6 heures pour vider un compte : l'IA au service des fraudeurs

En six heures, une banque suisse a perdu 35 millions d'euros. L'auteur n'avait jamais rencontré sa victime.

Ce n'est pas un scénario de film. En 2024, une institution financière genevoise a été infiltrée par un réseau de fraude orchestré presque entièrement par des outils d'intelligence artificielle. Du premier contact au virement final, six heures se sont écoulées. Aucun escroc n'a posé le pied dans la banque. Bienvenue dans l'ère de la fraude industrialisée par l'IA.

Quand l'IA devient une chaîne de montage criminelle

Pendant des décennies, la fraude bancaire exigeait du temps, des compétences humaines rares et une logistique complexe. Faux documents, réseaux de complices, contacts internes — chaque opération frauduleuse représentait un investissement lourd pour un résultat incertain.

L'IA a tout changé. Pas en rendant les escrocs plus intelligents, mais en les rendant exponentiellement plus rapides et plus scalables. Ce que dix personnes faisaient en une semaine, un seul opérateur équipé des bons outils peut le réaliser en quelques heures. La fraude est devenue une industrie, avec ses processus, ses outils spécialisés et ses économies d'échelle.

Anatomie d'une attaque en six heures

Heure 1-2 : La reconnaissance automatisée

Tout commence par la collecte de données. Les modèles de langage avancés, détournés de leur usage légitime, sont capables d'agréger en quelques minutes des informations dispersées sur des dizaines de sources : LinkedIn, registres d'entreprises, réseaux sociaux, fuites de données passées. En une heure, le profil complet d'un dirigeant bancaire — ses habitudes, son vocabulaire, ses collaborateurs directs — est reconstruit avec une précision chirurgicale.

Heure 2-3 : L'usurpation d'identité vocale et textuelle

C'est ici que la rupture technologique est la plus brutale. Les outils de voice cloning nécessitent aujourd'hui moins de trois secondes d'audio source pour reproduire une voix de façon convaincante. Un simple extrait de podcast, une interview YouTube, un message vocal récupéré — c'est suffisant. Dans le cas genevois, la voix du PDG a été clonée à partir d'une conférence publique disponible librement en ligne. Ses collaborateurs ont reçu des appels. Ils n'ont rien détecté.

Parallèlement, des modèles génèrent des emails, des mémos internes et des instructions de virement rédigés dans le style exact de la personne ciblée. Le ton, les formules habituelles, les fautes légères caractéristiques : tout est reproduit.

Heure 3-5 : L'exécution automatisée des transactions

Une fois la confiance établie, les fraudeurs activent la phase opérationnelle. Des scripts automatisés initient des demandes de virement en cascade, en exploitant les fenêtres de validité des autorisations. La vitesse est délibérée : elle ne laisse aucun temps aux protocoles de vérification humaine de s'enclencher.

Heure 5-6 : L'effacement des traces

Les fonds transitent par une série de comptes intermédiaires dans plusieurs juridictions, chaque étape étant calculée pour rester sous les seuils de détection automatique des systèmes anti-blanchiment. Des outils d'IA analysent en temps réel les règles de conformité pour les contourner point par point.

Les trois raisons pour lesquelles les banques sont en retard

• Des systèmes de détection conçus pour les fraudes d'hier. La plupart des moteurs anti-fraude reposent sur des règles statiques ou des modèles entraînés sur des comportements frauduleux anciens. L'IA adversariale apprend en temps réel à les contourner.
• Le facteur humain reste le maillon faible. Aucun système ne peut compenser un employé convaincu d'entendre la voix de son supérieur hiérarchique. La formation aux deepfakes audio est quasi inexistante dans la majorité des institutions.
• La vitesse d'exécution dépasse les capacités de réaction. En six heures, les circuits de validation interne n'ont tout simplement pas le temps de s'activer. La fraude est conçue pour exploiter précisément cette latence.

Ce que cela implique pour vous, maintenant

Si vous êtes un particulier, comprenez que votre banque n'est pas votre seul rempart. Les fraudeurs peuvent usurper l'identité de vos proches, de votre employeur ou de votre conseiller financier avec une fidélité déconcertante. Toute demande urgente de virement, même vocale, doit être reconfirmée par un canal indépendant.

Si vous travaillez dans le secteur financier, la question n'est plus de savoir si votre institution sera ciblée, mais quand. Les investissements en cybersécurité doivent intégrer des scénarios de fraude pilotée par l'IA, des exercices de simulation de deepfakes et des protocoles de double confirmation hors-bande pour toutes les transactions sensibles.

Les régulateurs européens, via la directive DORA entrée en vigueur en 2025, commencent à imposer des obligations de résilience numérique. Mais les textes législatifs avancent toujours moins vite que les outils qui les rendent nécessaires.

La fraude ne va pas ralentir. La défense doit s'adapter au même rythme.

L'IA n'a pas inventé la fraude bancaire. Elle l'a industrialisée, démocratisée et accélérée jusqu'à rendre les défenses traditionnelles structurellement insuffisantes. Six heures, 35 millions d'euros, zéro contact physique : ce chiffre doit être lu non pas comme un cas isolé, mais comme un standard opérationnel émergent pour les réseaux criminels les mieux équipés.

La vraie question n'est pas technologique. Elle est culturelle : sommes-nous prêts à accepter que la confiance humaine — une voix familière, un email au ton juste — ne suffit plus comme preuve d'authenticité ? Répondre oui à cette question, c'est déjà commencer à se défendre.

— Reservoir Live