**La dématérialisation de nos activités ouvre la porte à la multiplication des fraudes. En acquérant une maîtrise du numérique et des outils de l’intelligence artificielle, les criminels redoublent d’imagination pour soutirer de l’argent.**
Ceux qui ont voté pour George Santos, élu au Congrès américain en novembre 2022 dans les rangs des républicains, pensaient avoir voté pour un jeune financier brillamment diplômé, d’origine juive, homosexuel et propriétaire de nombreuses demeures. Rien de tout cela n’était vrai. D’origine brésilienne et ayant des démêlés avec la justice de son pays, il était séparé de sa femme, habitait chez sa sœur et confiait finalement être plutôt catholique… Il a été inculpé en mai, pas tant pour ses mensonges, qu’il a qualifiés « d’erreurs », mais pour fraudes financières, blanchiment d’argent et détournement de fonds publics. De tels faussaires, menteurs, mythomanes ou plagiaires, l’histoire en regorge. Ils ne sont pas tous démasqués, mais leur capacité à nuire et à causer du tort est souvent limitée.
En revanche, grâce aux progrès des technologies numériques, et notamment de l’intelligence artificielle (IA), les fraudes et les contrefaçons prennent une ampleur inédite et bien plus inquiétante, dans des domaines où leurs conséquences peuvent être graves. Une ampleur inédite, car les technologies les mettent à la portée de tous, à moindre coût, et sans devoir maîtriser l’informatique ou le codage. Avec des solutions logicielles en kit, achetées « sur étagère » sur le dark Web, les malfrats peuvent lancer rapidement une arnaque à grande échelle et disparaître en un instant en effaçant leurs traces.
Ces fraudes sont aussi plus inquiétantes car très difficiles, voire pour certaines impossibles, à détecter. Et les malfaiteurs ont vite appris à maîtriser et à exploiter ces moyens numériques sophistiqués, qui les aident à conforter leur avance sur les forces de l’ordre, fussent-elles du cyberespace.
Les fraudes visent généralement deux objectifs : la manipulation (propagande, espionnage…) ou le vol. La récente campagne « Doppelgänger » illustre bien le premier objectif. Menée par la Russie, cette opération de propagande et d’ingérence a produit de faux sites et des liens qui usurpaient l’identité visuelle de sites gouvernementaux et de plusieurs journaux européens et français, dont Le Monde. Ces liens conduisaient à des articles qui promouvaient la Russie et dénigraient l’Ukraine ainsi que les pays qui la soutiennent, en imitant parfaitement le style et l’aspect graphique des sites contrefaits.
**Une plus grande crédibilité**
Grâce à l’IA générative de type ChatGPT, les « fermes à trolls », ces organisations qui diffusent massivement de fausses informations sur les réseaux sociaux, sont capables de produire des contenus policés, bien présentés et dans un français très correct. Fini les fautes d’orthographe et les erreurs de syntaxe qui permettaient aux plus attentifs de détecter les faux sites. « Dans ce domaine de la déstabilisation géopolitique, les desseins sont plus larges qu’avant. Il ne s’agit plus de petites campagnes, mais d’opérations d’envergure visant à manipuler l’opinion, comme “Doppelgänger”, ou à recueillir des informations stratégiques, comme la campagne de cyberespionnage menée contre le secteur européen de la défense par le groupe de pirates Lazarus sur le réseau professionnel LinkedIn », remarque Benoît Grunemwald, expert cybersécurité chez ESET France.
Du côté des fraudes financières, la créativité qu’apporte le numérique n’est pas en reste. Au printemps, des SMS de l’Agence nationale de traitement automatisé des infractions (Antai) signifiaient au destinataire un retard de paiement. Un lien renvoyait sur un site ressemblant à celui de l’Antai où il fallait rentrer ses coordonnées, y compris bancaires, pour s’acquitter de cette amende de stationnement probablement oubliée… Il s’agissait en fait d’un hameçonnage traditionnel destiné à recueillir des données bancaires personnelles, qui ont ensuite été revendues sur le dark Web.
Dans de tels cas, des signes doivent alerter, comme le fait qu’une amende soit signifiée sur téléphone portable, que l’adresse du site comporte un caractère étrange ou une lettre de trop, etc. Là encore, le numérique a facilité une amélioration de la présentation et donc une plus grande crédibilité du faux site. Fin 2022, des pirates ont ainsi généré plus de 6 000 faux sites de marques connues, qui proposaient des articles à des prix largement cassés. L’adresse du faux site différait très légèrement de celle du vrai par un tiret au lieu d’un point entre le nom de la marque et celui du pays.
