En janvier 2024, un employé du secteur financier à Hong Kong a autorisé des virements totalisant 200 millions de dollars de Hong Kong, soit environ 25 millions de dollars US, après avoir rejoint ce qui semblait être une visioconférence avec des cadres dirigeants.
La police de Hong Kong a ensuite indiqué que la conférence avait été préenregistrée et assemblée à partir de vidéos et de voix accessibles au public.
L’affaire concernait un transfert financier, mais le risque va bien au-delà de la finance. Les organisations utilisent les appels vidéo pour interroger des candidats, vérifier l’identité de clients, approuver des changements de compte, discuter de sujets confidentiels et répondre aux demandes de dirigeants et de fournisseurs.
À mesure que le clonage de visages et de voix s’améliore, voir une personne familière à l’écran ne suffit plus à confirmer qu’elle est bien réelle, autorisée ou qu’elle participe en direct.
Les deepfakes peuvent s’immiscer dans les interactions professionnelles courantes
Les autorités de Hong Kong ont indiqué que l’employé avait d’abord reçu un e-mail d’hameçonnage d’une personne se faisant passer pour le directeur financier de l’entreprise. L’employé a ensuite rejoint une réunion préenregistrée qui semblait inclure des cadres de l’entreprise et a continué à recevoir des instructions de paiement par messagerie instantanée.
La technologie des deepfakes peut manipuler à la fois l’audio et la vidéo, ce qui permet à des tentatives d’usurpation de se produire lors d’appels, d’enregistrements, de réunions à distance et d’autres interactions numériques. Les attaquants peuvent également utiliser des escroqueries par clonage vocal pour imiter des dirigeants et des proches, donnant à une demande urgente l’apparence d’une requête émanant d’une personne en qui le destinataire a déjà confiance.
Le recrutement constitue une autre porte d’entrée. De faux candidats utilisant des visages, des voix et des justificatifs synthétiques peuvent tenter de réussir des entretiens à distance et d’obtenir un accès aux systèmes de l’entreprise, aux informations clients, aux données financières ou aux documents propriétaires.
Le même problème touche le support client, la récupération de comptes, les relations avec les fournisseurs et les réunions confidentielles. Un visage ou une voix cloné peut créer une impression de familiarité, mais cela n’établit pas une quelconque autorité. Une personne peut ressembler et parler comme un client, un employé, un dirigeant ou un partenaire commercial sans contrôler l’identité qu’elle présente.
Les outils de traçabilité des contenus répondent à un problème connexe, mais différent. Les Content Credentials de C2PA peuvent enregistrer des informations sur la source d’un fichier et son historique de modifications. Ces informations peuvent aider à examiner un enregistrement ou une image, mais elles n’authentifient pas la personne qui formule une demande lors d’un appel en direct.
Les appels vidéo nécessitent un deuxième niveau de vérification d’identité
Les organisations devraient dissocier communication et autorisation. Un appel vidéo peut permettre d’expliquer une demande, mais les paiements, les changements de compte, les approbations d’accès et autres actions sensibles devraient nécessiter une confirmation par un autre canal de confiance.
Les équipes financières devraient exiger un rappel vers un numéro déjà enregistré dans un annuaire interne avant d’approuver un virement ou de modifier les coordonnées bancaires d’un fournisseur. Un deuxième employé devrait confirmer les transactions importantes ou inhabituelles. Les coordonnées fournies pendant l’appel, par e-mail ou par message ne doivent pas être utilisées pour la vérification.
Les services d’assistance devraient exiger un second facteur déjà établi, comme un jeton matériel, un processus d’approbation interne ou une méthode d’authentification configurée au préalable, avant d’effectuer une réinitialisation de mot de passe, une récupération de compte ou une modification des accès privilégiés.
Les équipes RH devraient appliquer des contrôles similaires lors du recrutement et de l’intégration à distance. Les pièces d’identité, les dossiers d’emploi et les demandes d’accès aux systèmes devraient être vérifiés indépendamment, plutôt qu’acceptés uniquement parce qu’un candidat est apparu de manière convaincante à la caméra.
Les équipes en contact avec les clients peuvent également avoir besoin de contrôles supplémentaires avant de modifier des coordonnées, des moyens de paiement ou des autorisations de compte. La méthode de vérification devrait s’appuyer sur des informations ou des systèmes que l’appelant ne peut pas contrôler pendant la conversation.
Le FBI recommande d’utiliser des canaux secondaires ou l’authentification à deux facteurs pour les demandes impliquant des changements de compte. Si un virement frauduleux a lieu, l’organisation doit contacter immédiatement son établissement financier, demander l’annulation du virement et signaler l’incident à l’Internet Crime Complaint Center.
Les organisations devraient examiner chaque processus dans lequel un appel vidéo ou vocal peut établir une identité ou autoriser une action. Un visage familier peut soutenir une conversation, mais il ne devrait plus constituer à lui seul une preuve.
À lire également : La détection des faux appels d’Android de Google utilise la vérification de l’appareil pour signaler les escroqueries vocales présumées générées par IA.