La fraude fait partie des recherches les plus populaires en Arabie saoudite ce mardi 10 novembre 2026. Il y a cinq jours, le parquet fédéral américain de New York a annoncé l'inculpation d'un réseau qui clonait par IA la voix et l'image de dirigeants et d'avocats, et qui a convaincu des salariés de virer plus de 129 millions de dollars, soit environ 483 millions de riyals saoudiens, entre 2024 et 2026. La leçon pour toute entreprise : n'exécutez jamais un virement parce que la voix ressemble à celle du patron. Toute demande hors du circuit habituel doit être confirmée par un appel que vous passez vous-même à un numéro déjà enregistré, avec la validation d'une deuxième personne, sans exception pour les opérations confidentielles. (Voir aussi nos articles sur les deepfakes et la fraude par IA et sur les e-mails d'hameçonnage.)
Ce qui s'est passé, en chiffres
Le jeudi 5 novembre 2026, le bureau du procureur fédéral du district sud de New York a rendu publique une mise en accusation visant 3 personnes arrêtées en Espagne et au Royaume-Uni, dont les demandes d'extradition sont en cours. Tout ce que contient l'acte d'accusation reste une allégation non encore prouvée devant un tribunal. Le communiqué cite 6 entreprises victimes parmi d'autres :
- Un groupe hospitalier du Missouri : 4 829 580 dollars.
- Une banque du Rhode Island : 2 684 580 dollars.
- Un groupe hospitalier de Californie : 2 968 497 dollars.
- Une fintech basée au Royaume-Uni : 11 578 474 dollars.
- Une société de fonds communs de placement du Massachusetts : 4 639 918 dollars.
- Un fabricant d'aliments pour animaux de Floride : 5 242 747 dollars.
Ces six victimes représentent à elles seules près de 31,9 millions de dollars. À noter : il ne s'agit pas de petites structures imprudentes, mais d'une banque, d'une fintech et d'un gestionnaire de fonds, des organisations dotées d'équipes financières et de contrôles.
Comment se déroule l'appel, étape par étape
Selon le communiqué du parquet, le scénario se répétait toujours dans le même ordre :
- Le PDG appelle : le fraudeur se fait passer pour le dirigeant, imite sa voix ou son image par IA pendant l'appel et demande l'aide du salarié pour une opération financière confidentielle.
- L'avocat entre en scène : le faux PDG demande au salarié de contacter des avocats de grands cabinets internationaux qui travailleraient sur l'opération, et les fraudeurs usurpent aussi l'identité de ces avocats.
- Le virement : le faux avocat ordonne un virement important vers un compte contrôlé par le réseau, dans des pays dont les États-Unis, l'Espagne, le Portugal, la Grèce, les Émirats arabes unis, Singapour, l'Autriche, la Slovaquie et la Chine.
- La dissimulation : une fois l'argent reçu, il est converti en cryptomonnaie pour en masquer l'origine.
Le détail le plus révélateur : l'un des accusés conservait un script manuscrit intitulé Lawyer Call, avec des formules destinées à convaincre les salariés de ne pas parler de ces appels à leurs collègues. Le secret n'est pas un détail de cette fraude. C'est l'outil qui neutralise tous les contrôles internes.
Pourquoi reconnaître la voix ne suffit plus
Le conseil « écoutez bien la voix » ne fonctionne plus. Le rapport annuel 2025 du centre de plaintes pour la cybercriminalité du FBI (IC3) indique que les contenus synthétiques produits par IA sont de plus en plus difficiles à détecter et faciles à créer, et que le clonage de voix sert à demander des virements. Rien qu'en 2025 :
- Le centre a reçu 22 364 plaintes mentionnant l'IA, pour 893 346 472 dollars de pertes.
- Les entreprises ont déclaré plus de 30 millions de dollars perdus dans des compromissions de messagerie d'entreprise faisant appel à l'IA.
- La compromission de messagerie d'entreprise dans son ensemble a coûté 3 046 598 558 dollars pour 24 768 plaintes.
Ce sont des chiffres américains, mais la méthode ne connaît pas de frontières, et les comptes du réseau incluaient les Émirats arabes unis. En Arabie saoudite, la Banque centrale saoudienne (SAMA) rappelle que les méthodes de fraude varient mais que le but reste le même, voler votre argent ou utiliser votre compte pour des opérations illégales, et recommande de ne s'informer qu'auprès des sources officielles. Dans une entreprise, la source officielle, c'est un numéro déjà enregistré chez vous, pas celui qui vous appelle.
5 règles pour protéger les virements de votre entreprise
- Le contre-appel est obligatoire. Toute demande de virement par téléphone, visioconférence ou WhatsApp, même avec la voix du PDG, est confirmée par un appel que le salarié passe lui-même au numéro du dirigeant figurant dans les dossiers de l'entreprise, jamais en rappelant le même numéro ni en rejoignant le lien de réunion envoyé par le demandeur.
