Vous avez compris le problème. Reste à évaluer les réponses. Et là, vous n'avez pas d'outil formel. Le marché de la vérification d'autorité est neuf : le vocabulaire est flou, les promesses sont invérifiables et chaque fournisseur définit la catégorie à sa mesure. Pour y remédier, voici la grille que nous utiliserions nous-mêmes, en toute transparence. Elle tient en cinq critères, cinq questions et cinq signaux d'alarme. Et elle reste valable même si vous n'achetez jamais rien : les questions qu'elle soulève sont universelles et alimenteront vos réflexions sur la stratégie de protection.
Pourquoi une grille : un marché neuf ne sait pas encore s'évaluer
Une catégorie naissante a toujours le même défaut. Les acheteurs héritent du vocabulaire des vendeurs.
Aujourd'hui, un RSSI qui cherche à vérifier l'origine d'un ordre critique reçoit des propositions qui n'appartiennent pas au même monde : de la détection de deepfake, de la biométrie vocale, de la sensibilisation, du contrôle de bénéficiaire, du workflow d'approbation. Toutes se présentent comme la réponse. Aucune ne répond à la même question. Et faute de grille, la décision se prend sur la démo la plus impressionnante. C'est-à-dire sur le mauvais critère.
La méthode que nous proposons est simple et un peu brutale : un critère ne se justifie jamais par une promesse. Il se justifie par un échec. Chacun des cinq points ci-dessous répond à une défense qui a réellement cédé, en conditions réelles, faute de ce critère. La grille n'est donc pas une liste de souhaits. C'est une cartographie des modes de défaillance. Nous vous proposons une lecture en creux de cas réels pour dessiner les contours de votre défense.
Un avertissement indispensable : la grille s'applique évidemment à nous aussi ! Et plus généralement : si un critère vous semble être taillé sur mesure pour un fournisseur, il est mauvais. Jetez-le.
(Sur la nature du problème lui-même, tout est ici : « L'autorité humaine usurpée : la nouvelle surface d'attaque de l'IA ».)
Critère 1. Prouver le donneur d'ordre, quel que soit le canal
Une solution valable authentifie la personne qui donne l'ordre, indépendamment du canal par lequel l'ordre arrive.
L'échec qui justifie le critère
Mettez deux affaires côte à côte. En 2018, la filiale néerlandaise de Pathé exécute 19,2 M€ de virements sur la foi de simples e-mails usurpant la direction du groupe. En 2024, un employé d'Arup en exécute pour 25,6 M$ après une visioconférence entièrement peuplée de deepfakes. Six ans, deux canaux opposés, aucun système compromis dans les deux cas.
Regardez maintenant ce que ferait une défense arrimée à un canal. Un détecteur de deepfake vidéo n'aurait rien vu chez Pathé : il n'y avait pas de vidéo. Un filtre anti-usurpation de domaine n'aurait rien vu chez Arup : il n'y avait pas d'e-mail. Chaque défense aurait parfaitement fonctionné… sur l'attaque de l'autre !
Ce n'est pas un hasard de casting. L'ANSSI décrit une ingénierie sociale devenue multi-canal (Panorama de la cybermenace 2025, publié le 11 mars 2026). Le canal n'est pas la cible de l'attaquant : c'est son déguisement. Et un déguisement, ça se change. Faites le tour des canaux utilisés par vos collaborateurs… Email, Slack, Teams, WhatsApp, Meet. L'attaquant n'a que l'embarras du choix, et votre solution doit les couvrir tous.
La France en a fait la démonstration grandeur nature. Le pays a durci le canal téléphonique en déployant un mécanisme d'authentification des numéros (fin 2024 pour les fixes, début 2025 pour les mobiles). Résultat : les signalements d'usurpation de numéro à l'Arcep sont passés de 531 en 2023 à plus de 19 000 en 2025. Durcir un canal ne ferme pas la porte. Cela déplace la file d'attente.
La question exacte à poser au fournisseur
« Que se passe-t-il si l'ordre arrive par un canal que vous ne couvrez pas ? »
Le signal d'alarme
Le fournisseur vous répond en énumérant les canaux couverts, et vous promet le prochain à la roadmap. Il a entendu « quels canaux ? ». Vous aviez demandé « et les autres ? ».
Une bonne réponse ne rallonge pas la liste. Elle sort de la liste : la preuve porte sur la personne et l'instruction, pas sur le tuyau. Le canal devient alors ce qu'il aurait toujours dû être : un détail.
