35 millions de dollars : le butin amassé par des braqueurs armés… d’un deepfake vocal

Une banque émiratie a fait les frais d’une arnaque par simulation vocale, générée par une I.A. Un braquage en douceur pour des hackers effroyablement bien organisés.

Assurément l’un des coups de poker les plus impressionnants de ces derniers mois ! D’après un rapport de chercheurs publié par Forbes, une bande de cybercriminels a trompé la vigilance d’une banque grâce à un piège bien ficelé. Faux mails, faux papiers, et surtout… Fausse voix de directeur d’entreprise simulée par ordinateur. Si même l’Intelligence Artificielle s’y met, les cyberattaques peuvent espérer un formidable avenir.

Un braquage en douceur

Une histoire digne d’un film. Début 2020, le responsable d’une banque importante des Émirats arabes unis reçoit l’appel d’un chef d’entreprise enthousiaste, et proche de faire une acquisition. Pour l’orchestrer, il a besoin d’un transfert de fonds : 35 millions de dollars. Sa voix est familière, les propos sont clairs, l’intéressé est même accompagné d’un avocat paré pour s’occuper des formalités d’usage, un certain Martin Zelner. Face au professionnalisme de ces derniers, et à la conformité des documents remis, difficile de mettre en doute l’opération. Rien à signaler, le montant est fixé et la banque débute le transfert.

Et puis, cela se complique. Derrière ce fameux directeur enthousiasmé par le fruit des affaires, il n’y a qu’une forme très élaborée de  « Deepfake ». Il s’agit ici d’une simulation vocale générée par une intelligence artificielle, permettant de reproduire la voix d’un individu. Avec de tels moyens, les cybercriminels peuvent instrumentaliser la parole de n’importe qui, et tromper la vigilance d’une grande institution financière. Selon le rapport d'enquête, au moins 17 cybercriminels, dont l’identité et l’origine n’ont pas été déterminées, sont à l'origine de cette fraude.

Des dégâts sans précédent

Même si le phénomène n’est pas si répandu, d’autres affaires de cyber-arnaques par deepfakes ont déjà eu lieu par le passé. En juin 2021, la chercheuse en cybersécurité Keren Elazari s’exprimait à ce sujet pour l’ADN : « En 2019 au Royaume-Uni, un salarié a transféré 250 000 dollars à un hacker en pensant avoir affaire à son patron. Pour le moment ce type d’attaque est assez exotique. Et on ne verra sans doute pas ces attaques tous les jours car c’est sophistiqué, mais je pense qu’elles vont devenir plus courantes. »  La chercheuse a vu juste, et cette nouvelle arnaque par deepfake audio aux Émirats est la plus dévastatrice à ce jour.

La simulation vocale n'est pas l'apanage des hackers. Dans l’industrie du cinéma, de nombreuses startups comme Papercup aux États-Unis cherchent à développer les deep voices pour révolutionner les doublages de films, par exemple. L’encadrement de ces nouvelles pratiques reste pour le moment limité. Dans le cas de l'affaire de la banque émiratie, toute forme de mise en garde et de sensibilisation ne pouvait prédire le brio insensé de ce braquage en douceur.