Un employé chargé de la finance chez le groupe d'ingénierie mondial Arup a transféré près de 25 millions de dollars après avoir rejoint une visioconférence qui semblait inclure le directeur financier de l'entreprise et plusieurs collègues, pour découvrir plus tard que presque tous les participants avaient été générés par intelligence artificielle. L'incident a réussi parce que les attaquants ont contourné les contrôles techniques en exploitant la confiance humaine grâce à des voix synthétiques convaincantes et des visages lors de l'appel vidéo. Selon un nouveau guide publié par Resemble AI, cet exemple est devenu une référence illustrant comment les deepfakes ont évolué d'une démonstration isolée à un risque de sécurité majeur touchant les entreprises, les institutions financières et les agences gouvernementales, avec des recherches de Gartner, du FBI et du Forum économique mondial cartographiant l'évolution du paysage des menaces.
Un employé d'Arup autorise un transfert de 25 millions de dollars lors d'une visioconférence générée par IA
L'incident d'Arup est devenu l'étude de cas emblématique de la fraude par deepfake dans le secteur. Un employé chargé de la finance a d'abord suspecté un email de phishing demandant une transaction confidentielle. Plutôt que d'agir immédiatement, l'employé a rejoint ce qui semblait être une visioconférence avec le directeur financier et plusieurs collègues. Tout paraissait authentique, tant au niveau de l'apparence que du son, et la réunion semblait totalement légitime. Suivant les instructions reçues lors de l'appel, l'employé a autorisé plusieurs virements pour un total d'environ 25 millions de dollars. Ce n'est qu'ultérieurement que les enquêteurs ont découvert que presque tous les participants à l'appel avaient été générés par IA. L'attaque a réussi parce qu'elle a contourné les contrôles techniques que les organisations ont passé des décennies à améliorer, sans malware, endpoint compromis ou pièce jointe malveillante. L'employé avait correctement identifié l'email suspect, mais ce jugement a été annulé par la confirmation apparente fournie par des visages et voix familiers lors de la réunion vidéo.
Gartner indique que 62 % des organisations ont subi des attaques par deepfake
Selon une recherche de Gartner citée dans le rapport de Resemble AI, 62 % des organisations ont connu une attaque par deepfake au cours des 12 derniers mois. Près de sept attaques sur dix ciblaient des systèmes vidéo, tandis que 67 % visaient des communications vocales. Le rapport du Centre de plainte pour crimes informatiques d'Internet du FBI pour 2025 estime que les escroqueries assistées par IA ont généré environ 893 millions de dollars de pertes déclarées. Les chercheurs estiment également qu'environ huit millions de contenus synthétiques circulaient en ligne en 2025, ce qui représente une croissance explosive par rapport à quelques années plus tôt. Bien que les estimations varient selon la méthodologie, toutes les études majeures convergent vers la même conclusion : la tromperie générée par IA s'étend à un rythme que les contrôles de sécurité existants n'ont jamais été conçus pour gérer. Pour les institutions financières, les implications dépassent largement la désinformation sur les réseaux sociaux, car chaque processus dépendant de la reconnaissance vocale, de la vérification vidéo ou de la confiance dans l'identité numérique devient une surface d'attaque potentielle.
La technologie de clonage vocal ne nécessite que quelques secondes d'audio
Le rapport de Resemble AI soutient que les organisations doivent cesser de considérer les deepfakes comme de simples incidents de cybersécurité isolés et les traiter comme un problème d'identité. La technologie de clonage vocal ne nécessite désormais que quelques secondes d'audio disponible publiquement pour produire des imitations convaincantes. Les présentations en conférence, les appels de résultats, les podcasts et les interviews deviennent effectivement du matériel d'entraînement pour les attaquants cherchant à usurper l'identité de dirigeants. La génération vidéo a connu des améliorations similaires, avec ce qui nécessitait autrefois des effets visuels coûteux désormais produit à l'aide d'outils d'IA grand public capables de générer des expressions faciales convaincantes, une parole synchronisée et des appels vidéo réalistes. Gartner avait déjà prévu qu'en 2026, 30 % des entreprises ne considèreraient plus la vérification d'identité comme fiable en soi à cause des deepfakes générés par IA, une prévision que le rapport souligne comme de plus en plus pertinente à mesure que les attaques deviennent plus sophistiquées.
