Contre l'arnaque au virement dopée à l'IA, votre antivirus ne sert à rien. C'est votre processus qu'il faut réparer

Elles circulaient sur les réseaux : le visage était le bon, la voix aussi, et le message invitait à placer son argent. La Banque de France a publié une alerte pour dire que tout était faux. Quatre mois plus tard, le 27 août 2026, une centaine d'entreprises technologiques — OpenAI à l'initiative, Anthropic, Google, Microsoft et AWS parmi les signataires — publiaient une lettre ouverte commune : il reste une fenêtre de quelques mois avant que les outils d'attaque pilotés par IA ne dépassent les moyens de défense.

Pendant ce temps, dans les TPE françaises : la fraude au virement a bondi de 93 % chez les professionnels entre 2024 et 2025, et pèse 13,5 % des demandes d'assistance des entreprises (Cybermalveillance.gouv.fr, rapport d'activité 2025 publié en mars 2026). Ce n'est pas un sujet de grande entreprise. C'est le sujet de la personne qui, chez vous, valide les virements le jeudi après-midi.

Je vends de l'intelligence artificielle à des TPE. Et l'automatisation la plus rentable que je puisse vous recommander ce mois-ci ne fait gagner aucune heure : elle en fait perdre quatre minutes, une fois, au bon moment.

Cloner une voix demandait un studio et un budget. En 2026, trente secondes d'extrait pris sur une story, une visio ou une vidéo de présentation suffisent, et le coût d'une attaque de ce type est passé sous les 50 € (BNP Paribas Entreprises, 2026). Au passage, l'orthographe approximative qui trahissait les faux e-mails a disparu : un modèle de langage écrit un français impeccable, reprend le ton de votre fournisseur et cite le numéro de votre dernière facture s'il a pu le lire quelque part.

55 % des TPE et PME françaises utilisent aujourd'hui l'IA générative, contre 31 % un an plus tôt (Bpifrance Le Lab, enquête publiée en janvier 2026). Les fraudeurs figurent parmi les adopteurs les plus rapides, et ils s'en servent mieux que la moyenne.

La conséquence est mal comprise : l'attaque ne vise plus votre informatique, elle vise votre organisation. Le faux fournisseur (42 % des fraudes externes constatées) et le faux client (41 %) arrivent largement en tête, et 61 % des TPE se jugent bien préparées, contre 92 % des grandes entreprises (Baromètre Fraude 2026).

Votre antivirus est très bien. Il n'a simplement rien à voir avec ce problème. Aucun logiciel ne bloquera un message poli, bien écrit, envoyé depuis une adresse plausible, qui demande de mettre à jour un RIB avant le prochain règlement. Ce message ne contient pas de virus. Il contient une demande. Et c'est votre processus qui lui répond oui.

Avant d'écrire ces lignes, j'ai passé mes domaines au test que je vous propose plus bas. Dix secondes, dans l'invite de commandes Windows : nslookup -type=TXT _dmarc.scaileup.com.

Réponse : v=DMARC1; p=none. En français : mon domaine annonce une politique de simple observation. Rien n'est demandé aux serveurs qui reçoivent un e-mail signé de mon nom, même quand il ne vient pas de chez moi. Sur outreach.scaileup.com, le sous-domaine d'où part ma prospection, il n'y a même pas de ligne DMARC — alors que SPF et DKIM y sont posés proprement, parce que Resend refuse d'envoyer sans.

Autrement dit : quelqu'un peut écrire à mes clients un message qui s'affiche comme venant de rayan@scaileup.com, et je n'avais rien mis en place pour qu'il soit rejeté. J'étais dans la moyenne des TPE françaises, ce qui n'est pas une excuse quand on vend de l'automatisation. Voilà la correction, en trois temps, chez l'hébergeur du nom de domaine (Hostinger dans mon cas, c'est identique chez OVH ou Gandi) :

Il ne fait rien contre un fournisseur réellement piraté qui vous écrit depuis sa vraie adresse, sur un fil de discussion existant, en répondant à votre propre message. C'est aujourd'hui le scénario le plus courant, et le plus efficace : il n'y a rien de faux dans l'e-mail, sauf l'IBAN.

