Autopsie de l’arnaque à 25,6 millions de dollars subie par la société Arup : des visages familiers, mais aucune vérification d’identité

Début 2024, un appel vidéo constitutif d’une fraude par deepfake a fait perdre 25,6 millions de dollars à Arup, cabinet international d’ingénierie et de conseil en conception. Un collaborateur du service financier du bureau de Hong Kong a ainsi autorisé 15 virements, pour un montant total de 200 millions de dollars hongkongais (environ 25,6 millions de dollars américains) à l’issue d’une visioconférence avec ce qui semblait être le directeur financier (CFO) et plusieurs cadres supérieurs du cabinet à Londres. Tous étaient en réalité des deepfakes générés par l’IA. Deux ans et demi plus tard, l’affaire n’est toujours pas résolue : aucun suspect n’a été publiquement identifié et les fonds n’ont pas été récupérés. Cette coûteuse leçon en matière de fraude par deepfake et de vérification d’identité soulève une question plus fondamentale : dès lors que le visage ou la voix d’une personne que l’on connaît peuvent être falsifiés, comment prouver réellement son identité ?

Malgré des dispositifs de contrôle fonctionnant parfaitement, la société a tout de même perdu 25,6 millions de dollars.

À la mi-janvier 2024, un appel vidéo commence n’importe quelle autre réunion professionnelle. Des visages apparaissent à l’écran : le directeur financier, accompagné de plusieurs collègues du bureau de Londres dont les visages sont familiers. Une transaction urgente et confidentielle doit être finalisée, et le collaborateur basé à Hong Kong est prié d’aider à la concrétiser. Rien dans cet appel ne semble manifestement suspect, et c’est précisément ce qui rend cette affaire intéressante.

Dans ce cas précis, pas de cyberattaque classique avec compromission du pare-feu, vols de mots de passe ou logiciels malveillants. Selon les informations rendues publiques, les systèmes informatiques centraux d’Arup n’ont pas été compromis. Les fraudeurs ont préféré jouer sur un élément antérieur à l’IA : la confiance. L’IA leur a simplement permis de tromper leur victime avec beaucoup plus de conviction.

Comment la fraude par deepfake a contourné la vérification d’identité

Étape 1 : les escrocs se renseignent

Plusieurs semaines avant l’appel par deepfake, les fraudeurs ont analysé la structure organisationnelle d’Arup et identifié les principaux responsables des décisions financières. Via des plateformes comme YouTube et des conférences professionnelles, ils ont recueilli des enregistrements audio et vidéo issus d’interviews et de présentations institutionnelles, interventions couramment effectuées par des cadres dirigeants. Parmi ces contenus figuraient notamment des interventions du directeur financier d’Arup au Royaume-Uni et d’autres dirigeants, qui ont ensuite servi à entraîner des modèles d’IA générative.

Pour ce faire, inutile de pénétrer dans les systèmes d’Arup. Il suffisait aux fraudeurs d’avoir assez de contenus pour reproduire le visage et la voix du directeur financier, transformant ainsi une intervention en public en vecteur d’attaque, sans accès technique aux systèmes de l’entreprise.

Étape 2 : l’e-mail et l’ingénierie sociale

Un message est arrivé, visiblement adressé par le directeur financier, dans lequel il était demandé de procéder à une transaction confidentielle, le tout insistant subtilement pour que l’opération reste limitée à un petit cercle de personnes. Détail important : le collaborateur s’est d’abord montré méfiant, ce qui confirme que ses réflexes de sécurité sont entrés en jeu, au moins au début. Au lieu de s’arrêter là, les attaquants ont cependant ajouté un niveau supplémentaire de crédibilité, en invitant le collaborateur à participer à une visioconférence.

Étape 3 : l’appel par deepfake

C’est à cette étape que le stratagème est devenu assez convaincant pour lever les dernières réserves du collaborateur. Celui-ci a alors rejoint l’appel et constaté la présence de ce qui semblait être le directeur financier et plusieurs autres cadres dirigeants, soit des visages familiers qui parlaient de la transaction et des processus internes du cabinet. Depuis des années, la vidéo est considérée comme l’un des meilleurs moyens de vérifier qu’une personne est bien celle qu’elle prétend être. Après tout, si vous pouvez voir et entendre une personne en temps réel, de quelle preuve supplémentaire avez-vous besoin ?

