Clonage de voix IA et arnaque au téléphone : comment s'en protéger

Le clonage de voix par IA permet à un fraudeur d'imiter la voix d'un proche ou d'un collègue à partir d'un court extrait audio. Conséquence pratique : reconnaître une voix ne prouve plus rien. Les deux défenses qui tiennent sont un mot de passe verbal convenu à l'avance et le contre-appel par un canal que vous maîtrisez.

Cet article explique ce que l'IA change au vishing, ce qu'elle ne change pas, et les gestes à adopter. Il complète notre dossier sur la sensibilisation cybersécurité et le vishing.

Comment fonctionne le clonage de voix

Un modèle d'IA apprend les caractéristiques d'une voix : timbre, débit, intonations. Il peut ensuite lui faire prononcer n'importe quel texte. Il suffit parfois de quelques secondes d'enregistrement, issues d'une vidéo publiée en ligne, d'un message vocal ou d'un webinaire.

La Federal Trade Commission américaine alerte sur ce point depuis 2023. Selon la FTC, les escrocs utilisent le clonage de voix pour rendre leurs demandes d'argent ou d'informations plus crédibles. Elle prend l'exemple d'un proche qui semble appeler en urgence, avec une voix qui ressemble à la sienne.

Pour une organisation, l'exposition est réelle. Les voix des dirigeants, des porte-parole et des commerciaux circulent dans des vidéos, des podcasts et des conférences. Cela ne veut pas dire que chaque appel suspect est un clone. Cela veut dire que l'hypothèse doit rester possible, surtout quand la demande est inhabituelle, urgente ou confidentielle.

Ce que l'IA change au vishing

Le vishing repose sur la confiance et la pression. L'IA ne modifie pas ce schéma. Elle retire un des indices sur lesquels les salariés s'appuyaient : « ce n'est pas sa voix ».

• La voix familière rassure. Un faux directeur financier qui a la voix du vrai obtient moins de résistance.
• L'attaque se prépare à moindre coût. Les scripts, les accents et les langues se produisent plus facilement.
• Les leviers restent identiques. Urgence, autorité, isolement : on les retrouve dans notre article sur les leviers de l'ingénierie sociale.

La bonne nouvelle est là : le contenu de la demande reste le meilleur indice. Quelle que soit la voix, un appel qui réclame sous pression un virement hors circuit, un code ou un accès se traite de la même façon.

Un cas réel : les faux dirigeants en vidéo

Le cas le plus cité concerne la société d'ingénierie Arup, à Hong Kong. En 2024, un employé a participé à une visioconférence où il croyait voir le directeur financier et des collègues. Tous étaient des recréations par IA, selon la police de Hong Kong, rapportée par CNN.

L'employé a effectué 15 virements pour un total de 200 millions de dollars de Hong Kong, soit environ 25,6 millions de dollars américains. La fraude n'a été découverte que lorsqu'il a vérifié auprès du siège de l'entreprise.

Ce cas est une visioconférence et non un appel vocal. Il montre pourtant la même mécanique : la ressemblance a pesé plus lourd que la procédure. La vérification par un canal indépendant a révélé la fraude, mais trop tard.

Pourquoi la reconnaissance de la voix ne suffit plus

Trois raisons expliquent que l'oreille n'est plus un test fiable.

1. Les clones progressent vite. Les défauts audibles d'hier, comme le ton monocorde, disparaissent.
2. La qualité d'un appel masque les défauts. Une ligne compressée, du bruit de fond ou une mauvaise réception excusent tout.
3. Le stress dégrade le jugement. Sous pression, on cherche à confirmer ce qu'on entend, pas à le contester.

Demander aux salariés de « repérer le clone » revient à leur confier une tâche que personne ne réussit de façon fiable. Mieux vaut remplacer la détection par une procédure.

Les défenses qui fonctionnent : mot de passe verbal et rappel

Le mot de passe verbal

Il s'agit d'un mot ou d'une phrase convenue à l'avance entre deux personnes, jamais écrite dans un message, jamais utilisée ailleurs. Il convient bien aux cercles restreints : une direction et sa trésorerie, un dirigeant et son assistante, une famille. Il se renouvelle régulièrement.

« Avant d'aller plus loin, donnez-moi notre mot convenu. »

Sa limite est organisationnelle : il ne passe pas à l'échelle d'une entreprise entière et se perd quand on l'oublie. Réservez-le aux circuits à fort enjeu.

Le contre-appel

C'est la défense la plus générale. On raccroche, puis on rappelle la personne sur un numéro que l'on possède déjà : annuaire interne, carte bancaire, contrat. Le détail de la méthode figure dans notre article sur la procédure de rappel par un canal indépendant.

