Le propriétaire de Parimatch perd de l'argent dans une start-up d'IA fantôme : piégé par le deepfake d'une connaissance

On raconte généralement les histoires de deepfakes en entreprise comme des récits effrayants qui arrivent aux autres. Cette fois, c'est le propriétaire du bookmaker Parimatch, Sergueï Portnov, qui s'est retrouvé dans cette situation. On l'a amené par la ruse à investir dans une start-up d'IA qui n'existait pas en réalité. Ce n'est pas la start-up elle-même qui l'a convaincu, mais le deepfake d'une personne en qui il avait confiance.

Ce que l'on sait

Les détails sont rares. Portnov en a parlé dans un post LinkedIn, sans indiquer la somme : il a seulement écrit avoir perdu « très cher ». Les données publiques ne disent pas qui a été imité ni comment s'est déroulé l'échange. Il est donc impossible d'analyser ici la technique de l'attaque, mais sa conclusion mérite l'attention.

Selon Portnov, la fraude a depuis longtemps dépassé le cadre des appels de prétendus « employés de banque ». Désormais, ce peut être un ami ou un proche qui vous contacte : voix familière, connaissance de détails personnels, mais ce n'est pas lui. « Même un appel vidéo n'est plus une preuve », écrit-il. Sa recette : avant de transférer de l'argent, rappelez votre interlocuteur au numéro que vous aviez déjà. Cinq minutes de « paranoïa » coûteront, selon lui, bien moins cher que ses pertes.

Ce n'est pas le premier cas

De telles histoires s'accumulent depuis 2024 et montrent différentes facettes d'un même problème.

Cette année-là, un employé du service financier du groupe d'ingénierie Arup à Hong Kong a participé à une visioconférence avec le directeur financier et des collègues. Tous les participants étaient des deepfakes. L'employé a effectué quinze paiements pour un total de 200 millions de dollars de Hong Kong, soit environ 25,6 M$. L'appel ressemblait à une réunion de travail ordinaire, mais chacun de ses participants était un faux.

Un autre exemple, totalement anodin, est révélateur. L'utilisateur de X connu sous le pseudo facelessboy00 a raconté avoir aidé un ami à réussir un entretien d'embauche dans une entreprise technologique. Développeur expérimenté, il se présentait à l'appel et démontrait ses compétences, tandis que son visage était remplacé en temps réel par celui de son ami. À la deuxième tentative, cela a donné une offre à 4 000 $. Si la substitution fonctionne lors d'un entretien, elle fonctionnera aussi dans une conversation sur l'argent.

Que faire en pratique

L'idée centrale de ces trois histoires : ne comptez pas repérer le faux à l'image. La qualité progresse, tandis que l'attention des gens dans la routine professionnelle est limitée. Ce qu'il faut protéger, c'est le processus, pas les yeux de l'employé.

Pour les développeurs et les responsables techniques :

• Ne considérez pas la vidéo et la voix comme un facteur d'authentification. Si votre produit comporte des scénarios du type « confirmer son identité par appel », revoyez-les.
• Lors du recrutement de spécialistes à distance, ajoutez une vérification en dehors de l'appel vidéo principal : documents, recommandations, nouvelle rencontre via un canal indépendant.

Pour les product managers et les fondateurs :

• Pour les virements et les investissements, instaurez la règle du second canal. Toute demande d'argent reçue par appel ou messagerie doit être confirmée via un contact connu au préalable.
• Pour les montants importants, une double validation est nécessaire afin qu'une seule personne convaincue ne puisse pas effectuer seule un paiement. Dans l'affaire Arup, il y a eu quinze paiements, et chacun pouvait être stoppé à n'importe quelle étape.
• Convenez avec vos proches et votre équipe d'un mot de code pour les demandes financières urgentes. C'est peu coûteux et ça fonctionne tant que le faussaire ignore votre secret.
• Vérifiez à part les offres d'investissement « brûlantes ». Le thème de l'IA attire aujourd'hui l'argent, et les escrocs l'utilisent volontiers comme appât.

Limites

Toute cette histoire repose sur le post personnel de la victime ; l'article ne contient ni confirmations indépendantes ni détails techniques. Nous ne savons pas quels outils les malfaiteurs ont utilisés, s'il s'agissait d'un appel vidéo ou seulement de la voix, ni à quoi ressemblait exactement la start-up aux yeux de l'investisseur. Il est donc trop tôt pour tirer des conclusions précises sur la technologie.

Mais la conclusion pratique ne dépend pas de ces détails. Si même le propriétaire d'une grande entreprise s'est trompé, ce n'est pas une question de naïveté de la victime, mais d'habitudes dépassées. Une vérification par un canal indépendant prend quelques minutes, alors qu'une erreur peut coûter des millions. Pour toute entreprise où quelqu'un a le droit d'effectuer des virements, une telle règle mérite d'être inscrite dès maintenant dans le règlement interne.