Une attaque mêlant faux dirigeants, faux avocats et voix générées par IA a coûté cher à un groupe hospitalier californien. L’affaire dit beaucoup sur le risque métier.
En bref
- Un hôpital perd 2,7 millions d’euros
- Des voix et images IA ont servi d’appât
- Plus de 119 millions d’euros détournés au total
Quelques e-mails, un accord de confidentialité, puis un appel qui sonne juste. Et un groupe hospitalier de Californie a laissé filer environ 2,73 millions d’euros (2 968 497$) en décembre 2024. C’est le genre d’incident qui parle tout de suite aux DAF, aux RSSI et aux directions juridiques, parce qu’ici la faille n’est pas d’abord technique, elle touche la chaîne de validation elle-même.
Une chaîne de confiance qui casse en quelques messages
Le montage décrit par les procureurs fédéraux partait d’e-mails frauduleux, parfois envoyés via des services comme DocuSign. Les salariés recevaient une demande de signature d’accords de confidentialité liés à des opérations financières présentées comme sensibles.
Ensuite, les escrocs passaient à l’étape la plus dangereuse, l’usurpation crédible. Ils auraient utilisé des voix et des images générées par IA pour se faire passer à la fois pour un CEO et pour un avocat d’un grand cabinet international. L’acte d’accusation évoque même un script baptisé Lawyer Call, rédigé par Jacob Soall, pour jouer l’avocat britannique et pousser les victimes à ne pas parler de la transaction à leurs collègues. Clairement, tout est pensé pour isoler la cible.
Des montants massifs, dans la santé comme dans la finance
Le cas californien n’est pas un accident isolé. D’après l’acte d’accusation rendu public, des entreprises dans le monde entier auraient perdu plus de 119 millions d’euros (129 000 000$) entre 2024 et 2026.
On retrouve un autre système hospitalier, dans le Missouri, à environ 4,42 millions d’euros (4 800 000$) de pertes. Une banque de Rhode Island aurait été délestée d’environ 2,48 millions d’euros (2 700 000$), et une fintech britannique de près de 10,67 millions d’euros (11 600 000$). Résultat ? L’IA générative sort ici du terrain de la démo pour entrer dans celui de la fraude opérationnelle à grande échelle.
Arrestations en Europe, crypto en sortie de caisse
L’argent, une fois viré, aurait transité par des comptes répartis dans neuf pays, dont la Chine, l’Espagne et les Émirats arabes unis. Puis conversion en cryptomonnaies, pour brouiller l’origine des fonds et les redistribuer dans le réseau.
Trois suspects sont visés, Jacob Soall, 41 ans, Sharon Hazan, 54 ans, et Guy Sheetrit, 42 ans. Soall et Hazan ont été arrêtés en Espagne, respectivement en juin et en août. Sheetrit a été arrêté au Royaume-Uni en septembre. Tous font face à sept chefs d’accusation fédéraux, dont fraude électronique, usurpation d’identité aggravée et blanchiment.
Le procureur fédéral Jamie McDonald dit en substance que cette technologie a un potentiel immense, mais qu’elle attire aussi des usages criminels très offensifs. Hazan, lui, est accusé d’avoir aidé au blanchiment et d’avoir affirmé avoir blanchi plus de 368 millions d’euros (400 000 000$) en trois ans. Pas de quoi rassurer les entreprises qui pensaient encore que la fraude au faux dirigeant était un vieux scénario.
