Le maillon faible d'un family office pourrait bien être une voix convaincante

Une entreprise du canton de Schwyz aurait perdu plusieurs millions de francs après que des fraudeurs ont utilisé des appels audio et des messages vocaux « deepfake » dans le cadre d’une arnaque sophistiquée consistant à usurper l’identité d’un dirigeant. Cette affaire s'inscrit dans une catégorie d'attaques de plus en plus courante, dans laquelle les criminels ne se contentent plus d'e-mails mal rédigés ou d'histoires peu plausibles. Ils reproduisent la voix, le langage et l'autorité d'une personne en qui le destinataire a déjà confiance, puis inscrivent leur demande dans un contexte qui semble tout à fait crédible.

Pour un family office, cette menace dépasse le cadre de la cybersécurité classique. De nombreux family offices sont délibérément de petite taille, discrets et axés sur les relations humaines ; les décisions sont prises au sein d’un cercle restreint composé de membres de la famille, de dirigeants, de banquiers, de fiduciaires et d’assistants qui travaillent parfois ensemble depuis des années. Cette familiarité rend l’organisation efficace. Un dirigeant peut envoyer un message vocal pendant un déplacement, un assistant identifie la demande, le directeur financier en comprend le contexte et la banque sait que la rapidité peut être un facteur déterminant.

Cette même familiarité peut désormais être créée artificiellement.

Une voix synthétique convaincante peut reproduire le ton, l'accent et les tournures habituelles, tandis qu'un compte de messagerie piraté ou un document divulgué fournit les détails nécessaires pour rendre la consigne plausible. L'employé ne répond plus à un inconnu manifestement suspect. Il semble suivre les souhaits de la personne dont il respecte l'autorité depuis des années.

La solution appropriée ne réside donc pas dans une meilleure intuition. Il s'agit d'un système de paiement et de contrôle de l'information conçu pour rester fiable même lorsque la voix, le numéro et le contexte semblent tous authentiques.

La fraude n'a plus besoin de paraître frauduleuse

Les fraudes classiques par usurpation d’identité se trahissaient souvent par des incohérences : l’expéditeur utilisait une adresse inconnue, la formulation semblait peu naturelle ou la demande n’avait que peu de rapport avec l’activité actuelle de l’organisation. L’intelligence artificielle ne supprime pas tous les signaux d’alerte, mais elle permet aux attaquants de reproduire bon nombre des caractéristiques sur lesquelles les employés s’appuyaient autrefois pour reconnaître l’authenticité d’un message.

Les interviews publiques, les interventions lors de conférences, les podcasts et les vidéos diffusées sur les réseaux sociaux peuvent fournir des échantillons de voix. Les documents d'entreprise, les informations immobilières et les profils professionnels permettent d'établir des liens. Un compte de messagerie piraté peut révéler des transactions en cours, des calendriers de déplacement, des conseillers, un style d'écriture et la manière dont un dirigeant s'adresse à certains collaborateurs.

L'attaquant n'a pas besoin d'entretenir une conversation sans faille. Un court message vocal peut suffire pour confirmer un changement de coordonnées bancaires, valider un virement ou demander à un employé de poursuivre la discussion sur une autre plateforme. Le message peut être délibérément bref, car le client est censé être en train d'embarquer dans un avion, de se rendre à une réunion ou de mener une transaction confidentielle.

Le destinataire peut donc ne disposer d'aucun moyen fiable de vérifier l'authenticité à partir de la communication elle-même. La voix peut sembler authentique, le moment choisi peut paraître logique et la demande peut correspondre à une transaction existante. Ce qui semble être une assurance peut en réalité faire partie de l'attaque.

Les family offices allient une concentration d'informations à une concentration de pouvoirs

Un family office peut constituer une cible particulièrement intéressante, car il centralise des informations qui, au sein d’une institution plus importante, seraient réparties entre plusieurs services. Les collaborateurs peuvent savoir où sont détenus les actifs, quel membre de la famille est habilité à autoriser un paiement, quels biens immobiliers sont en cours d’acquisition, quand le mandant se trouve à l’étranger et quel avocat ou fiduciaire s’occupe d’une transaction sensible.

Le pouvoir peut être concentré de la même manière. Un membre de la famille détient le pouvoir de décision finale, un cadre de confiance se charge de la mise en œuvre et un assistant coordonne la communication. Cela peut donner lieu à un modèle de fonctionnement efficace, mais cela signifie également qu’il suffirait de se faire passer pour une ou deux personnes pour influencer les mouvements de capitaux importants.

