Fraude au virement international à l'ère des deepfakes : les contrôles qui tiennent encore

La fraude au président et la fraude au changement de coordonnées bancaires ne sont pas nouvelles. Ce qui a changé, c'est le coût de la crédibilité. Il fallait autrefois un escroc qui parle bien, connaisse l'organigramme et écrive sans faute. Il suffit aujourd'hui de quelques minutes d'enregistrement d'une voix — une interview, un webinaire — et d'un modèle de langage qui rédige dans le ton du dirigeant, dans n'importe quelle langue.

L'affaire qui a fait basculer la perception date de début 2024 : à Hong Kong, un salarié du groupe d'ingénierie Arup a effectué quinze virements pour 200 millions de dollars de Hong Kong, environ 25 millions de dollars américains, après une visioconférence où le directeur financier et plusieurs collègues étaient des imitations générées par IA. Le salarié avait des doutes ; la vidéo les a levés.

Pourquoi les virements internationaux sont les plus exposés

Depuis le 9 octobre 2025, les banques de la zone euro doivent vérifier, avant un virement en euros, que le nom du bénéficiaire correspond au compte saisi, et alerter le payeur en cas d'écart. Cette vérification du bénéficiaire ferme une partie de la porte au changement de RIB frauduleux — mais pour les virements en euros seulement.

• Un virement en dollars, en yuans ou en livres turques vers un fournisseur hors de l'espace SEPA ne bénéficie pas de ce contrôle.
• Les coordonnées bancaires étrangères — numéro de compte, code banque, banque correspondante — sont moins familières, et un changement passe plus facilement inaperçu.
• Le décalage horaire réduit les possibilités de vérifier en direct auprès du fournisseur, et sert d'alibi à l'urgence.
• Une fois exécuté, un virement international transite par des banques correspondantes : le rappel des fonds est possible mais incertain, et chaque heure compte.

S'ajoute un facteur propre au change : l'urgence se fabrique facilement. « Le cours va bouger », « la couverture doit être dénouée avant la clôture » — l'argument de marché est un levier de pression que les fraudeurs connaissent.

Les quatre scénarios à connaître

1. Le faux dirigeant, en voix ou en vidéo

Un appel ou une visioconférence du dirigeant, ou du directeur financier, demande un virement confidentiel et urgent : acquisition en cours, dossier sensible, ne pas en parler. La voix est la bonne, le visage aussi. Le signal n'est pas dans l'imitation, il est dans la demande : confidentialité, urgence, procédure contournée.

2. Le changement de coordonnées d'un fournisseur étranger

Un e-mail du fournisseur — parfois envoyé depuis sa vraie boîte, compromise — annonce un changement de banque, avec un courrier à en-tête et un nouveau numéro de compte. L'IA rend ces courriers impeccables, dans la langue et le style habituels. Le paiement suivant part sur le compte du fraudeur.

3. Le faux banquier ou la fausse salle des marchés

C'est la variante propre au change. Un interlocuteur se présente comme le chargé d'affaires ou le cambiste de la banque : une couverture doit être ajustée, un appel de marge est à régler, un « cours préférentiel » expire dans l'heure. Il connaît parfois vos encours, glanés dans une messagerie compromise. Le virement demandé part vers un compte qui n'est pas celui de la banque.

4. La fausse facture ou la fausse pro forma

Une facture d'acompte en devises, parfaitement imitée, arrive au milieu des factures réelles d'un fournisseur. Elle reprend les références d'une commande existante. Seul le compte de paiement diffère.

Les contrôles qui ne dépendent pas de l'imitation

1. 1
   Le contre-appel sur un numéro connu

   Toute demande inhabituelle et toute modification de coordonnées se vérifient en rappelant l'interlocuteur sur un numéro déjà enregistré dans vos fichiers — jamais celui qui figure dans l'e-mail ou qui s'affiche à l'écran. C'est le contrôle le plus efficace et le moins coûteux.

2. 2
   La double validation au-delà d'un seuil

   Au-delà d'un montant fixé dans la politique de trésorerie, un virement exige deux signataires distincts dans la banque en ligne. Un fraudeur qui a convaincu une personne doit en convaincre une seconde, qui n'a pas subi la même pression.

3. 3
   La liste des bénéficiaires et le délai de carence

   Les paiements ne partent que vers des bénéficiaires enregistrés. Tout ajout ou modification est validé par une autre personne que celle qui paie, et aucun paiement n'est émis vers un bénéficiaire nouveau ou modifié dans les jours qui suivent, sauf contre-appel documenté.

4. 4
   Le code convenu hors canal

   Pour les demandes réellement urgentes du dirigeant, un code convenu à l'avance, jamais écrit dans un e-mail, permet de confirmer l'identité. Une imitation peut copier une voix ; elle ne connaît pas le code.

5. 5
   La règle de l'urgence

   Aucune urgence ne justifie de sauter une étape. La règle est écrite, connue de tous, et le dirigeant s'engage à ne jamais demander d'y déroger. C'est elle qui protège le collaborateur qui hésite.

Si le virement est parti

1. Appelez immédiatement votre banque pour demander le rappel des fonds : sur un virement international, les premières heures sont décisives.
2. Faites prévenir la banque du bénéficiaire par l'intermédiaire de votre banque.
3. Déposez plainte et conservez toutes les pièces : e-mails avec leurs en-têtes, enregistrements, coordonnées utilisées.
4. Vérifiez si une messagerie a été compromise, chez vous ou chez le fournisseur : un fraudeur qui lit vos échanges reviendra.
5. Prévenez votre assureur si vous disposez d'une garantie couvrant la fraude.

L'IA travaille aussi de l'autre côté

Les banques et les infrastructures de paiement utilisent elles aussi l'apprentissage automatique pour repérer les paiements anormaux : bénéficiaire nouveau, pays inhabituel, montant hors norme. Swift, le réseau de messagerie qu'utilisent les banques pour les virements internationaux, propose ainsi depuis janvier 2025 une détection d'anomalies par IA dans son service de contrôle des paiements. Ces outils arrêtent une partie des fraudes, mais ils ne remplacent pas les contrôles internes : un virement autorisé par deux signataires légitimes, vers un compte enregistré la veille, peut leur paraître parfaitement normal.

Sources

• Affaire Arup : CNN, « British engineering giant Arup revealed as $25 million deepfake scam victim », 16 mai 2024 ; Fortune, 17 mai 2024.
• Vérification du bénéficiaire : règlement (UE) 2024/886 sur les virements instantanés ; Banque centrale européenne et European Payments Council, entrée en application le 9 octobre 2025 pour les prestataires de la zone euro.
• Swift, « Swift to launch AI-powered fraud defence to enhance cross-border payments », communiqué du 16 octobre 2024.