La fraude à la voix deepfake de 35 millions de dollars aux Émirats arabes unis et ses suites

L'essentiel

Le cas de deepfake lié aux Émirats arabes unis (EAU) le mieux documenté est la fraude de janvier 2020, révélée pour la première fois par Forbes en octobre 2021. Un directeur d'agence a reçu l'appel de quelqu'un dont la voix ressemblait à celle d'un dirigeant de la société, qu'il connaissait. Des courriels du « dirigeant » et d'un avocat nommé « Martin Zelner » sont venus appuyer cet appel.[1] Le directeur d'agence a été persuadé de virer environ 35 millions de dollars pour une prétendue acquisition.[2][3] Les enquêteurs émiratis ont indiqué aux autorités américaines qu'une technologie de « deep voice » avait été utilisée et qu'au moins 17 personnes étaient impliquées.[2][3][4] Beaucoup de points restent non confirmés, notamment l'identité de la victime et le lieu où travaillait le directeur d'agence. Je n'ai trouvé aucun cas ultérieur confirmé aux EAU où des deepfakes auraient visé spécifiquement des avocats, des cabinets d'avocats ou des banquiers. Les autorités émiraties ont depuis multiplié les mises en garde contre les deepfakes et renforcé les règles d'authentification bancaire.

Ce que dit le dossier judiciaire

L'affaire est devenue publique grâce à un document judiciaire américain. Le parquet de Dubaï avait demandé aux autorités américaines, par une demande d'entraide judiciaire, de l'aider à retracer une partie de l'argent.[3][5] La requête a été déposée devant le tribunal fédéral du district de Columbia.[4] Le journaliste de Forbes Thomas Brewster l'a trouvée et en a rendu compte le 14 octobre 2021.[2][3][6]

Le dossier, tel que cité dans les articles de Forbes et de CommsRisk, indique ceci :

Le 15 janvier 2020, « le directeur d'agence de la société victime a reçu un appel téléphonique prétendant provenir du siège de la société. La voix de l'appelant ressemblait à celle du dirigeant de la société, si bien que le directeur d'agence a cru que l'appel était légitime ».[3]
Le directeur d'agence a aussi reçu des courriels qu'il pensait émaner du dirigeant. L'appelant a dit que la société était sur le point d'en acquérir une autre et que « un avocat nommé Martin Zelner (Zelner) avait été autorisé à coordonner les procédures d'acquisition ».[3]
Des courriels de « Zelner » ont suivi, dont « une lettre d'autorisation du dirigeant à Zelner ». Lorsque Zelner a demandé au directeur d'agence « de transférer 35 millions de dollars américains vers plusieurs comptes dans le cadre de l'acquisition, le directeur d'agence a suivi ses instructions ».[3]
« L'enquête émiratie a révélé que les accusés avaient utilisé la technologie de “deep voice” pour simuler la voix du dirigeant. »[3][4]

Les enquêteurs émiratis ont décrit « un montage complexe impliquant au moins 17 accusés connus et inconnus ». L'argent a été envoyé vers des comptes dans plusieurs pays.[4] La demande adressée aux États-Unis visait plus précisément environ 400 000 dollars versés sur des comptes de la Centennial Bank, aux États-Unis.[2][5][7]

Ce qui est établi

Une autorité de poursuite émiratie a déclaré officiellement à un tribunal américain qu'une voix clonée avait servi à autoriser des virements d'environ 35 millions de dollars. Il s'agit de la conclusion des enquêteurs eux-mêmes, formulée dans un dossier judiciaire, et non de l'affirmation d'un éditeur de solutions de sécurité.
La fraude associait une voix clonée à la compromission de messageries professionnelles : de faux courriels du « dirigeant » et d'un avocat fictif, ainsi qu'une fausse lettre d'autorisation.[8]
L'enquête était internationale. Les fonds ont été dispersés dans plusieurs juridictions, et les EAU ont sollicité l'aide des États-Unis pour les 400 000 dollars qui y avaient été retracés.[4][7]
Lorsqu'elle a été révélée, il ne s'agissait que du deuxième cas publiquement connu de fraudeurs utilisant le clonage vocal pour voler de l'argent,[4][9] après l'affaire de l'entreprise énergétique britannique en 2019.[2]

Ce qui reste non confirmé ou flou

L'identité et la localisation de la victime. Le dossier ne nomme ni la société ni la banque. Le premier article de Forbes décrivait un directeur d'agence bancaire des EAU s'entretenant avec un dirigeant d'entreprise. Après publication, le ministère émirati des Affaires étrangères et de la Coopération internationale a indiqué à Forbes que la société touchée était une entreprise japonaise dont le nom n'a pas été communiqué, bien que l'enquête ait été conduite par les enquêteurs de Dubaï. En mai 2023, Forbes a mis à jour son article pour évoquer « un directeur d'agence d'une société japonaise à Hong Kong ».[2] Le texte judiciaire cité dans la presse parle du « directeur d'agence de la société victime » et non d'une banque. On ne sait donc pas si ce directeur était un banquier validant le virement d'un client ou un salarié de la société victime, ni s'il se trouvait aux EAU ou à Hong Kong. Une bonne part de la couverture secondaire continue de parler d'un « directeur de banque des EAU ».

