Démystifier la fraude par deepfake : comment le prix de la technologie détermine les cibles

« L'arnaque va devenir l'industrie de croissance de tous les temps », a déclaré rien de moins que l'investisseur Warren Buffet lors de son assemblée annuelle des actionnaires, après avoir vu une vidéo deepfake de lui-même. Le célèbre milliardaire a ajouté que le génie est sorti de la lampe et que notre monde en sera changé à jamais.

Avec la multiplication des fraudes par deepfake, l'inquiétude grandit chez les particuliers comme chez les entreprises, et de nombreux décideurs de la prévention de la fraude estiment que l'IA contribue désormais fortement à l'usurpation d'identité.

En tant qu'opérateur du risque, il est désormais essentiel de comprendre comment et pourquoi un cybercriminel entreprenant peut décider de commettre une fraude à l'aide de la technologie deepfake. Cet article présente les différents types de fraude par deepfake et l'économie qui les sous-tend.

Points clés

• La fraude par deepfake progresse, les cybercriminels s'appuyant sur la génération de texte, de voix et d'images par l'IA pour mener des attaques à plus grande échelle, à moindre coût et plus efficacement.
• L'économie de la fraude façonne les schémas d'attaque, les criminels choisissant les techniques qui maximisent le retour sur investissement en arbitrant entre coût, capacité de passage à l'échelle et gain potentiel.
• Les plateformes avancées de prévention de la fraude comme Taktile aident les prêteurs à riposter, en permettant d'expérimenter, de s'adapter et d'automatiser rapidement pour détecter et bloquer en temps réel la fraude pilotée par l'IA.

L'économie de la fraude par deepfake

La plupart des fraudeurs sont des acteurs économiques rationnels. Chaque activité frauduleuse peut être vue comme une entreprise dont le gain doit compenser les coûts, le temps et l'énergie investis dans le montage du stratagème. C'est pourquoi certaines activités sont plus courantes que d'autres : elles sont moins chères à réaliser ou plus faciles à déployer à grande échelle, comme les prises de contrôle de compte à l'aide du credential stuffing.

Pour mieux comprendre et anticiper les acteurs malveillants armés d'IA, les banques et les fintechs doivent se familiariser avec :

1. les coûts associés à la réalisation d'une attaque ;
2. les surfaces d'attaque sur lesquelles une attaque donnée peut être déployée à grande échelle ;
3. la faisabilité du plan et le gain attendu.

Ci-dessous, nous examinons en détail les coûts opérationnels des différents types de fraude par deepfake, car ils influencent fortement les techniques qui se superposent pour mener des fraudes sophistiquées.

Les coûts opérationnels de la fraude par deepfake

Les coûts dépendent avant tout de la technique d'IA employée, qui relève de trois grandes catégories : les textes, les voix et les images.

1. Fraude par génération de texte

La fraude par génération de texte est l'usage le plus courant de l'IA, généralement déployée sous forme de chatbots ou de génération de texte en masse à des fins marketing ou commerciales.

La génération de texte est incroyablement bon marché. OpenAI facture ChatGPT 3.5 Turbo environ 1,5 $ pour 1 million de tokens en sortie, soit environ 750 000 mots. Pour entraîner le modèle de langage sur un corpus de taille similaire, un fraudeur n'a que 0,50 $ à débourser.

L'usage malveillant concerne le phishing et d'autres formes d'escroqueries par texte, où l'IA peut aider un cybercriminel à rédiger des messages convaincants et personnalisés, ou simplement à combler la barrière de la langue pour un criminel d'un pays pauvre qui vise des consommateurs de pays riches.

Dans un contexte professionnel, les fraudeurs recourent souvent à la génération de texte pour usurper l'identité d'un client existant, commettre une fraude à la facture ou des attaques de compromission de messagerie professionnelle (Business Email Compromise, BEC).

Aujourd'hui, des outils d'IA spécialisés sont vendus sur le dark web pour commettre ces trois types de fraude.

Un modèle GPT entraîné pour la fraude est proposé à 200 $ par mois. Il aide les cybercriminels non seulement avec les e-mails de phishing mais, étant entraîné sur du code malveillant, il fait office de véritable pirate informatique virtuel à louer.

Des groupes criminels ont aussi lancé une panoplie d'outils qui facilitent la fraude contre les entreprises par BEC. Le « business invoice swapper » suppose que l'attaquant ait accès à des e-mails compromis, que l'IA analyse pour repérer des occasions de remplacer des factures, pour un tarif élevé de 2 000 $ par semaine. Ils proposent aussi des kits de phishing pour des attaques ciblées contre les clients d'une entreprise, disponibles pour la modique somme de 999 $.

