Vos contrôles font encore confiance à une voix

La plupart des processus d'approbation des paiements ont été conçus autour d'une hypothèse simple. Une voix familière au téléphone, ou un visage reconnu lors d'une visioconférence, était considérée comme la preuve que la demande était réelle. Pendant des décennies, cette hypothèse a tenu, parce que falsifier l'une ou l'autre était difficile, lent et coûteux.

Ce n'est plus vrai. Un clone vocal convaincant peut être construit à partir de quelques secondes d'audio que vos dirigeants ont déjà publiées lors de conférences de résultats, d'interventions ou d'entretiens. Les deepfakes vidéo en temps réel passent désormais par les outils de réunion ordinaires. Le contrôle qui protégeait votre trésorerie n'a jamais été la technologie. C'était la difficulté de l'usurpation, et cette difficulté a disparu.

L'attaque vise le processus, pas le logiciel

L'usurpation de dirigeants représente aujourd'hui environ un quart des pertes liées à la fraude deepfake, et la méthode est constante. Quelqu'un au service financier reçoit une demande urgente qui semble provenir d'un cadre dirigeant, parfois pendant un appel en direct où chaque visage à l'écran est synthétique. La pression vient de l'autorité et du temps, pas d'un pare-feu défaillant.

C'est pourquoi les outils de détection ne suffisent pas à eux seuls. La faiblesse, c'est le flux de travail qui permet à une seule personne de déplacer de l'argent sur la foi d'une voix reconnue. Dans un cas, un employé du service financier a débloqué 25 millions de dollars répartis sur 15 virements distincts après une seule visioconférence truquée. Aucun logiciel malveillant n'était impliqué. Le processus a fait exactement ce pour quoi il avait été conçu.

Reconstruire l'autorisation autour de la vérification

La solution est organisationnelle, et elle n'a rien de spectaculaire. L'autorité de paiement ne devrait jamais reposer sur une voix ou un visage. Tout virement dépassant un seuil défini exige une confirmation par un canal distinct, un second approbateur qui n'était pas présent lors de l'appel d'origine, et un numéro de rappel connu que le demandeur ne fournit jamais.

Rien de tout cela ne nécessite un nouveau logiciel, et c'est précisément le point. Cela exige une règle écrite qui tient sous la pression, y compris lorsque la personne au téléphone a exactement la voix de votre directeur général. Les entreprises qui resteront protégées seront celles qui auront décidé, à l'avance, que l'urgence n'est pas une raison de sauter une étape.

À lire ensuite: Le Shadow AI sera votre prochaine fuite  ·  Le contenu de votre IA peut vous valoir un procès