Deepfake vocal : l'arnaque à la voix IA qui vise les PME

Le deepfake vocal est une fraude qui utilise une voix IA clonée pour se faire passer pour un dirigeant, un client ou un proche au téléphone, dans le but d'obtenir un virement ou des informations sensibles. Selon le rapport 2025 de Cybermalveillance.gouv.fr publié en mars 2026, l'usurpation de numéro de téléphone a bondi de 517% en un an en France, et les fraudes au faux conseiller bancaire ont progressé de 159%, deux techniques de plus en plus souvent couplées à une voix générée par IA pour renforcer la crédibilité de l'appel.

Une menace qui explose : ce que montrent les chiffres 2026

Cybermalveillance.gouv.fr, la plateforme publique française d'assistance aux victimes de cybermalveillance, a accompagné plus de 500 000 victimes en 2025, soit une hausse de 20% en un an, pour plus de 5,1 millions de visiteurs uniques sur sa plateforme. Dans son rapport d'activité, l'organisme pointe explicitement la montée en puissance des appels où une voix IA simule une conversation, rendant les tentatives d'escroquerie nettement plus convaincantes qu'un simple SMS ou email frauduleux. Ce basculement s'explique par un coût d'attaque devenu dérisoire : un abonnement à un service de clonage vocal coûte aujourd'hui entre 5€ et 50€ par mois, et le coût total d'une tentative de fraude peut désormais rester sous la barre des 50€.

Le cas Arup, symbole d'une nouvelle génération de fraude

L'exemple le plus documenté reste celui du groupe d'ingénierie Arup, dont un employé de la filiale de Hong Kong a exécuté quinze virements pour un montant total de 25,6 millions de dollars après une visioconférence où chaque participant, y compris le « directeur financier », était en réalité généré par IA. Ce cas, largement repris depuis par les experts en cybersécurité, illustre un changement d'échelle : la fraude au président ne repose plus sur un simple email usurpé, mais sur une voix, un visage et un ton familiers, reconstitués à partir de quelques minutes de contenu public.

Comment fonctionne une arnaque à la voix IA

Le principe technique est devenu accessible à quiconque. Un fraudeur récupère un échantillon audio de la voix ciblée (message vocal, story sur les réseaux sociaux, extrait de conférence, message de répondeur), puis l'injecte dans un outil de clonage vocal grand public. Selon plusieurs éditeurs spécialisés, un clone vocal exploitable peut être généré à partir de 15 à 30 secondes d'audio propre, et certains services annoncent des résultats convaincants dès 3 secondes.

• Collecte d'un échantillon vocal via un message vocal, un réseau social ou un enregistrement public.
• Génération d'un clone vocal en quelques minutes via un service de clonage accessible en ligne.
• Appel ou message vocal usurpant l'identité d'un dirigeant, d'un proche ou d'un conseiller bancaire.
• Création d'un sentiment d'urgence pour pousser à un virement, un paiement ou la divulgation d'un code.

Pourquoi les PME deviennent des cibles privilégiées

Longtemps jugées trop petites pour intéresser des attaquants sophistiqués, les PME de 20 à 100 salariés sont aujourd'hui identifiées par plusieurs experts en cybersécurité comme des cibles particulièrement rentables : elles manipulent des virements significatifs, mais disposent rarement des procédures de vérification à plusieurs niveaux des grands groupes. Un standard téléphonique classique, où un seul salarié décroche et traite l'appel sans protocole de vérification, est un point d'entrée idéal pour ce type de fraude.

• Procédures de virement peu formalisées, souvent gérées par une seule personne de confiance.
• Absence de protocole de rappel systématique sur un numéro connu avant tout virement inhabituel.
• Personnel peu sensibilisé aux techniques de deepfake vocal et à l'urgence artificielle qu'elles créent.
• Coordonnées et voix des dirigeants souvent disponibles publiquement sur le site web ou les réseaux sociaux.

Un paradoxe qui n'en est pas un : la voix IA légitime progresse aussi vite que la fraude

Cette explosion des fraudes ne freine pas l'adoption de la voix IA par les entreprises : l'investissement mondial dans les technologies vocales par IA atteignait déjà 6,6 milliards de dollars en 2025, avec une trajectoire estimée à 34 milliards de dollars d'ici 2030 selon les analystes du secteur. Les deux courbes progressent en parallèle, ce qui renforce un besoin croissant chez les PME françaises : distinguer clairement un agent téléphonique IA légitime, encadré par la réglementation, d'une voix clonée à des fins frauduleuses. La différence ne tient pas à la qualité de la voix, les deux peuvent être bluffantes, mais à la transparence et à la traçabilité de l'usage.

