Le scénario que nous observons désormais avec une certaine régularité ne ressemble en rien à un e-mail d’hameçonnage bourré de fautes. Un membre de l’équipe finance rejoint un appel vidéo déjà en cours. Le directeur financier apparaît à l’écran, s’exprime avec une voix familière, fait référence à une opération réelle en cours, et demande un transfert de trésorerie urgent pour la conclure avant une échéance qui ne peut être reportée. Tout, dans cet appel, semble et sonne juste. Ce n’est pas le directeur financier.
Ce phénomène se distingue des images deepfake statiques et des appels téléphoniques à voix clonée qui retiennent l’essentiel de l’attention publique, et il se distingue tout autant de la compromission de messagerie professionnelle classique. La fraude par deepfake vidéo en temps réel utilise une synthèse en direct du visage et de la voix pendant un véritable appel vidéo, réagissant aux questions, tenant une conversation, et ajustant le ton dans l’instant. Elle est plus convaincante qu’un clip préenregistré car elle répond comme une véritable conversation, et elle cible spécifiquement le seul contexte, une demande en direct d’un dirigeant, que de nombreuses organisations continuent de traiter comme une autorisation suffisante en soi.
Pourquoi les transferts de trésorerie crypto sont une cible de choix
Un transfert de cryptomonnaie devient définitif dès sa confirmation on-chain. Il n’y a pas de jour ouvré intermédiaire, pas de banque correspondante susceptible de signaler un schéma inhabituel, et pas de simple demande de rappel une fois la transaction réglée. Pour un attaquant usurpant l’identité d’un dirigeant, cela fait d’un portefeuille crypto d’entreprise une cible considérablement plus attractive qu’un compte bancaire, où un virement frauduleux dispose au moins d’une fenêtre étroite pendant laquelle il peut encore être stoppé ou récupéré avant sa compensation.
L’appel lui-même est généralement l’aboutissement d’un travail de reconnaissance, pas la première étape. Les attaquants s’appuient fréquemment sur des enregistrements accessibles publiquement, conférences de résultats, interventions lors de conférences, réunions internes publiées en ligne, pour entraîner le modèle utilisé afin d’usurper l’identité d’un dirigeant précis, et ils connaissent généralement déjà la terminologie interne, les noms d’opérations et les relations hiérarchiques suffisamment bien pour paraître crédibles sans que ces détails ne trahissent quoi que ce soit.
Pourquoi un appel vidéo seul n’est plus une vérification fiable
De nombreuses organisations ont construit leur sensibilisation interne à la fraude autour de l’idée qu’un appel téléphonique ou vidéo était le moyen sûr de confirmer une demande suspecte reçue par e-mail, une voix ou un visage lors d’un appel en direct paraissant plus difficile à falsifier de façon convaincante qu’un texte. Cette hypothèse est aujourd’hui dépassée. Un appel en direct ajoute une couche de légitimité apparente qui peut rendre le personnel moins enclin à remettre en question une demande inhabituelle, et non l’inverse, précisément parce que cela paraît plus personnel et plus difficile à fabriquer que ce n’est réellement le cas.
La défense qui fonctionne réellement ne consiste pas à apprendre à repérer un deepfake sur le moment. La détection lors d’un appel en direct est véritablement difficile, même pour des personnes qui savent quoi chercher. La défense efficace consiste à refuser de considérer un canal de communication unique, y compris un appel vidéo en direct, comme une autorisation suffisante pour un transfert irréversible.
Des protocoles de vérification à mettre en place
- Une confirmation par un canal indépendant pour tout transfert dépassant un seuil défini, c’est-à-dire que la demande doit être confirmée de façon indépendante via un second canal que le demandeur n’a pas lui-même initié, par exemple un appel passé à un numéro déjà enregistré plutôt qu’à un numéro fourni pendant l’appel d’origine.
- Un mot ou une phrase de code verbal tournant, connu seulement d’un petit groupe interne et changé périodiquement, devant être fourni avant que toute instruction de transfert de valeur élevée ne soit exécutée, quel que soit le canal par lequel la demande arrive.
- Une politique stricte de rappel : si une demande arrive de façon urgente lors d’un appel en direct, le destinataire raccroche et rappelle le demandeur à un numéro connu et déjà enregistré, plutôt que de poursuivre sur la ligne d’origine ou de faire confiance à un numéro communiqué pendant l’appel.
- Une exigence de double approbation pour les mouvements de trésorerie au-delà d’un certain montant, structurée de sorte que le second approbateur ne soit pas joignable via le même fil de communication que la première demande.
- Une posture par défaut considérant l’urgence elle-même comme un signal d’alerte. Une véritable contrainte de temps sur un transfert crypto irréversible est suffisamment rare pour devoir déclencher davantage de vigilance, et non moins.
Si un transfert a déjà été effectué
L’identifiant de la transaction, l’adresse du portefeuille de destination, ainsi qu’un enregistrement complet de l’appel lui-même, y compris tout enregistrement audio ou vidéo, les métadonnées de la réunion, et la demande exacte formulée, constituent le point de départ de toute investigation. Préservez-les avant que les échanges internes sur ce qui s’est passé n’aient la possibilité de brouiller la chronologie. À partir de là, le dossier est traité de façon très similaire à toute autre compromission de portefeuille d’entreprise : le chemin traçable emprunté par les fonds compte davantage que la reconstitution précise du degré de crédibilité de l’usurpation.