Critère 2. Exiger une preuve. Et qu'elle soit vérifiable sans vous
Une solution valable génère une preuve binaire, liée à une demande précise. C'est oui ou non, mais ce n'est pas “61% de certitude”. Et cette preuve doit être vérifiable par un tiers même si l'on ne fait confiance à aucun de ses outils.
Ce critère a deux moitiés. On ne peut en garder qu'une.
L'échec qui justifie le critère (1/2) : un score n'est pas une décision
En mai 2024, dans une entreprise agroalimentaire du Finistère, une aide-comptable a viré environ 65 000 € en contournant toutes les procédures internes. Tout ça sur la foi d'un faux document qualifié de « grossier » par une source proche du dossier.
Lisez bien ce que cela signifie. Le signal d'alerte était là. Il était même maximal : le faux était visible. Le virement est parti quand même.
C'est tout le problème de la sortie probabiliste. Un score de 82 % de risque n'est pas une décision : c'est une décision que l'on délègue à l'humain le plus pressé de l'entreprise, au moment précis où il est le moins capable de la prendre. On ne peut pas faire pire ! Un détecteur ne bloque pas un virement. Il produit un doute. Et un doute, confronté à l'autorité et l'urgence que savent parfaitement imiter les bons escrocs, ça s'écrase. *(*lire Pourquoi la détection est une course perdue d'avance : « Détecter les deepfakes : pourquoi vous perdrez la course ».)
Un score n'est pas une décision. C'est une décision qu'on vous renvoie.
L'échec qui justifie le critère (2/2) : une trace que vous affirmez n'est pas une preuve
La seconde moitié est plus subtile, et c'est celle que les acheteurs oublient.
Supposons que la solution produise bien un verdict binaire, et qu'elle le journalise. Six mois plus tard, votre assureur conteste. Vous ouvrez le back-office du fournisseur et vous montrez une ligne. Que vaut cette ligne ?
Elle vaut exactement la confiance que l'on accorde au fournisseur qui l'a écrite. C'est une affirmation, pas une preuve. Une preuve, au sens propre, tient même si l'on ne fait confiance à personne dans la chaîne : ni à l'éditeur, ni à son serveur, ni à vous. Elle est vérifiable par un tiers, avec des éléments publics, de manière probante et sans avoir à demander la permission.
La question exacte à poser au fournisseur
« Votre sortie est-elle un score ou une preuve ? Et qui peut la vérifier sans vous ? »
Le signal d'alarme
« Nos journaux sont horodatés et infalsifiables. » Cette phrase ne répond pas à la question. Un journal que seul l'éditeur peut lire, sur une infrastructure que seul l'éditeur contrôle, est infalsifiable par vous. C'est un argument de confiance déguisé en argument de preuve.
Si la réponse à « qui peut vérifier sans vous ? » est « nous », vous n'avez pas acheté une preuve. Vous avez acheté un fournisseur.
Critère 3 : Cibler le donneur d'ordre, pas l'exécutant
Une solution valable prouve qui a ordonné. Et elle se branche sur votre stack existante au lieu de prétendre la remplacer.
L'échec qui justifie le critère
Chez Arup, aucun système n'a été compromis. L'employé était le bon employé. Ses accès étaient légitimes. Le virement était conforme. (L'autopsie complète du cas : « Affaire Arup : 25,6 M$, zéro système piraté ».)
Autrement dit : l'IAM a parfaitement fonctionné. Il a prouvé, avec exactitude, qui exécutait. Personne n'a jamais prouvé qui avait ordonné. Ce n'est pas une défaillance de l'IAM, c'est une question qu'on ne lui a jamais posée.
Et le contrôle réglementaire le plus récent ne la pose pas davantage. Le Verification of Payee, obligatoire dans la zone euro depuis le 9 octobre 2025, vérifie la concordance entre le nom du bénéficiaire et son IBAN. Il sécurise où va l'argent. Il ne dit rien de qui a ordonné le virement. En 2025, le régulateur européen a donc ajouté un contrôle, mais il vérifie encore autre chose que l'autorité. (La cartographie complète de ce qui vérifie quoi : « Trustpair, IAM, VoP : ce que votre stack ne vérifiera jamais ».)