Étape 4 : le virement

Le collaborateur a ensuite autorisé 15 virements pour un montant total de 200 millions de dollars hongkongais, soit environ 25,6 millions de dollars américains, vers cinq comptes bancaires à Hong Kong. Les opérations ont franchi les contrôles financiers existants, dont le but est de vérifier le montant, le compte bénéficiaire et le processus d’autorisation, mais pas de répondre à la question plus essentielle au cœur de cette fraude : le donneur d’ordre était-il bien celui qu’il prétendait être ?

Étape 5 : la découverte

Toujours mal à l’aise, le collaborateur a fini par contacter directement le siège pour confirmer ce qui s’était passé. Deux versions radicalement différentes des événements de la semaine sont alors apparues. Les participants à l’appel vidéo n’étaient pas ceux qu’ils semblaient être. Or, à ce stade, l’argent avait déjà disparu.

Reconnaître quelqu’un ne vaut pas vérification d’identité

La véritable faiblesse ne vient pas d’un produit défectueux, mais la chaîne de confiance, à savoir cinq étapes successives, chacune s’appuyant sur la précédente : des informations publiques, puis un e-mail, un appel vidéo, la confiance d’un collaborateur, une validation, et enfin un virement bancaire. Chaque étape rendait la suivante plus légitime. L’e-mail semblait provenir du directeur financier. La vidéo semblait montrer le directeur financier. La conversation paraissait légitime : le collaborateur a donc estimé que la transaction l’était également, et la banque a reçu ce qui semblait être une instruction dûment autorisée.

Un appel vidéo est un moyen de communication utile, mais ne doit jamais, à lui seul, permettre d’autoriser une transaction financière d’un montant élevé. Une voix familière peut expliquer pourquoi une demande semble urgente, mais elle ne doit pas être considérée comme une preuve de son authenticité. Un visage affiché à l’écran peut être parfaitement conforme à la réalité tout en ne permettant pas de prouver que la personne qui se trouve derrière est bien celle qu’elle prétend être.

Pour toute opération à haut risque, les organisations doivent adopter une approche Zero Trust, c’est-à-dire ne jamais faire confiance par défaut, toujours vérifier et s’appuyer sur des éléments de preuve indépendants, au-delà d’un simple appel ou e-mail.

Ce problème n’est pas propre à la société Arup

L’affaire Arup n’était pas le premier signal d’alerte.

En 2022, des fraudeurs ont utilisé plusieurs années d’interviews et d’apparitions télévisées publiquement accessibles pour créer un deepfake de Patrick Hillmann, dirigeant de Binance. Le faux s’est révélé assez convaincant pour tromper des membres de la communauté crypto lors de réunions en ligne auxquelles l’intéressé n’avait jamais participé.

En 2025, le directeur financier d’une multinationale basée à Singapour était convaincu d’échanger avec des cadres dirigeants lors d’un appel vidéo et a autorisé un virement de 499 000 dollars américains. Dans cette affaire, les fonds ont heureusement pu être récupérés quelques jours plus tard grâce à l’intervention des banques et de la police.

Évoquant l’affaire Arup en 2025 lors d’un entretien dans le cadre du Forum économique mondial (WEF), Rob Greig, directeur des systèmes d’information du cabinet, a résumé l’ampleur de la menace en quelques mots : « Nous sommes attaqués tous les jours ». Il a ensuite créé un deepfake de lui-même en temps réel à l’aide de logiciels open source, en seulement 45 minutes. Même si le résultat n’était pas parfait, selon lui, cette expérience a démontré la vitesse à laquelle cette technologie est devenue accessible à quiconque, même doté de compétences techniques limitées.

