Dans cet article
Mardi après-midi. Votre fournisseur de viande habituel appelle — vous reconnaissez sa voix immédiatement, le même homme avec qui vous travaillez depuis trois ans. Il semble pressé : la banque du restaurant est passée à un nouveau système, et le paiement du jour doit partir vers un autre compte. Il vous l'envoie sur WhatsApp dans la foulée. Pouvez-vous virer maintenant, il est entre deux livraisons ?
La voix n'est pas fausse. Elle sonne exactement comme lui. Et c'est précisément ce qui a changé : une voix qui sonne juste n'est plus la preuve que vous parlez à la bonne personne.
Ce qui a vraiment changé
La fraude à la facture existe depuis toujours — une lettre falsifiée, un e-mail usurpé depuis un domaine avec une lettre de travers, une signature qui ne colle pas tout à fait. Les restaurateurs ont largement appris à repérer ce genre : un e-mail de "votre comptable" avec un espace en trop dans l'adresse attire déjà le soupçon.
Ce qui est nouveau, c'est la voix. Une étude de la société de sécurité McAfee a montré qu'environ trois secondes d'audio suffisent pour cloner une voix avec près de 85% de précision — de quoi convaincre une oreille attentive, et à plus forte raison une oreille pressée. Ces trois secondes sont partout : un message vocal, une réponse à un avis Google enregistrée par le fournisseur lui-même, un extrait d'un épisode de podcast. Personne n'a besoin de faire quoi que ce soit d'inhabituel pour rendre cet audio public ; il est souvent déjà là.
L'ampleur exacte de ce phénomène pour les restaurants indépendants n'est pas facile à chiffrer — la plupart des incidents ne sont jamais signalés, par gêne ou parce que le montant semblait trop faible. Ce qui est documenté : pour les grandes entreprises, la perte moyenne par incident de ce type (suivi aux États-Unis par le FBI sous le nom "Business Email Compromise") se chiffre en dizaines voire centaines de milliers d'euros, et le nombre de cas ne cesse d'augmenter. Le mécanisme qui fonctionne là-bas est exactement celui qui fonctionne sur une petite cuisine — seul le montant diffère.
La raison pour laquelle un indépendant est particulièrement exposé n'est pas technique, elle est organisationnelle. Dans une grande entreprise, une personne prépare un paiement et une autre l'approuve. Dans un restaurant, c'est souvent la même personne — le patron, ou qui que ce soit au bureau entre deux services. Une demande qui semble venir de quelqu'un déjà digne de confiance est précisément conçue pour contourner ce second regard qu'une plus grande structure appliquerait.
L'anatomie d'un seul appel
Cinq moments, chacun avec un signal et un arrêt
Un message ou un appel urgent, légèrement hors du canal habituel (WhatsApp plutôt qu'un e-mail) ou à une heure inhabituelle — souvent avec une excuse ("la banque a changé de système", "nos comptes ont changé").
Un vrai fournisseur ou comptable n'est jamais pressé pour un détail bancaire. Attendre ne leur coûte rien ; cela vous coûte tout si vous payez maintenant.
La voix sonne juste — mais on vous met la pression pour agir aujourd'hui, et pour ne pas vérifier avec quelqu'un d'autre d'abord. "Restons simples", ou "je ne voulais pas vous ennuyer avec les détails".
Un vrai partenaire d'affaires comprend que vous vouliez vérifier. Quiconque balaie cela d'un revers de main vous donne le signal le plus clair des cinq.
On vous demande de ne pas en parler à votre associé, votre comptable ou toute autre personne normalement concernée — "pour rester simple" — ou l'on vous dit que le contact habituel est injoignable en ce moment.
C'est le signal le plus net des cinq. Un vrai fournisseur ne vous demande jamais de cacher quelque chose à votre propre comptable.
Un IBAN modifié sur une facture existante ou à venir — parfois une petite différence par rapport au numéro utilisé depuis des années, parfois un numéro complètement différent, "juste cette fois-ci".
Rappelez le numéro que vous aviez déjà, avant que cette conversation ne commence — jamais un numéro qui arrive dans le même message que celui qui demande le changement.
Une fois l'argent parti par un virement bancaire ordinaire, il est pratiquement perdu presque immédiatement — contrairement à un paiement par carte, il n'y a pas de rétrofacturation automatique.
C'est le dernier moment, et c'est exactement pour cela que chaque moment précédent est la vraie ligne de défense. Une fois ici, tout dépend de la vitesse à laquelle vous appelez la banque (voir plus bas).
À chacun de ces cinq moments, une seule habitude suffit à tout arrêter : rappelez un numéro que vous aviez déjà, jamais celui du message demandant le changement.
Aucun de ces cinq moments ne demande de connaissances techniques pour être repéré. Il suffit de savoir quoi chercher — et d'avoir déjà cette habitude en place avant que l'appel n'arrive.
