55 milliards de dollars en dix ans

Le FBI a publié en septembre 2024 le montant cumulé des pertes déclarées pour la fraude au virement, sur dix ans d’octobre 2013 à décembre 2023 : 55 milliards de dollars. Cela représente une moyenne de 5,5 milliards par an, et ne couvre que les incidents déclarés à l’IC3.

Ce montant progresse au rythme des outils disponibles. Les deepfakes, ces manipulations qui produisent de la voix et de la vidéo crédibles, sont devenus l’arme de choix pour ce type d’attaque. Imaginez un appel de votre dirigeant : la voix, l’intonation, le débit, tout y est. Il demande un virement urgent pour une opération confidentielle.

Les recommandations traditionnelles ont atteint leur limite

Les agences conseillent de se méfier des demandes inhabituelles et de vérifier par un autre canal. Ces pratiques restent utiles et doivent être appliquées.

Elles reposent pourtant sur une capacité qui n’existe pas. Face à un deepfake bien réalisé, aucun humain, quels que soient sa formation et son niveau de vigilance, ne le distingue du réel. Les incidents documentés ne relèvent donc pas de l’erreur humaine au sens habituel : la personne a fait ce qu’on lui avait appris à faire.

Deux cas récents

En 2024, le groupe d’ingénierie Arup a perdu 25 millions de dollars à Hong Kong. Un employé a participé à une visioconférence où les autres participants étaient des deepfakes. La police de Hong Kong a résumé l’affaire d’une phrase : tout le monde était faux. Aucune imprudence n’a été relevée.

Chez Ferrari, la tentative a échoué de justesse. Les criminels imitaient la voix, l’accent et les expressions siciliennes du dirigeant. Un collaborateur a posé une question dont seul le vrai dirigeant connaissait la réponse. La défense a tenu par un réflexe individuel, pas par un dispositif.

Les détecteurs ne comblent pas l’écart

Les détecteurs de deepfakes, censés prendre le relais de l’œil et de l’oreille, tiennent mal en conditions réelles, en particulier sur la voix. Leur fiabilité dépend du corpus sur lequel ils ont été entraînés, et les attaquants cherchent en permanence à les contourner. Nous avons détaillé ce point à partir de l’évaluation de seize détecteurs par le CSIRO.

Reconstruire la validation autour du demandeur

Si le message ne peut plus être authentifié, il reste la personne. C’est le déplacement que porte Sealfie : une application mobile qui ne demande aucune formation, et qui sollicite le vrai demandeur sur son propre téléphone avant l’exécution d’un ordre sensible. Le processus de validation cesse alors de reposer sur un échange oral et sur le jugement d’une seule personne.