**« Se faire passer pour quelqu’un d’autre »**
Dans le domaine bancaire, « le numérique est une aubaine pour les fraudeurs, qui se réinventent tout le temps, constate Tanguy Le Nouvel, directeur de l’activité data science de la société française de services Micropole. Aujourd’hui, on peut tout faire en ligne, acheter, emprunter, se faire rembourser, ouvrir un compte en banque. Par exemple, en demandant un dossier complet avec fiches de paye, RIB, identité, à un candidat à un prêt ou à une location d’appartement, un fraudeur dispose de tous les éléments pour se faire passer pour quelqu’un d’autre, emprunter et transférer de l’argent ».
L’innovation dans ce domaine est la fraude au coursier. La banque appelle son client, un problème a été détecté sur sa carte bancaire. Pas de souci, un coursier rapidement dépêché pour vérifier le fonctionnement de la carte arrive avec un lecteur et vérifie que la carte et le code sont bien reconnus. Tout va bien. Le client est rassuré, le coursier repart avec toutes les données du client enregistrées dans le lecteur.
Les vacances donnent également lieu à de nouvelles arnaques. Une annonce de location dénichée sur un site réputé, mais qui n’est malheureusement plus disponible, renvoie vers un autre site, sur lequel, coup de chance, la maison est encore disponible pendant cette semaine d’août tant convoitée… Il y a même une vidéo. L’affaire est conclue. Le propriétaire envoie un RIB, le futur vacancier envoie des arrhes, rendez-vous est pris pour les clés. Lorsque la famille arrive, il n’y a pas de maison, ou elle est occupée par ses propriétaires qui ne l’ont jamais proposée à la location. Evidemment, personne ne répond au téléphone.
**« Multiples faux visages générés par IA »**
Dans le contexte de guerre des talents, de licenciements massifs chez les géants de la tech et de travail à distance généralisé, le recrutement est lui aussi devenu un terrain de jeu pour les cybercriminels. Une perspective de salaire alléchante, un profil particulièrement attractif rendent les candidats comme les entreprises moins vigilants. En témoigne l’expérience de la société Remote, qui embauche, gère et rémunère des employés partout dans le monde pour le compte d’entreprises qui se développent à l’international.
« Nous avons détecté que le collaborateur qu’un de nos clients souhaitait embaucher, en fait, n’existait pas. La photo de son passeport était une image générée par IA. Une enquête plus poussée a révélé que son profil sur les réseaux professionnels avait été modifié avec de multiples faux visages générés par IA », raconte Sam Ross, directeur juridique de Remote, à Londres. Selon lui, le but de cet avatar était « d’accepter plusieurs emplois afin de toucher une prime d’embauche ou un premier chèque de salaire avant de disparaître ».
Les entreprises publient leurs recrutements sur les réseaux professionnels, et les employés y annoncent qu’ils viennent de changer de poste. Il suffit alors au criminel d’usurper l’adresse e-mail du nouvel embauché – pas si difficile à trouver – pour prétendre être la personne recrutée et envoyer aux ressources humaines ses nouvelles coordonnées bancaires. Il faudra un ou deux mois pour que le salarié s’inquiète de ne pas recevoir son salaire. A l’inverse, une personne prétendument de l’entreprise demande au futur salarié ses coordonnées bancaires pour compléter son dossier, ou des informations sur d’autres collaborateurs, données qui seront immédiatement revendues sur le dark Web.
« Les criminels jouent sur l’intimidation du nouveau recruté. Cela m’est arrivé une semaine après mon embauche chez Acronis. Quelqu’un prétendant être un dirigeant de la société m’a demandé des informations », raconte Ashley Taylor, aujourd’hui responsable du recrutement pour ce spécialiste de la cybersécurité. « Les gens peuvent frauder sur un ou plusieurs points, mais pas sur tout. Il y aura toujours des points sur lesquels l’IA ne réussira pas. Quand nous recrutons, il faut qu’à un moment ou à un autre de l’entretien la caméra fonctionne, par exemple. Il ne faut pas se contenter d’un diplôme ou d’un numéro de téléphone », ajoute Dan Meyers, directeur des ressources humaines chez Acronis, dans le Massachusetts, aux Etats-Unis.
Perso, les voix clonées me font le plus “peur” vu le niveau de confiance qu’on accorde à la parole de nos pairs. On revient aux légendes du moyen age où les esprits prennent la voix de nos proches pour nous attirer dehors en pleine nuit.
