27 octobre 2026 · 7 min de lecture

Arnaque au patron avec une voix clonée : la règle du rappel qui protège votre PME

Un appel du patron, sa voix, un virement urgent et confidentiel. L'IA rend le faux très crédible. Une règle d'équipe simple l'arrête, sans aucun logiciel.

Contre un faux patron à la voix clonée, la protection la plus sûre est une règle d'équipe. Toute demande de virement ou de changement de coordonnées bancaires se confirme en raccrochant, puis en rappelant la personne au numéro déjà connu. En 2024, des entreprises canadiennes ont signalé au Centre antifraude du Canada 67,3 millions de dollars volés par harponnage, la famille de fraudes qui comprend l'arnaque au président.

En bref

Le fraudeur se fait passer pour le patron, un fournisseur ou un client, et réclame un virement urgent et confidentiel.
L'IA copie maintenant une voix ou un visage à partir d'enregistrements publics, ce qui rend l'appel beaucoup plus crédible.
Le rappel au numéro du dossier protège même quand le faux est parfait, parce qu'il ne demande pas de reconnaître la voix.
Un mot de passe verbal et deux signatures pour les montants élevés complètent la règle.

Qu'est-ce que la fraude au président ?

La GRC (Gendarmerie royale du Canada, la police fédérale) la décrit comme une arnaque où le criminel se fait passer pour quelqu'un de confiance afin d'obtenir de l'argent (GRC). Les signes qu'elle nomme reviennent d'un cas à l'autre. On vous presse d'agir vite, on exige le secret, on vous demande de sauter la procédure habituelle.

Longtemps, l'arnaque passait surtout par courriel. Le Centre antifraude du Canada range ces fraudes sous le nom de harponnage, qu'il ne compte que pour les entreprises. En 2024, le harponnage arrive au deuxième rang selon le montant volé, derrière les placements frauduleux.

Les montants signalés ne montrent qu'une partie du problème. Le Bureau de la concurrence rappelle que seulement 5 à 10 % des fraudes sont signalées. Même partiels, les chiffres de 2025 dépassent 704 millions de dollars volés à des Canadiens, toutes fraudes confondues.

Ce que l'IA change à l'arnaque

En 2024, un employé du bureau de Hong Kong d'Arup, une firme d'ingénierie britannique, reçoit un courriel d'un dirigeant qui réclame des transferts confidentiels. Il se méfie, puis assiste à une visioconférence où plusieurs cadres qu'il connaît discutent des transferts. Il fait ensuite 15 virements, pour environ 37 millions de dollars canadiens.

Tous les participants étaient des hypertrucages (des vidéos fabriquées par l'IA), bâtis à partir de vidéos publiques des dirigeants sur YouTube, selon les enquêteurs cités par La Presse. Arup a confirmé à CNN l'usage de fausses voix et de fausses images, sans qu'aucun de ses systèmes ait été piraté.

La voix seule peut suffire. En février 2025, l'émission La facture a cloné la voix d'une cliente avec un logiciel offert au grand public (Radio-Canada). La copie a trompé la reconnaissance vocale de Desjardins, de la Banque de Montréal, de la CIBC, de la Banque Scotia et de la TD. Seule Tangerine a résisté. La version de base du logiciel demandait une minute d'enregistrement.

Votre entreprise publie peut-être déjà une minute de voix, dans une vidéo du site web ou dans le message d'accueil de la boîte vocale.

La règle du rappel, en quatre gestes

La règle ne demande aucun logiciel. Elle reprend les conseils officiels : depuis 2017, le Centre canadien pour la cybersécurité recommande de valider une transaction « en composant un numéro de téléphone connu ». Il conseille aussi d'exiger au moins deux employés autorisés pour signer un virement.

Raccrochez, puis rappelez vous-même au numéro du dossier, même si la voix est familière. Le numéro donné dans le courriel ou pendant l'appel ne sert jamais.
Convenez d'un mot de passe verbal d'équipe. Le gouvernement du Québec conseille des « phrases de sécurité » connues des seuls collègues, pour vérifier une identité même quand la voix est bien imitée. Ce mot ne s'écrit ni dans un courriel ni dans un message texte.
Exigez deux personnes pour les virements importants. Fixez un seuil, par exemple 5 000 $, au-delà duquel une deuxième personne approuve.
Ne vous pressez jamais. L'urgence et le secret sont les premiers signes nommés par la GRC. Le patron s'engage d'avance, par écrit, à ne jamais reprocher à quelqu'un d'avoir pris dix minutes pour vérifier.

La règle vaut aussi pour les fournisseurs. Celui qui annonce un nouveau compte bancaire reçoit un appel au numéro que vous aviez avant le changement. La GRC décrit justement ce scénario, où le courriel piraté d'un vrai fournisseur envoie de nouvelles coordonnées.

