Fraude par deepfake à 25 millions de dollars : ce que votre entreprise doit en retenir
Guides pratiques pour vous protéger — vous, votre famille et votre entreprise — contre les arnaques liées à l'IA, les deepfakes et les nouvelles menaces cyber.
Articles populaires
L'attaque qui a tout changé
Début 2024, un employé du service finance du cabinet d'ingénierie Arup a déclenché près de 25 millions de dollars de virements, répartis sur quinze opérations. L'ordre venait de son CFO, lors d'une visio de routine avec plusieurs collègues. Au départ, il avait eu un doute — la demande initiale par email lui semblait étrange. Mais l'appel en direct l'avait rassuré : il reconnaissait les visages, il reconnaissait les voix.
À part lui, tous les participants à cette visio étaient des deepfakes.
Pourquoi cette affaire dépasse Arup
Le cas Arup est aujourd'hui l'exemple type de la fraude par deepfake multi-participants. Il a surtout cassé un réflexe sur lequel beaucoup d'entreprises s'appuyaient depuis des années : demander une visio pour confirmer une requête inhabituelle n'est plus un contrôle de sécurité. La visio elle-même est devenue une surface d'attaque.
Trois facteurs ont rendu ce type d'attaque industrialisable en 2024, et ils n'ont fait que progresser depuis :
- Le clonage de visage et de voix en temps réel tourne désormais sur du matériel grand public.
- Les vidéos publiques des dirigeants — résultats trimestriels, conférences, posts LinkedIn — fournissent aux attaquants toute la donnée d'entraînement nécessaire.
- Les processus finance et RH continuent de traiter la reconnaissance d'un visage ou d'une voix comme une preuve d'identité.
Ce qu'il faut mettre en place ce trimestre
La défense est plus procédurale que technique. Trois priorités :
- Confirmation par un canal séparé pour tout virement au-dessus d'un seuil. Fixez un montant (par exemple 50 000 dollars) et exigez au-delà un appel téléphonique vers un numéro connu — pas celui d'où vient la demande.
- Un mot de passe pour les équipes dirigeantes. Une phrase tournante, connue uniquement des membres réels. Coût zéro. Bloque les deepfakes en temps réel.
- Formation finance et assistants au nouveau type d'attaque. Mettez à jour vos formations anti-fraude : le réflexe n'est plus de « repérer la faute de frappe » mais de « se méfier d'une urgence sur une visio ».
À retenir
La fraude par deepfake est passée du stade de possibilité à celui de méthode courante. Les entreprises qui s'en sortiront sont celles qui revoient leurs processus — pas celles qui achètent un outil de détection.