- Aucune exception pour le secret. Écrivez-le dans la politique de l'entreprise : aucune opération confidentielle ne dispense du circuit de validation. Dites à vos équipes que le vrai PDG ne leur demandera jamais de cacher un virement au directeur financier. Toute demande de ne rien dire aux collègues impose de tout arrêter.
- Deux validations au-delà d'un seuil. Fixez un montant au-delà duquel un virement exige un second valideur absent de l'appel, idéalement imposé dans votre système financier et dans les habilitations de votre compte bancaire, pas seulement écrit dans un manuel.
- Un mot de vérification interne. Convenez avec toutes les personnes habilitées à demander des virements d'une question ou d'un mot réservé aux demandes de paiement, jamais écrit dans un e-mail ou une messagerie. Un fraudeur peut cloner une voix, pas deviner ce qu'il n'a jamais entendu.
- Signalez en heures, pas en jours. Si l'argent est parti, appelez immédiatement votre banque pour bloquer le virement. En 2025, l'équipe de recouvrement des avoirs du FBI a travaillé avec les banques sur 3 900 incidents et gelé 679 013 183 dollars, soit un taux de réussite de 58 %, d'abord grâce à la rapidité des signalements.
Le regard d'Origami
Nous lisons cette affaire comme un problème de procédure plus que de technologie. Le réseau n'a piraté aucun système. Il a exploité une seule chose : un salarié capable de virer seul et qui obéissait à une voix familière. Dès lors qu'imiter une voix et un visage devient bon marché, la seule règle qui tient est celle qui ne dépend pas du jugement du salarié sur ce qu'il entend.
C'est pourquoi, quand nous développons des systèmes sur mesure de comptabilité, d'achats ou de paiement pour des entreprises saoudiennes, nous intégrons le circuit de validation au système lui-même : plafonds, seconde validation et journal de chaque demande et de son valideur, pour qu'aucun appel convaincant ne puisse le contourner. Pour un audit de vos circuits de validation des paiements, contactez-nous ou découvrez nos services.
En pratique : quoi faire cette semaine
- Réunissez toutes les personnes habilitées à émettre ou valider des paiements et présentez-leur cette affaire en 10 minutes.
- Inscrivez la règle du contre-appel et celle de l'absence d'exception pour le secret dans une politique écrite, signée par l'équipe.
- Vérifiez les habilitations bancaires : une seule personne peut-elle virer n'importe quel montant sans seconde validation ?
- Enregistrez le numéro du service fraude de votre banque auprès de l'équipe financière avant d'en avoir besoin.
Sources
- US Department of Justice, US Attorney's Office for the Southern District of New York — communiqué du 5 novembre 2026 : les chefs d'accusation, la méthode d'usurpation du PDG et des avocats, les pertes des six entreprises et les pays où les comptes étaient ouverts.
- FBI Internet Crime Complaint Center — 2025 IC3 Annual Report : plaintes et pertes liées à l'IA, pertes dues à la compromission de messagerie d'entreprise et résultats des gels de fonds.
- Banque centrale saoudienne (SAMA) — mise en garde contre les messages et appels suspects : méthodes d'usurpation d'identité, leur but et la recommandation de s'en tenir aux sources officielles.
Questions fréquentes
Comment savoir si un appel avec la voix de mon PDG est un faux ?
Souvent, la voix ne permet pas de le savoir, car l'IA l'imite désormais de près. Jugez plutôt la demande : un virement urgent, une opération confidentielle, une consigne de ne rien dire aux collègues ou un paiement hors circuit. Un seul de ces signaux suffit pour raccrocher et rappeler le dirigeant au numéro enregistré.
Le fraudeur peut-il utiliser une visioconférence et pas seulement la voix ?
Oui. Le communiqué de la justice américaine indique que le réseau imitait la voix ou l'image des dirigeants pendant les appels. La vidéo n'est donc pas une preuve suffisante : appliquez le contre-appel à toute demande de virement, quel que soit le canal.
Que faire si mon salarié a déjà effectué le virement ?
Appelez immédiatement votre banque pour bloquer et rappeler le virement, puis documentez tout : numéro de l'appelant, heure de l'appel, messages. La rapidité compte : en 2025, l'équipe du FBI et les banques ont gelé plus de 679 millions de dollars sur 3 900 incidents grâce à des signalements précoces.
Cette fraude vise-t-elle seulement les grandes entreprises ?
Non. Les six entreprises du communiqué vont des hôpitaux et d'une banque à un fabricant d'aliments pour animaux, et la méthode fonctionne partout où un salarié peut virer seul. Une petite entreprise peut même être plus exposée, car le personnel connaît bien la voix du dirigeant et il n'y a pas de seconde validation.