La question exacte à poser au fournisseur
« Prouvez-vous qui a exécuté, ou qui a ordonné ? Et comment vous articulez-vous avec mon IAM existant ? »
Le signal d'alarme
Le fournisseur propose de remplacer une brique en place. Méfiance immédiate : soit il ne comprend pas où se situe l'angle mort, soit il l'a compris et préfère vendre plus large.
L'authentification du donneur d'ordre ne concurrence ni votre IAM, ni votre PAM, ni votre outil de vérification d'IBAN. Elle existe à coté d'eux et en grande partie hors de votre système d'information. Elle répond à une question qu'aucun d'eux ne pose. Une solution qui prétend les absorber vous vend une migration, pas une preuve.
Critère 4 : Ne pas dépendre de la vigilance dans l'instant
Une solution valable continue de protéger l'organisation le jour où le collaborateur ne fait pas ce qu'il faut. Parce qu'il est distrait, parce qu'il est crédule, parce qu'il est occupé… parce qu'il est humain !
L'échec qui justifie le critère
Prenons cette fois un succès, parce qu'il est plus instructif qu'un échec.
En juillet 2024, un cadre de Ferrari reçoit sur WhatsApp la voix clonée de son PDG. Il s'en sort. Comment ? En posant une question dont seul le vrai dirigeant connaissait la réponse : le titre d'un livre recommandé quelques jours plus tôt.
Regardez ce qui a fonctionné. Ce n'est pas une procédure, car elle n'existait pas. Ce n'est pas non plus un outil : il n'y en avait pas. C'est l'improvisation d'un cadre déjà méfiant ce jour-là. Ferrari n'a pas été sauvé par un dispositif. Ferrari a eu de la chance. Grâce à un collaborateur lucide, mais de la chance quand même.
Mais on ne fait pas reposer une politique de sécurité à l'échelle d'une entreprise sur la lucidité individuelle d'un collaborateur un mardi après-midi. Surtout pas quand l'attaquant choisit le moment, choisit l'état du vérificateur et fournit lui-même les éléments de réassurance. C'est précisément le maillon qu'il a sélectionné parce qu'il sait le neutraliser. (Pourquoi ce maillon cède, physiologiquement : « Ingénierie sociale à l'ère de l'IA : votre cerveau est la faille ». Et pourquoi les procédures qui en dépendent cèdent avec lui : « Contre-appel, double validation : pourquoi ça ne suffit plus ».)
La preuve doit être structurelle et non pas attentionnelle.
La question exacte à poser au fournisseur
« Que se passe-t-il si mon collaborateur, ce jour-là, ne suit pas la procédure ? »
Le signal d'alarme
La réponse contient les mots « sensibilisation », « formation » ou « bonnes pratiques ». Ces trois mots ne sont pas mauvais, mais ils sont hors sujet. Ils décrivent ce qui doit se passer dans la tête du collaborateur. Vous demandiez ce qui se passe quand rien ne s'y passe.
Une bonne réponse est mécanique plutôt que pédagogique : sans preuve, l'ordre ne s'exécute pas. Le collaborateur n'a plus à être vigilant. Il n'a plus à être courageux non plus (et c'est d'ailleurs peut-être le vrai bénéfice !). La preuve ne dépend pas de sa décision.
Critère 5 : Produire une preuve qui tient six mois après
Une solution valable permet de démontrer, après coup et devant un tiers, que cet ordre précis a bien été autorisé par cette personne précise.
L'échec qui justifie le critère
Le jour de l'incident, l'interrogation est « comment ont-ils fait ? ». Six mois plus tard, ce n'est plus du tout la question.
Six mois plus tard, les auteurs sont hors d'atteinte et les fonds ont disparu. Ce qui reste sur la table, ce sont des humains qui doivent répondre d'une décision : l'assureur qui examine la garantie, le commissaire aux comptes qui s'interroge sur le contrôle interne, la direction générale qui cherche qui a validé quoi. Chez Pathé, l'affaire ne s'est pas arrêtée au virement : elle s'est prolongée devant le juge néerlandais, et le débat portait sur la responsabilité des dirigeants qui avaient validé les paiements.
À ce moment-là, votre dossier contient quoi, exactement ? Le plus souvent : un e-mail, un souvenir d'appel, et une conviction que, sur le moment, c'était la bonne voix. Mais une supposition ne s'oppose à personne.
