Arnaque au deepfake chez Arup : 25 millions de dollars volés en visioconférence

✦Faites exploser le trafic de votre site webEn savoir plus

Deux cents millions de dollars de Hong Kong, environ 25,6 millions de dollars américains, évaporés en 15 virements : voilà le bilan de la visioconférence la plus chère de l’histoire des fraudes (CNN, mai 2024). La victime, Arup, n’est pas une firme naïve : 18 500 salariés, 34 bureaux, et des références comme l’Opéra de Sydney ou le stade olympique de Pékin. Si un géant de l’ingénierie tombe sur un faux appel vidéo, chaque direction financière doit se demander ce qui, chez elle, résisterait au même scénario.

En bref : L’arnaque Arup est la plus grosse fraude au deepfake connue : en janvier 2024 à Hong Kong, un salarié a viré 200 millions de dollars hongkongais, environ 25,6 millions de dollars, après une visioconférence où directeur financier et collègues étaient des copies générées par IA (CNN, mai 2024).

Temps de lecture : 7 min

Mis à jour le 10 novembre 2026

Qu’est-ce que l’arnaque au deepfake qui a visé Arup ?

L’arnaque au deepfake subie par Arup est une fraude signalée à la police de Hong Kong en janvier 2024 : un salarié du service financier a viré 200 millions de dollars de Hong Kong, environ 25,6 millions de dollars américains, après une visioconférence entièrement peuplée de fausses copies de ses dirigeants (CNN, mai 2024). Quinze virements sont partis vers cinq comptes bancaires locaux avant que la vérification auprès du siège ne révèle la supercherie (CFO Dive, mai 2024).

Une cible loin d’être fragile

Arup emploie 18 500 personnes dans 34 bureaux et a travaillé sur l’Opéra de Sydney comme sur le stade du Nid d’oiseau des Jeux de Pékin (CNN, mai 2024). La fraude n’a exploité aucune faille technique du cabinet : elle a visé un salarié, son obéissance et sa confiance dans l’image.

Le groupe a confirmé publiquement que de fausses voix et de fausses images avaient été utilisées, tout en précisant que ses systèmes internes n’avaient pas été compromis. Michael Kwok, son président pour l’Asie de l’Est, a prévenu en interne que la fréquence et le niveau de ces attaques montaient vite à l’échelle mondiale (CNN, mai 2024).

Ce point change la lecture de l’affaire : aucun pare-feu, aucun antivirus, aucun correctif n’aurait rien arrêté. Le maillon attaqué était un circuit de validation des paiements, et ce circuit se répare par des règles, pas par du matériel.

Un doute initial, balayé par la vidéo

Le salarié du service financier avait d’abord soupçonné un courriel d’hameçonnage évoquant une opération confidentielle. L’hameçonnage, ou phishing, désigne ces messages qui usurpent une identité pour soutirer argent ou accès. La visioconférence a dissipé sa méfiance : visages et voix correspondaient à ses interlocuteurs habituels (CNN, mai 2024).

Pourquoi une visioconférence entière a-t-elle pu être truquée ?

Une visioconférence truquée ne demande plus de studio : des outils d’hypertrucage grand public animent un visage à partir de photos et clonent une voix à partir de quelques minutes d’audio. Les dirigeants d’un cabinet mondial, très exposés en ligne, offrent une matière première abondante aux fraudeurs.

Le deepfake, du gadget au braquage

Un hypertrucage combine deux briques d’IA : l’une reproduit le visage image par image, l’autre synthétise la voix. En 2024, la qualité suffisait déjà pour tenir une réunion entière sans éveiller de soupçon, l’affaire Arup en est la preuve grandeur nature.

Le directeur mondial des systèmes d’information du groupe, Rob Greig, constatait alors une montée rapide du nombre et du niveau de ces attaques (CNN, mai 2024). Les mois suivants lui ont donné raison.

