Des voix de PDG clonées par l’IA ont soutiré 129 millions de dollars à des hôpitaux

Au téléphone, la voix semblait être celle du patron. Puis l’avocat qui a rappelé ressemblait à un associé de l’un des plus grands cabinets d’avocats au monde. Pourtant, aucun des deux n’était réel, selon les procureurs fédéraux de Manhattan. Ils affirment que trois hommes ont utilisé l’intelligence artificielle pour imiter des dirigeants et des avocats, puis convaincu des employés des services comptables d’hôpitaux, de banques et d’autres entreprises de virer de l’argent pour des opérations confidentielles qui n’ont jamais existé. Les fonds ont été convertis en cryptomonnaies, puis répartis entre les complices.

L’affaire dépasse largement le cadre des entreprises qui ont perdu de l’argent. Personne n’a piraté d’ordinateur. Le stratagème reposait sur un réflexe auquel presque tous les employés de bureau cèdent sans y penser : faire confiance à une voix familière qui demande de l’aide. Les discours des PDG, leurs présentations de résultats et leurs interventions lors de conférences sont publics, et les logiciels de clonage vocal peuvent s’appuyer sur ce type d’enregistrements. Si un escroc peut prendre la voix de votre supérieur, un appel téléphonique ne permet plus de vérifier qui se trouve à l’autre bout du fil.

L’acte d’accusation, déposé devant le tribunal du district sud de New York, vise Jacob Soall, 41 ans, qui réside à Marbella, en Espagne, et au Royaume-Uni ; Sharon Hazan, 54 ans, originaire d’Israël ; et Guy Sheetrit, 42 ans, originaire d’Israël et des Émirats arabes unis. Chacun fait face à sept chefs d’accusation, notamment pour complot en vue de commettre une fraude par virement, usurpation d’identité aggravée et blanchiment d’argent. Les procureurs affirment que le groupe a soutiré environ 129 millions de dollars à des entreprises aux États-Unis et à l’étranger.

Selon l’acte d’accusation, le scénario variait rarement. Il commençait souvent par un courriel envoyé via un service de signature électronique comme DocuSign, apparemment au nom du PDG de l’entreprise visée, qui demandait de l’aide pour une transaction secrète et joignait un accord de confidentialité. Les appels suivaient : les complices auraient alors utilisé l’IA pour imiter la voix du dirigeant et, parfois, son visage. Le faux PDG passait ensuite l’employé à un faux avocat, qui empruntait généralement le nom d’un véritable avocat du bureau européen d’un cabinet figurant parmi les 50 plus grands. Soall, affirment les procureurs, conservait un scénario manuscrit intitulé « Lawyer Call » (« Appel de l’avocat »), qui invoquait la confidentialité et les règles sur les délits d’initiés pour empêcher les employés d’en parler à leurs collègues.

Les victimes ne sont pas nommées, mais les pertes détaillées dans les documents d’accusation dessinent un portrait de l’économie dans son ensemble. Un réseau hospitalier du Missouri a viré 4 829 580 dollars. Une banque du Rhode Island a perdu 2 684 580 dollars et un réseau hospitalier de Californie, 2 968 497 dollars. Une entreprise britannique de technologie financière a perdu 11 578 474 dollars, une société de fonds communs de placement du Massachusetts, 4 639 918 dollars, et une entreprise floridienne d’aliments pour animaux, 5 242 747 dollars. Les fonds ont transité par des comptes aux États-Unis, en Espagne, au Portugal, en Grèce, aux Émirats arabes unis, à Singapour, en Autriche, en Slovaquie et en Chine avant d’être convertis en cryptomonnaies.

Une cible a échappé au piège. Dans une grande banque d’investissement new-yorkaise, un employé a autorisé un paiement d’environ 2,85 millions de dollars, mais le service de traitement des opérations de la banque a bloqué le virement avant son envoi, affirment les procureurs. La parade efficace a été le regard d’un deuxième humain, pas un détecteur de deepfakes.

La nouveauté tient davantage à l’IA qu’à la nature du crime. Dans son communiqué, le ministère américain de la Justice qualifie les outils de « super intelligence », tandis que l’acte d’accusation parle d’intelligence artificielle. Rien dans les documents publics ne laisse penser qu’ils dépassaient les solutions de clonage de voix et de visage disponibles dans le commerce. Pour le reste, le mode opératoire est bien connu : faux courriels de dirigeants, transferts d’argent via des comptes dans plusieurs pays, puis blanchiment. Les procureurs affirment que Hazan, condamné pour complot en vue de commettre une fraude bancaire par le même tribunal en 2008, se vantait d’avoir blanchi plus de 400 millions de dollars en trois ans et d’être « numéro un dans le monde entier ». Il s’agit d’allégations : aucun des trois hommes n’a été condamné, et les procureurs n’ont pas précisé quelle somme avait été récupérée ni quels outils de clonage avaient été utilisés.

Les entreprises avaient vu venir le danger. En 2024, la société d’ingénierie Arup a perdu environ 25 millions de dollars après qu’un employé de Hong Kong a participé à un appel vidéo où les autres participants étaient des deepfakes. Les conseils habituels restent les mêmes : rappeler le dirigeant sur un numéro déjà connu, exiger l’approbation d’une deuxième personne pour les virements importants et considérer toute demande de garder le secret comme un signal d’alerte. « J’encourage les particuliers et le monde des affaires à réfléchir à la meilleure façon de se protéger contre la menace émergente des crimes rendus possibles par la SI », a déclaré Jamie McDonald, procureur fédéral américain.

Le complot présumé se serait étendu de juillet 2024 à février 2026 au moins. Soall a été arrêté en Espagne le 17 juin, Hazan dans ce même pays le 5 août, et Sheetrit au Royaume-Uni le 7 septembre. L’acte d’accusation a été rendu public au cours de la première semaine de novembre, et les demandes d’extradition visant les trois hommes sont en attente. La fraude par virement et le blanchiment d’argent sont chacun passibles d’une peine maximale de 20 ans de prison. Le FBI demande à d’éventuelles autres victimes de se manifester via sa page de signalement.

La banque qui a conservé son argent n’avait pas une meilleure IA. Elle avait, dans son service de traitement des opérations, quelqu’un qui a vérifié le virement avant son envoi.

Étiquettes: Folarin Balogun, Baker Mayfield, Meghan Markle, cybersécurité, deepfakes, clonage vocal