La FTC donne le même conseil aux particuliers. Ne pas se fier à la voix, appeler la personne sur un numéro sûr, et passer par d'autres proches si elle ne répond pas.

Que faire pendant un appel suspect

Voici une conduite simple, applicable avec ou sans clonage.

1. Ne rien décider pendant l'appel. « Je vous rappelle dans quelques minutes. »
2. Ne pas donner de code ni valider d'opération. Un mot de passe, un code SMS ou une validation d'application ne se communiquent jamais.
3. Vérifier par un canal indépendant. Appel sortant, messagerie interne, rencontre en personne.
4. Prévenir. Signaler l'appel au service sécurité, même si rien n'a été cédé. Notre grille pour signaler un incident de sécurité indique quoi noter.

Pour les équipes financières, le contrôle doit être structurel : double validation, seuils, délais. Un clone de voix ne contourne pas une procédure appliquée à tout le monde. C'est aussi ce que recommande notre article sur la fraude au président.

Les signaux qui restent utiles malgré le clonage

Si la voix ne prouve rien, le contexte de l'appel continue de parler. Un clone est un outil, pas un scénario complet. L'attaquant doit toujours obtenir une action, et c'est cette action qui le trahit.

• Un canal inhabituel. Votre directeur ne vous appelle jamais sur votre mobile personnel, et le voilà qui le fait.
• Une demande hors procédure. Virement vers un nouveau compte, contournement de la double validation, achat de cartes cadeaux.
• Un secret exigé. « N'en parlez à personne » est le signal d'isolement le plus net.
• Une urgence sans justificatif. Aucun document à consulter, seulement la parole de l'appelant.
• Un refus de rappel. Quelqu'un qui s'oppose à ce que vous vérifiiez a quelque chose à cacher.

Ces signaux se travaillent à l'oral. Plus un salarié les a entendus dans des conditions proches du réel, plus il les relève vite le jour où ils arrivent.

Mettre en place la parade dans l'organisation

Une consigne qui repose sur la vigilance individuelle s'use vite. Les parades les plus solides sont inscrites dans le fonctionnement de l'entreprise.

• Écrire la règle une seule fois. « Toute demande de virement ou d'accès reçue par téléphone est confirmée par un rappel. » Elle s'applique à tous, dirigeants compris.
• Faire valider la règle par la direction. Un salarié raccroche plus facilement au nez d'un « directeur » si le vrai directeur a dit de le faire.
• Prévoir les circuits sensibles. Trésorerie, ressources humaines, support informatique : chacun reçoit une procédure et, si besoin, un mot convenu.
• Limiter l'exposition vocale. Les enregistrements publics de dirigeants ne sont pas à interdire, mais il faut savoir qu'ils nourrissent les clones.
• Rendre le signalement simple. Un numéro, une adresse, une grille, et aucune sanction pour une fausse alerte.

Pour le support informatique, un cas particulier est traité dans notre article sur l'ingénierie sociale au service desk.

S'entraîner à tenir la procédure face à une voix familière

Savoir qu'une voix peut être fausse ne suffit pas à agir. Face à un patron connu qui s'énerve, la politesse prend le dessus. Le réflexe de raccrocher et de rappeler ne s'improvise pas.

Un jeu de rôle permet de vivre cette situation avant qu'elle ne se produise. Avec Face Up, le formateur écrit un scénario où un persona joué par une IA se fait passer pour un supérieur pressé. L'apprenant parle à voix haute, applique ou non la procédure, puis reçoit un débriefing avec les phrases qu'il a prononcées. Il peut rejouer jusqu'à ce que la formule vienne sans effort.

Questions fréquentes

Peut-on distinguer une voix clonée d'une vraie voix ?

Pas de façon fiable à l'oreille. Des hésitations ou une intonation étrange peuvent exister, mais leur absence ne prouve rien. Il vaut mieux s'appuyer sur une procédure de vérification, la même pour tout appel sensible, quelle que soit la voix.

Un mot de passe verbal est-il suffisant ?

Il est utile pour un cercle restreint, à condition d'être secret et renouvelé. Il ne remplace pas le contre-appel ni la double validation pour les opérations sensibles.

Le clonage de voix concerne-t-il vraiment les entreprises françaises ?

Les outils sont accessibles partout. Cybermalveillance.gouv.fr relève dans son rapport 2025 une hausse de 517 % de l'usurpation de numéro de téléphone, qui accompagne souvent ces appels. Il est prudent de préparer les équipes dès maintenant.

Pour entraîner vos équipes à tenir le contre-appel face à une voix familière, découvrez les jeux de rôle Face Up ou réservez une démonstration.