Un appel arrive à 17 h 40. La voix est celle du dirigeant, le motif est plausible : un acompte à verser avant la clôture. Une voix n’est plus une preuve d’identité, et seul un rappel sur un numéro que vous détenez déjà en est une. Ce qui suit est la procédure, telle qu’elle s’exécute et telle qu’elle s’écrit.
Ce qui a changé cette année
Le 4 juin 2026, l’AMF a écrit que les progrès récents de certains modèles d’intelligence artificielle contribuent à l’industrialisation des campagnes malveillantes. Le 19 août 2026, la même autorité a mis en garde contre la multiplication d’escroqueries s’appuyant sur de faux articles de presse. Du côté grand public, l’hameçonnage représente près de 33 % des demandes d’assistance enregistrées par Cybermalveillance.gouv.fr, en hausse de 71 % sur un an.
La qualité de l’imitation ne coûte plus rien à l’attaquant. Vingt secondes de voix prises dans une interview suffisent, et votre organigramme est en ligne.
Comment vérifier qu’un ordre de virement vient bien de votre dirigeant ?
Vous raccrochez. Vous ne rappelez pas le numéro affiché, ni celui du courriel de confirmation qui arrivera dans la minute. Vous ouvrez la fiche du dirigeant dans le carnet interne de l’entreprise et vous composez ce numéro-là. S’il ne répond pas, vous appelez la deuxième personne habilitée du circuit de validation. Le virement attend.
Le rappel prend quarante secondes.
Nous assumons de dire qu’un dirigeant injoignable est un dirigeant qui attend, et que la gêne d’un comptable qui fait patienter une opération d’une heure ne pèse rien face à une somme partie sur un compte étranger un vendredi soir, quand les services bancaires de rappel de fonds fonctionnent au ralenti et que le délai utile se compte en heures.
Un détail change tout dans les outils de gestion : ne modifiez jamais l’IBAN d’une fiche fournisseur sur la foi d’un courriel ou d’un appel. La modification se fait après rappel, et la date du rappel se note dans le champ commentaire de la fiche. Ce commentaire est ce qui vous permettra, six mois plus tard, de montrer que la vérification a eu lieu.
L’objection que nous entendons le plus
« Notre comptable ne paiera jamais sans double validation. » La double validation tombe le jour où les deux valideurs reçoivent la même histoire dans le même quart d’heure, l’un par téléphone, l’autre par messagerie. Ce qui tient, c’est un canal de vérification différent du canal de la demande. Deux signatures sur le même canal ne font pas deux vérifications.
Sur les parcs que nous supervisons, deux tentatives en juillet 2026 sont passées par un message vocal de vingt-deux secondes laissé sur une messagerie mobile, suivi d’un courriel reprenant la même demande. Les deux ont échoué au rappel. Aucune n’avait été détectée par un filtre.
Nous ne savons pas reconnaître une voix synthétique à l’oreille, et nous ne connaissons personne qui le sache de façon fiable aujourd’hui. C’est précisément pourquoi la procédure ne repose sur aucun jugement d’écoute.
Que faire si le virement est déjà parti ?
Vous appelez la banque dans la minute et vous demandez un rappel de fonds. Vous prévenez ensuite toutes les personnes habilitées à valider un paiement : ces tentatives arrivent en série. Vous déposez plainte. Vous consignez la chronologie par écrit le jour même, avec les heures. C’est ce document que la banque et l’assureur réclameront.
L’endroit où la règle survit à l’été
Une consigne dite en réunion dure trois semaines. La même consigne écrite dans la charte informatique, signée à l’embauche et rappelée à chaque évolution du circuit de validation, survit aux départs et aux remplacements d’été. Notre générateur de charte informatique produit un document adapté à votre organisation en quelques minutes, gratuitement, et la clause de vérification des ordres de paiement y a sa place. Notre article sur l’arnaque au faux support technique Microsoft traite la même mécanique appliquée à un écran bloqué.
Écrivez la règle cette semaine, en une phrase, et faites-la lire à voix haute au prochain point d’équipe. Si votre circuit de validation ne résiste pas à cette lecture, un ingénieur le reprend avec vous : trente minutes, sans engagement.
Sources
- AMF, résilience cyber : appel aux acteurs financiers à renforcer leurs dispositifs face aux menaces liées à l’intelligence artificielle, 4 juin 2026
- AMF, mise en garde sur les escroqueries s’appuyant sur de faux articles de presse, 19 août 2026 (version anglaise du 25 août)
- Cybermalveillance.gouv.fr, fiche réflexe hameçonnage
- Cybermalveillance.gouv.fr, tendances de la menace, rapport d’activité 2026