2 comments
**La dématérialisation de nos activités ouvre la porte à la multiplication des fraudes. En acquérant une maîtrise du numérique et des outils de l’intelligence artificielle, les criminels redoublent d’imagination pour soutirer de l’argent.**
Ceux qui ont voté pour George Santos, élu au Congrès américain en novembre 2022 dans les rangs des républicains, pensaient avoir voté pour un jeune financier brillamment diplômé, d’origine juive, homosexuel et propriétaire de nombreuses demeures. Rien de tout cela n’était vrai. D’origine brésilienne et ayant des démêlés avec la justice de son pays, il était séparé de sa femme, habitait chez sa sœur et confiait finalement être plutôt catholique… Il a été inculpé en mai, pas tant pour ses mensonges, qu’il a qualifiés « d’erreurs », mais pour fraudes financières, blanchiment d’argent et détournement de fonds publics. De tels faussaires, menteurs, mythomanes ou plagiaires, l’histoire en regorge. Ils ne sont pas tous démasqués, mais leur capacité à nuire et à causer du tort est souvent limitée.
En revanche, grâce aux progrès des technologies numériques, et notamment de l’intelligence artificielle (IA), les fraudes et les contrefaçons prennent une ampleur inédite et bien plus inquiétante, dans des domaines où leurs conséquences peuvent être graves. Une ampleur inédite, car les technologies les mettent à la portée de tous, à moindre coût, et sans devoir maîtriser l’informatique ou le codage. Avec des solutions logicielles en kit, achetées « sur étagère » sur le dark Web, les malfrats peuvent lancer rapidement une arnaque à grande échelle et disparaître en un instant en effaçant leurs traces.
Ces fraudes sont aussi plus inquiétantes car très difficiles, voire pour certaines impossibles, à détecter. Et les malfaiteurs ont vite appris à maîtriser et à exploiter ces moyens numériques sophistiqués, qui les aident à conforter leur avance sur les forces de l’ordre, fussent-elles du cyberespace.
Les fraudes visent généralement deux objectifs : la manipulation (propagande, espionnage…) ou le vol. La récente campagne « Doppelgänger » illustre bien le premier objectif. Menée par la Russie, cette opération de propagande et d’ingérence a produit de faux sites et des liens qui usurpaient l’identité visuelle de sites gouvernementaux et de plusieurs journaux européens et français, dont Le Monde. Ces liens conduisaient à des articles qui promouvaient la Russie et dénigraient l’Ukraine ainsi que les pays qui la soutiennent, en imitant parfaitement le style et l’aspect graphique des sites contrefaits.
**Une plus grande crédibilité**
Grâce à l’IA générative de type ChatGPT, les « fermes à trolls », ces organisations qui diffusent massivement de fausses informations sur les réseaux sociaux, sont capables de produire des contenus policés, bien présentés et dans un français très correct. Fini les fautes d’orthographe et les erreurs de syntaxe qui permettaient aux plus attentifs de détecter les faux sites. « Dans ce domaine de la déstabilisation géopolitique, les desseins sont plus larges qu’avant. Il ne s’agit plus de petites campagnes, mais d’opérations d’envergure visant à manipuler l’opinion, comme “Doppelgänger”, ou à recueillir des informations stratégiques, comme la campagne de cyberespionnage menée contre le secteur européen de la défense par le groupe de pirates Lazarus sur le réseau professionnel LinkedIn », remarque Benoît Grunemwald, expert cybersécurité chez ESET France.
Du côté des fraudes financières, la créativité qu’apporte le numérique n’est pas en reste. Au printemps, des SMS de l’Agence nationale de traitement automatisé des infractions (Antai) signifiaient au destinataire un retard de paiement. Un lien renvoyait sur un site ressemblant à celui de l’Antai où il fallait rentrer ses coordonnées, y compris bancaires, pour s’acquitter de cette amende de stationnement probablement oubliée… Il s’agissait en fait d’un hameçonnage traditionnel destiné à recueillir des données bancaires personnelles, qui ont ensuite été revendues sur le dark Web.
[Graphes 1 et 2](https://img.lemde.fr/2023/07/07/bcc160b_1688740254043-webeco-2327-arnaques-700a.png)
Dans de tels cas, des signes doivent alerter, comme le fait qu’une amende soit signifiée sur téléphone portable, que l’adresse du site comporte un caractère étrange ou une lettre de trop, etc. Là encore, le numérique a facilité une amélioration de la présentation et donc une plus grande crédibilité du faux site. Fin 2022, des pirates ont ainsi généré plus de 6 000 faux sites de marques connues, qui proposaient des articles à des prix largement cassés. L’adresse du faux site différait très légèrement de celle du vrai par un tiret au lieu d’un point entre le nom de la marque et celui du pays.