La détection automatique reste en retard : les signes qui trahissaient les premiers trucages, clignements absents, contours flous, voix métallique, disparaissent à mesure que les modèles progressent. Compter sur l’œil humain pour trier le vrai du faux en pleine réunion revient à parier contre la trajectoire technologique. D’où l’intérêt de déplacer la défense vers des vérifications que la vidéo ne peut pas falsifier.

Un scénario déjà répliqué ailleurs

Le mode opératoire s’exporte. À Singapour, en mars 2025, un directeur financier a été approché par message puis convié à un appel vidéo avec de fausses copies de ses dirigeants : environ 500 000 dollars sont partis avant un gel des fonds par les autorités locales et hongkongaises (Kindo, 2025).

Les points communs de ces fraudes se répètent d’un cas à l’autre :

• Un premier contact écrit qui installe l’urgence et la confidentialité
• Un appel vidéo de groupe où la victime parle peu et exécute
• Des ordres de virement fractionnés vers plusieurs comptes
• Des bénéficiaires bancaires récents, souvent des comptes de mules
• Une découverte tardive, lors d’un échange avec le siège réel

Ce schéma vaut avertissement pour toute entreprise dont les circuits de paiement reposent sur la messagerie et la visioconférence, autant que sur les agents automatisés décrits dans notre analyse de la campagne GTG-1002.

Blindez vos virements contre les faux dirigeants

Blinder ses virements coûte moins cher qu’un seul incident : la défense repose sur des règles de processus que ni un deepfake ni un courriel ne peuvent contourner, parce qu’elles sortent du canal contrôlé par le fraudeur.

Trois règles qui cassent le scénario

Première règle : tout nouvel ordre de virement se vérifie par rappel au numéro interne connu, jamais via la réunion ou le fil de messages en cours. Deuxième règle : double validation humaine au-delà d’un seuil, avec un valideur hors de la chaîne hiérarchique du demandeur. Troisième règle : délai de carence de 48 heures sur tout bénéficiaire bancaire nouvellement créé.

Chacune de ces règles attaque un ressort précis de la fraude. Le rappel hors canal prive le fraudeur de son décor. La double validation casse l’autorité d’un donneur d’ordre unique, fût-il parfaitement imité. Le délai de carence neutralise l’urgence, qui reste l’ingrédient commun de toutes les arnaques au faux dirigeant recensées depuis 2024.

Le coût de mise en place se limite à une mise à jour des procédures de paiement et à une heure de formation par équipe. Rapporté aux 25,6 millions de dollars perdus par Arup, l’arbitrage se passe de calcul (CFO Dive, mai 2024).

Former les équipes à douter de la vidéo

La formation change de contenu : il ne s’agit plus seulement de repérer les fautes d’un courriel, mais d’admettre qu’une vidéo en direct se fabrique. Les exercices internes gagnent à inclure un faux appel de dirigeant, sur le modèle des campagnes de faux hameçonnage déjà répandues.

Le message aux équipes doit aussi déculpabiliser : le salarié d’Arup a appliqué ce qu’on lui avait appris, se méfier d’un courriel, puis faire confiance à ses interlocuteurs en chair et en pixels. Une culture qui punit celui qui vérifie, ou qui valorise l’exécution rapide des ordres venus d’en haut, fabrique elle-même ses futures victimes.

Reste l’outillage : détection d’hypertrucages en visioconférence, signalement des contenus générés exigé par l’AI Act depuis le 2 août 2026, et gouvernance des usages internes de l’IA. Cette montée en maturité rejoint notre méthode d’implantation de l’IA sans risque.

Le prolongement naturel : comprendre ce que l’IA peut faire pour votre entreprise.

FAQ : la fraude au deepfake Arup en questions

À propos de l’auteur

Eric Christophe, dirigeant HDVMA Expert SEO et automatisation IA. Accompagne PME et ETI françaises dans leur stratégie de visibilité Google et IA. Cas phare : BoatCible, +320 % de trafic organique en 5 mois, cité par ChatGPT et Perplexity. LinkedIn

Demandez votre diag IA gratuitDiscuter de votre projetParler à Eric

✦L’IA dans votre entreprise, c’est simple !En savoir plus