L'appel vidéo n'est plus une preuve : comment les deepfakes compromettent la confiance des entreprises

En janvier 2024, un employé du bureau de Hong Kong de la société d'ingénierie britannique Arup a reçu un e-mail prétendument envoyé par le directeur financier, avec une mention de transaction confidentielle. L'employé a douté, mais après un appel vidéo où figuraient des copies synthétiques du directeur et de ses collègues, il a cessé de douter et a effectué quinze transferts pour un total d'environ 25,6 millions de dollars en une seule journée. Le directeur des systèmes d'information d'Arup, Rob Greig, a plus tard déclaré qu'il avait créé un deepfake de lui-même en temps réel en 45 minutes à l'aide d'un logiciel open source, ce qui démontre la faible barrière à l'entrée. L'employé a agi correctement en tentant de vérifier la demande, mais il a changé de canal de communication plutôt que de source de confiance, car l'e-mail et la visioconférence étaient contrôlés par les mêmes cybercriminels. Les experts de « Garda » et de l'Université technique russe de Moscou (RTU MIREA) prévoient un déplacement des attaques, passant de vidéos pré-montées à la substitution de la voix et de l'image en temps réel. L'article propose six règles de protection : le caractère confidentiel d'une demande doit éveiller les soupçons, la confirmation des ordres inhabituels via un canal indépendant impliquant une seconde personne, une procédure multifactorielle pour les opérations importantes, la fixation écrite des décisions qui ne peuvent pas être prises sur la base d'un seul appel, une logique similaire pour la vie privée, et la prise de conscience que la vidéo et la voix ne constituent plus une preuve en soi. Il est également noté que les pare-feu de nouvelle génération (NGFW) ne peuvent pas détecter un deepfake dans un flux vidéo chiffré, c'est pourquoi la protection doit reposer sur une approche multicouche, y compris des règlements financiers.