Une banque distingue généralement les étapes suivantes : lancement, validation, contrôle de conformité et exécution. Dans un family office de plus petite taille, le nombre de personnes impliquées peut être moindre, car le mandant privilégie la discrétion et la rapidité. Les contrôles s’instaurent par la routine : le directeur financier reconnaît la voix du mandant, l’assistant sait reconnaître l’écriture du mandant et le banquier accepte les confirmations provenant d’un numéro de téléphone familier.

Aucune de ces pratiques n'est irrationnelle. Elles fonctionnaient parce que l'identité et la familiarité étaient autrefois étroitement liées. L'intelligence artificielle affaiblit ce lien.

L'attaquant peut également agir de manière détournée. Plutôt que de se faire passer immédiatement pour le mandant, il peut se présenter comme un banquier, un avocat ou un prestataire de services informatiques et recueillir des informations qui étayeront une demande ultérieure. Son objectif initial peut être de vérifier qui traite les paiements, quel numéro le mandant utilise ou quand une transaction devrait être conclue.

Pour un family office, la surface d'exposition aux menaces englobe donc non seulement son propre personnel et ses propres systèmes, mais aussi l'ensemble des conseillers et prestataires de services par l'intermédiaire desquels transitent les instructions et les documents.

L'attaque la plus crédible ressemblera à une véritable transaction

Il est plus facile de rejeter un ordre frauduleux lorsque le montant, le bénéficiaire ou la justification présentent des anomalies manifestes. Les demandes les plus dangereuses sont celles qui correspondent à la situation réelle du family office.

Il se peut que la famille soit déjà en train d'acquérir un bien immobilier, de souscrire à un fonds du marché privé ou de transférer des capitaux entre différentes entités. Il se peut que le mandant soit réellement en déplacement et communique par messages vocaux. La transaction peut être confidentielle et soumise à une échéance. Un pirate ayant obtenu une partie de ce contexte n'a qu'à modifier un seul élément, tel que le compte du bénéficiaire, la personne de contact ou le canal de communication.

Cela pose un problème pour les méthodes de vérification classiques. Un employé reçoit un e-mail et demande une confirmation vocale, mais l'appel est acheminé via un numéro usurpé ou pris en charge par une voix synthétique. Un avocat semble alors confirmer l'instruction depuis un compte qui a déjà été piraté. L'employé pense que deux vérifications distinctes ont été effectuées, alors qu'elles proviennent toutes deux de la même attaque.

Un deuxième message ne constitue pas un deuxième contrôle, sauf s'il transite par une voie dont la fiabilité est vérifiée de manière indépendante.

La vérification doit donc s'appuyer sur les coordonnées et les procédures mises en place avant la réception de l'instruction contestée. Un numéro de rappel figurant dans la demande n'est pas une source indépendante. Il en va de même pour un compte de messagerie vers lequel le mandant présumé vient de demander à l'employé de transférer la conversation.

Une voix familière devrait inspirer l'autorité, mais ne devrait pas servir à authentifier l'identité

Les family offices n'ont pas besoin de renoncer aux messages vocaux ni aux échanges informels. Ils doivent simplement faire la distinction entre la communication et l'autorisation.

Un mandant peut expliquer les raisons commerciales d'une transaction par téléphone, mais le paiement doit néanmoins suivre une procédure prédéfinie. Les transferts de fonds, l'ajout de nouveaux bénéficiaires et la modification des instructions de règlement doivent faire l'objet d'une confirmation par un canal agréé, avec une double autorisation lorsque le montant ou le risque le justifie.

Les coordonnées de confiance doivent être conservées dans un fichier sécurisé et ne peuvent être modifiées qu’à l’issue d’une procédure de vérification distincte. Les employés doivent rappeler un numéro déjà connu du service plutôt que d’utiliser celui fourni dans le message reçu. Lorsque la famille s’appuie fortement sur la communication vocale, un code de transaction convenu à l’avance ou une plateforme d’approbation sécurisée peut constituer une preuve plus solide que la simple reconnaissance vocale.

Les questions personnelles sont moins sûres qu'il n'y paraît. Un fraudeur peut connaître la date d'anniversaire d'un membre de la famille, le nom de son animal de compagnie, son établissement scolaire, sa dernière destination de vacances ou l'adresse de son domicile grâce à des sources publiques ou à des courriers piratés. Les informations de sécurité doivent être créées spécifiquement à des fins d'authentification et conservées séparément des données personnelles courantes.