La Banque de France chiffre l'ampleur du phénomène : la fraude par manipulation représente 382 M€, soit 32 % du montant total de la fraude aux moyens de paiement (Observatoire de la sécurité des moyens de paiement, rapport 2024). Ce sont autant de dossiers où la question « qui a autorisé ? » se pose après l'exécution de l'ordre de virement, et sans trouver réponse. (La dimension gouvernance et responsabilité : « Qui peut engager votre entreprise d'un simple message ? ».)
La question exacte à poser au fournisseur
« Que reste-t-il, six mois après, quand on me demande de prouver l'autorisation ? »
Le signal d'alarme
« Vous avez tout l'historique dans le back-office. » Un historique n'est pas une attribution. Il montre qu'une action a eu lieu. Il ne prouve pas qui l'a voulue, ni sur quel contenu précis, et par quelle méthode cette personne à prouvé son identité.
Une bonne réponse lie trois choses ensemble et de manière indissociable : une personne, une instruction exacte, un instant. Si l'un des trois manque, il vous restera une trace. Pas une preuve. Ah, et cette preuve doit être la vôtre même si le fournisseur disparait.
La grille en un tableau
| Critère | La question exacte à poser | Le signal d'alarme (Fuir !) |
|---|---|---|
| 1. Indépendance du canal | « Que se passe-t-il si l'ordre arrive par un canal que vous ne couvrez pas ? » | On vous récite une liste de canaux, et une roadmap. |
| 2. Preuve, pas score — et vérifiable sans le fournisseur | « Votre sortie est-elle un score ou une preuve ? Qui peut la vérifier sans vous ? » | « Nos journaux sont horodatés et infalsifiables. » |
| 3. Donneur d'ordre, pas exécutant | « Prouvez-vous qui a exécuté, ou qui a ordonné ? Comment vous articulez-vous avec mon IAM ? » | On vous propose de remplacer une brique existante. |
| 4. Structurel, pas attentionnel | « Que se passe-t-il si mon collaborateur, ce jour-là, ne suit pas la procédure ? » | La réponse contient « sensibilisation » ou « formation ». |
| 5. Opposable dans le temps | « Que reste-t-il, six mois après, quand on me demande de prouver l'autorisation ? » | « Vous avez tout l'historique dans le back-office. » |
Le verdict honnête : presque tout le monde échoue sur les cinq
Passez votre propre dispositif à la grille. Vous allez probablement échouer sur les cinq points. Ce n'est ni une provocation ni un argument de vente : c'est l'état normal du marché en 2026.
Et ce n'est pas de la négligence. Vos procédures ont été écrites, souvent par vous-même, à une époque où imiter un dirigeant de façon crédible coûtait cher. Ce coût faisait office de contrôle. Personne n'avait de raison de considérer l'origine d'un ordre comme quelque chose qu'il fallait prouver. On la constatait. On sensibilisait. Cela suffisait.
Alors soyons précis sur le message de cette grille. Elle ne dit pas que la détection est inutile : elle réduit le bruit, et ça c'est utile. Elle ne dit pas que la sensibilisation ne sert à rien : elle écarte l'amateur, et ça aussi c'est utile. Elle ne dit pas que votre IAM est mal configuré : il fait exactement ce pour quoi il a été acheté, et c'est très bien. Elle dit une chose, et une seule : aucun de ces outils ne répond à la question de savoir qui a donné l'ordre et comment vous pouvez le prouver de manière sûre, déterministe et durable.
Et elle s'applique à nous. Askuria propose une solution de vérification de l'autorité humaine : posez-nous les cinq questions, dans cet ordre, et notez les réponses comme vous noteriez celles de n'importe qui d'autre. Une grille qui ne peut pas se retourner contre son auteur n'est pas une grille? C'est au mieux une plaquette promotionnelle, et cela ne fait avancer les choses
Prouver qui a ordonné : le chaînon manquant
Ces cinq critères convergent vers un seul déplacement. Il faut cesser de juger un ordre au moment où il arrive, et recherche à la place une preuve liée à l'instruction elle-même. Une preuve indépendante des systèmes, vérifiable par un tiers et produite avant exécution. C'est ce que nous appelons l'authentification de l'autorité humaine (Executive Instruction Verification), et c'est ce que nous construisons chez Askuria. Pas de preuve, pas d'exécution.
Si vous voulez confronter votre propre dispositif à la grille, écrivez-nous. On répond sur le fond, et on accepte l'évaluation. Parce que nous sommes convaincus que le marché naissant de l'Executive Instruction Verification mérite mieux que des plaquettes promotionnelles.
