Les cas réels de Deepfake Executive : Quand les PDG deviennent des cibles

Cinq incidents vérifiés qui prouvent qu'aucun bureau n'est à l'abri d'une usurpation d'identité par l'IA.

Étude de cas n° 1 : la catastrophe de $25M Arup

Entreprise : Arup (société d'ingénierie mondiale à l'origine de l'Opéra de Sydney)
Perte : $25,6 millions
Méthode : Vidéoconférence à plusieurs personnes avec le directeur financier et le personnel de la société deepfaked
Date : Début 2024

Les experts en sécurité estiment qu'il s'agit de l'une des attaques les plus sophistiquées de type "deepfake" jamais réalisées dans le monde de l'entreprise. À Hong Kong, un employé d'Arup s'est joint à ce qui semblait être un appel vidéo de routine avec le directeur financier de l'entreprise basé au Royaume-Uni et d'autres collègues. La réunion semblait légitime ; les participants avaient l'air et la voix des vrais dirigeants.

Au cours de l'appel, l'employé a reçu l'ordre d'effectuer 15 transactions distinctes, d'un montant total de $200 millions de Hong Kong, sur cinq comptes bancaires différents. 

Ce n'est qu'après avoir vérifié auprès du siège de l'entreprise que l'employé s'est rendu compte que toutes les personnes présentes lors de cet appel vidéo étaient des "deepfakes" générés par l'IA.

Il ne s'agissait pas d'un simple clone vocal ou d'une image statique. Les fraudeurs avaient créé une vidéo interactive en temps réel de plusieurs dirigeants en même temps, créant ainsi un niveau de complexité qui a marqué une nouvelle évolution dans la cybercriminalité d'entreprise.

Comme beaucoup d'autres entreprises dans le monde, nos activités font l'objet d'attaques régulières, notamment la fraude à la facture, les escroqueries par hameçonnage, l'usurpation de la voix WhatsApp et les "deepfakes". Nous avons constaté que le nombre et la sophistication de ces attaques ont fortement augmenté au cours des derniers mois". Rob Greig, DSI d'Arup

Étude de cas n° 2 : la question des $40 millions de Ferrari

Entreprise : Ferrari
Cible : Directeur général Benedetto Vigna
Tentative de perte : Montant non divulgué (les rumeurs parlent de millions)
Méthode : Voix de l'IA Deepfake avec un accent du sud de l'Italie
Date : juillet 2024
Résultat : Empêché

Des cadres de Ferrari ont reçu des messages via WhatsApp qui semblaient provenir de leur PDG, Benedetto Vigna, avec sa photo de profil et la marque de l'entreprise. Les messages parlaient d'une importante acquisition à venir et demandaient le partage immédiat d'informations financières confidentielles. Lors d'un appel de suivi, le deepfake a même copié l'accent du sud de l'Italie de Benedetto Vigna. 

Heureusement, un cadre a commencé à se méfier et a posé une question simple : "Quel est le titre du livre que vous m'avez recommandé la semaine dernière ?

Parfois, la technologie la plus sophistiquée peut être mise en échec par les protocoles humains les plus simples. Le cas de Ferrari démontre à la fois la qualité des "deepfakes" modernes et la puissance des méthodes de vérification personnelle.

Étude de cas n° 3 : le piège de Microsoft Teams pour WPP

Entreprise : WPP (premier groupe mondial de publicité)
Cible : PDG Mark Read
Méthode : Compte WhatsApp + réunion d'équipe avec clone vocal et images YouTube
Date: mai 2024
Résultat : Empêché

Les cybercriminels ont créé un faux compte WhatsApp en utilisant des photos publiques du PDG de WPP, Mark Read. Ils ont ensuite utilisé ce matériel pour planifier une réunion Microsoft Teams avec un autre cadre supérieur, en utilisant le compte, demandant l'accès à un financement immédiat et à des informations personnelles pour une "nouvelle entreprise".

Au cours de l'appel vidéo, les fraudeurs ont utilisé une combinaison de technologie de clonage de la voix et de séquences enregistrées sur YouTube pour se faire passer pour Read. 

Réponse du PDG Mark Read : "Heureusement, les attaquants n'ont pas réussi. Nous devons tous être vigilants face aux techniques qui vont au-delà des courriels pour tirer parti des réunions virtuelles, de l'IA et des "deepfakes".

L'affaire WPP montre que les dirigeants très présents dans les médias sont encore plus vulnérables. Le grand nombre de photos et de vidéos publiques les concernant fournit aux criminels le matériel idéal pour créer des "deepfakes".

