Le piège à 2,4 millions d’euros : comment un deepfake a failli faire tomber une entreprise  

Par l’équipe éditoriale d’Allianz Trade

À mesure que les deepfakes (contenus manipulés grâce à l’intelligence artificielle pour faire dire ou faire faire à une personne réelle des choses qu’elle n’a jamais dites ou faites) rendent les techniques d’ingénierie sociale plus convaincantes, les entreprises font face à un risque croissant de pertes liées à des instructions frauduleuses, des commandes falsifiées et des factures manipulées. Les entreprises ont besoin de solutions dédiées pour garder une longueur d’avance.  

L’entreprise était un fabricant de pièces automobiles en forte croissance, dont le siège se trouvait en Allemagne et qui possédait des usines et des centres de distribution dans plusieurs pays. Au cours des années précédentes, elle s’était développée rapidement, intégrant de nouveaux marchés, attirant de nouveaux clients et collaborant avec de nouveaux fournisseurs à l’international. En conséquence, le volume de transactions financières à gérer avait fortement augmenté.

Avec des effectifs plus importants et une organisation internationale devenue plus complexe, l’entreprise s’appuyait de plus en plus sur les communications numériques pour rester connectée. La délégation était essentielle pour maintenir le rythme de cette croissance, et les collaborateurs étaient encouragés à faire preuve d’initiative et à prendre les mesures nécessaires pour assurer la continuité des activités.

Mais à mesure que la croissance s’accélérait, davantage de tâches ont dû être déléguées, et les communications de l’entreprise sont devenues de plus en plus fragmentées.

Les techniques d’ingénierie sociale exploitent la psychologie humaine. Dans ce cas, les fraudeurs n’ont pas réussi uniquement grâce à la technologie. Ils ont utilisé leur connaissance de l’entreprise et de ses processus internes pour mettre en scène une situation qui paraissait familière et légitime, afin de convaincre le comptable d’approuver le paiement.

D’abord, le comptable a reçu un e-mail semblant provenir du directeur financier, une figure d’autorité de confiance à laquelle il rendait habituellement compte. Ensuite, il a été invité à participer à un appel vidéo, où le visage et la voix du directeur financier ont renforcé la crédibilité de la demande. Enfin, le caractère urgent de la requête a découragé toute vérification supplémentaire et a poussé le comptable à agir rapidement.

Un élément essentiel est que cette demande ne semblait pas s’écarter des méthodes de travail habituelles de l’entreprise. La délégation de responsabilités et l’autonomie des collaborateurs faisaient partie du fonctionnement courant, si bien que le comptable pensait simplement accomplir son travail. C’est précisément ce qui a rendu le piège si efficace : il ne ressemblait pas à un piège. Les fraudeurs ont amené le comptable à se sentir en confiance, de sorte qu’il a approuvé le paiement en étant convaincu d’agir correctement.  

Lorsqu’une entreprise est victime d’une fraude, la première étape consiste à évaluer l’ampleur des dégâts avant de chercher un moyen de s’en sortir. Pour une société internationale en forte croissance, un seul paiement frauduleux important peut rapidement déclencher une réaction en chaîne dont les conséquences dépassent largement la perte financière immédiate.

Dans ce cas, le fabricant a dû faire face à de graves répercussions. Les 2,4 millions d’euros représentaient une somme considérable pour une entreprise de cette taille, et cette perte a immédiatement exercé une pression sur son fonds de roulement, menaçant sa capacité à régler ses autres fournisseurs.

Les coûts d’exploitation étaient également en danger, l’entreprise risquant de ne plus pouvoir honorer le paiement des salaires et des loyers de bureaux dans les mois suivants. Son plan de développement à long terme se trouvait lui aussi compromis.

Plus préoccupant encore, les conséquences potentielles sur sa réputation. Fournisseurs, clients et collaborateurs ont vu leur confiance dans le fabricant ébranlée. Si la situation n’avait pas été résolue, il aurait pu falloir des années pour rétablir cette confiance perdue.

Heureusement, l’entreprise n’a pas eu à faire face seule à ces conséquences. Parce que le fabricant avait souscrit à notre assurance fraude, la perte financière a été couverte, allégeant immédiatement la pression sur le fonds de roulement et permettant à l’entreprise de reprendre ses activités normales beaucoup plus rapidement qu’elle n’aurait pu le faire autrement. Le fabricant a ainsi pu se recentrer sur son plan de croissance et sur le rétablissement de la confiance.

Cet incident met en évidence une distinction importante entre les différentes formes de protection. L’assurance-crédit, par exemple, protège contre le défaut de paiement de clients légitimes, en aidant l’entreprise à gérer les conséquences lorsqu’un véritable acheteur ne règle pas ses factures. L’assurance cyber, quant à elle, couvre généralement les pertes résultant d’événements cyber tels que les attaques par rançongiciel, les violations de données ou les perturbations majeures des systèmes informatiques.

Aucune de ces deux formes d’assurance ne couvre nécessairement ce type d’attaque par ingénierie sociale. Bien que les fraudeurs aient utilisé la technologie dans ce cas pour créer des deepfakes convaincants du directeur financier, la perte n’est pas issue d’une défaillance technologique ni du défaut de paiement d’un client légitime. La technologie a plutôt été utilisée pour manipuler le comptable afin qu’il approuve un paiement frauduleux.

C’est là que notre assurance contre la fraude joue un rôle essentiel. Elle couvre les pertes résultant de certains types de fraude externe, notamment celles reposant sur des techniques d’ingénierie sociale telles que la fraude au faux dirigeant, la fraude au faux acheteur ou le détournement de paiement. Elle couvre également les fraudes internes, notamment le vol, le détournement de fonds ou le sabotage

L’attaque a enseigné au fabricant une leçon précieuse : la fraude évolue rapidement, et les mécanismes de protection traditionnels peinent à suivre le rythme. À une époque où des visages familiers, des voix reconnaissables et des communications apparemment authentiques ne constituent plus une preuve suffisante de l’identité réelle de quelqu’un, les entreprises doivent réévaluer en permanence les contrôles et les procédures sur lesquels elles s’appuient pour rester en sécurité.

Cela signifie que la solution ne consiste pas simplement à demander aux collaborateurs d’être plus vigilants. Même les entreprises les mieux préparées peuvent être victimes d’une attaque soigneusement ciblée. L’objectif doit être de rendre plus difficile la transformation d’un incident isolé en une erreur particulièrement coûteuse et de mettre en place plusieurs niveaux de protection afin que, lorsqu’un dispositif échoue, un autre prenne le relais pour réduire le risque.

Deloitte prévoit que l’IA générative pourrait faire grimper les pertes liées à la fraude aux États-Unis à 40 milliards de dollars d’ici 2027, contre 12,3 milliards de dollars en 2023, soit un taux de croissance annuel composé de 32 %.  

Face à des fraudeurs qui exploitent les technologies les plus récentes pour manipuler et tirer parti des comportements humains, les entreprises doivent garder une longueur d’avance. La préparation est la clé pour échapper aux pièges de la fraude, qu’il s’agisse de renforcer les contrôles existants, de former les collaborateurs ou de mettre en place des processus internes qui ne reposent pas uniquement sur la confiance. Il s’agit également de disposer de la bonne couverture d’assurance afin de vous protéger lorsque la fraude parvient à contourner vos dispositifs de sécurité.

Notre assurance fraude est conçue pour vous aider à atténuer les risques de fraude en constante évolution. Grâce à notre accompagnement, vous pouvez avancer en toute confiance, avec la certitude d’être protégé contre les pièges de la fraude dissimulés.