La règle la plus importante est la cohérence dans la procédure. Le service ne doit pas relâcher ses contrôles sous prétexte que la voix semble convaincante, que le numéro semble familier ou que l'interlocuteur paraît agacé par le retard. Ces caractéristiques font désormais partie intégrante du modèle de menace.

L'urgence devrait modifier la procédure, et non la suspendre

La fraude par usurpation d'identité repose en grande partie sur la pression psychologique. La transaction est présentée comme confidentielle, la date limite approche et l'employé est amené à se sentir personnellement responsable des conséquences d'un retard. Dans les family offices, la hiérarchie peut accentuer cette pression, car les employés travaillent souvent directement pour le mandant et savent que la réactivité fait partie intégrante de leur fonction.

La famille doit donc décider à l'avance de la marche à suivre lorsqu'un transfert véritablement urgent s'impose. Une procédure d'exception peut préciser qui doit l'approuver, quels contrôles supplémentaires s'appliquent et comment la décision sera consignée. Un mandant qui souhaite que le cabinet agisse rapidement doit adhérer à la procédure qui garantit la sécurité de cette rapidité.

Cela nécessite davantage qu’une simple politique écrite. Les employés doivent disposer d’une autorisation explicite leur permettant de retarder un transfert lorsque l’authentification n’est pas complète, même si l’instruction apparente émane du plus haut responsable de la hiérarchie. Un contrôle qui disparaît dès que le responsable s’impatiente n’est pas un contrôle.

La règle de conduite doit être claire : se soumettre au processus de vérification est un acte de loyauté envers la famille, et non une forme de résistance à son autorité.

La confidentialité nécessite un processus contrôlé pour être remise en question

Les transactions sensibles sont souvent réservées à un petit groupe de personnes pour des raisons légitimes. Une acquisition en cours, une restructuration ou un conflit familial peuvent ne pas se prêter à une diffusion plus large. Les fraudeurs exploitent cette situation en demandant au destinataire de ne pas en parler à ses collègues ou à ses conseillers.

La confidentialité doit restreindre le cercle des destinataires des informations commerciales, mais elle ne doit en aucun cas confier à une seule personne la responsabilité exclusive de déterminer si une instruction est authentique.

Le family office peut mettre en place un groupe d'approbation restreint pour les opérations exceptionnelles. Le collaborateur chargé de traiter le paiement n'a pas besoin de connaître tous les détails, mais il doit être en mesure de confirmer que le bénéficiaire, le montant et l'autorisation ont fait l'objet d'une vérification indépendante. Dans un très petit cabinet, le deuxième vérificateur peut être un administrateur, un dirigeant ou un mandataire externe désigné à l'avance.

Les demandes visant à exclure le vérificateur habituel méritent une attention particulière. Il peut arriver qu’un mandant ait une raison valable, mais l’administration doit considérer ce changement comme une exception nécessitant une authentification renforcée, plutôt que comme la preuve que le secret est indispensable.

On ne peut pas partir du principe que les banques et les conseillers assurent le contrôle qui fait défaut

Un family office peut penser que sa banque repérera une instruction inhabituelle, tandis que la banque part du principe que le family office l'a déjà authentifiée. Des décalages similaires peuvent apparaître entre le family office, les fiduciaires, les avocats et les administrateurs externes.

Les responsabilités respectives doivent être définies avant qu’une tentative de fraude ne se produise. Chaque banque doit disposer de seuils de transaction clairs, d’une liste de contacts autorisés et de procédures à suivre en cas de nouveaux bénéficiaires ou de modification des coordonnées bancaires. Le service concerné doit savoir quelles instructions l’établissement accepte par téléphone, par e-mail ou via une plateforme numérique, et quelles vérifications la banque effectue de manière indépendante.

Cela revêt d'autant plus d'importance lorsque plusieurs banques ou centres de réservation sont impliqués. Les procédures peuvent varier considérablement, alors que les employés partent du principe que les mêmes mesures de sécurité sont en place partout.

Les conseillers externes s'inscrivent dans ce même cadre. L'adresse e-mail habituelle d'un avocat ne suffit pas lorsque les instructions relatives au règlement changent. La parole d'un administrateur ne doit pas prévaloir sur le protocole d'approbation. Chaque participant doit savoir quel canal sert à transmettre les informations et lequel établit l'autorité.

