Fraude au « faux PDG » par deepfake : l'arnaque à 25 millions de dollars qui a sidéré les équipes de sécurité des entreprises

Début 2024, un employé du service financier d'une multinationale basée à Hong Kong a transféré 25 millions de dollars à des escrocs après avoir participé à une visioconférence avec des personnes qui semblaient être le directeur financier de son entreprise et plusieurs collègues. Tous les participants à l'appel — à l'exception de la victime — étaient des « deepfakes » générés par intelligence artificielle en temps réel. Cette affaire a marqué un tournant dans le domaine de la fraude en entreprise et de l'ingénierie sociale.

Comment l'attaque a été menée

L'attaque a suivi un schéma désormais familier, considérablement amplifié par la technologie des « deepfakes » :

1. Premier contact — La victime a reçu un courriel d'hameçonnage semblant provenir du siège social britannique, demandant un virement confidentiel.

2. Validation de la confiance — Méfiant, l'employé a accepté un appel vidéo pour vérifier la demande.

3. L'appel par deepfake — Des attaquants ont utilisé une technologie de deepfake en temps réel pour animer des images publiques du véritable directeur financier et de ses collègues, répondant aux questions à l'aide d'extraits audio préenregistrés.

4. Transfert autorisé — Rassuré par la confirmation vidéo apparente, l'employé a effectué 15 transactions pour un montant total de 25,6 millions de dollars.

La fraude n'a été découverte que plusieurs jours plus tard, lorsque l'employé a contacté directement le siège social.

La technologie derrière l'attaque

La génération de vidéos « deepfake » en temps réel a considérablement progressé. Des outils qui nécessitaient autrefois une expertise technique pointue et un temps de rendu important peuvent désormais fonctionner en temps quasi réel grâce à du matériel disponible dans le commerce. Parmi les capacités clés, on peut citer :

• Remplacement de visage dans les flux vidéo en direct

• Clonage vocal à partir de seulement 3 secondes d'audio

• Synchronisation labiale pour synchroniser la voix clonée avec les mouvements du visage

• Remplacement de l'arrière-plan pour simuler des environnements de bureau typiques.

Sources of training data are disturbingly accessible — LinkedIn profile photos, YouTube interviews, and earnings call recordings are all that attackers need.

L'ampleur du problème

Il ne s'agit pas d'un cas isolé. Selon le Center for Financial Services de Deloitte, les pertes liées aux fraudes faisant appel à l'IA devraient atteindre 40 milliards de dollars aux États-Unis d'ici 2027. L'Internet Crime Complaint Center (IC3) du FBI a signalé une augmentation de 300 % des signalements de fraudes impliquant des « deepfakes » entre 2023 et 2024.

Comment protéger votre organisation

• Mettre en place un système de mots codés verbaux : des phrases convenues à l’avance, obligatoires pour toute demande financière sensible, quel que soit le canal de communication.

• Exiger une vérification hors ligne : systématiquement confirmer les virements importants par un numéro de téléphone distinct et prédéfini.

• Former les équipes financières aux scénarios de fraude par deepfake.

• Utiliser des outils de détection de présence sur les plateformes de visioconférence.

• Instaurer une procédure de double vérification pour tous les virements dépassant un certain seuil.

L'ère du « voir pour croire » est révolue. En 2025, les organisations devront mettre en place des processus de vérification partant du principe que les preuves visuelles et sonores peuvent être falsifiées. Le facteur humain demeure la dernière ligne de défense, et il doit être renforcé en conséquence.