**« Se faire passer pour quelqu’un d’autre »**
Dans le domaine bancaire, « le numérique est une aubaine pour les fraudeurs, qui se réinventent tout le temps, constate Tanguy Le Nouvel, directeur de l’activité data science de la société française de services Micropole. Aujourd’hui, on peut tout faire en ligne, acheter, emprunter, se faire rembourser, ouvrir un compte en banque. Par exemple, en demandant un dossier complet avec fiches de paye, RIB, identité, à un candidat à un prêt ou à une location d’appartement, un fraudeur dispose de tous les éléments pour se faire passer pour quelqu’un d’autre, emprunter et transférer de l’argent ».
L’innovation dans ce domaine est la fraude au coursier. La banque appelle son client, un problème a été détecté sur sa carte bancaire. Pas de souci, un coursier rapidement dépêché pour vérifier le fonctionnement de la carte arrive avec un lecteur et vérifie que la carte et le code sont bien reconnus. Tout va bien. Le client est rassuré, le coursier repart avec toutes les données du client enregistrées dans le lecteur.
Les vacances donnent également lieu à de nouvelles arnaques. Une annonce de location dénichée sur un site réputé, mais qui n’est malheureusement plus disponible, renvoie vers un autre site, sur lequel, coup de chance, la maison est encore disponible pendant cette semaine d’août tant convoitée… Il y a même une vidéo. L’affaire est conclue. Le propriétaire envoie un RIB, le futur vacancier envoie des arrhes, rendez-vous est pris pour les clés. Lorsque la famille arrive, il n’y a pas de maison, ou elle est occupée par ses propriétaires qui ne l’ont jamais proposée à la location. Evidemment, personne ne répond au téléphone.
**« Multiples faux visages générés par IA »**
Dans le contexte de guerre des talents, de licenciements massifs chez les géants de la tech et de travail à distance généralisé, le recrutement est lui aussi devenu un terrain de jeu pour les cybercriminels. Une perspective de salaire alléchante, un profil particulièrement attractif rendent les candidats comme les entreprises moins vigilants. En témoigne l’expérience de la société Remote, qui embauche, gère et rémunère des employés partout dans le monde pour le compte d’entreprises qui se développent à l’international.
« Nous avons détecté que le collaborateur qu’un de nos clients souhaitait embaucher, en fait, n’existait pas. La photo de son passeport était une image générée par IA. Une enquête plus poussée a révélé que son profil sur les réseaux professionnels avait été modifié avec de multiples faux visages générés par IA », raconte Sam Ross, directeur juridique de Remote, à Londres. Selon lui, le but de cet avatar était « d’accepter plusieurs emplois afin de toucher une prime d’embauche ou un premier chèque de salaire avant de disparaître ».
[Infographie 1](https://img.lemde.fr/2023/07/07/7b31c7a_1688743815872-webeco-2327-arnaques-700b.png)
Les entreprises publient leurs recrutements sur les réseaux professionnels, et les employés y annoncent qu’ils viennent de changer de poste. Il suffit alors au criminel d’usurper l’adresse e-mail du nouvel embauché – pas si difficile à trouver – pour prétendre être la personne recrutée et envoyer aux ressources humaines ses nouvelles coordonnées bancaires. Il faudra un ou deux mois pour que le salarié s’inquiète de ne pas recevoir son salaire. A l’inverse, une personne prétendument de l’entreprise demande au futur salarié ses coordonnées bancaires pour compléter son dossier, ou des informations sur d’autres collaborateurs, données qui seront immédiatement revendues sur le dark Web.
« Les criminels jouent sur l’intimidation du nouveau recruté. Cela m’est arrivé une semaine après mon embauche chez Acronis. Quelqu’un prétendant être un dirigeant de la société m’a demandé des informations », raconte Ashley Taylor, aujourd’hui responsable du recrutement pour ce spécialiste de la cybersécurité. « Les gens peuvent frauder sur un ou plusieurs points, mais pas sur tout. Il y aura toujours des points sur lesquels l’IA ne réussira pas. Quand nous recrutons, il faut qu’à un moment ou à un autre de l’entretien la caméra fonctionne, par exemple. Il ne faut pas se contenter d’un diplôme ou d’un numéro de téléphone », ajoute Dan Meyers, directeur des ressources humaines chez Acronis, dans le Massachusetts, aux Etats-Unis.
Perso, les voix clonées me font le plus “peur” vu le niveau de confiance qu’on accorde à la parole de nos pairs. On revient aux légendes du moyen age où les esprits prennent la voix de nos proches pour nous attirer dehors en pleine nuit.