Si la génération de texte est assez bon marché pour que tout fraudeur sachant contourner les garde-fous s'en serve pour « monter en compétence », les outils spécialisés représentent des investissements considérables pour des organisations criminelles professionnelles.

Leurs cibles doivent donc être de taille : des entreprises complexes où la fraude à la facture peut passer inaperçue, ou, pour les campagnes de phishing, une liste de clients assez grande pour justifier l'investissement.

2. Fraude par génération de voix

La fraude par génération de voix consiste, pour un fraudeur, à utiliser l'IA pour copier la voix de quelqu'un.

Plus la qualité et le volume des échantillons servant à entraîner le système sont élevés, plus le résultat est crédible. Les prix vont ainsi de 20 $ par mois pour un abonnement à plusieurs centaines, voire milliers de dollars pour un clone parfait, comme la voix Sky d'OpenAI.

Dans le contexte des prestataires de services financiers, les fraudeurs utilisent cette technologie pour faciliter les prises de contrôle de compte, obtenir davantage d'informations sur leurs cibles ou cloner la voix du service client en vue d'autres attaques.

La génération de voix semble être le terrain idéal pour les arnaques. Elle est relativement peu coûteuse, et les entreprises ont peu de moyens de vérifier réellement l'identité de leur interlocuteur lors d'un appel téléphonique. Ce type de fraude connaît ainsi une adoption massive, tant dans les arnaques visant les consommateurs que contre les collaborateurs d'entreprises, car il est en général assez facile à déployer à grande échelle.

3. Fraude par génération d'images

La fraude par génération d'images est ce que le grand public appelle le deepfake à proprement parler : utiliser l'IA pour générer l'apparence d'une personne, sous forme d'image fixe ou, plus souvent, de vidéo.

Comme pour le clonage de voix, si les clones d'images simples ne coûtent presque rien, les faux de haute qualité coûtent de 200 $ à 20 000 $ la minute.

Nous avons ainsi observé une prolifération rapide d'arnaques utilisant des deepfakes, où des personnalités publiques apparaissent dans des publicités frauduleuses pour inciter les victimes à livrer leurs données personnelles ou à virer de l'argent à des criminels.

Naturellement, le processus d'onboarding dans les services financiers devient particulièrement vulnérable aux fraudeurs qui utilisent la génération d'images. Les deepfakes ont rendu les identités synthétiques nettement plus difficiles à détecter.

Dans les contrôles KYC lors de l'onboarding, les deepfakes prennent généralement deux formes : la présentation et l'injection.

La présentation est relativement rudimentaire : elle consiste à montrer au système, pour le tromper, une photo imprimée ou un second écran affichant le deepfake, tandis que l'injection consiste à manipuler le flux logiciel lui-même.

La rapidité d'adoption de ces attaques doit être mise en balance avec les méthodes classiques, éprouvées, comme le vol de documents ou leur falsification pour le même résultat. Une pièce d'identité américaine avec un selfie, par exemple, ne coûte que 110 $, ce qui la rend compétitive face aux solutions plus technologiques du marché. À l'inverse, des investissements extraordinaires comme des vidéos deepfake de plusieurs minutes exigent un gain extraordinaire.

Se prémunir contre la fraude pilotée par l'IA

Il est évident que l'IA devient un élément à part entière de l'arsenal des cybercriminels, principalement sous l'effet d'incitations économiques. En somme, les fraudeurs choisiront toujours les outils offrant un maximum d'efficacité pour un coût minimal.

Cependant, les entreprises sont aujourd'hui mieux armées que jamais pour lutter contre la fraude pilotée par l'IA. Cela tient non seulement à leurs budgets consacrés aux technologies avancées, mais aussi aux procédures élaborées au fil de décennies de lutte contre la cybercriminalité.

Garder une longueur d'avance sur la fraude pilotée par l'IA exige des processus robustes pour déterminer, identifier, contrôler et intégrer de nouveaux clients ou entreprises. Comme il n'existe pas de solution universelle pour y parvenir, les acteurs proactifs de la lutte contre la fraude se tournent de plus en plus vers des plateformes avancées de gestion de la fraude et du risque. Ces plateformes, comme la plateforme de décision de risque de nouvelle génération de Taktile, permettent d'expérimenter rapidement et d'adapter les politiques automatisées de détection et de prévention de la fraude, ce qui aide en fin de compte les équipes à identifier les fraudeurs mieux et plus vite.

Questions fréquentes (FAQ)