En juillet 2024, un directeur de Ferrari a reçu un message urgent: l'expéditeur semblait être le PDG de l'entreprise lui-même, Benedetto Vigna. Sans aucun doute, la voix et son image dans l'appel vidéo étaient incontestablement siennes. Le problème est que le PDG demandait une aide immédiate (sous la forme d'un paiement millionnaire) pour fermer une « opération confidentielle ».
Heureusement, la tromperie s'est effondrée avec une question simple, un détail personnel auquel l'imposteur n'a pas pu répondre.
Mais si le manager n'avait pas eu l'idée de poser cette question, ou si l'imposteur avait de la chance de deviner la bonne réponse, Ferrari serait devenue la dernière grande victime d'une arnaque en plein essor: la « fraude du PDG » … sur la base de l'utilisation de « Deepfakes ».
Une vieille fraude avec de nouvelles armes
Le piège n'est pas nouveau. Pendant des années, les criminels ont envoyé de faux e-mails ou passé des appels téléphoniques à usurper les gestionnaires et commander des transferts urgents.
La différence est que maintenant, même si le courrier électronique ou le SMS ne s'efforce pas, avec l'intelligence artificielle, ils peuvent même cloner des voix et des visages même en temps réel. Ce qui était auparavant un e-mail suspect (dans la plupart des cas) aujourd'hui peut devenir un appel vidéo plutôt convaincant.
« Ce qui donne le pouvoir à cette nouvelle vague d'escroqueries, c'est la combinaison de l'autorité, de l'urgence et de la crédibilité visuelle », résume un rapport du FBI, qui estime que les pertes de cyber -tideline en 2024 ont dépassé 16,6 milliards de dollars aux États-Unis.
Fait intéressant, même en pleine l'IA, les e-mails contrefaits susmentionnés (ce que nous connaissons comme «compromis par e-mail») se sont poursuivis dans le classement parmi les types d'arnaque les plus chers.
Cas qui alertent le monde de l'entreprise
La liste des sociétés attaquées ne cesse de croître. Certains des cas qui ont été révélés:
- ARUP (2024): Un employé a transféré 25 millions de dollars après un appel vidéo avec plusieurs faux managers, tous générés avec l'IA.
- Émirats arabes unis (2020): Une banque a perdu 35 millions après avoir assisté aux ordres d'un «directeur» dont la voix clonée était indiscernable du réel.
- Non révélé British Energy (2019): 220 000 euros ont disparu après que le PDG local « a reconnu 'la voix de son patron allemand … fabriqué par un système de synthèse vocale.
- Lastpass (2024): Un attaquant a tenté de tromper un employé avec des messages vocaux falsifiés. La fraude n'a pas prospéré parce que la communication a été faite par un canal inhabituel.
- En Chine, en 2023, un entrepreneur a transféré près de 600 000 $, convaincu qu'il a parlé à un ami de confiance lors d'un appel vidéo manipulé.
Quand la victime est lui-même PDG
Ce ne sont pas toujours les employés qui tombent. Parfois, le maximum responsable des entreprises finit par être trompé … et même rejeté (car ni l'expérience ni le rang ne s'immunisent contre la tromperie).
Il était particulièrement connu un fait que l'année dernière qui impliquait un haut responsable espagnol: Jaime Ondarza, PDG de l'Europe du Sud à Fremantle (le producteur de « Got Talent '' et « Mask Singer ''), a transféré 938 000 euros après des conversations pour WhatsApp avec des partenaires présumés et un faux avocat. L'erreur lui a coûté le poste et a ouvert une enquête policière en Italie.
La science derrière la tromperie
Une étude de l'University College de Londres a révélé que les humains n'avaient réussi qu'à détecter 73% des fausses voix, même après avoir reçu une formation spécifique.
Et les systèmes de détection automatique ne sont pas infaillibles non plus: il existe des concours internationaux tels que «ASVSPOOF» montrent que les algorithmes de détection échouent lorsque les conditions techniques changent ou que de nouvelles techniques de clonage sont utilisées. La «police» va toujours derrière le «voleur» dans ces cas.
Signaux d'alarme
Les experts en cybersécurité insistent sur le fait que, bien que la technologie soit de plus en plus sophistiquée, l'arnaque continue de dépendre du même modèle:
- L'autorité (voix et visage du patron): qui parle semble être quelqu'un avec un pouvoir hiérarchique.
- L'urgence (« Nous fermons l'opération aujourd'hui« ): Une action immédiate est nécessaire, sans le temps de réfléchir.
- L'isolement: l'ordre est transmis par des canaux inhabituels et en secret.
« La défense ne peut pas être basée sur la reconnaissance de la voix ou de l'image. Les antidote sont les processus: vérifier par un autre canal, demander une double approbation et ne pas céder à la pression du temps », a expliqué un consultant cité par Financial Times.
Que font les entreprises
Certaines multinationales ont renforcé les contrôles internes: règles « rappel » (renvoyez l'appel au numéro officiel avant d'agir, quelque chose que nous devons également faire sur les utilisateurs de pied lorsque nous recevons des appels « de la banque », pour éviter les victimes de la « usurpation ''), « refroidissement des fenêtres » pour des paiements urgents et des codes verbaux entre les gestionnaires et le trésor.
La formation est également devenue cruciale: « Les exercices de » Deepfake « aident les équipes à reconnaître les modèles suspects, au-delà de la voix ou de la vidéo », explique un rapport de Deloitte, qui avertit que les pertes mondiales par la fraude activées par IA pourraient tripler d'ici 2027.
