Hameçonnage, fausse voix et fraude : se protéger

L'intelligence artificielle ne crée pas de nouvelles escroqueries, mais elle rend les anciennes plus crédibles. Un message sans fautes, une voix qui ressemble à celle d'un dirigeant, une vidéo courte : ces éléments mettent en défaut les réflexes qui reposaient sur l'erreur grossière. Pour une petite entreprise, le risque se concentre sur deux points : les messages qui demandent de cliquer ou de payer, et les demandes de virement passées par téléphone ou message vocal.

L'hameçonnage amélioré

L'hameçonnage consiste à se faire passer pour un organisme connu afin d'obtenir des identifiants, des coordonnées bancaires ou un paiement. Un assistant d'IA permet de rédiger ces messages sans fautes, dans le ton d'un fournisseur, d'une banque ou d'un service de livraison.

Selon Cybermalveillance.gouv.fr, les escrocs usurpent par SMS l'identité d'organismes connus : administrations, banques, services de livraison. Les conseils de la plateforme sont simples :

• ne communiquer aucune information sensible après un SMS ;
• vérifier par un autre canal : contacter l'organisme directement, ou passer par son site ou son application officiels ;
• ne pas cliquer sur un lien douteux, mais ouvrir le site par un favori créé soi-même ;
• contrôler l'adresse du site : un seul caractère modifié peut signaler une page frauduleuse ;
• ne jamais installer une application hors des magasins officiels.

Le signalement se fait au 33700 (ou sur www.33700.fr). Le service est gratuit et entraîne le blocage de l'émetteur.

Fausse voix, fausse vidéo

Une voix ou une vidéo peuvent aujourd'hui être imitées avec des outils d'IA. Un message vocal demandant un virement urgent, présenté comme confidentiel, peut sembler venir du dirigeant. Ce type de demande est connu sous le nom de fraude au président : un employé reçoit une consigne de virement venant prétendument de la direction.

Le guide de Cybermalveillance.gouv.fr à destination des dirigeants de TPE et PME décrit ce mode opératoire. Cette page ne reprend pas de consigne précise de ce guide, faute de l'avoir pu lire dans une version exploitable : consultez-le à la source officielle avant d'écrire vos propres procédures.

Le réflexe qui protège

Une procédure simple, écrite à l'avance, évite la plupart des pertes :

1. Tout virement inhabituel est confirmé par un second canal, choisi avant la demande : un numéro connu, pas celui qui vient d'appeler.
2. Le changement de coordonnées bancaires d'un fournisseur se vérifie toujours par téléphone au numéro déjà enregistré.
3. L'urgence et la consigne de secret sont des signaux d'alerte, pas des raisons d'agir vite.
4. Une personne est désignée pour valider les paiements, avec un suppléant.
5. Chaque tentative est notée, même déjouée, pour repérer les schémas.

Ces mesures ne sont pas des obligations légales telles quelles : ce sont des pratiques de prudence, adaptées à la taille de l'entreprise.

Et l'IA dans cette chaîne ?

Un assistant d'IA peut servir à détecter une incohérence dans un message, mais il ne doit pas être le seul contrôle. Ne lui transmettez pas un message suspect contenant des données personnelles ; voir la page fuite de données. Une analyse automatique ne prouve pas l'authenticité d'une voix ou d'une vidéo.

Liste de vérifications

• Les virements sont validés par deux personnes, dont une joignable par un canal connu.
• Les changements de coordonnées bancaires passent par un appel au numéro déjà enregistré.
• Les salariés savent signaler un message suspect, même après l'avoir ouvert.
• Les applications sont installées uniquement depuis les magasins officiels.
• Le signalement au 33700 est connu de l'équipe.

Ce qui reste à vous

La procédure de paiement et la décision de payer appartiennent au dirigeant. En cas de paiement déjà effectué, il faut agir vite : contacter sa banque et déposer plainte. Pour une erreur de l'outil, voir la page incident : que faire.