Arnaque au deepfake : 25 millions de dollars perdus lors d’une fausse visioconférence

Début 2024, un employé d’Arup à Hong Kong a transféré environ 25 millions de dollars après une visioconférence avec de faux collègues générés par l’IA. Comment fonctionne cette arnaque, et comment s’en protéger.

Début 2024, un employé du service financier d’Arup, groupe d’ingénierie britannique, a reçu une demande de virement présentée comme venant de la direction au Royaume-Uni. Il a d’abord douté. Puis il a participé à une visioconférence où il a reconnu plusieurs collègues. Il a alors effectué les virements.

Ce qui s’est passé

• Tous les participants de la visioconférence étaient des deepfakes, créés à partir de vidéos et d’enregistrements publics, selon la police de Hong Kong.
• L’employé a effectué 15 virements vers 5 comptes bancaires, pour environ 200 millions de dollars de Hong Kong, soit près de 25 millions de dollars américains.
• La fraude a été découverte environ une semaine plus tard, quand il a contacté le siège.
• Arup a indiqué que ses systèmes informatiques n’avaient pas été compromis : c’est la confiance qui a été piratée.

L’arnaque au président, version IA

L’arnaque au faux dirigeant existe depuis longtemps : un faux e-mail ou un faux appel demande un virement urgent et confidentiel. L’IA la rend plus convaincante, car on peut désormais imiter une voix ou un visage. Voir quelqu’un à l’écran ne suffit plus à prouver son identité.

Les parades simples

• Toute demande de virement inhabituel se confirme par un appel à un numéro connu, jamais celui donné dans le message.
• Fixer une règle : aucun virement important sans double validation par deux personnes.
• Méfiance face à l’urgence et à la confidentialité imposées : ce sont les deux leviers favoris des fraudeurs.
• Convenir d’un mot ou d’une question de vérification au sein de l’équipe dirigeante.

Former plutôt que blâmer

L’employé avait eu le bon réflexe en doutant. Ce qui a manqué, c’est une procédure claire qui l’autorise à vérifier, même face à un dirigeant. Les règles protègent ceux qui les appliquent.

À l’ère des deepfakes, la vérification doit passer par un canal que le fraudeur ne contrôle pas.

Sources : police de Hong Kong, CNN, Financial Times, Business Insider, 2024.

Vous voulez automatiser vos processus sans ouvrir de nouvelles failles ? Décrivez votre projet dans notre formulaire d’estimation : nous vous répondons avec une estimation adaptée et les prochaines étapes.