Fideuram : 95 M€ virés, 53 M€ revenus, et le reste

En bref. Entre le 23 et le 25 février 2026, environ 95 millions d’euros quittent Fideuram, banque privée d’Intesa Sanpaolo, après un faux message WhatsApp et un appel à la voix clonée. Selon Reuters, 53 millions ont été récupérés et 36 millions restent à retrouver, en partie convertis en cryptomonnaie.

Fideuram est la banque privée du groupe Intesa Sanpaolo. Entre le 23 et le 25 février 2026, en quelques heures, environ 95 millions d’euros en sortent.

Le président de la banque reçoit un faux message WhatsApp attribué à Carlo Messina, administrateur délégué du groupe. Il reçoit ensuite un appel avec la voix, clonée, d’un avocat d’affaires qu’il connaît. Selon le Corriere della Sera, des e-mails imitant ceux du cabinet d’avocats fournissent les coordonnées de paiement. Le directeur financier exécute les virements sur instruction du président, qui croit exécuter celle du patron du groupe. L’argent part vers des comptes à l’étranger, surtout en Chine et à Hong Kong.

La presse s’est arrêtée sur la voix clonée. La suite a été moins commentée : plus de la moitié de l’argent est revenue.

Où est l’argent aujourd’hui

Selon Reuters, 53 millions ont été récupérés. Le Corriere della Sera donne le détail. Une banque en Chine a bloqué 40 millions et les a restitués. Au Portugal, 13 millions ont été bloqués par le parquet de Milan et les autorités de Lisbonne, avec Eurojust.

Restent 36 millions, toujours selon Reuters. Une partie a été convertie en cryptomonnaie, et les enquêteurs la recherchent par commissions rogatoires.

Les chiffres publiés ne bouclent pas : 53 et 36 font 89, sur 95. L’écart de 6 millions n’est expliqué dans aucune des sources. La Stampa avance de son côté un montant de 39,5 millions pour la perte de Fideuram. La perte finale n’est donc pas établie.

Ce que la récupération doit à d’autres

Les 53 millions tiennent à une banque chinoise qui a accepté de geler des fonds, et à trois pays qui ont coopéré vite. Fideuram ne décidait d’aucune de ces étapes.

Il faut aussi distinguer bloqué, saisi et rendu. Pour les 13 millions du Portugal, aucune source ne dit encore qu’ils ont été rendus. Une somme bloquée reste soumise à une procédure, dans un pays étranger, avec ses délais.

Les outils de rappel existent. Le service « stop and recall » de Swift arrête un paiement tant qu’il circule encore sur le réseau. Une fois les fonds crédités puis déplacés, il ne garantit plus rien. La presse ne dit pas si Fideuram y a eu recours.

Et pour les virements, la perte reste le plus souvent chez celui qui a payé. Dans l’Espace économique européen, en 2024, environ 85 % des pertes sur virements frauduleux sont restées à la charge de l’utilisateur, selon le rapport conjoint de l’Autorité bancaire européenne et de la BCE publié en décembre 2025.

Trois canaux, une seule source

Le scénario a convaincu parce qu’il paraissait vérifié de trois façons : un message du patron du groupe, la voix d’un avocat connu, des e-mails du cabinet. Les trois canaux étaient entre les mains des fraudeurs. Leur cohérence ne valait donc pas trois vérifications.

La hiérarchie a joué dans le même sens. Le directeur financier exécutait un ordre du président, qui pensait exécuter un ordre du sommet du groupe. Pour interrompre la chaîne, il aurait fallu demander des comptes au plus haut niveau. Le Comité de Bâle, dans ses principes de gestion du risque opérationnel révisés en 2021, cite pourtant en toutes lettres les « management overrides » parmi les exceptions à suivre et à tracer.

Rien dans les sources ne met en cause le président de Fideuram. Selon Reuters, aucun dirigeant de la banque n’est visé par l’enquête.

Avant l’envoi, l’entreprise décide seule

Chaque euro récupéré dépend de la vitesse de l’alerte et du bon vouloir d’une banque à l’autre bout du monde. Avant l’envoi, l’entreprise décide seule.

C’est à ce moment que la vérification d’identité a le plus de valeur : quand la demande arrive, avant que quiconque ne valide. Sealfie demande au décideur de confirmer son identité par un selfie avant un virement ou un changement de coordonnées bancaires, et chaque confirmation laisse des traces irréfutables, datées et rattachées à la personne. Une voix clonée, un faux message WhatsApp ou un e-mail imité ne produisent pas cette confirmation. Le fonctionnement de Sealfie détaille ce principe.

Deux questions à poser au prochain comité. Si un virement frauduleux part ce soir, en combien de minutes lançons-nous un rappel, et qui l’a déjà fait au moins une fois ? Et quand l’ordre vient du sommet, qui a le droit de le suspendre ?

Sources : Reuters, 25 septembre 2026 ; Corriere della Sera, 25 septembre 2026 ; La Stampa, 26 septembre 2026 ; EBA-BCE, rapport sur la fraude aux paiements, décembre 2025 ; Swift, Stop and recall ; Comité de Bâle, principes de gestion du risque opérationnel, mars 2021.