Les services financiers confrontés à l'usurpation d'identité d'exécutifs et aux escroqueries d'investissement
Bien que les attaques par deepfake touchent plusieurs secteurs, les services financiers présentent une vulnérabilité particulière car de nombreuses décisions de grande valeur dépendent de communications de confiance. Les approbations de paiement, la récupération de comptes, l'intégration à distance, les consultations en gestion de patrimoine et le support client se déroulent de plus en plus via des canaux numériques où l'identité a traditionnellement été établie visuellement ou par reconnaissance vocale. Le guide identifie plusieurs schémas d'attaque récurrents déjà observés. L'usurpation d'identité d'exécutif reste la catégorie la plus lucrative, utilisant des clones d'anciens pour autoriser des paiements frauduleux. Les escroqueries d'investissement continuent d'utiliser des vidéos IA de politiciens, célébrités et personnalités financières promouvant de fausses plateformes de trading ou de cryptomonnaies. La fraude à l'embauche est aussi en croissance, avec des identités synthétiques et des candidats générés par IA tentant d'obtenir un emploi pour accéder à des systèmes ou informations sensibles. La fraude aux consommateurs évolue également, avec des voix synthétiques imitant des membres de la famille lors de scams de kidnapping virtuel ou d'usurpation de service client.
Les outils de sécurité traditionnels ne détectent pas les attaques basées sur la perception
Le rapport affirme que la majorité des investissements en cybersécurité se concentrent sur la détection de logiciels malveillants, d'emails suspects ou d'appareils compromis, mais que les deepfakes opèrent différemment en attaquant la perception plutôt que les réseaux. Lorsqu'un employé légitime autorise un paiement via un ordinateur portable de confiance lors d'une réunion vidéo apparemment normale, les contrôles de sécurité classiques ne détectent souvent rien d'anormal. Il n'y a pas de pièce jointe malveillante à mettre en quarantaine, ni d'appareil compromis, simplement un humain prenant une décision commerciale légitime basée sur des preuves visuelles et audio frauduleuses. Cette distinction explique pourquoi les entreprises considèrent de plus en plus la détection des deepfakes comme une discipline de sécurité distincte plutôt qu'une extension des technologies anti-phishing existantes.
Le guide de Resemble AI recommande une stratégie de défense à quatre couches
Plutôt que de se fier à une seule solution, le rapport préconise une approche en couches combinant quatre capacités complémentaires. La première concerne la vérification d'identité via la détection de vivacité et l'authentification continue. La deuxième établit la provenance à l'aide de technologies telles que Content Credentials et le filigrane numérique pour vérifier l'origine du contenu. La troisième utilise des systèmes de détection IA capables d'analyser audio, vidéo et images pour repérer des artefacts liés à la génération synthétique tout en fournissant des résultats explicables que les équipes de sécurité peuvent examiner. La dernière couche va au-delà de la détection en proposant une surveillance continue, permettant aux organisations d'identifier l'usurpation d'identité d'exécutif, l'utilisation frauduleuse de marques et d'autres deepfakes circulant publiquement avant qu'ils ne prennent de l'ampleur. Selon le rapport, aucune couche unique ne peut éliminer la menace, et les organisations doivent supposer que les attaquants finiront par contourner les contrôles individuels et concevoir leurs programmes de sécurité en conséquence.
FAQ
Que s'est-il passé lors de l'incident de deepfake chez Arup ?
Un employé chargé de la finance chez le groupe d'ingénierie Arup a transféré près de 25 millions de dollars après avoir rejoint une visioconférence qui semblait inclure le directeur financier et plusieurs collègues. Les enquêteurs ont ultérieurement déterminé que presque tous les participants avaient été générés par IA, avec des voix et visages synthétiques convaincants exploitant la confiance humaine pour contourner les contrôles de sécurité techniques.
Combien d'organisations ont subi des attaques par deepfake selon Gartner ?
Selon une recherche de Gartner citée dans le rapport de Resemble AI, 62 % des organisations ont connu une attaque par deepfake au cours des 12 derniers mois. Près de sept attaques sur dix ciblaient des systèmes vidéo, tandis que 67 % visaient des communications vocales, avec une estimation d'environ 893 millions de dollars de pertes déclarées dues à des escroqueries assistées par IA en 2025.
Quelle stratégie de défense le guide de Resemble AI recommande-t-il contre les deepfakes ?
Le guide recommande une stratégie en quatre couches combinant la vérification d'identité via la détection de vivacité et l'authentification continue, l'établissement de la provenance avec Content Credentials et le filigrane numérique, des systèmes de détection IA analysant audio et vidéo pour repérer des artefacts synthétiques, et une surveillance continue pour identifier l'usurpation d'identité d'exécutif et l'utilisation frauduleuse de marques avant qu'elles ne prennent de l'ampleur.
