

Quand l'IA élimine les signaux d'alerte classiques

Le vrai changement de 2026 n'est pas le volume de phishing, mais sa qualité. Le CCB le constate directement : les nouveaux outils d'IA générative permettent aux cybercriminels d'écrire un français, un néerlandais ou un anglais irréprochables, et d'imiter le style de communication précis d'une entreprise ou d'une administration. Les fautes d'orthographe et les tournures maladroites, longtemps le premier réflexe de détection enseigné aux employés, disparaissent — et les filtres anti-spam classiques deviennent plus faciles à contourner. Selon l'ENISA (rapport Threat Landscape 2025), le phishing, le vishing, le spam et le malvertising représentent ensemble environ 60 % des incidents rapportés en Europe.

L'arnaque au président version 2026 : le cas du « roi Philippe »

L'exemple belge le plus frappant de ce début d'année 2026 dépasse la fraude d'entreprise classique. Depuis le début de l'année 2025, des escrocs contactent des chefs d'entreprise, des dignitaires étrangers et des familles belges par téléphone, WhatsApp ou e-mail en se faisant passer pour le roi Philippe, son chef de cabinet Vincent Houssiau, ou le général-major Stéphane Dutron, chef du Service général du renseignement et de la sécurité. Certains dirigeants d'entreprise ont reçu de fausses invitations à un dîner de gala de la Fondation Roi Baudouin, accompagnées de demandes de contribution ou de sponsoring pour un événement qui n'existe pas. Le Parquet fédéral, la Federal Computer Crime Unit et le CCB ont ouvert une enquête conjointe : les fraudeurs utilisent l'IA pour générer de fausses visioconférences convaincantes. Cette affaire illustre à quel point l'usurpation d'identité par IA a quitté le registre de la démonstration technique pour devenir un outil de fraude opérationnel, y compris contre des cibles a priori bien informées.

Le vishing par clonage vocal : comment ça marche concrètement

Le vishing (phishing vocal) assisté par IA repose sur un principe simple : cloner une voix à partir d'un échantillon audio public — un extrait de webinaire, une interview, une vidéo LinkedIn — puis l'utiliser en temps réel ou en message préenregistré pour se faire passer pour un dirigeant, un fournisseur ou un technicien support. Le coût d'entrée pour ce type d'attaque est devenu dérisoire : quelques dizaines d'euros par mois pour un abonnement de clonage vocal, quelques centimes pour usurper un numéro de téléphone via un service VoIP. Selon plusieurs études reprises par des acteurs spécialisés en détection de fraude, la fiabilité humaine pour distinguer une voix ou une vidéo générée par IA d'un contenu authentique reste très limitée — ce qui rend la vigilance procédurale plus importante que la seule vigilance perceptive.

Pourquoi les PME sont des cibles de choix

Une grande entreprise dispose généralement de procédures de validation à double contrôle pour tout virement significatif. Une PME de 20 à 100 personnes, elle, combine souvent des flux financiers réels avec des procédures moins formalisées : un seul comptable habilité, une confiance directe dans un appel du « patron », pas de protocole écrit de vérification des demandes urgentes. C'est précisément cette combinaison — argent réel, contrôle allégé — qui rend les PME particulièrement exposées à ce type de fraude, bien plus que leur taille ne le laisserait supposer.

Les bons réflexes pour se protéger

Aucune technologie de détection ne remplace une procédure claire. Trois réflexes simples réduisent l'essentiel du risque : imposer une double validation humaine pour tout virement inhabituel ou urgent, indépendamment de qui semble le demander ; rappeler systématiquement sur un numéro connu à l'avance (jamais celui fourni par l'appelant) avant d'exécuter une demande sensible reçue par téléphone, message ou visioconférence ; et former les équipes financières et administratives spécifiquement à ce type de scénario, pas seulement au phishing par e-mail classique.

Ce que Smidjan recommande

Chez Smidjan, la sensibilisation à ces nouveaux scénarios de fraude fait partie intégrante de nos accompagnements CyFun et NIS2 : les mesures de gestion des accès et de gouvernance qu'impose le référentiel couvrent aussi ce type de risque humain, souvent négligé au profit des seules mesures techniques. Une PME bien préparée sur le papier peut rester vulnérable si ses équipes n'ont jamais été confrontées, même en formation, à ce genre de scénario.

**Sources**

• [Phishing messages surge: Safeonweb receives nearly 10 million suspicious alerts in 2025 | CCB Belgium](https://ccb.belgium.be/news/phishing-messages-surge-safeonweb-receives-nearly-10-million-suspicious-alerts-2025)
• [44% of Belgians forward phishing messages to suspicious@safeonweb.be | CCB Belgium](https://ccb.belgium.be/news/44-belgians-forward-phishing-messages-suspicioussafeonwebbe)
• [Deepfake royal : un roi Philippe généré par IA arnaque des chefs d'entreprise | Le Vif](https://www.levif.be/belgique/deepfake-royal-un-roi-philippe-genere-par-ia-arnaque-des-chefs-dentreprise/)
• [ENISA Threat Landscape 2025](https://www.enisa.europa.eu/publications/enisa-threat-landscape-2025)