Étude de cas n° 4 : le stratagème de l'"hologramme d'IA" de Binance

Entreprise : Binance (la plus grande plateforme de crypto-monnaie au monde)
Cible : Patrick Hillmann, directeur de la communication
Méthode : Hologramme" de vidéoconférence utilisant des séquences d'interviews télévisées
Date : 2022 (cas majeur précoce)
Résultat : Plusieurs projets de crypto-monnaie trompés

Des pirates sophistiqués ont construit ce que M. Hillmann a appelé un "hologramme d'IA", en utilisant des extraits de ses apparitions à la télévision et dans les journaux télévisés. Le deepfake était si convaincant qu'il a réussi à tromper plusieurs représentants de la cryptographie lors d'appels Zoom.

Les criminels ont utilisé cette technologie pour se faire passer pour Hillmann lors de réunions de projet visant à obtenir des inscriptions sur Binance. Il s'agit de l'une des mentions les plus précieuses dans l'industrie des cryptomonnaies. 

Selon Hillmann,   "...à part l'absence notable des 15 livres que j'ai pris pendant le COVID, ce faux profond a été suffisamment raffiné pour tromper plusieurs membres très intelligents de la communauté cryptographique."

L'affaire Binance a été un premier avertissement : les criminels ne se contentent plus de clones vocaux, mais se livrent à des usurpations d'identité vidéo sophistiquées ciblant des processus commerciaux spécifiques.

Étude de cas n° 5 : Le réveil interne de LastPass

Entreprise : LastPass (Cybersécurité/Gestion des mots de passe)
Cible : PDG de l'entreprise
Méthode : Appels WhatsApp, textos et usurpation d'identité sur la messagerie vocale
Date : Début 2024 

Résultat : Empêché

Les escrocs Deepfake ont ciblé LastPass sur WhatsApp (en appelant, en envoyant des SMS et en laissant des messages vocaux) tout en se faisant passer pour le PDG de l'entreprise.

L'employé visé a remarqué plusieurs signaux d'alarme :

• Les communications ont eu lieu en dehors des heures normales de travail ;
• La demande présentait un caractère d'urgence inhabituel (une tactique d'escroquerie courante) ;
• Le canal et l'approche s'écartaient des protocoles de communication standard de l'entreprise.

Si les professionnels de la cybersécurité peuvent être ciblés avec succès, toutes les organisations doivent partir du principe qu'elles sont vulnérables.

Le modèle qui se cache derrière les cas

L'analyse de ces incidents vérifiés révèle une méthodologie criminelle cohérente :

Le profil de vulnérabilité des cadres

La recherche montre que certaines caractéristiques des cadres augmentent le risque de ciblage par deepfake :

• Présence significative dans les médias (interviews télévisées, podcasts, conférences)
• Vidéos d'interventions publiques disponibles en ligne
• Autorité chargée de l'autorisation financière
• Opérations commerciales transfrontalières
• Postes à haute visibilité dans l'industrie

Points chauds géographiques :

• Hong Kong (centre financier, complexité réglementaire)
• Amérique du Nord (forte adoption du numérique, économie importante)
• Europe (la conformité au GDPR crée des défis en matière de vérification)

Le facteur humain

Malgré toute la sophistication technologique, de nombreuses attaques s'appuient encore sur la psychologie humaine de base :

• Préjugé d'autorité (ordres émanant de supérieurs perçus comme tels)
• Pression d'urgence (contraintes temporelles artificielles)
• Appels à la confidentialité (accès spécial, informations privilégiées)
• Preuve sociale (présence de plusieurs "collègues")

Les cadres qui ont survécu à ces attaques ont des points communs : un scepticisme sain, des protocoles de vérification et une communication d'équipe sur les menaces potentielles.

Comme le prouve l'exemple de Ferrari, il suffit parfois d'une simple question pour vaincre une technologie d'un million de dollars.

Références

CNN (4 février 2024) - Un employé du secteur financier verse $25 millions après un appel vidéo avec un faux "directeur financier"".

Fortune (17 mai 2024) - Un faux "directeur financier" a piégé l'entreprise de design britannique à l'origine de l'Opéra de Sydney dans une fraude de $25 millions"

The Guardian - Citation de Rob Greig à propos des attaques de l'Arup

MIT Sloan Management Review (27 janvier 2025) - Comment Ferrari a freiné un faux PDG".

The Guardian (mai 2024) - Mark Read, PDG de WPP tentative de deepfake

Incode Blog (20 décembre 2024) - "Les 5 principaux cas de fraude à l'IA Deepfake de 2024 dévoilés"

Blog de Binance - Des escrocs ont créé un hologramme de moi à l'aide de l'IA pour escroquer des projets sans méfiance" par Patrick Hillmann

Euronews (24 août 2022) - "Un cadre de Binance déclare que des escrocs ont créé un "hologramme" fictif de lui"

Eftsure US - 7 exemples d'attaques Deepfake : Deepfake CEO scams" - Cas LastPass