Fraude au président : quand le deepfake s'invite en visioconférence

La fraude au président n'est pas nouvelle : un escroc se fait passer pour un dirigeant et obtient un virement urgent et confidentiel. Ce qui change, c'est l'outil. Avec l'IA, imiter une voix ou un visage ne demande plus de gros moyens : quelques extraits trouvés en ligne peuvent suffire à produire une imitation crédible.

Le cas Arup : 25 millions de dollars en une visioconférence

Début 2024, la police de Hong Kong révèle une affaire qui a fait le tour du monde. Un employé du service financier d'une multinationale reçoit un message qui semble venir du directeur financier du groupe, basé au Royaume-Uni. Il est question d'une opération confidentielle. L'employé se méfie : il pense d'abord à un mail d'hameçonnage.

Il est alors invité à une visioconférence. À l'écran, il reconnaît le directeur financier et plusieurs collègues. Ses doutes s'envolent. Il effectue les virements demandés : 15 virements, pour un total d'environ 200 millions de dollars de Hong Kong, soit près de 25 millions de dollars américains.

En réalité, tous les participants, à part lui, étaient des deepfakes, fabriqués à partir de vidéos et d'enregistrements disponibles publiquement. La fraude n'est découverte qu'après coup, quand l'employé vérifie auprès du siège. Quelques mois plus tard, l'entreprise d'ingénierie britannique Arup confirme être la victime et déclare que « de fausses voix et de fausses images ont été utilisées ».

La leçon : l'employé n'a pas été naïf

Ce cas est instructif justement parce que la victime a eu le bon réflexe au départ : elle a douté. C'est la visioconférence qui l'a rassurée. Voir et entendre des personnes connues a toujours été notre meilleur moyen de vérifier une identité. Ce n'est plus vrai.

Chercher à repérer techniquement un deepfake (un clignement d'yeux étrange, une voix un peu métallique) n'est pas une stratégie fiable : la qualité progresse vite. Ce qui reste fiable, ce sont les signaux de manipulation, toujours les mêmes :

• l'urgence : « il faut que ce soit fait avant ce soir » ;
• la confidentialité : « n'en parlez à personne » ;
• l'autorité : un dirigeant, un avocat, un auditeur ;
• le contournement de la procédure : « exceptionnellement, on ne passe pas par le circuit habituel » ;
• souvent, la flatterie : « vous êtes la seule personne en qui j'ai confiance ».

Quand ces signaux sont réunis, peu importe la qualité de la voix ou de l'image : il faut vérifier.

Cinq règles qui protègent une PME

La meilleure défense n'est pas technologique, elle est organisationnelle.

1. Vérifier par un autre canal. Une demande inhabituelle de virement, de changement de coordonnées bancaires ou d'information sensible se vérifie toujours par un autre moyen que celui par lequel elle est arrivée.
2. Rappeler sur un numéro déjà connu. Jamais celui du mail, jamais en rappelant le numéro qui vient d'appeler : l'annuaire interne ou le numéro enregistré dans votre téléphone. C'est la règle la plus importante.
3. Convenir d'un mot de vérification. Pour les personnes qui peuvent demander ou exécuter des paiements, un mot ou une question connus d'elles seules, qui ne circulent jamais par mail.
4. Exiger une double validation au-delà d'un montant fixé par l'entreprise.
5. Ne jamais reprocher à quelqu'un d'avoir vérifié. Le dirigeant doit le dire à l'avance : « Si je vous demande un virement urgent et confidentiel, vérifiez, même si c'est vraiment moi. »

Cette procédure doit tenir sur une page, être connue des équipes comptables et administratives, des assistants de direction, et remise à chaque nouvel arrivant dès son premier jour.

Et si un virement est déjà parti ?

Chaque minute compte. Contactez immédiatement votre banque pour tenter de bloquer ou de rappeler les fonds, conservez toutes les preuves (mails, numéros, relevés), déposez plainte, et prévenez votre référent informatique : les escrocs ciblent souvent plusieurs personnes dans la même entreprise.