Technologie de clonage vocal : sécuriser les demandes de paiement en PME

Le 27 janvier 2026, l’Office fédéral de la cybersécurité (OFCS) a décrit des demandes frauduleuses empruntant la voix d’un dirigeant dans son alerte sur les virements urgents et l’usurpation de voix. Le clonage vocal, une technologie qui produit une parole ressemblant à celle d’une personne réelle, complique le contrôle des instructions reçues par téléphone. Reconnaître un timbre familier ne suffit pas à établir la légitimité d’un paiement.

L’urgence pousse à accepter un dossier incomplet

L’alerte de l’OFCS porte sur des demandes de virement présentées comme urgentes. Le délai devient un moyen de pression. Le message peut arriver sous forme d’enregistrement, sans conversation prolongée, dès lors que son contenu donne à la comptabilité une raison de déroger au circuit habituel. La qualité de l’imitation compte, mais le risque dépend aussi de l’action réclamée et des justificatifs que l’entreprise accepte de laisser manquer au moment de préparer le transfert.

Le cas suivant est fictif. Dans une PME de Suisse romande, une comptable reçoit un message attribué à la directrice, supposément indisponible pendant une négociation. Un acompte permettrait de réserver une livraison auprès d’un nouveau prestataire, et un courriel fournit une facture cohérente avec l’activité. Le dossier d’achat reste pourtant incomplet. La vérification doit donc porter sur l’existence de cet engagement commercial, notamment sur les pièces qui établissent la commande, plutôt que sur le caractère naturel de l’intonation.

Un détecteur évalue l’enregistrement reçu

Eine étude consacrée à la détection des voix synthétiques examine les difficultés rencontrées lorsque les systèmes sont confrontés à différents ensembles d’enregistrements. Un résultat obtenu sur un ensemble ne garantit pas la même fiabilité ailleurs. En clair, un détecteur performant sur les sons utilisés pour son entraînement peut perdre en précision face à des voix ou à des outils de clonage qu’il n’a jamais rencontrés. Ces travaux ne fournissent pas une mesure d’efficacité propre aux PME suisses.

Le logiciel recherche des caractéristiques associées à une fabrication artificielle, puis classe le fichier analysé. Son périmètre reste limité. Il n’examine ni les pièces commerciales ni les pouvoirs de signature, et son résultat doit être interprété avec les erreurs possibles du système. Un message frauduleux peut échapper au signalement, tandis qu’un enregistrement légitime peut déclencher une alerte. Avant l’adoption d’un tel outil, un essai sur les communications réellement utilisées par l’entreprise permet d’évaluer les conséquences de ces erreurs.

Cet essai peut couvrir quelques points précis.

• Comparer les messages authentiques et synthétiques correctement reconnus, ainsi que les erreurs dans les deux sens, en conservant les conditions de chaque essai.
• Mesurer le travail nécessaire pour examiner une alerte et déterminer qui pourra la traiter lorsque la personne habituellement chargée du contrôle sera absente.
• Examiner les conditions d’hébergement, d’accès et de conservation des fichiers vocaux transmis au prestataire, car leur analyse peut impliquer la circulation d’enregistrements internes.

Le rappel doit utiliser un numéro déjà connu

L’OFCS recommande de joindre directement l’émetteur par un numéro connu, sans reprendre celui fourni dans la demande suspecte. Le choix du contact est décisif. Une confirmation obtenue auprès d’un numéro ajouté au courriel pourrait simplement ramener vers l’auteur de la fraude, même si la conversation paraît cohérente avec le premier message. Le répertoire utilisé doit donc avoir été constitué indépendamment de la demande et faire l’objet d’une mise à jour contrôlée, plutôt que d’être corrigé au fil des instructions reçues.

Pour la comptable, cela signifie retrouver la directrice dans l’annuaire interne et demander une confirmation portant sur l’objet exact de l’acompte. Un accord vague laisserait subsister une ambiguïté. La réponse doit permettre de rattacher la dépense à une opération identifiée, avec les éléments nécessaires à son examen. Si le contact ne peut pas être établi, l’instruction reçue ne permet pas à elle seule de poursuivre le paiement. Le dossier reste en attente de la validation prévue par l’entreprise.

Les coordonnées bancaires exigent une validation propre

Les recommandations de l’OFCS couvrent également les modifications des informations permanentes enregistrées pour les fournisseurs, notamment leurs coordonnées bancaires. Une facture peut contenir un compte différent. Ce point demande un examen même lorsque la dépense elle-même a été approuvée, puisque l’autorisation d’acheter ne démontre pas que les fonds seront versés au destinataire attendu. La comptabilité peut rapprocher les coordonnées reçues de celles déjà validées et conserver la justification de tout changement avant la préparation définitive du virement.

Le nouveau prestataire du cas fictif ne possède encore aucune référence bancaire dans les fichiers de la PME. La comparaison est donc impossible. La constitution du dossier fournisseur doit s’appuyer sur un interlocuteur identifié par une voie indépendante du courriel reçu, avec une trace de la confirmation obtenue. Un annuaire inexact ou une fiche créée à partir des seules pièces suspectes affaiblirait ce contrôle. La provenance des coordonnées utilisées pour vérifier le compte mérite ainsi le même examen que le compte lui-même.

La seconde approbation doit pouvoir bloquer le paiement

L’OFCS recommande une approbation par une autre personne pour les paiements. Cette intervention doit apporter un examen distinct. La comptable rassemble les pièces, tandis que la personne habilitée à autoriser le transfert vérifie leur cohérence et les éléments de validation disponibles. Elle doit pouvoir refuser un dossier insuffisant, y compris lorsque la demande est attribuée à la direction. Les accès bancaires doivent correspondre à cette répartition des tâches, car des identifiants partagés empêcheraient d’attribuer clairement les décisions prises.

Les absences compliquent l’application de cette séparation. Les remplaçants, leurs pouvoirs et le traitement des échéances incompatibles avec une attente prolongée doivent être définis à l’avance, sans laisser l’urgence créer une délégation improvisée. La décision finale doit aussi rester compréhensible après l’opération, grâce à l’identité des intervenants, aux pièces examinées et au motif d’une éventuelle dérogation, conservés selon les règles internes. Un responsable du processus peut éprouver cette organisation avec un paiement fictif, sans mouvement d’argent, en vérifiant trois résultats concrets.

• Les personnes concernées trouvent la marche à suivre et identifient un approbateur disponible sans devoir inventer une exception pendant l’exercice.
• Les justificatifs et les décisions restent consultables dans le dossier, avec une attribution claire de chaque intervention.
• Une preuve manquante entraîne effectivement la suspension de l’opération, puis la correction de la procédure si l’exercice révèle une ambiguïté.