Le contexte de l'agression pourrait être lié au milieu familial

La sécurité des family offices est souvent axée sur les investissements et les opérations bancaires, tandis que la gestion du foyer reste plus informelle. Or, les assistants, les chauffeurs, le personnel de maison et les membres de la famille peuvent détenir précisément les informations nécessaires pour rendre une usurpation d’identité convaincante.

Une simple confirmation indiquant que le mandant se trouve à Dubaï, qu’une acquisition immobilière est sur le point d’être finalisée ou qu’un nouveau conseiller a rejoint la famille peut sembler anodine. Combinée à d’autres informations, elle peut toutefois expliquer pourquoi une demande urgente est envoyée depuis un fuseau horaire différent ou pourquoi le prétendu mandant souhaite utiliser un nouveau contact.

L'objectif de la première prise de contact n'est pas forcément d'obtenir de l'argent. Il peut s'agir d'obtenir un document, de vérifier un numéro de téléphone, d'identifier la personne chargée du traitement des paiements ou de convaincre un employé de poursuivre la conversation sur une plateforme moins sécurisée.

La formation devrait donc s'adresser à toutes les personnes amenées à manipuler des informations sensibles, même s'il n'est pas nécessaire de transformer chaque employé de maison en spécialiste de la cybersécurité. Ces personnes ont besoin de règles claires concernant ce qui peut être divulgué, quelles demandes nécessitent une confirmation et qui contacter en cas de situation inhabituelle.

La famille doit respecter les mêmes règles. Un mandant qui change fréquemment de numéro, partage ses comptes ou transmet des instructions de paiement via plusieurs plateformes de messagerie complique considérablement la vérification fiable des informations.

Un échec en dit long sur la famille

Une tentative d'usurpation d'identité qui a échoué doit faire l'objet d'une enquête plutôt que d'être ignorée. Les informations contenues dans la demande peuvent révéler qu'un compte de messagerie, un fournisseur d'accès ou un appareil personnel a été piraté.

Le service concerné doit consigner les informations dont disposait l'attaquant, l'identité qui a été usurpée, la manière dont le message a été transmis et les raisons de l'échec de la tentative. Il peut s'avérer nécessaire d'en informer les banques et les conseillers, tandis que les numéros de confiance, les identifiants d'autorisation et les procédures de communication devront peut-être être réexaminés.

Cette fraude peut également s'inscrire dans un schéma plus large. Un message vocal synthétisé peut servir à établir une relation de confiance, à diriger le destinataire vers une autre plateforme ou à obtenir l'accès à des comptes et à des listes de contacts avant même qu'une demande de paiement ne soit formulée. Une fois qu'une identité de confiance a été reproduite avec succès, le pirate peut s'en servir pour contacter d'autres employés, des membres de la famille ou des conseillers.

La planification en cas d'incident doit donc porter à la fois sur la reprise financière et la maîtrise de l'information. Le family office doit savoir qui est chargé de contacter la banque, de conserver les preuves, d'informer les assureurs et de coordonner l'assistance juridique ou judiciaire. Les collaborateurs doivent également comprendre qu'il est plus judicieux de signaler rapidement une éventuelle erreur que d'éviter ainsi un embarras.

Le contrôle doit fonctionner même lorsque l'imitation est parfaite

Les conseils pour détecter les deepfakes mettent souvent l'accent sur une voix métallique, des tournures de phrases peu naturelles ou des anomalies visuelles. Ces indices peuvent certes s'avérer utiles, mais ils ne sauraient constituer la base d'un système de sécurité pérenne. Les voix synthétiques gagneront en naturel, et certaines attaques associeront des enregistrements audio artificiels à des informations authentiques issues de comptes piratés.

A family office Il convient de partir du principe que cette voix pourrait, à terme, devenir impossible à distinguer de celle de la personne réelle.

Dans cette hypothèse, l'identité ne peut plus être établie par la seule reconnaissance. Une voix, un numéro, une adresse e-mail ou une image vidéo peuvent servir de support à la communication, mais toute action à haut risque nécessite une authentification indépendante, via un processus défini avant même que la demande ne soit formulée.

Il ne s'agit pas seulement d'un ajustement technique. Les family offices ont toujours tiré une partie de leur efficacité de la confiance personnelle, de la simplicité des circuits de communication et de leur capacité à agir sans la lourdeur bureaucratique des institutions. Ces avantages ne doivent pas nécessairement disparaître, même s'ils ne peuvent plus assumer à eux seuls toute la charge de la vérification.

Le maillon faible n'est pas nécessairement l'employé qui croit à une voix convaincante. C'est le système de gouvernance qui attend de lui qu'il détermine si cette voix est authentique.