Pour quels métiers la règle compte le plus

Métier	La demande typique	La vérification
Distributeur, grossiste	un fournisseur annonce de nouvelles coordonnées bancaires avant la prochaine facture	appel au numéro du dossier fournisseur, avant tout paiement
Entrepreneur en construction	« le patron » appelle du chantier : un sous-traitant doit être payé aujourd'hui	rappel sur le cellulaire connu du patron, mot de passe verbal
Bureau d'avocats, notaire	un client demande de verser des fonds dans un autre compte que prévu	rappel au client au numéro du dossier, deux signatures
Service de la paie	un employé demande de changer son compte de dépôt direct	confirmation de vive voix, au numéro connu ou en personne
Toute PME	un dirigeant demande d'acheter des cartes-cadeaux pour « récompenser l'équipe »	refus par défaut, puis appel au dirigeant

Chaque ligne reprend un scénario décrit par la GRC.

Un vendredi à 15 h 40 chez un distributeur de 25 personnes

Voici un cas type. Un distributeur de matériel de plomberie compte 25 employés. Un vendredi à 15 h 40, la responsable des comptes fournisseurs reçoit un appel du président, en déplacement, et c'est bien sa voix. Un nouveau fournisseur doit recevoir 48 000 $ avant 16 h, sinon la commande est annulée, et il ne faut en parler à personne.

Sans règle, elle fait le virement. La voix était la bonne. Les 48 000 $ partent dans un compte ouvert par le fraudeur. En 2024, une entreprise victime de fraude s'est fait voler en moyenne 110 400 $ par incident signalé, selon le rapport statistique du Centre antifraude du Canada.

Avec la règle, elle répond : « Je vous rappelle sur votre cellulaire. » Elle compose le numéro du dossier. Le vrai président décroche dans une salle d'embarquement et n'a jamais entendu parler de ce fournisseur. L'appel a pris deux minutes, et elle n'a jamais eu besoin de savoir si la voix était fausse.

Ce qu'aucune voix ne doit décider seule

Chez SWAT, la règle tient en une phrase : l'IA prépare, l'humain décide. Un paiement fait partie des gestes qu'une personne approuve, toujours. La règle du rappel applique la même idée au téléphone : un appel, même convaincant, ne fait que préparer une demande, et une personne la vérifie avant que l'argent parte.

Il en va de même lorsqu'on automatise. Dans un audit d'automatisation, le paiement d'une facture reste dans la colonne des gestes qu'une personne approuve.

Par où commencer cette semaine

Écrivez la règle sur une page : quelles demandes exigent un rappel, et à partir de quel montant il faut deux personnes. Le patron la signe.
Choisissez le mot de passe verbal en personne, pendant une réunion d'équipe. Changez-le quand quelqu'un quitte l'entreprise.
Prévenez vos fournisseurs que tout changement de coordonnées bancaires sera confirmé par un appel de votre part.
Faites un exercice. Le patron appelle d'un numéro inconnu et demande un virement. La personne qui rappelle au lieu de payer reçoit des félicitations devant l'équipe.

Si un virement est déjà parti, appelez votre institution financière sur-le-champ et demandez d'annuler le transfert. La GRC conseille ensuite de porter plainte à la police locale et de signaler l'affaire au Centre antifraude du Canada, au 1-888-495-8501.

Questions fréquentes

Un logiciel peut-il détecter une voix clonée à notre place ?

La règle n'a besoin d'aucun outil. La reconnaissance vocale de grandes banques s'est fait tromper lors du test de La facture. Le rappel au numéro connu vérifie qui parle au bout du fil, sans avoir à juger la voix.

Le patron risque-t-il de se sentir offensé qu'on le rappelle ?

S'il a signé la règle, il n'a aucune raison de l'être. Elle doit donc venir de lui, par écrit, avec la promesse de ne jamais reprocher une vérification. L'employé qui rappelle applique sa consigne.

Faut-il retirer les vidéos du patron du site web ?

La GRC conseille de limiter l'information publiée, et les fraudeurs d'Arup se sont servis de vidéos trouvées sur YouTube. Effacer toute trace de la voix du patron reste difficile, puisqu'une entrevue ou un message d'accueil suffisent. Gardez les vidéos utiles à vos clients et comptez sur le rappel pour le reste.

Et si la demande arrive en visioconférence ?

Chez Arup, la réunion vidéo montrait plusieurs cadres connus, et c'est elle qui a levé les doutes de l'employé. Après la visioconférence, on appelle le numéro connu de la personne qui a fait la demande. Le virement attend la confirmation.