Dans l'industrie, le deepfake vocal vient renforcer la fraude la plus ancienne et la plus rentable du secteur : le changement de coordonnées bancaires d'un fournisseur. La mécanique écrite est connue de tous les services comptables, et elle a fini par générer un réflexe de vérification : « je rappelle pour confirmer ». Le clonage de voix a précisément pour effet de neutraliser ce réflexe — l'appel de vérification tombe sur l'attaquant, ou l'attaquant appelle en premier.
L'attaque ne commence pas par l'appel
Une fraude vocale industrielle réussie repose sur un travail préalable qui n'a rien de vocal.
L'attaquant identifie d'abord la relation commerciale : appels d'offres publiés, communiqués de partenariat, profils professionnels mentionnant des comptes clients, salons du secteur. Il obtient ensuite l'accès à une boîte de messagerie — chez le fournisseur, plus rarement chez le donneur d'ordre — ce qui lui donne les numéros de commande, les échéances de facturation, les prénoms et les formules d'usage.
Ce n'est qu'à ce stade que la voix intervient, et elle n'a besoin d'être crédible que quelques minutes, sur un canal qui dégrade le signal.
Cette chronologie a une conséquence défensive importante : les contrôles les plus efficaces se situent avant l'appel, dans la protection de la messagerie et dans la gouvernance du référentiel fournisseurs.
Cibles, prétextes et parades
| Cible interne | Prétexte vocal typique | Ce qui rend l'appel crédible | Parade la plus efficace |
|---|---|---|---|
| Comptabilité fournisseurs | « Notre banque a changé, urgent avant la clôture » | Numéro de facture exact | Référentiel RIB modifié par un seul canal maîtrisé |
| Service achats | « Validez la commande, la ligne est arrêtée » | Contexte de production réel | Aucune commande validée hors du système |
| Assistant de direction | Voix du dirigeant, paiement confidentiel | Autorité, secret invoqué | Interdiction écrite des paiements confidentiels |
| Support informatique | « Réinitialisez mon accès, je suis en déplacement » | Nom, service, jargon interne | Identification hors voix, jamais par téléphone |
| Bureau d'études | « Envoyez-moi le plan révisé » | Référence de projet exacte | Diffusion par espace tracé uniquement |
| Logistique | « Modifiez l'adresse de livraison » | Numéro de bon de livraison | Contrôle des modifications tardives |
La ligne « support informatique » mérite un signalement particulier : c'est le seul prétexte qui ne produit aucun préjudice financier immédiat, et donc aucune alerte, tout en ouvrant la porte à tous les autres.
Le référentiel fournisseurs, verrou déterminant
La mesure qui produit le plus d'effet ne concerne ni la voix ni l'authentification : c'est la gouvernance des coordonnées bancaires fournisseurs.
Trois principes suffisent à rendre l'attaque non rentable.
- Un canal unique de modification, distinct de la messagerie et du téléphone : portail fournisseur authentifié, ou dossier physique contrôlé. Une demande arrivée par un autre canal n'est pas traitée, quelle qu'en soit la forme.
- Un contre-appel sur un numéro issu du référentiel interne, jamais du document reçu ni de la signature de messagerie — ces deux sources sont sous le contrôle de l'attaquant dès lors qu'il tient une boîte.
- Un délai de carence avant le premier paiement sur des coordonnées modifiées, avec seuil d'alerte automatique. Le délai est la contre-mesure la plus efficace contre l'urgence, parce qu'il ne se négocie pas.
Ce qui change dans un contexte OIV
Pour les opérateurs les plus sensibles, la fraude au virement n'est pas le seul enjeu. Un appel frauduleux peut viser une ouverture d'accès, une modification de paramétrage ou l'envoi de documentation technique. NIS2 (directive (UE) 2022/2555) attend des mesures de gestion des risques citant l'authentification multifacteur ou continue, et une capacité à documenter les décisions. Une demande exécutée sur la seule base d'un appel ne laisse aucune trace exploitable, ce qui pose un problème de conformité autant que de sécurité.
Là où le facteur cognitif intervient
Tout facteur dont la valeur peut être prononcée — code reçu par SMS, code temporaire, mot de passe convenu — est extorquable au téléphone par construction. Le facteur cognitif fonctionne différemment : la méthode de résolution est personnelle, acquise lors d'un enrôlement hors ligne, jamais transmise et non verbalisable. Le défi est résolu dans un canal éphémère ouvert par QR code dynamique à usage unique.
Appliqué à l'industrie, cela donne une règle simple : une demande sensible reçue par téléphone — modification de RIB, validation de commande, ouverture d'accès de maintenance — se conclut par un défi résolu par le demandeur dans le système. La preuve porte sur l'intention d'une personne identifiée, pas sur la reconnaissance d'une voix. Le déploiement en overlay d'une MFA existante permet de commencer par ces gestes sans refondre le socle d'authentification.
FAQ
Le rappel de vérification est-il devenu inutile ?
Non, à condition qu'il utilise un numéro issu du référentiel interne. Le rappel devient inutile — voire contre-productif — quand il emploie le numéro fourni dans le message ou pendant l'appel.
Comment sensibiliser sans créer de paranoïa opérationnelle ?
En déplaçant la consigne du soupçon vers la procédure. Il ne s'agit pas de douter des interlocuteurs, mais d'appliquer un circuit unique pour un petit nombre de gestes bien identifiés.
Faut-il un seuil financier pour déclencher la double validation ?
Un seuil est utile, mais il ne doit pas être le seul critère. Un fractionnement en plusieurs paiements sous le seuil est un contournement classique : la détection doit aussi porter sur le cumul sur une période courte.
Que faire quand le fournisseur est réellement compromis ?
Traiter l'incident comme une compromission de la relation, pas seulement d'un compte : geler les modifications de coordonnées, prévenir par un canal indépendant, vérifier les paiements récents, et revoir les accès partagés sur les plateformes d'échange.
Aller plus loin : le 4ᵉ facteur cognitif · credential stuffing dans l'industrie · ingénierie sociale en entreprise · NIS2 pour l'industrie et les OIV