Les procureurs fédéraux de New York ont ​​inculpé trois personnes pour avoir dirigé un stratagème frauduleux utilisant l'intelligence artificielle pour se faire passer pour des dirigeants d'entreprise et des avocats externes, extrayant environ 129 millions de dollars d'entreprises dans plusieurs pays, selon un acte d'accusation déposé devant le tribunal de district américain de New York et annoncé jeudi.

Jacob Soall, 41 ans, Sharon Hazan, 54 ans, et Guy Sheetrit, 42 ans, sont accusés de fraude électronique, d'usurpation d'identité aggravée et de blanchiment d'argent dans le cadre de ce que les procureurs décrivent comme une campagne qui a duré plus de 18 mois et a ciblé des milliers d'entreprises dans le monde. Les trois accusés, qui ont des liens avec l'Espagne, le Royaume-Uni, Israël et les Émirats arabes unis, ont été arrêtés entre juin et septembre, selon des documents judiciaires. Les procureurs ont déclaré que Hazan avait déjà été reconnu coupable par un tribunal de New York en 2008 de complot en vue de commettre une fraude bancaire.

Pour les entreprises qui suivent l’industrialisation rapide de la criminalité basée sur l’IA, ce cas est l’un des exemples les plus clairs à ce jour d’outils génératifs intégrés dans un manuel traditionnel de piratage de comptes d’entreprise – et de l’ampleur qu’une équipe bien organisée peut atteindre une fois que la voix du dirigeant et la ligne téléphonique du cabinet d’avocats peuvent être truquées. Vous pouvez suivre notre couverture d'actualités sur l'IA en cours à mesure que de plus en plus de ces affaires sont portées devant les tribunaux.

Comment le programme a fonctionné

Selon l’acte d’accusation, les prévenus ciblaient principalement les services comptables des entreprises. Le processus a commencé avec des courriels qui semblaient provenir du directeur général d'une entreprise, demandant de l'aide pour une transaction financière confidentielle.

Lorsque les employés répondaient, les suspects organisaient des appels téléphoniques ou vidéo au cours desquels ils utilisaient la technologie de l'IA pour imiter la voix des dirigeants et, dans certains cas, selon les procureurs, leur apparence. Les employés qui souhaitaient un deuxième avis avaient ensuite pour instruction de contacter des avocats de grands cabinets d'avocats – des avocats que les accusés étaient également prêts à usurper l'identité, selon l'acte d'accusation.

Soall se faisait principalement passer pour des avocats britanniques et aurait utilisé un script manuscrit intitulé "Lawyer Call" pour se faire passer pour un véritable professionnel du droit tout en communiquant avec les victimes.

Les avocats usurpés ont ensuite demandé aux employés de transférer d'importantes sommes d'argent sur des comptes bancaires dans différents pays, indique l'acte d'accusation. À partir de là, les fonds ont été convertis en cryptomonnaie pour dissimuler leur origine avant d’être distribués entre les accusés et autres participants présumés, selon des documents judiciaires.

Les victimes présumées

L’acte d’accusation décrit un ensemble de victimes présumées diversifiées sur le plan géographique et industriel. Parmi les organisations citées dans les documents judiciaires figurent des réseaux d'hôpitaux du Missouri et de Californie, une banque basée au Rhode Island, une société de technologie financière au Royaume-Uni, une société de fonds communs de placement du Massachusetts et une entreprise d'aliments pour animaux basée en Floride.

L’ampleur présumée – environ 129 millions de dollars provenant d’entreprises approchées sur 18 mois – place l’affaire parmi les plus grandes fraudes par usurpation d’identité d’entreprise accusées par les procureurs américains, et inhabituelle dans le rôle central que les procureurs affirment que les outils d’IA ont joué pour faire échouer les étapes de vérification qui auraient mis fin à la fraude conventionnelle par courrier électronique.

Des documents judiciaires indiquent également que les accusés ont utilisé des surnoms tels que « Rocky Balboa », « Superman Cash » et « Fat Boy » lors de la coordination du stratagème.

Réponse du FBI et sanctions potentielles

James C. Barnacle Jr., directeur adjoint en charge du FBI, a déclaré que cette affaire démontrait comment une technologie avancée pouvait être exploitée pour commettre une fraude financière à grande échelle. Il a déclaré que le FBI restait déterminé à adapter ses capacités d'enquête pour identifier et déjouer les criminels utilisant les technologies émergentes pour cibler les individus et les entreprises.

S'ils sont reconnus coupables, les accusés risquent une peine maximale de 20 ans pour chacun des chefs d'accusation, à l'exception du vol d'identité aggravé, qui est passible d'une peine de prison obligatoire de deux ans, selon le bureau du procureur américain. Les décomptes de blanchiment d’argent ajoutent à l’exposition, car chaque étape de transfert et de conversion peut être facturée séparément.

Les avocats de Soall et Sheetrit n'ont pas immédiatement répondu aux demandes de commentaires, et il n'était pas immédiatement clair si Hazan bénéficiait d'une représentation juridique.

Pourquoi l'usurpation d'identité à deux couches est importante

Les équipes de sécurité préviennent depuis des années que le clonage vocal de l'IA avait fait exploser le coût de la « fraude au PDG », la catégorie d'escroquerie dans laquelle les criminels se font passer pour des cadres et font pression sur le personnel financier pour qu'il effectue des virements télégraphiques urgents. Ce qui distingue cet acte d'accusation, c'est la prétendue deuxième couche : lorsque les employés ont tenté de vérifier la demande par un canal indépendant – en appelant le cabinet d'avocats – ils ont abouti à la même opération criminelle en jouant un autre rôle.

Cela va à l'encontre des conseils de vérification sur lesquels s'appuient encore la plupart des formations en entreprise, car le rappel est dirigé vers un numéro ou un représentant contrôlé par les fraudeurs plutôt que vers la véritable entreprise. Le récit des procureurs concernant le scénario de « Lawyer Call » suggère que l’usurpation d’identité de professionnels du droit a été répétée et non improvisée.

Cette affaire illustre également les mécanismes de blanchiment qui rendent viable l’usurpation d’identité à grande échelle : les fonds sont transférés via des comptes dans plusieurs pays, puis vers des cryptomonnaies, compliquant ainsi les efforts de récupération. La possibilité de récupérer une partie des 129 millions de dollars dépendra de l'évolution des actions en confiscation parallèlement à l'affaire pénale.

Aucune date de procès n'a été signalée. À mesure que les outils vocaux et vidéo de l’IA continuent de s’améliorer, cette affaire sera probablement citée dans le débat croissant sur la manière dont les entreprises devraient vérifier les instructions de paiement de grande valeur – de nombreux chercheurs en sécurité affirmant que la voix et même la vidéo en direct ne peuvent plus être traitées comme une preuve d’identité et que la vérification hors bande à partir de coordonnées de source indépendante est la seule défense durable.

---

Gardez une longueur d'avance sur l'IA

Recevez les dernières actualités, analyses et avancées en matière d'IA, le tout en un seul endroit.

Lire plus d'actualités sur l'IA →