Trois escrocs munis de clones IA de PDG et d'avocats ont dérobé 129 M$ à des entreprises

La fraude par deepfake a longtemps ressemblé à un épouvantail brandi dans les présentations sur la sécurité. Elle a désormais un acte d'accusation, des noms et un montant : plus de 129 M$. Le Département de la Justice américain a publié les pièces du dossier visant Jacob Soal, Sharon Hazan et Guy Shitrit. Selon l'enquête, pendant deux ans, ils se sont fait passer pour des dirigeants et des avocats afin de soutirer d'importants virements à des employés.

Comment fonctionnait le système

Le schéma repose sur deux rôles. D'abord, le « dirigeant » de l'entreprise écrivait ou appelait un employé et lui demandait de l'aide pour une opération financière sensible. D'après l'accusation, la voix et l'image étaient falsifiées par IA. Ensuite, l'employé était invité à contacter un « avocat » d'un grand cabinet juridique international. Ce rôle était lui aussi joué par les fraudeurs, de nouveau avec une voix et une apparence usurpées.

C'est une technique classique d'ingénierie sociale. La demande d'un supérieur crée pression et urgence, tandis que l'intervention d'un avocat ajoute un vernis officiel : le dossier semble déjà validé et vérifié. L'employé reconnaît une voix familière et face à un récit convaincant, il vire donc l'argent vers les coordonnées indiquées. L'IA n'invente pas ici une nouvelle manière de tromper : elle rend l'ancienne presque gratuite et nettement plus crédible.

Les comptes destinataires se trouvaient aux États-Unis, en Espagne, au Portugal, en Grèce, aux Émirats arabes unis, à Singapour, en Autriche, en Slovaquie et en Chine. Après le virement, l'argent était converti en cryptomonnaie pour masquer son origine et son propriétaire, puis partagé entre les participants. Les accusés sont poursuivis pour association de malfaiteurs en vue de commettre une fraude par moyens de communication électroniques, blanchiment d'argent et vol d'identité aggravé.

Qui a été touché

La liste des victimes montre que n'importe quelle organisation peut devenir une cible. Un réseau hospitalier du Missouri a perdu environ 5 M$, un système hospitalier de Californie environ 3 M$, une banque du Rhode Island environ 2,7 M$. Un fonds commun de placement du Massachusetts a perdu plus de 4,6 M$, un fabricant d'aliments pour animaux de Floride environ 5 M$. L'épisode le plus important cité concerne plus de 11 M$ dérobés à une entreprise technologique britannique.

Pour les équipes produit et technique, il est important de noter qu'une société informatique figure parmi les victimes. Connaître l'IA ne protège pas d'un appel du « patron » si le processus n'a pas de freins solides.

Que faire concrètement

Premièrement : cessez de considérer la voix et le visage comme un moyen d'autorisation. Si un paiement est déclenché à la demande d'un appel, d'une vidéo ou d'une messagerie, il doit obligatoirement être vérifié via un canal indépendant : rappel à un numéro de l'annuaire interne, et non à celui fourni dans la demande.

Deuxièmement : limitez les décisions individuelles. Les virements importants ou atypiques doivent exiger la validation de deux personnes, dont l'une ne doit pas subir la pression de la demande en question. De nouvelles coordonnées bancaires et une urgence sans explication doivent être considérées comme un signal d'alerte.

Troisièmement : formez les employés à partir de scénarios réalistes. Ce système reposait sur la chaîne « dirigeant plus avocat », et les entraînements doivent apprendre à se méfier précisément de ces combinaisons. Si vous développez un produit pour la finance, les RH ou le support, pensez à des contrôles intégrés : délai pour le premier virement vers un nouveau compte, alertes sur les coordonnées externes et journal des validations.

Limites

Pour l'instant, il s'agit d'accusations et non d'une condamnation. Le communiqué ne précise pas quels outils les accusés ont utilisés, si la voix était falsifiée en temps réel ou préparée à l'avance, ni la qualité du résultat. Il est tout à fait possible qu'une partie du succès ait tenu non à des deepfakes parfaits, mais à un scénario convaincant et à la fatigue des victimes. La conclusion reste pourtant la même : quand la contrefaçon ne coûte presque rien, il faut se défendre par des processus, et non par l'intuition des employés.