Réflexes clés à l'ère des fraudes augmentées

Par Stéphanie Corbière
Face à la fraude au président, la problématique est désormais double : gouverner la prévention sans transformer la direction juridique en cellule d’alerte et riposter efficacement. Dans un contexte où l’IA amplifie les risques et où les obligations européennes (digital services act (DSA), règlement européen sur l’IA (RIA)) imposent traçabilité et transparence, la direction juridique devient un pilier incontournable de la résilience organisationnelle.
 

Installer la vigilance dans la gouvernance

La fraude prospère sur trois ressorts constants : autorité, urgence, secret. Y opposer une lenteur assumée relève de la gouvernance, pas du réflexe. Les procédures doivent rendre l’exception impossible : double validation pour tout changement d’IBAN, séparation stricte des tâches dans l’ERP, et rappel à froid via un numéro vérifié. Simples mais tracés, ces gestes incarnent une gouvernance "anti-réflexe".

Les cas WPP et Arup illustrent l’ampleur du risque : dans le premier, des escrocs ont utilisé un clone vocal et des images truquées pour simuler une réunion Teams avec le CEO de l’époque ; dans le second 200 millions HK$ (environ 22,3 M€) ont été transférés, après une visioconférence deepfake simulant des instructions de hauts dirigeants. L’exposition informationnelle mérite la même rigueur : organigrammes détaillés, agendas accessibles et traces vidéo ou sonores des dirigeants constituent une matière première idéale pour les deepfakes. Les directions juridiques doivent également alerter sur les risques d’usurpation visant les proches des dirigeants dont les profils publics peuvent servir à crédibiliser une fraude.

La clé réside dans une véritable culture du doute promue par l’Agence nationale de la sécurité des systèmes d’information (Anssi) : valoriser la « désobéissance procédurielle » : celle du collaborateur qui ose questionner un ordre inhabituel ou bloquer un virement douteux. Des simulations trimestrielles par scénarios réalistes ancrent cette vigilance dans les réflexes collectifs.
 

La direction juridique doit aussi anticiper la dimension probatoire. La traçabilité devient une ressource stratégique : conservation des en-têtes complets de courriels, journaux d’accès, enregistrements de visioconférence et captures horodatées. Ce socle de preuves, structuré au sein d’une procédure anti-fraude dédiée, permettra d’appuyer une demande de rappel de fonds auprès de la banque, une plainte pénale pour escroquerie (ou tentative), ou une notification aux plateformes dans le cadre du DSA.
 

Transformer la réaction en plan d’action

Lorsque la fraude survient, la réactivité opérationnelle et juridique est déterminante. Les premiers instants doivent être consacrés à la mise en sûreté : isoler les canaux compromis, suspendre les mouvements financiers et informer sans délai l’établissement bancaire. Chaque décision et tentative de contact doit être consignée avec rigueur pour préserver la crédibilité de la procédure.
 

La direction juridique doit évaluer l’opportunité d’une action pénale, qu’un préjudice financier soit avéré ou non, en pesant les avantages d’une plainte au nom de la société ou de son dirigeant lorsque l’image ou la voix de ce dernier a été utilisée pour réaliser la fraude. La qualification pénale (escroquerie ou tentative) peut être complétée, le cas échéant, par l’infraction d’usurpation d’identité et faux ou usage de faux si un deepfake a été utilisé.
 

Le dépôt de plainte revêt également une importance stratégique souvent sous-estimée : il constitue le déclencheur indispensable pour activer les garanties des polices d'assurance cyber. En effet, la plupart des contrats conditionnent leur mise en œuvre, prise en charge des pertes financières, frais de gestion de crise et de reconstitution de données, au dépôt préalable d'une plainte pénale. Cette démarche est donc à la fois un acte de défense judiciaire et un prérequis contractuel d'indemnisation, qu'il convient d'anticiper dans les procédures internes.
 

Le DSA ou le RIA offrent par ailleurs des leviers supplémentaires : notification de contenus trompeurs, exigence de transparence des fournisseurs d’IA, et coopération renforcée entre entreprises et plateformes. La direction juridique devient ainsi l’interface entre droit pénal, conformité et communication de crise.
 

La maturité juridique, rempart contre la fraude

La fraude au président n’est plus un incident ponctuel, mais un risque structurel inhérent à l’économie numérique. Pour la direction juridique, ces événements ouvrent une voie d’action nouvelle : renforcer les barrières techniques, placer la traçabilité des échanges et la culture du doute au cœur de la gouvernance et garantir la capacité à documenter chaque étape, y compris pour préserver les droits de l’entreprise vis-à-vis de ses assureurs.
 

Une direction juridique aguerrie n’empêche sans doute pas la tentative, mais elle en neutralise toutefois les effets. C’est souvent là que se joue la différence : dans la capacité à transformer des procédures en réflexes, à documenter chaque étape, à imposer la vérification avant l’exécution. Dans un environnement où le faux se perfectionne plus vite que la loi, la véritable défense ne tient pas à la technologie, mais à la maturité juridique de l’organisation.