IA, fraude et entreprise : la DGSI alerte, des experts expliquent

Dans une note publiée en décembre 2025*$, la DGSI alerte sur les actions d’ingérence économique dont des sociétés françaises sont régulièrement victimes et présente trois types de situations auxquelles les entreprises sont susceptibles d’être confrontées. Toutes reposent sur l’utilisation de l’IA, parfois générative, et l’une d’elles constitue un cas typique de fraude au président

“Le responsable d’un site industriel d’un groupe français a reçu un appel en visioconférence de la part d’une personne se présentant comme le dirigeant du groupe. Au premier abord, cet appel n’a pas suscité la curiosité du responsable, l’apparence physique et la voix de l’individu à l’écran correspondaient bien à celles du dirigeant.

Néanmoins, l’individu usurpant l’apparence du dirigeant a rapidement demandé au responsable du site de procéder à un transfert de fonds dans le cadre d’un soi-disant projet d’acquisition du groupe.
Surpris par le caractère inhabituel de cette démarche, le responsable du site a mis un terme aux échanges et a alerté la direction de sa société par les canaux habituels. Il lui a été confirmé qu’il avait été victime d’une tentative d’escroquerie par hypertrucage (deepfake en traduction anglaise) associant le visage et la voix du dirigeant grâce à l’usage d’une IA“ (extrait de la note de la DGSI)*$.

« C’est un cas typique de tentative de fraude au président, pointe Éric Courtial. Le scénario est in fine identique à ce qui se déroulait avant l’IA générative mais celle-ci crédibilise l’approche. » « Ici, l’IA générative renforce la manipulation mais le bon sens du collaborateur y a fait obstacle » complète Sophie Fina. Les deepfakes, des contenus truqués (vidéos, messages, audios, images, documents, etc.) produits par l’IA, sont aisés à produire si l’on dispose du matériau de base comme le confirme Éric Courtial : « quelques secondes d’une voix suffisent pour reproduire, grâce à l’IA générative, sa tessiture, son phrasé ; et quelques secondes de vidéo d’une personne suffisent pour imiter les expressions du visage de l’intéressé. Les dirigeants d’entreprise sont très exposés à ce type d’usurpation puisqu’ils ont une vie publique, souvent sur le web. »

Outre les deepfakes, la DGSI rappelle que les attaquants utilisent l’IA pour automatiser leurs attaques en exploitant notamment :

• « La génération automatique de contenus malveillants. Des messages frauduleux, des courriers électroniques de phishing*$ ou de faux sites web sont créés par des IA capables d’imiter parfaitement le style humain, rendant la détection beaucoup plus difficile ». « L’IA, ici, est utilisée à la fois pour renforcer la véracité des médias et augmenter la rapidité de la mise en œuvre de la fraude » éclaire Sophie Fina. « Elle permet de créer un environnement beaucoup plus complet qu’auparavant autour de comptes WhatsApp par exemple. Et si la cible garde le réflexe de vérification, elle est incitée à la faire via les écrans, les réseaux sociaux, sans sortir de l’univers créé par l’attaquant. La manœuvre ici a pour but de tromper et de faire oublier les interactions réelles -si essentielles pour éviter la réalisation d’une fraude- au profit de la facilité et de la rapidité inhérentes aux échanges dématérialisés » explique Éric Courtial.
• « Le spear phishing amélioré*$. Grâce à l’IA, les cybercriminels peuvent analyser rapidement les données publiques et privées d’une cible (réseaux sociaux, courriers électroniques, publications) pour personnaliser leurs attaques, augmentant ainsi les chances de réussite ». « L’IA sert ici à une récupération plus performante des données, par exemple la récupération d’organigrammes récents, et à une identification précise des interactions entre deux personnes. Elle permet par exemple de savoir si le directeur général et le directeur financier se tutoient ou se vouvoient, quel type de communication mail, WhatsApp… ils utilisent ! » prévient Éric Courtial. « L’IA permet de s’engouffrer dans des failles humaines : beaucoup d’individus ont perdu la notion de données sécurisées et plus largement de la nécessaire confidentialité liée à la vie de l’entreprise, regrette Sophie Fina. Ainsi, certains travaillent sur leur ordinateur professionnel dans le train sans filtre de confidentialité, un outil dont toutes les entreprises devraient doter leurs collaborateurs susceptibles de travailler à distance et sur lequel elles doivent impérativement communiquer pour en imposer l’utilisation. » Autre exemple : « les équipes commerciales qui se félicitent sur LinkedIn de la réalisation d’un beau deal diffusent publiquement des informations très intéressantes. Toute communication professionnelle doit au préalable être validée en interne, par la direction commerciale ou la direction de la communication par exemple. Il faut structurer et maîtriser sa communication ! » conseille Éric Courtial.

Parmi les différentes préconisations de la DGSI, la première est sans surprise de former régulièrement ses équipes à l’usage de l’IA « aussi bien dans le but de démystifier l’IA, de rassurer les utilisateurs et de s’assurer de l’appropriation de l’outil que de développer une culture de la cybersécurité ». « Cadrer les usages et former au potentiel d’utilisation que recèle l’IA est impératif, même pour les entreprises qui n’ont pas encore intégré l’IA dans leurs pratiques professionnelles, leurs services, leurs produits, estime Sophie Fina. Bien souvent, le collaborateur débute par une appropriation personnelle : le niveau est donc hétérogène entre les salariés et surtout il n’est pas alerté des risques. »

Parmi ces risques, comme le relate la DGSI, celui de soumettre des données personnelles (nom, téléphone, adresse, etc.) ou professionnelles dans un outil d’IA et plus largement sur les réseaux sociaux. Un usage à proscrire et sur lequel l’entreprise doit alerter. La DGSI estime ainsi « préférable de ne pas utiliser ces outils pour des tâches sensibles, comme la rédaction de comptes-rendus de réunions confidentielles ». L’anonymisation est de règle pour les requêtes effectuées sur un outil d’IA « sauf si cet outil est sécurisé, c’est-à-dire utilisé au sein de l’entreprise, selon une politique définie par cette dernière » nuance Sophie Fina.