Pour toute personne évoluant dans les secteurs des services financiers, des infrastructures critiques, de l’administration publique, des transports, de l’énergie ou partout où une identité de confiance peut donner accès à des fonds, des données, des systèmes ou des infrastructures physiques, il ne s’agit pas d’une menace future. Les risques liés à la fraude par deepfake et aux failles de vérification d’identité sont déjà une réalité. L’usurpation d’identité est désormais à l’origine de plus de 85 % des tentatives de fraude, et l’IA permet aux attaquants de les déployer à une échelle industrielle (Source : Veriff, 2026).

Ce que les organisations peuvent faire

Pour les opérations à haut risque, les organisations doivent intégrer dans les processus une vérification de l’identité par cryptographie, plutôt que de laisser le discernement humain décider seul.

1. Séparer la conversation de l’étape de validation

Un appel ou un e-mail peut servir à transmettre une demande, mais sa validation doit s’effectuer via un autre système contrôlé : un canal sert à échanger, un autre sert à valider.

2. Vérifier de manière indépendante

La vérification d’identité indépendante doit devenir systématique. Pour une transaction d’un montant élevé, la demande doit être vérifiée par un canal distinct : un numéro fiable déjà enregistré, une méthode préalablement convenue ou une deuxième personne chargée de la validation qui n’a pas participé à l’appel initial. L’objectif est d’en faire une procédure habituelle, afin qu’une demande de vérification ne soit jamais perçue comme une accusation.

3. Se préparer aux scénarios deepfake

Les formations classiques à la cybersécurité mettent encore l’accent sur les liens suspects et les adresses e-mail inconnues, des réflexes qui restent essentiels. Or, les collaborateurs peuvent aujourd’hui recevoir un e-mail convaincant, suivi d’un appel vidéo deepfake tout aussi convaincant, mettant en scène des personnes qu’ils connaissent. Ce scénario doit lui aussi faire partie des formations de sensibilisation à la sécurité.

4. Protéger les collaborateurs qui font preuve de prudence

Imaginez un collaborateur qui, face à une demande suspecte portant sur 20 millions de dollars, décide de suspendre l’opération, demande une vérification d’identité indépendante et retarde le paiement. Si l’organisation sanctionne cette démarche, elle enseigne aux collaborateurs à ne plus poser de questions. Si elle les soutient, la prudence devient un élément de la culture d’entreprise. L’organisation la plus sûre n’est pas celle où personne ne ralentit jamais les processus, mais où chacun sait reconnaître les situations dans lesquelles ralentir est la bonne décision.

5. Appliquer les principes Zero Trust

Ne jamais supposer qu’un visage, une voix ou une vidéo d’une personne que l’on connaît suffisent à prouver l’identité : il faut systématiquement vérifier.

Que peut faire IDEMIA Public Security pour votre organisation ?

Lors de l’appel au bureau de Hong Kong, tous les visages à l’écran étaient familiers, mais aucune des identités n’a été vérifiée. C’est précisément le fossé entre « Je connais ce visage » et « Je peux prouver que cette personne est réelle, présente et bien celle qu’elle prétend être » qui se trouve au cœur de cette fraude par deepfake, qui s’est soldée par 15 virements d’un montant total de 25,6 millions de dollars.

La plateforme Identity Proofing (IPP) d’IDEMIA Public Security est conçue pour apporter des éléments de preuve plus robustes à ce stade critique. En effet, elle associe vérification d’identité et détection du vivant afin de confirmer qu’il y a bien une vraie personne réelle derrière l’identité présentée, et non une photographie, une séquence enregistrée ou un flux manipulé. Forte de plus de 50 ans d’expertise dans la biométrie et l’identité numérique sécurisée, IDEMIA Public Security s’appuie sur des technologies évaluées de manière indépendante par le NIST, le département de la Sécurité intérieure des États-Unis et iBeta. En 2026, IDEMIA s’est classée première dans les évaluations FRTE 1 du NIST en matière de clichés anthropométriques et de contrôles des visas aux frontières.

Sources:
1. Arup lost $25mn in Hong Kong deepfake video conference scam
2. PRMIA Case study – ARUP.pdf
3. Cybercrime: Lessons learned from a $25m deepfake attack | World Economic Forum
4. Account Takeover Fraud Statistics [2026] | Veriff.com
5. Face Technology Evaluations – FRTE/FATE | NIST