Arup : il a vérifié, et la vérification a menti

Janvier 2024, Hong Kong. Un collaborateur des finances du groupe d’ingénierie britannique Arup reçoit un courriel qui se présente comme celui du directeur financier du groupe, basé au Royaume-Uni, et qui demande une opération confidentielle et urgente.

Il n’y croit pas. Demande inhabituelle, exigence de secret, pression sur le calendrier : il coche une à une les cases que son programme de sensibilisation lui a appris à reconnaître. Il refuse d’agir sur ce seul courriel.

On lui propose alors une visioconférence. Le directeur financier apparaît à l’écran, entouré de plusieurs collègues. Des visages qu’il connaît, des voix qu’il reconnaît, des intonations justes. Le doute tombe. Il exécute ensuite quinze virements distincts vers cinq comptes bancaires, pour un total d’environ 25 millions de dollars. Il ne découvrira la fraude que plus tard, en évoquant l’opération au siège.

La chronologie dit l’inverse de ce qu’on en retient

L’affaire circule comme une illustration de l’inattention humaine. La séquence raconte autre chose. Ce collaborateur a suspecté la fraude au premier contact, il a refusé d’exécuter sur un simple courriel, et il est allé chercher une confirmation par un autre canal. Ces trois gestes sont exactement ce que tout programme de sensibilisation cherche à produire. Il les a tous accomplis.

Puis il a vérifié. Et la vérification lui a menti.

L’attaque n’a pas contourné son point de contrôle. Elle s’est installée dedans.

Quinze virements, quinze occasions de se raviser

Le détail qui rend l’affaire instructive est le nombre. Quinze virements vers cinq comptes forment une série étalée dans le temps, loin du clic impulsif d’un vendredi soir. Quinze moments, donc, où la vigilance pouvait se réveiller.

Elle ne s’est pas réveillée, pour une raison simple : elle avait déjà fait son travail et reçu une réponse. Un contrôle qui a rendu son verdict ferme la question pour tout ce qui suit. C’est précisément ce que l’on attend d’un contrôle, et c’est ce qui rend sa corruption si coûteuse.

Le canal de vérification est devenu la cible

Pendant vingt ans, la formation a désigné le canal entrant comme le terrain de l’attaque : le courriel suspect, le lien piégé, la pièce jointe. Le canal sortant, celui par lequel on appelle pour confirmer, était réputé sûr parce qu’il partait de nous.

La synthèse d’identité en temps réel a supprimé cette asymétrie. Un appel vidéo, une voix au téléphone, un visage familier dans une salle de réunion virtuelle : tous ces supports se fabriquent aujourd’hui à un coût dérisoire et avec une qualité suffisante pour tenir trente minutes de conversation professionnelle. Le dispositif de rattrapage est devenu le vecteur.

Ce que la sensibilisation peut produire, et ce qu’elle ne peut pas

Le collaborateur d’Arup avait suivi les formations. Il en a appliqué le contenu avec rigueur. Le problème se situe un cran au-dessus du comportement : on lui demandait de reconnaître en temps réel, sous pression hiérarchique, ce que des systèmes automatisés spécialisés ne parviennent pas à identifier.

La mesure existe. En mars 2025, des chercheurs du CSIRO, l’agence scientifique nationale australienne, et de l’université Sungkyunkwan ont publié l’analyse de 51 détecteurs de deepfakes, dont seize testés en conditions réelles. Aucun des seize n’a identifié de façon fiable les deepfakes du monde réel. Former un humain à faire mieux que ces seize outils déplace le taux d’échec de quelques points. La nature de la tâche demandée reste inchangée.

Où le droit place désormais la charge

La question de la responsabilité est en train de se trancher, et elle ne se tranche pas sur l’employé. Le 19 novembre 2025, la chambre commerciale de la Cour de cassation (n° 24-17.056) a retenu que lorsque des anomalies auraient pu être détectées par un contrôle technique automatisé, la charge pèse sur l’entreprise, et par le devoir de vigilance sur son dirigeant.

Cette allocation est cohérente avec ce qui s’est joué à Hong Kong. Sanctionner celui qui a douté puis vérifié n’aurait aucun sens : il a fait fonctionner le dispositif tel qu’on le lui avait décrit. C’est le dispositif qui a rendu un mauvais verdict.

Trois exigences pour un canal qui ne ment pas

Reformulons donc la question. Quels contrôles structurels peuvent créer une friction technique entre une demande de virement et son exécution, même quand tous les visages dans la salle paraissent familiers ? Le principe tient en trois conditions.

D’abord, aucune autorisation ne repose sur un signal unique. Ce qu’il faut produire, c’est un faisceau, où chaque élément peut être falsifié sans que l’ensemble le soit.

Ensuite, ces éléments viennent de sources réellement indépendantes. Aucune ne doit pouvoir être compromise par le même accès que sa voisine, et leur exploitation revient à des professionnels de l’informatique et de la sécurité plutôt qu’au service qui exécute le virement.

Enfin, ce faisceau est partagé avec celui qui reçoit l’instruction, et pas seulement détenu par celui qui l’émet. Ce partage sépare une trace irréfutable d’une simple affirmation. À ces trois conditions, ce que le collaborateur voit et entend cesse d’être l’élément déterminant de sa décision. Le fonctionnement de Sealfie repose sur ce principe.

Le collaborateur d’Arup a fait tout ce qu’on lui avait appris. Le suivant mérite un canal de vérification qui tienne.