Le problème à 55,5 milliards de dollars dont personne ne parle

La compromission d'e-mails professionnels — ou BEC — est la cybercriminalité la plus coûteuse au monde. Selon l'Internet Crime Complaint Center du FBI, le BEC a causé 55,5 milliards de dollars de pertes cumulées dans le monde, dont 2,77 milliards de dollars volés rien qu'en 2024. Pourtant, la plupart des entreprises n'en ont jamais entendu parler, et encore moins ont mis en place des défenses.

Le BEC fonctionne parce qu'il exploite la confiance, pas la technologie. Un attaquant se fait passer pour un PDG, un fournisseur ou un collègue et convainc quelqu'un de virer de l'argent, de partager des identifiants ou de modifier des détails de paiement. Les e-mails semblent vrais. Les appels téléphoniques sonnent vrai. Et désormais, avec le clonage vocal et vidéo deepfake, ils peuvent littéralement être vrais — du moins pour la perception humaine.

2,77 Md$

perdus à cause de la compromission d'e-mails professionnels rien qu'en 2024 (FBI IC3)

Le deepfake d'Arup : 25 millions de dollars disparus en un seul appel vidéo

En février 2024, un employé des finances du cabinet d'ingénierie Arup à Hong Kong a rejoint une visioconférence avec ce qui semblait être le directeur financier de l'entreprise et plusieurs collègues. Chaque visage lors de l'appel était un deepfake. Les participants générés par IA ont donné des instructions pour transférer 25 millions de dollars répartis sur cinq transactions. L'employé s'est exécuté. Au moment où la fraude a été découverte, l'argent avait disparu dans de multiples comptes bancaires.

Il ne s'agissait pas d'une attaque sophistiquée d'un État-nation. C'était un réseau criminel utilisant des outils deepfake disponibles dans le commerce. L'attaque a réussi parce que l'employé pouvait voir et entendre des personnes qui ressemblaient et parlaient exactement comme ses collègues. La vérification visuelle et auditive — le fondement de la confiance humaine — avait été entièrement compromise.

« Nous constatons que la vidéo et la voix deepfake sont de plus en plus utilisées dans la fraude BEC. Ce qui nécessitait autrefois l'usurpation d'une adresse e-mail implique désormais l'usurpation d'une personne entière. » — Division Cyber du FBI, 2024

MGM Resorts : un seul appel, 100 millions de dollars de dégâts

En septembre 2023, le groupe de pirates Scattered Spider a appelé le service d'assistance informatique de MGM Resorts en se faisant passer pour un employé. L'appel a duré environ 10 minutes. Utilisant des informations récoltées sur LinkedIn, l'appelant a convaincu le technicien de réinitialiser les identifiants de l'employé. Ce seul appel a donné aux attaquants accès à l'ensemble du réseau de MGM.

Résultat : les machines à sous se sont éteintes dans tout Las Vegas, les cartes-clés d'hôtel ont cessé de fonctionner, et les opérations de MGM ont été paralyser pendant 10 jours. Le coût estimé a dépassé 100 millions de dollars. Tout cela parce qu'un employé du service informatique n'a pas pu vérifier qui était réellement à l'autre bout du fil.

Pourquoi la sécurité traditionnelle échoue ici

Les entreprises dépensent des milliards en pare-feu, détection de terminaux et authentification multifacteur. Mais rien de tout cela ne protège contre un collaborateur de confiance manipulé par ingénierie sociale au téléphone. La MFA n'aide pas quand l'attaquant convainc le service informatique de la réinitialiser. Les filtres e-mail n'interceptent pas un appel téléphonique. La sécurité des terminaux n'empêche pas un humain d'autoriser un virement.

  • Authentification multifacteur — les attaquants manipulent le service informatique pour la réinitialiser
  • Filtres de sécurité e-mail — sans objet quand l'attaque passe par le téléphone ou la vidéo
  • Identifiant d'appel — trivialement usurpable pour afficher n'importe quel numéro
  • Vérification visuelle en appel vidéo — déjouée par les deepfakes en temps réel
  • Formation de sensibilisation à la sécurité — enseigne à repérer les e-mails d'hameçonnage, pas l'usurpation vocale en direct

La couche manquante : la vérification verbale

Les mots de sécurité ajoutent une vérification. Ils peuvent être divulgués ou oubliés : gardez un moyen indépendant de vérifier.

Rappelez à un numéro déjà fiable et suivez le plan convenu. Le rappel est une vérification indépendante, pas une garantie. Sans réponse, ou si la phrase est incorrecte ou oubliée, suspendez la demande et utilisez la solution de repli convenue ; cela seul ne prouve pas une fraude.

Comment mettre en place des mots de passe en entreprise

  • Établir des mots de sécurité d'équipe partagé en personne lors d'une réunion plénière — jamais par e-mail ou messagerie
  • Créer une politique : toute transaction financière au-dessus d'un seuil (ex. : 5 000 €) nécessite une confirmation verbale avec les mots de sécurité
  • Le service informatique doit vérifier les mots de sécurité du département avant de réinitialiser des mots de passe ou la MFA
  • Changer les mots de sécurité trimestriellement — annoncer le nouveau lors de la prochaine réunion en personne
  • Paiements fournisseurs : établir des mots de passe avec les fournisseurs clés pour les demandes de modification de paiement
  • Communications de la direction : si le PDG appelle avec une demande urgente, les mots de sécurité doivent être fournis avant toute action

L'usurpation d'identité de fournisseurs : le vecteur BEC à la croissance la plus rapide

Selon Abnormal AI, 60 % des attaques BEC modernes impliquent désormais l'usurpation d'identité de fournisseurs plutôt que de dirigeants. Un attaquant compromet l'e-mail d'un fournisseur, surveille les schémas de facturation, puis envoie un message convaincant : « Notre compte bancaire a changé. Veuillez mettre à jour vos dossiers et envoyer le prochain paiement sur ce nouveau compte. »

Avant de modifier des coordonnées de paiement, contactez indépendamment une personne connue avec des coordonnées déjà fiables. Une phrase privée ajoute une vérification, mais conservez les contrôles habituels d’approbation. La connaître seule n’autorise pas un virement.

Le télétravail a aggravé la situation

Quand les équipes travaillaient au même endroit, on pouvait aller au bureau de quelqu'un et confirmer une demande en face à face. Le télétravail et le travail hybride ont supprimé cette option. Désormais, toute vérification se fait par des canaux numériques — précisément les canaux que les deepfakes peuvent compromettre. Les mots de passe restaurent la couche de confiance en personne dans les interactions à distance.