Pour celui-là, il n'existe aucun logiciel à acheter. Il existe une règle. Un virement ne part que si l'une de ces trois conditions est remplie :

La première va dans le pied de page de vos devis et de vos factures, et dans votre signature d'e-mail : « Nos coordonnées bancaires ne changent jamais par e-mail. Toute demande de modification reçue par ce canal est une tentative de fraude : appelez-nous au 01 XX XX XX XX avant tout règlement. » Elle ne vous protège pas vous — elle protège vos clients contre quelqu'un qui usurpe votre identité. C'est ce qui vous coûterait le plus cher, et ça ne se répare pas avec un virement.

La seconde est la réponse à envoyer le jour où la demande arrive chez vous : « Bonjour, nous avons bien reçu votre demande de modification de coordonnées bancaires. Notre procédure interne prévoit une confirmation orale avant tout changement : je vous appelle aujourd'hui au numéro enregistré dans notre fiche fournisseur. Aucun règlement ne sera effectué sur les nouvelles coordonnées avant cet échange. »

Ce message a un mérite rare : envoyé à un vrai fournisseur, il fait bonne impression et se règle en deux minutes. Envoyé à un fraudeur, il met fin à la conversation. Dans les deux cas, vous avez gagné.

Automatisable, et utile : la détection. Chaque facture fournisseur qui entre porte un IBAN ; il suffit de le comparer à celui de la fiche. Un IBAN jamais vu déclenche une alerte et met le paiement en attente tant qu'une personne n'a pas confirmé. C'est une poignée de règles dans Make (à partir de 9 €/mois) ou n8n, branchées sur les outils que vous avez déjà — pas un logiciel de plus.

Chez moi, le rapprochement Qonto ↔ Pennylane tourne ; la règle « IBAN jamais vu, on s'arrête » est pour l'instant écrite, pas encore automatisée. Je le dis parce que l'ordre compte : la règle d'abord, l'outil ensuite. Une règle sans outil ralentit un fraudeur. Un outil sans règle ne fait que rendre le virement plus rapide.

Non automatisable, et c'est volontaire : la décision. Le coup de fil, l'accord de la deuxième personne. Le principe se retrouve chez les bons outils — dans Qonto, ni un assistant ni une API ne peuvent exécuter un virement : au mieux ils préparent une demande, qu'un humain valide avec sa propre authentification forte. Copiez ce principe chez vous : ce qui déclenche un mouvement d'argent ne doit jamais pouvoir se décider tout seul.

Le coût : dix minutes de DNS (0 €), une page de procédure, et quatre minutes par changement de RIB — il y en a deux ou trois par an dans une TPE. À ce volume, le suivi DMARC est gratuit.

En face : une PME sur quatre a fait face à une tentative en 2024-2025, avec des pertes qui montent à 80 000 € par incident dans les cas documentés (Baromètre Fraude 2026). Et le virement parti n'est que la première ligne de l'addition : viennent ensuite la plainte, la banque (au-delà de quelques heures, l'argent est rarement récupéré), l'assurance qui demande à voir votre procédure écrite avant de jouer la garantie, et la personne qui a cliqué et qui n'ose plus rien valider seule pendant six mois.

L'écart entre 61 % de TPE qui se jugent préparées et 92 % de grandes entreprises ne vient pas des outils. Les grandes entreprises n'ont pas un meilleur antivirus : elles ont une procédure écrite et deux signatures.

Un seul geste, dix minutes. Ouvrez l'invite de commandes et tapez nslookup -type=TXT _dmarc.votredomaine.fr. Pas de réponse, ou p=none : vous savez quoi demander à la personne qui gère votre nom de domaine, et la ligne exacte est plus haut. Faites le même test sur le domaine d'où partent vos factures, il est souvent différent.

Puis envoyez la règle des trois conditions à la personne qui paie chez vous. Si c'est vous, collez-la au-dessus de votre écran. C'est la seule automatisation de cet article qui ne demande aucun logiciel — et c'est celle qui rapporte le plus.

Si vous voulez ensuite que le contrôle d'IBAN, les relances et le rapprochement bancaire tournent sans vous, c'est exactement le type de circuit qu'on installe sur vos outils actuels, sans en changer un seul.