En janvier 2024, un employé financier d’une multinationale basée à Hong Kong a reçu un courriel du directeur financier (CFO) de l’entreprise au Royaume-Uni. Le message mentionnait la réalisation de transactions confidentielles, quelque chose d’inhabituel, mais un appel vidéo clarifierait la situation.
L’appel incluait plusieurs hauts dirigeants de l’organisation, donc le travailleur de Hong Kong a procédé à effectuer 15 paiements, totalisant 200 millions de dollars de Hong Kong (environ 25,6 millions de dollars américains), vers cinq comptes bancaires locaux. Ce n’est qu’en mentionnant les transactions au siège central que l’escroquerie a été découverte.
Le CFO n’avait jamais demandé les transferts. Les personnes dans l’appel n’étaient même pas réelles. Tout avait été orchestré par un cybercriminel.
Le surintendant de la police de Hong Kong, Baron Chan Shun-ching, a expliqué à Radio Télévision Hong Kong que l’escroc avait probablement téléchargé les vidéos au préalable et utilisé l’intelligence artificielle pour ajouter des voix fausses à la vidéoconférence.
Ce n’est pas un cas isolé. La police de Hong Kong a trouvé au moins 20 cas où l’apprentissage automatique a été utilisé pour créer des deepfakes et obtenir de l’argent de manière trompeuse, a rapporté CNN. Les experts préviennent que cette tendance ne fait que commencer.
“Cela s’intensifie”, indique Todd Wade, expert en sécurité de l’information. “Les bandes criminelles établissent des centres d’appels dans le monde entier et les gèrent comme des entreprises. Et ils grandissent”.
Le progrès technologique et l’utilisation de l’intelligence artificielle (IA) ont permis de développer des escroqueries qui éludent les défenses traditionnelles et attaquent le maillon le plus faible de toute stratégie de cybersécurité : les humains.
Nick Biasini, chef de la sensibilisation chez Cisco Talos, affirme que “l’ingénierie sociale occupe une part de plus en plus importante de ce panorama. On voit de plus en plus d’acteurs de menaces qui ne sont pas nécessairement techniquement sophistiqués, mais qui sont doués pour manipuler les personnes”.
Cette augmentation de la sophistication des menaces basées sur l’IA est un autre facteur moteur. Au cours de la dernière année, les avancées technologiques ont atteint un point où il devient de plus en plus difficile de distinguer un deepfake de la réalité.
Tandis qu’avant il était facile de détecter un deepfake par des motifs de parole étranges ou des mains mal dessinées, ces problèmes sont en train de se résoudre rapidement. Encore plus inquiétant, l’IA peut maintenant créer des deepfakes réalistes avec des ensembles d’entraînement minuscules.
“Il y a beaucoup de centres d’appels qui te téléphonent juste pour enregistrer ta voix”, dit Luke Secrist, PDG de la société de piratage éthique BuddoBot. “Les appels téléphoniques que tu reçois sans réponse cherchent à t’enregistrer en train de dire ‘Bonjour, qui est-ce ?’ Ils ont seulement besoin d’un fragment”.
Selon l’expert en cybersécurité Mark T. Hofmann, “trente secondes de matériel brut, que ce soit de la voix ou de la vidéo, sont suffisantes pour créer des clones deepfake d’une qualité que ni ta femme, ton mari ou tes enfants pourraient distinguer de toi. Personne n’est à l’abri”.
Dans de nombreux cas, un cybercriminel n’a même pas besoin de t’appeler. Les réseaux sociaux sont pleins de matériel audio et vidéo. De plus, “il y a aussi une grande quantité de violations de données qui comprennent des informations personnelles comme ton adresse, numéro de téléphone, courriel, numéro de sécurité sociale… Pour les attaques d’ingénierie sociale, ils peuvent utiliser ces informations pour se faire passer pour quelqu’un avec autorité”, dit Wade.
Une fois une attaque d’ingénierie sociale initiée, les cybercriminels jouent sur les faiblesses mentales pour obtenir ce qu’ils veulent. Ils peuvent te faire croire que ton enfant a été kidnappé ou que ton travail est en danger si tu ne fais pas une faveur à ton patron.
Les défenses cybernétiques standards ont peu à faire pour prévenir ceci. Par conséquent, “quand nous parlons d’ingénierie sociale et de deepfakes, le pare-feu humain est plus important que jamais”, dit Hofmann. “Nous devons informer les gens sur les nouveaux risques, sans les effrayer”.
Une bonne règle générale dans le monde des deepfakes est de se méfier de toute demande hors du commun, peu importe d’où elle semble provenir. Hofmann suggère que les familles conviennent d’un mot de passe à utiliser en cas de doute.
Dans les environnements corporatifs, “poser des questions de sécurité ou rappeler au numéro réel est un bon conseil”, ajoute-t-il. “Ils peuvent voler ta voix, mais pas ton savoir”.
Biasini est d’accord sur le fait que la meilleure façon de vaincre la menace des deepfakes est l’éducation, au moins jusqu’à ce que la technologie d’authentification trouve un moyen de distinguer les identités réelles des fausses. “Quand nous trouvons ce type d’activités, nous nous assurons qu’elles soient exposées”, dit-il.
“Une des choses les plus importantes à faire est d’amener cette connaissance aux masses, parce que tout le monde n’est pas conscient de ces types de menaces”.
Source : Cisco
