Deepfakes lors des entretiens, identités synthétiques, employés fantômes ou détournements réalisés depuis des comptes parfaitement légitimes : la fraude interne ne se limite plus aux agissements isolés de collaborateurs malveillants. Petra Norrbin, directrice France de Sumsub, appelle les entreprises à repenser leurs dispositifs de défense en plaçant la vérification de l’identité et l’organisation de la confiance au cœur de leur gouvernance.
Les techniques de défense traditionnelles utilisées par les entreprises sont obsolètes. Pares-feux, contrôles d’accès et audits périodiques ont été pensés pour un ennemi qui attaque de l’extérieur. Or le fraudeur d’aujourd’hui ne force plus nécessairement les serrures. Il sonne, présente un badge, serre des mains, s’installe à un bureau, parfois pendant des mois, voire des années. La fraude interne est une menace systémique qui s’attaque au cœur même de ce qui fait fonctionner une entreprise : la confiance. Et dans un contexte où le travail hybride dilue les frontières et où l’IA générative redéfinit la nation même de preuve identitaire, cette menace prend une ampleur inédite.
De l’effraction à l’infiltration : une rupture silencieuse
Les acteurs malveillants ne cherchent plus à infiltrer les systèmes depuis l’extérieur mais à y être invités. Une recherche récente a mis en évidence ce glissement d’une logique d’effraction vers une logique de connexion. L’enjeu n’est donc plus seulement de bloquer un intrus, mais de vérifier que celui qui agit à l’intérieur est bien celui qu’il prétend être. C’est un changement de paradigme majeur, qui déplace la ligne de front de la cybersécurité vers des terrains inattendus, dont le recrutement.
Des agents ont ainsi été repérés utilisant deepfakes et identités synthétiques pour franchir les filtres de recrutement et intégrer directement la masse salariale d’entreprises occidentales, dans le but de voler des données ou de compromettre des systèmes sensibles. L’entretien d’embauche est devenu un point d’entrée critique. L’onboarding, une vulnérabilité. Et ce qui suffisait hier à rassurer (un CV cohérent, une pièce d’identité, un échange vidéo) est désormais reproductible à la demande en quantité industrielle et reproductible à l’échelle grâce à l’IA générative. La preuve n’est plus ce qu’elle était. Et les processus construits sur elle non plus.
Une question de gouvernance, pas de discipline
La fraude interne s’est par ailleurs considérablement diversifiée. Notes de frais falsifiées, manipulation de comptes fournisseurs, vol de données, employés fantômes, détournements de fonds, identités entièrement fabriquées… Tout ceci ne relève plus d’un seul département et traverse désormais les RH, la DSI, la direction financière et les achats. La nature même de la fraude a changé. Là où l’on traitait autrefois des cas isolés, on fait face aujourd’hui à des schémas organisés, parfois pilotés de l’extérieur, qui exploitent méthodiquement les angles morts de l’entreprise.
Traiter ce risque comme un problème de comportement individuel, c’est donc répondre à la mauvaise question. Lorsqu’un fraudeur modifie un virement, contourne une procédure de validation ou exfiltre des données en disposant d’un accès légitime, le problème n’est plus disciplinaire mais structurel. C’est un échec de gouvernance, de contrôle interne, d’architecture de sécurité. La vraie réponse suppose de replacer l’identité au centre du dispositif en contrôlant mieux les accès, en croisant les signaux entre RH, finance et cybersécurité, en renforçant l’analyse comportementale sur les opérations sensibles, et en intégrant la vérification d’identité comme une couche de défense à part entière, dès le recrutement, et tout au long du cycle de vie du collaborateur. Il ne s’agit pas de surveiller davantage, mais d’organiser la confiance de manière plus rigoureuse et plus résiliente.
La défense périphérique ne suffit plus
La vraie question n’est plus de savoir si l’on peut-on encore faire confiance mais comment on l’organise dans un monde où l’on peut être recruté, validé, connecté et frauder sans jamais avoir pirater aucun système.
Les entreprises qui continueront à traiter la fraude interne comme un sujet périphérique, à gérer cas par cas et département par département, prendront le risque stratégique majeur de ne défendre que leurs murs. La forteresse ne tombe plus sous les coups de bélier mais s’ouvre, de l’intérieur, à qui sait se faire passer pour un ami. Plus le système d’information de l’entreprise est protégé, plus elle s’expose à ce type de contournements. C’est précisément pour ça que la réponse ne peut plus être réactive ni fragmentée. Elle doit passer par une vérification d’identité rigoureuse à chaque étape du cycle de vie du collaborateur. C’est à cette condition que la confiance cesse d’être un pari pour devenir une certitude organisée.