Comment se protéger : les bonnes pratiques à mettre en place

Le réflexe du rappel, la protection la plus efficace

Face à une fraude qui repose sur l'urgence et la crédibilité vocale, la meilleure protection reste un protocole simple, appliqué systématiquement, plutôt qu'une technologie de détection complexe.

• Tout ordre vocal demandant un virement, un changement de bénéficiaire ou un accès sensible doit déclencher un rappel sur un numéro déjà connu, jamais celui communiqué pendant l'appel.
• Mettre en place une validation à deux personnes pour tout virement inhabituel ou urgent, quelle que soit l'autorité apparente de la demande.
• Utiliser un code de validation interne, changé régulièrement, pour authentifier une demande sensible par téléphone.
• Signaler tout appel suspect au 33700 par SMS, ou auprès de Cybermalveillance.gouv.fr, qui centralise le traitement de ces signalements.
• Former les équipes à reconnaître les signaux d'alerte : urgence excessive, demande de confidentialité, léger décalage ou monotonie dans la voix.

Un agent téléphonique IA légitime, l'exact opposé du deepfake vocal

Cette vague de fraude soulève une question légitime pour toute entreprise qui envisage d'équiper son propre standard d'une IA vocale : comment s'assurer qu'un agent téléphonique IA professionnel ne participe pas à la confusion ambiante ? La réponse tient en un principe simple, désormais imposé par la loi : depuis le 2 août 2026, l'article 50 de l'AI Act européen oblige toute IA vocale à annoncer clairement sa nature dès le début de l'appel, qu'il s'agisse d'un appel entrant ou sortant, l'inverse total de la logique d'un deepfake, qui cherche justement à se faire passer pour un humain. Un agent conforme ne cherche jamais à imiter la voix d'un dirigeant ou d'un proche : il se présente comme un assistant IA, qualifie la demande, et transfère systématiquement vers un humain en cas de doute ou de sujet sensible.

Les tarifs du marché français pour un agent téléphonique IA professionnel se situent en général entre 199€ et 400€ d'abonnement mensuel, avec une installation entre 0€ et 2 500€ selon le niveau de personnalisation du script, et un coût à la minute d'appel entre 0,15€ et 0,35€. Chez Livoxia, nos offres démarrent à 199€/mois avec une installation à 500€, un agent qui s'identifie systématiquement comme IA et une traçabilité complète de chaque appel (transcription, résumé, horodatage). Le détail complet est disponible sur la page tarifs.

Questions fréquentes

Combien de temps d'audio faut-il pour cloner une voix avec l'IA ?

Selon plusieurs éditeurs spécialisés, un clone vocal exploitable peut être généré à partir de 15 à 30 secondes d'audio propre, et certains services grand public annoncent des résultats convaincants dès 3 secondes. Un simple message vocal, une story sur les réseaux sociaux ou un extrait de conférence publique suffit souvent à fournir la matière première nécessaire à un fraudeur.

Un agent téléphonique IA légitime peut-il être confondu avec une arnaque ?

Non, si la solution respecte la réglementation en vigueur. Depuis le 2 août 2026, l'AI Act impose à toute IA vocale de s'annoncer comme telle dès le début de l'appel. Un agent conforme ne cherche jamais à se faire passer pour un dirigeant ou un proche, contrairement à un deepfake vocal, dont l'objectif est justement de tromper l'appelé sur l'identité de son interlocuteur.

Que faire en cas de doute sur un appel utilisant une voix IA clonée ?

Raccrochez et rappelez la personne supposée être à l'origine de l'appel sur un numéro déjà connu, jamais celui communiqué pendant la conversation. Ne procédez à aucun virement ni divulgation d'information sensible sous la pression de l'urgence, et signalez l'appel au 33700 ou auprès de Cybermalveillance.gouv.fr pour contribuer au suivi de ces fraudes.

En conclusion

Le deepfake vocal n'est plus un scénario de science-fiction : avec une hausse de 517% de l'usurpation de numéro en un an et des PME désormais activement ciblées, la vigilance doit devenir un réflexe au même titre qu'un protocole de rappel systématique avant tout virement. Un agent téléphonique IA conforme, transparent sur sa nature et toujours prêt à transférer vers un humain, n'aggrave pas ce risque : il s'inscrit à l'exact opposé de la logique du deepfake. Découvrez nos fonctionnalités ou contactez-nous pour un audit gratuit de votre standard téléphonique. Vous pouvez aussi tester notre agent en 30 secondes, sans carte bancaire.