Et puis, cette grille ne désigne pas un vainqueur. Elle vous dit quelles questions poser. Y compris à nous.
Questions fréquentes sur l'évaluation d'une solution de vérification d'ordre
Comment évaluer une solution de vérification d'ordre critique ? En la passant à cinq critères, chacun dérivé d'un échec réel documenté : indépendance du canal, preuve plutôt que score et vérifiable sans le fournisseur, ciblage du donneur d'ordre plutôt que de l'exécutant, indépendance vis-à-vis de la vigilance humaine, et opposabilité dans le temps. Une solution qui échoue sur l'un des cinq laisse ouvert le mode de défaillance correspondant.
Quelles questions poser à un fournisseur de vérification d'autorité ? Cinq, dans cet ordre : que se passe-t-il si l'ordre arrive par un canal non couvert ? Votre sortie est-elle un score ou une preuve, et qui peut la vérifier sans vous ? Prouvez-vous qui a exécuté ou qui a ordonné ? Que se passe-t-il si mon collaborateur ne suit pas la procédure ? Que reste-t-il six mois après, quand on me demande de prouver l'autorisation de manière formelle ?
Qu'est-ce qu'une preuve indépendante des systèmes ? C'est une preuve qui tient même si l'on ne fait confiance à aucun outil de la chaîne, y compris ceux du fournisseur. Elle est vérifiable par un tiers sans avoir à demander l'accès au back-office de l'éditeur. À l'inverse, un journal que seul le fournisseur peut lire est une affirmation, pas une preuve.
Une piste d'audit suffit-elle à prouver l'origine d'un ordre ? Non. Une piste d'audit montre qu'une action a eu lieu et qui l'a exécutée. Elle ne prouve pas qui l'a ordonnée, ni sur quel contenu précis. Pour être opposable, une preuve doit lier de manière indissociable une personne, une instruction exacte et un instant.
Un détecteur de deepfake répond-il à ces critères ? Il en couvre au mieux un fragment. Il produit un score, donc renvoie la décision à un humain sous pression (critère 2), il dépend du canal analysé (critère 1), et il ne laisse rien d'opposable six mois plus tard (critère 5). Utile pour réduire le bruit mais insuffisant comme preuve d'autorité.
Cette grille s'applique-t-elle aussi à Askuria ? Oui, et c'est le test. Un critère taillé sur les caractéristiques exclusives d'un fournisseur n'est pas un critère d'évaluation. C'est au mieux un argument commercial. Les cinq questions ci-dessus doivent être posées à tous les fournisseurs consultés, Askuria compris.
Sources
-
ANSSI — Panorama de la cybermenace 2025 (publié le 11 mars 2026 ; CERT-FR, réf. CERTFR-2026-CTI-002) : ingénierie sociale devenue multi-canal, exploitation des biais humains.
-
Observatoire de la sécurité des moyens de paiement (OSMP), Banque de France — Rapport 2024 (présenté le 9 septembre 2025) : fraude par manipulation à 382 M€, soit 32 % du montant total de la fraude aux moyens de paiement.
-
Règlement (UE) 2024/886 — Verification of Payee (VoP) : obligatoire dans la zone euro depuis le 9 octobre 2025 ; vérifie la concordance nom / IBAN du bénéficiaire.
-
Affaire Pathé (mars 2018) : la filiale néerlandaise du groupe a transféré 19,2 M€ sur la foi d'e-mails usurpant la direction ; jugement du tribunal d'Amsterdam du 31 octobre 2018.
-
Affaire Arup (janvier 2024, Hong Kong) : 15 virements, 25,6 M$ ; déclaration publique du directeur de l'information du groupe — aucun système interne compromis.
-
Entreprise agroalimentaire du Finistère (mai 2024) : virement d'environ 65 000 € exécuté en contournant l'ensemble des procédures internes, malgré un faux document qualifié de « grossier » (France Bleu / Radio France, mai 2024).
-
Affaire Ferrari (juillet 2024) : un cadre a déjoué une voix clonée du PDG sur WhatsApp en posant une question dont seul le dirigeant connaissait la réponse (Bloomberg, 26 juillet 2024).
-
ARCEP — signalements d'usurpation de numéro passés de 531 (2023) à plus de 19 000 (2025) ; loi dite Naegelen (n° 2020-901 du 24 juillet 2020) : mécanisme d'authentification des numéros, déploiement des lignes fixes en octobre 2024, des mobiles en janvier 2025.