Le protocole de rappel
Il y a une habitude qui fonctionne à chacun des moments ci-dessus, et elle ne coûte presque rien : vérifiez toujours un détail de paiement modifié via des coordonnées que vous aviez déjà — jamais un numéro, un e-mail ou un lien reçu dans le même message que la demande de changement. Appelez le numéro enregistré dans votre téléphone, ou celui de la dernière facture. Pas celui qui vient de vous appeler.
Trois règles rendent ce protocole applicable dans une cuisine où personne n'a le temps pour un service de conformité :
- Chaque détail bancaire modifié mérite un second regard — même dans une affaire de deux personnes. C'est votre associé, votre comptable, ou toute personne qui n'est pas celle qui a reçu l'appel ET envoie le paiement. Une seule personne faisant les deux, c'est exactement la situation que la fraude recherche.
- Un premier changement sur une grosse facture mérite une courte pause — un jour, ou jusqu'à ce que vous ayez joint le fournisseur à l'ancien numéro. Un vrai changement survit facilement à cette pause ; un changement frauduleux, rarement, car la pression d'agir maintenant était tout l'enjeu.
- Convenez avec votre équipe que personne ne sera ridiculisé pour un appel de vérification. La principale raison pour laquelle ce protocole échoue n'est pas l'ignorance — c'est que quelqu'un se sent gêné de rappeler le fournisseur "pour vérifier que c'était vraiment lui". Faites-en la norme, pas l'exception.
Sans rappel versus avec rappel
La même demande, deux chemins
Message avec IBAN modifié reçu
Paiement effectué immédiatement
Argent parti — aucune rétrofacturation possible
Message avec IBAN modifié reçu
Rappel au numéro déjà connu (< 2 minutes)
Fraude détectée — rien perdu
La défense coûte moins de deux minutes. L'erreur qu'elle évite coûte le montant de la facture.
À quel point cet appel est-il suspect ?
Aucun signe ci-dessous ne prouve la fraude à lui seul — mais plus il y en a, plus la raison de rappeler avant de payer est forte. Cochez ce qui s'applique à un appel que vous venez d'avoir, ou que vous avez en ce moment.
Vérification du risque pour cet appel
Cochez ce qui s'applique — le verdict se met à jour automatiquement
Verdict
Risque faible
Peu de signaux présents. Rien n'empêche de rappeler au numéro connu avant de confirmer — cela ne coûte que deux minutes.
0 / 7 signaux cochés
Cette liste ne remplace pas le bon sens — un appel sans aucun signal peut quand même être une fraude, et un seul signal ne prouve rien. C'est un aide-mémoire pour le moment où vous sentez la pression et voulez vérifier si elle est normale.
Si c'est déjà arrivé
Si vous ne réalisez qu'après le virement que quelque chose clochait, chaque minute compte. Faites ceci, dans cet ordre :
- Appelez immédiatement la ligne fraude de votre banque — pas le service client général. Les banques peuvent parfois rappeler un virement tant que l'argent n'est pas encore totalement arrivé sur le compte destinataire, mais cette fenêtre est généralement de quelques minutes à quelques heures, pas des jours.
- Portez plainte à la police. Même si le montant semble faible : une plainte est nécessaire pour toute demande d'assurance, et aide la police à repérer le schéma si le même fraudeur cible d'autres entreprises.
- Prévenez votre vrai fournisseur ou comptable. Ils peuvent avertir d'autres clients qui pourraient recevoir le même appel — et c'est tout aussi désagréable pour eux que leur nom et leur voix soient utilisés ainsi.
- N'ayez pas honte de le signaler au sein de votre équipe. Cela arrive à des entreprises de toutes tailles : en 2024, la filiale britannique d'une société énergétique allemande aurait viré 220 000 euros après que son dirigeant a reçu un appel qui sonnait exactement comme le PDG de la maison mère allemande, avec une voix clonée, demandant un paiement urgent pour conclure une affaire. Si cela peut arriver là-bas, ce n'est pas un échec personnel que cela vous arrive.
À mettre en place cette semaine
Quatre choses à mettre en place cette semaine, sans système ni budget :
- Écrivez le protocole de rappel, littéralement — une ligne sur une feuille près de la caisse ou du bureau : "IBAN modifié : rappelez l'ancien numéro, jamais le nouveau."
- Informez tous ceux qui touchent aux paiements — y compris quiconque paie une facture pendant votre jour de repos.
- Convenez d'un mot de passe ou d'une question de contrôle avec vos fournisseurs habituels et votre comptable pour les changements par téléphone — quelque chose qu'une voix clonée ne saurait pas simplement.
- Faites vérifier chaque paiement au-delà d'un montant que vous jugez important — même si cela veut dire que votre associé ou comptable reçoit un message avant que vous n'appuyiez sur "envoyer".
L'essentiel
Une voix clonée est convaincante parce qu'elle est exactement ce qu'elle prétend être : une voix qui sonne juste. Ce qui ne sonne pas juste, c'est l'urgence, la demande de garder le silence, et le numéro modifié — et ces trois éléments sont reconnaissables sans la moindre connaissance technique. Une habitude, rappeler un numéro que vous aviez déjà, arrête presque toutes les variantes de cette histoire avant qu'un euro ne parte.