Une fraude d’un nouveau genre vient de frapper le secteur bancaire européen. Fideuram, la branche de gestion de patrimoine du géant italien Intesa Sanpaolo, a perdu près de 39,5 millions d’euros — et selon certaines sources jusqu’à 95 millions — dans une escroquerie sophistiquée mêlant intelligence artificielle et ingénierie sociale. Retour sur l’une des plus importantes arnaques deepfake jamais documentées dans le secteur financier traditionnel.
Comment Fideuram s’est fait piéger par un faux WhatsApp
L’attaque, révélée par plusieurs médias italiens, s’est déroulée sur plusieurs mois entre fin 2023 et début 2024. Le scénario est digne d’un film d’espionnage, mais la réalité est bien plus inquiétante pour la sécurité bancaire mondiale.
Un PDG cloné par l’intelligence artificielle
Les escrocs ont utilisé une combinaison redoutablement efficace de technologies :
- Un faux compte WhatsApp avec la photo et le numéro d’un haut dirigeant de la banque
- Des clones vocaux générés par IA reproduisant la voix de ce dirigeant avec une précision troublante
- De faux documents internes conçus pour paraître authentiques
Le mode opératoire est simple mais redoutable : les fraudeurs ont contacté plusieurs cadres supérieurs de Fideuram en se faisant passer pour le directeur général. Grâce à la voix clonée par IA, ils ont réussi à convaincre des employés autorisés d’effectuer des virements vers des comptes à l’étranger.
Un terme technique pour décrire cette méthode : le vishing (hameçonnage vocal) amélioré par l’IA. Contrairement au phishing classique qui passe par email, cette technique exploite la confiance naturelle que nous accordons à la voix humaine.
Le maillon faible : la confiance humaine
Aucune faille technique n’a été exploitée ici. Les systèmes informatiques de Fideuram fonctionnaient parfaitement. C’est bien la confiance humaine qui a été trompée. Les employés concernés ont reçu des instructions qu’ils croyaient venir directement de leur hiérarchie, accompagnées d’un contexte professionnel crédible et d’une pression temporelle — technique classique d’urgence pour empêcher toute vérification.
Ce type d’attaque, appelé CEO fraud ou fraude au président, existe depuis des années. Mais l’ajout de la technologie deepfake le porte à un niveau d’efficacité sans précédent.
Pourquoi cette arnaque deepfake inquiète le secteur bancaire
Une montée en puissance alarmante
Cette affaire n’est pas un cas isolé. Selon plusieurs rapports de cybersécurité, les attaques par deepfake vocal ont augmenté de plus de 300 % en 2024 dans le secteur financier. Les outils d’IA générative, accessibles au grand public, permettent aujourd’hui de cloner une voix à partir de quelques secondes d’enregistrement audio — souvent récupérées sur les réseaux sociaux ou les conférences publiques.
Un signal d’alarme pour les entreprises crypto
Le monde de la crypto n’est pas épargné. Plusieurs projets ont déjà signalé des tentatives d’arnaques deepfake imitant des fondateurs lors de visioconférences ou de lives sur X (anciennement Twitter). Les risques sont d’autant plus élevés que les transactions blockchain sont irréversibles : unlike a bank transfer, once crypto is sent, it cannot be recalled.
Pour les particuliers détenteurs de cryptomonnaies, la leçon est claire : la sécurité individuelle devient cruciale quand les institutions elles-mêmes peuvent être trompées.
Comment se protéger face aux arnaques deepfake
Voici les bonnes pratiques à adopter, que vous soyez une entreprise ou un particulier :
- Vérification multi-canal : toute demande de virement ou de transaction sensible doit être confirmée par un deuxième canal (appel téléphonique sur numéro connu, rencontre physique, signature numérique)
- Procédures d’authentification renforcées : mettre en place des mots de passe ou phrases de reconnaissance pour les instructions à haute valeur
- Formation des équipes : sensibiliser régulièrement les collaborateurs aux techniques d’ingénierie sociale
- Limiter l’exposition publique : éviter de partager publiquement des enregistrements vocaux ou vidéos de qualité
Pour les investisseurs crypto, la sécurisation des actifs numériques passe par l’utilisation de wallets hardware comme Ledger, qui isolent vos clés privées d’Internet et rendent impossible toute transaction non autorisée à distance. Compléter cette protection par l’utilisation d’une plateforme d’échange réputée comme Kraken ajoute une couche de sécurité supplémentaire pour vos transactions quotidiennes. Les utilisateurs européens peuvent également se tourner vers Bitvavo, un exchange régulé aux Pays-Bas.
Que retenir de l’affaire Fideuram ?
L’arnaque deepfake dont a été victime Fideuram marque un tournant. Elle démontre qu’à l’ère de l’IA générative, aucune institution — aussi grande et bien protégée soit-elle — n’est totalement à l’abri. La frontière entre le vrai et le faux devient de plus en plus fine, et la vigilance humaine reste notre meilleure défense.
Pour les acteurs de la crypto, ce type d’incident doit servir d’électrochoc : investir dans des outils de sécurité matériels, diversifier ses plateformes de stockage, et ne jamais céder à l’urgence d’une demande non vérifiée. Dans un monde où l’IA peut désormais imiter parfaitement une voix ou un visage, le principe de précaution n’est plus une option — c’est une nécessité.
