Le groupe italien de banque privée et de gestion de patrimoine Fideuram — l'un des plus grands gestionnaires de patrimoine d'Italie — aurait été la cible d'une arnaque d'usurpation vocale propulsée par l'IA qui aurait conduit à la conversion d'au moins 36 millions d'euros en cryptomonnaies, selon des rapports circulant dans les milieux financiers et de la sécurité. Si elle est confirmée, cette affaire figurerait parmi les plus grands cas connus de fraude par usurpation vocale assistée par IA visant une institution bancaire européenne. À titre de comparaison, les précédents de fraude par deepfake largement rapportés — une affaire de 2019 au Royaume-Uni dans laquelle une voix clonée se faisant passer pour un dirigeant avait produit un transfert d'environ 220 000 euros, et une affaire signalée par la police de Hong Kong dans laquelle un employé avait transféré environ 25 millions de dollars américains après une visioconférence avec des collègues deepfaktés — portent sur des montants bien inférieurs au chiffre désormais allégué.

Points clés

• Les attaquants auraient utilisé une voix générée par IA pour se faire passer pour une personne de confiance lors du contact avec Fideuram.
• Au moins 36 millions d'euros auraient été impliqués dans le transfert frauduleux.
• Les fonds auraient été convertis en cryptomonnaies à la suite de l'instruction de paiement alléguée.

Ce qu'implique l'arnaque vocale par IA présumée visant Fideuram

L'usurpation d'identité et la demande de paiement alléguées

Selon les rapports, les attaquants auraient déployé une synthèse vocale générée par IA pour se faire passer pour une personne connue ou de confiance et émettre des instructions de paiement frauduleuses au personnel de Fideuram. Le montant impliqué serait d'au moins 36 millions d'euros. Cependant, les informations disponibles à ce jour ne permettent pas d'identifier l'identité qui aurait été usurpée, les membres du personnel ayant reçu l'instruction, ni le moment où l'incident se serait produit.

Le matériel disponible pour cet article ne permet pas d'identifier les auteurs précis, les portefeuilles ou plateformes destinataires impliqués, ni aucune conclusion officielle de Fideuram, des régulateurs financiers italiens ou des forces de l'ordre. Toutes les caractérisations de cet incident doivent être considérées comme non confirmées dans l'attente d'une divulgation officielle. Toute déclaration officielle de Fideuram, des régulateurs italiens ou des forces de l'ordre constituerait le canal naturel permettant de combler les informations manquantes — le moment de l'appel signalé, l'identité usurpée et la destination des fonds — et dans les affaires précédentes de fraude en cryptomonnaies, les perspectives de recouvrement ont tendu à dépendre de la rapidité avec laquelle les enquêteurs pouvaient tracer les actifs avant leur dispersion entre portefeuilles et plateformes.

Pourquoi la conversion en cryptomonnaies importe

La conversion présumée des fonds en cryptomonnaies est un élément qui pourrait compliquer tout recouvrement d'actifs potentiel. Une fois confirmés on-chain, les transferts en cryptomonnaies sont irréversibles sans la coopération des plateformes ou des dépositaires de portefilles, et les questions de juridiction transfrontalière ajoutent des frictions supplémentaires pour les enquêteurs. Comme l'ont montré à maintes reprises les grandes affaires de fraude en cryptomonnaies, la conversion rapide en actifs numériques est une méthode courante pour soustraire des fonds illicites aux mécanismes classiques de gel bancaire.

La technologie de clonage vocal a atteint un seuil de fidélité auquel de courts échantillons audio — parfois tirés d'enregistrements publics ou de vidéos d'entreprise — peuvent produire des imitations en temps réel convaincantes. L'utilisation présumée de cette capacité contre une grande institution de gestion de patrimoine suggère que les acteurs de la menace dirigent désormais des outils d'IA de niveau inférence vers des cibles financières de grande valeur, et pas seulement des campagnes de phishing destinées aux consommateurs. L'exposition est structurelle dans la banque privée, où les transferts importants ordonnés par les clients ont longtemps été autorisés par contact vocal direct avec des personnes familières — précisément la forme d'identification que les voix clonées sont conçues pour contourner. Les régulateurs et les associations bancaires européennes ont alerté à plusieurs reprises les institutions sur la fraude facilitée par les deepfakes ces dernières années.

Comment les organisations peuvent réduire le risque d'usurpation vocale par IA

Les mécanismes rapportés de l'incident — une voix synthétisée par IA émettant une instruction de paiement importante — correspondent directement à un ensemble de contrôles que les institutions financières et les équipes de trésorerie d'entreprise peuvent mettre en œuvre sans attendre de obligations réglementaires.

Vérifier les instructions de paiement inhabituelles via un canal indépendant et préétabli

Toute instruction de paiement reçue par appel vocal, quelle que soit la familiarité de la voix de l'appelant, devrait déclencher une vérification par rappel utilisant un numéro de téléphone figurant dans un annuaire officiel, et non un numéro fourni pendant l'appel lui-même. Cette étape de confirmation hors bande brise la chaîne d'attaque dont dépend la fraude vocale par IA.

Exiger une double approbation et une confirmation hors bande pour les paiements de grande valeur ou modifiés

Les transferts supérieurs à un seuil défini, ainsi que toute instruction modifiant des coordonnées de bénéficiaire existantes, devraient nécessiter la validation d'une seconde personne autorisée via un canal de communication distinct. Un simple appel vocal, aussi convaincant soit-il, ne devrait jamais suffire à autoriser une transaction de plusieurs dizaines de millions d'euros. Les politiques régissant la garde et le contrôle des actifs de grande valeur font l'objet d'une surveillance réglementaire croissante précisément parce que ces surfaces d'attaque s'élargissent.

Conserver les enregistrements et alerter rapidement les équipes de sécurité, les partenaires bancaires et les autorités

Si une instruction de paiement suspecte est identifiée, la séquence prioritaire consiste à conserver l'enregistrement audio et toute métadonnée de communication, à geler le transfert sortant s'il n'est pas encore réglé, à notifier l'équipe de sécurité de l'institution et les banques correspondantes, et à signaler l'affaire à la cellule nationale de renseignement financier compétente. Dans les cas où les fonds ont déjà été convertis en cryptomonnaies, les plateformes soumises aux obligations de lutte contre le blanchiment d'argent peuvent être en mesure de signaler ou de geler les comptes associés si elles sont contactées rapidement avec des documents corroborants.

Ces étapes sont présentées comme des recommandations générales de réduction des risques et ne constituent pas des affirmations sur les contrôles en place chez Fideuram ou sur ce qui s'est précisément produit dans l'incident rapporté. La tendance plus large de la fraude assistée par IA ciblant les institutions financières est bien documentée ; le fait que ce cas précis s'inscrive dans ce schéma reste à confirmer par les canaux officiels.

Avertissement : cet article est fourni à titre informatif uniquement et ne constitue pas un conseil financier ou en investissement. Les marchés des cryptomonnaies et des actifs numériques comportent des risques importants.