• Faux employés : des centaines d’entreprises auraient été infiltrées par des Nord-Coréens se faisant passer pour des informaticiens indépendants travaillant à distance. Avec l’IA ils rédigent de faux CV et de faux documents, avec des images manipulées par l’IA, pour passer les vérifications. Leur but : gagner de l’argent et le renvoyer au régime nord-coréen, mais aussi voler des données, espionner et même utiliser des rançongiciels.
• Nouvelle génération d’escroqueries BEC : des clips audio et vidéo deepfakes sont utilisés pour la fraude de type Business Email Compromission (BEC). Des employés de la finance sont amenés à transférer des fonds de l’entreprise vers des comptes d’escrocs. Récemment, lors d’une visioconférence, un employé a été persuadé de transférer $ 25 millions à des fraudeurs utilisant des deepfakes et se faisant passer pour le directeur financier de l’entreprise et autres membres du personnel. Déjà en 2019, un décideur du secteur de l’énergie a transféré 200 000 £ à des escrocs après avoir parlé au téléphone à une version deepfake de son patron.
• Contourner l’authentification : les deepfakes sont utilisés pour usurper l’identité de clients, créer de nouveaux personnages et contourner les contrôles d’authentification pour créer des comptes et les connexions. GoldPickaxe, un malware bien connu, récolte des données de reconnaissance faciale, qui sont utilisées pour créer des vidéos deepfakes. Selon un rapport, 13,5 % des ouvertures de comptes numériques dans le monde pouvaient être frauduleuses.
• Arnaques deepfakes : les cybercriminels peuvent utiliser des deepfakes, comme l’usurpation d’identité du PDG d’une entreprise ou d’autres personnalités de premier plan sur les réseaux sociaux, pour des escroqueries à l’investissement et autres. Jake Moore d’ESET, a démontré que n’importe quel dirigeant peut être une victime et, comme le décrit le dernier rapport sur les menaces d’ESET, les criminels utilisent les deepfakes et les réseaux pour attirer leurs victimes dans un nouveau type de fraude à l’investissement appelée Nomani.
• Décryptage de mots de passe : les algorithmes d'IA peuvent décrypter les mots de passe de clients et d’employés, ce qui permet le vol de données, les rançongiciels et les fraudes d'identité. PassGAN, serait capable de décrypter des mots de passe en moins de 30 secondes.
• Falsification de documents : les documents générés ou modifiés par l'IA permettent de contourner les contrôles KYC (Know Your Customer) des banques et autres sociétés et sont utilisés pour des fraudes à l'assurance. Nombre de gestionnaires de sinistres (94 %) soupçonnent qu'au moins 5 % des sinistres sont manipulés par l'IA, plus particulièrement ceux de faible valeur.
• Phishing et reconnaissance : le Centre national de cyber-sécurité du Royaume-Uni (NCSC) a mis en garde contre l’aide obtenue par les cybercriminels grâce à l’IA générative et à d’autres types d’IA. En 2024 cette technologie « allait accroitre le volume et l’impact des cyberattaques pour les deux années à venir ». Elle aurait un impact important sur l’amélioration de l’efficacité de l’ingénierie sociale et de la reconnaissance des cibles, alimenterait les rançongiciels, le vol de données et les grandes attaques de phishing.
L’impact de la fraude par l’IA se traduit par des dommages financiers et de réputation à des degrés divers. Selon un rapport 38 % des pertes de revenus dues à la fraude au cours de l’année écoulée étaient dues à la fraude induite par l’IA :
• Grace au contournement du KYC, les fraudeurs accumulent du crédit et vident les comptes clients.
• Les faux employés peuvent voler des informations sensibles sur la propriété intellectuelle et les clients, créant ainsi des problèmes financiers, de réputation et de conformité.
• Les escroqueries BEC (BEC scams)peuvent générer d'énormes pertes ponctuelles. En 2023, cela aurait rapporté plus de $ 2,9 milliards aux cybercriminels.
• L’usurpation d'identité (Impersonation scams) menace la fidélité des clients. Un tiers des clients (third of customers say) déclarent qu'ils abandonneraient une marque qu'ils aiment après une seule mauvaise expérience.
Lutter contre la fraude basée sur l’IA nécessite une réponse axée sur les personnes, les processus et la technologie et comporte :
• Une évaluation fréquente des risques de fraude
• La mise à jour des politiques anti-fraude pour les adapter à l'IA
• Des programmes de formation et de sensibilisation complets pour le personnel (sur le repérage du phishing et des deepfakes (how to spot phishing)
• Des programmes de formation et de sensibilisation pour les clients
• L’activation de l'authentification multifacteur (MFA) pour les comptes d'entreprise et les clients sensibles
• Améliorer les vérifications des antécédents des employés, analyse des CV et détection des incohérences
• S'assurer que tous les employés soient interviewés par vidéo avant l'embauche
• Améliorer la collaboration entre les équipes RH et de cybersécurité (HR and cybersecurity teams)
On peut utiliser des outils IA pour détecter les deepfakes (par exemple, dans les contrôles KYC), des algorithmes d'apprentissage automatique pour détecter des modèles de comportement suspect dans les données du personnel et des clients et l’IA générative pour générer des données synthétiques avec lesquelles de nouveaux modèles de fraude peuvent être développés, testés et utilisés pour la formation.
Les entreprises doivent mettre à jour leurs politiques de cyber-sécurité et de lutte contre la fraude pour s’adapter à l’évolution des menaces. Sinon, elles risquent un impact sur la fidélité des clients, la valeur de la marque et de faire échouer d’importantes initiatives de transformation numérique.

À propos d'ESET
ESET fournit une sécurité numérique de pointe pour prévenir les attaques avant qu'elles ne se produisent. En combinant la puissance de l'IA et l'expertise humaine, ESET a toujours une longueur d'avance sur les cyber-menaces connues et émergentes et sécurise ainsi les entreprises, les infrastructures critiques et les consommateurs. Qu'il s'agisse de protection des terminaux, du cloud ou des appareils mobiles, ses solutions et services cloud-first, basés sur l'IA, sont très efficaces et faciles à utiliser. La technologie ESET comprend une détection et une réponse robustes, un chiffrement ultra-sécurisé et une authentification multi facteurs. Une défense en temps réel 24h/24 et 7j/7 et un support local solide, assurent la sécurité des utilisateurs et le fonctionnement sans interruption des entreprises. Un environnement numérique en constante évolution exige une approche progressive de la sécurité. ESET s'engage dans une recherche de classe mondiale et une puissante surveillance des menaces, soutenues par des centres de R&D et un solide réseau mondial de partenaires. Pour plus d'informations, visitez www. www.eset.com ou suivez ESET sur LinkedIn, Facebook, X et https://www.eset.com/be-fr/.