Aux États-Unis, trois personnes accusées d’avoir volé 129 millions de dollars grâce à des clones IA des voix et des visages de cadres dirigeants

Imaginez une journée de travail ordinaire pour un comptable. Dans une messagerie ou lors d’un appel vidéo apparaît un dirigeant qu’il connaît de vue et dont il reconnaît la voix. À ses côtés se trouve l’avocat de l’entreprise. Ils expliquent que l’opération est urgente et confidentielle, puis demandent d’effectuer un virement. Tout semble et sonne juste. Selon les procureurs américains, c’est précisément ce scénario qu’auraient exploité les trois prévenus. Bilan : environ 129 millions de dollars.

Ce que l’on sait de l’affaire

L’acte d’accusation a été rendu public jeudi, a annoncé le parquet fédéral américain de Manhattan. Les prévenus sont Jacob Soall, 41 ans, Sharon Khazan, 54 ans, et Guy Shitrit, 42 ans. Selon les enquêteurs, ils auraient utilisé l’IA pour reproduire les voix et les visages de dirigeants d’entreprise et d’avocats, trompant ainsi des employés qui ont transféré l’argent. Soall a été arrêté par la police espagnole.

Précision importante : il s’agit à ce stade d’une accusation, pas d’une condamnation. L’extrait publié ne précise pas quels outils les auteurs présumés ont utilisés, combien d’entreprises ont été touchées ni comment les fonds ont été retirés. Ces détails devraient apparaître dans les pièces du dossier, et il est encore trop tôt pour tirer des conclusions sur la technique employée.

Pourquoi il ne s’agit pas d’un phishing ordinaire

Une attaque classique au « paiement urgent » repose sur le texte : un faux e-mail, une adresse inconnue, des formulations maladroites. Les employés ont depuis longtemps appris à se méfier de ce type de tentative. La voix et le visage suscitent un autre niveau de confiance. Nous avons pris l’habitude de considérer un appel vidéo avec un supérieur comme une vérification d’identité. Le clonage de la voix et du visage brise ce réflexe.

Le deuxième problème tient à la combinaison des rôles. Lorsque le « dirigeant » et « l’avocat » participent à la conversation, l’employé a l’impression que la procédure a déjà été validée et qu’il ne lui reste qu’à l’exécuter. La pression de l’autorité et de l’urgence est plus forte que n’importe quel mémo de sécurité si l’entreprise ne dispose pas d’une procédure stricte.

Pour le secteur, la conclusion est désagréable : le canal « je l’ai vu et entendu personnellement » ne peut plus être considéré comme une preuve d’authenticité. Cela concerne non seulement les virements bancaires, mais aussi la réinitialisation des accès, la transmission de clés, l’approbation d’opérations et toute action pour laquelle une décision est prise sur simple parole.

Ce que les équipes doivent faire

Les mesures ci-dessous sont des pratiques générales de protection, et non des détails propres à cette affaire.

• Confirmation par un second canal. Vérifiez tout virement ou changement de coordonnées par une voie indépendante : rappelez le numéro figurant dans l’annuaire interne, et non celui depuis lequel la demande a été reçue.
• Règle des deux clés. Les paiements importants doivent nécessiter l’approbation de deux personnes, dont aucune ne doit céder à la pression du « tout de suite ».
• Mots de passe et questions de contrôle. Pour les cadres dirigeants et les équipes financières, définissez à l’avance des méthodes de vérification qui ne peuvent pas être trouvées dans des sources publiques.
• Plafonds et délais. Instaurez une pause obligatoire pour les bénéficiaires inhabituels et les montants élevés. La fraude mise sur la précipitation ; un délai laisse le temps de repérer le piège.
• Formation à partir d’exemples réels. Faites entendre aux employés à quoi ressemble une voix clonée. Une seule démonstration de ce type est plus convaincante que dix diapositives.

Les produits développés par les fintechs, les plateformes RH, les services de visioconférence et les solutions d’intégration devraient intégrer ce risque dès leur architecture. La vérification de l’identité par la vidéo ou la voix seule n’est plus considérée comme fiable. Des signaux supplémentaires sont nécessaires : appareil utilisé, historique des actions et confirmation dans l’application.

Limites et conclusion

Le texte source est bref : nous ignorons donc la qualité des falsifications, si elles fonctionnaient en temps réel et quelle part de l’argent a pu être récupérée. Il ne faut pas conclure à partir d’une seule affaire que tout appel vidéo est dangereux. Mais le montant de 129 millions de dollars montre que les attaques reposant sur l’imitation par IA ne sont déjà plus une menace de laboratoire : elles peuvent causer des pertes considérables.

La conclusion pratique est simple : si votre procédure repose sur la phrase « j’ai reconnu sa voix », elle comporte une vulnérabilité. Corrigez-la par une procédure avant que quelqu’un d’autre ne la découvre.