La fraude au président est ancienne : un escroc se fait passer pour un dirigeant et obtient un virement urgent et confidentiel. Ce qui change avec les deepfakes, c'est la preuve que l'on croyait décisive : voir et entendre la personne. Cette page porte sur l'entreprise. Le même procédé appliqué à un proche, au téléphone, est traité dans notre page sur le deepfake vocal.
Ce que la police de Hong Kong a établi
Le 5 février 2024, la police de Hong Kong a décrit l'affaire à la presse, sans nommer l'entreprise. D'après la dépêche de l'AFP reprise par Hong Kong Free Press :
- un salarié de la filiale hongkongaise d'une entreprise a participé à des visioconférences avec des personnes se présentant comme des cadres dirigeants de l'entreprise, qui lui ont demandé de virer de l'argent vers des comptes désignés ;
- selon le commissaire Baron Chan, les escrocs avaient trouvé des vidéos et des enregistrements publics des personnes imitées sur YouTube, puis utilisé la technologie deepfake pour reproduire leurs voix ;
- tous les participants à l'appel, sauf la victime, étaient des imitations, et les vidéos étaient préenregistrées : il n'y avait pas de véritable échange ;
- quand l'affaire a été signalée, le 29 janvier, environ 200 millions de dollars de Hong Kong (environ 26 millions de dollars américains) avaient été versés en 15 virements.
En mai 2024, le groupe d'ingénierie britannique Arup a été identifié comme l'entreprise visée. Son porte-parole a indiqué que sa stabilité financière et ses activités n'avaient pas été affectées et qu'aucun de ses systèmes internes n'avait été compromis : l'attaque n'a pas eu besoin de pirater quoi que ce soit, seulement de convaincre une personne.
Pourquoi la visioconférence n'est plus une vérification
Dans sa synthèse du 4 février 2026 sur l'IA générative, l'ANSSI note que de nombreux cybercriminels exploitent « pour quelques dizaines de dollars » des services de deepfakes à des fins d'usurpation d'identité. Le cas de Hong Kong montre la conséquence : une visioconférence organisée par l'interlocuteur, avec des visages et des voix familiers, ne prouve pas son identité. Les indices visuels que l'on cite souvent (lèvres décalées, clignements, contours flous) dépendent de la qualité de l'outil et des conditions de l'appel : ils peuvent alerter, mais leur absence ne garantit rien.
La CNIL, qui parle de « faux ordre de virement international » (FOVI), décrit la préparation : l'escroc étudie l'entreprise à partir des informations publiées en ligne, offres d'emploi et organigrammes compris, pour savoir qui valide quoi et rendre sa demande crédible.
Les procédures qui arrêtent le virement
Aucune ne dépend de la capacité d'un salarié à repérer un deepfake :
- Une confirmation par un canal que l'on n'a pas reçu. La CNIL recommande de vérifier la demande en appelant un contact connu, ou en personne, et jamais avec les coordonnées données dans le message. Si la demande arrive par visioconférence, la confirmation se fait par un autre moyen, à l'initiative du salarié.
- Des règles écrites et rappelées. La CNIL insiste : les procédures doivent être formalisées et « rappelées régulièrement ». Un salarié qui sait qu'aucun virement urgent ne peut contourner la double validation n'a pas à arbitrer seul sous pression.
- Une double validation des virements inhabituels, et la même règle pour tout changement de coordonnées bancaires d'un fournisseur.
- L'accès à la messagerie protégé par une double authentification, que la CNIL recommande aussi : beaucoup de ces fraudes commencent par une boîte mail détournée.
Le pendant côté fournisseurs, le faux RIB, est détaillé sur notre page faux RIB et changement de coordonnées bancaires, avec les chiffres de l'Observatoire de la sécurité des moyens de paiement sur les faux ordres de virement visant les entreprises.
Quand le virement est parti
- Appelez votre banque immédiatement pour demander le blocage ou le retour des fonds : plus la demande est tardive, moins elle a de chances d'aboutir.
- Conservez les preuves : mails, invitations à la visioconférence, enregistrements s'il en existe, coordonnées bancaires fournies.
- Portez plainte auprès de la police ou de la gendarmerie.
Les démarches communes sont détaillées dans notre page que faire si vous êtes victime d'une arnaque. Une entreprise peut aussi obtenir un diagnostic et une mise en relation avec des prestataires sur cybermalveillance.gouv.fr.
Sources
Pages consultées le 19 octobre 2026.
- AFP, « Multinational loses HK$200 million to deepfake video conference scam, Hong Kong police say », dépêche publiée par Hong Kong Free Press le 5 février 2024 (déclarations de la police de Hong Kong) : hongkongfp.com
- Construction Management, « Arup victim of multimillion deepfake scam », 21 mai 2024 (déclaration d'Arup) : constructionmanagement.co.uk
- CNIL, « Le faux ordre de virement international ou "fraude au président" », 9 avril 2021 : cnil.fr
- ANSSI, CERT-FR, « L'IA générative face aux attaques informatiques, synthèse de la menace en 2025 », 4 février 2026 : cert.cyber.gouv.fr