Le montant réellement perdu. Forbes décrit le vol comme atteignant « jusqu'à 35 millions de dollars ».[2] Le montant récupéré n'a pas été divulgué.

Le rôle de « Martin Zelner ». Un avocat établi aux États-Unis porte ce nom. Forbes l'a contacté sans obtenir de réponse.[2] Rien dans les documents publics ne laisse penser qu'il ait pris part à l'affaire ; l'hypothèse la plus probable est que son nom a servi d'identité de couverture. Cette déduction n'est pas confirmée.

La technologie. « Deep voice » est le terme employé par les enquêteurs. Le dossier ne précise pas si la voix a été générée en direct ou enregistrée à l'avance, ni quels outils ont été utilisés.

L'issue. Je n'ai trouvé aucune trace publique d'arrestations, d'inculpations, de condamnations ou de récupérations de fonds. Le parquet de Dubaï n'a pas répondu à Forbes.[2][10]

Ce cas est souvent confondu avec la fraude Arup de 2024, en partie parce que la version mise à jour de Forbes situe le directeur d'agence à Hong Kong. Ce sont deux affaires distinctes. Celle d'Arup reposait sur une visioconférence deepfake réunissant plusieurs personnes et portait sur 200 millions de dollars de Hong Kong (environ 25,6 millions de dollars) en janvier 2024. L'affaire des EAU reposait sur une voix clonée, des courriels et un faux avocat, pour environ 35 millions de dollars, en janvier 2020.

Le commentaire officiel des EAU sur l'affaire

Dans la déclaration donnée à Forbes, Hamid Al Zaabi, directeur général du Bureau exécutif des EAU de lutte contre le blanchiment d'argent et le financement du terrorisme, a déclaré : « Même lorsque les incidents se produisent en dehors des E.A.U., nous travaillerons en étroite collaboration avec les partenaires des forces de l'ordre du monde entier pour identifier et repérer les individus qui se livrent sciemment à des pratiques trompeuses telles que la fraude par usurpation d'identité. »[2]

Autres cas aux EAU impliquant des avocats ou des banquiers

Je n'ai trouvé aucun cas ultérieur publiquement confirmé, à Dubaï, à Abou Dhabi ou ailleurs aux EAU, où une vidéo deepfake ou une voix clonée aurait été utilisée contre un cabinet d'avocats, un avocat ou un cadre bancaire. Des sites commerciaux, dont des pages de promotion de cabinets d'avocats émiratis, décrivent les escroqueries à la voix générée par IA en termes généraux, mais ne citent aucun cas précis. L'approche du « faux avocat » apparaît en revanche dans les données américaines. En août 2025, le FBI a averti que des cabinets d'avocats fictifs ciblaient des victimes d'escroqueries aux cryptomonnaies en leur proposant de récupérer leurs fonds. Les services juridiques représentaient aussi 18 % des plaintes pour rançongiciel dans les secteurs non critiques dans le rapport 2025 du FBI.[11] Aucune de ces deux constatations ne concerne les EAU. Pour les EAU, l'affaire Zelner de 2020 reste l'exemple le plus net correspondant à la description d'une escroquerie par deepfake impliquant un avocat et un banquier.

La réponse des EAU

Mises en garde publiques. En novembre 2025, le Conseil de la cybersécurité des EAU a averti, par l'intermédiaire de l'agence de presse d'État WAM, que « la technologie des deepfakes progresse rapidement avec les progrès des outils d'IA, permettant de reproduire avec une grande précision la voix et l'apparence de personnes réelles ». Il a exhorté le public à vérifier les contenus attribués à des personnalités publiques ou à des institutions nationales en les confrontant aux sources officielles. Il a aussi rappelé la position du Conseil des médias des EAU, selon laquelle le recours à l'IA pour représenter des symboles nationaux ou des personnalités publiques sans autorisation préalable enfreint les normes applicables aux contenus médiatiques.[12] Le Conseil a émis d'autres mises en garde contre les deepfakes en 2026, dont une le 6 avril que la police de Dubaï a relayée sur X.[13] En mars 2026, les EAU ont déclaré subir entre 500 000 et 700 000 tentatives de cyberattaque par jour, dont certaines attribuées à des acteurs liés à l'Iran utilisant des outils d'IA et des deepfakes. Ils ont fait état d'une hausse de 32 % de l'hameçonnage au premier trimestre 2026.[14] En septembre 2026, le responsable de la cybersécurité du gouvernement des EAU, le Dr Mohamed Al Kuwaiti, a déclaré qu'un pirate avait exigé plus de 5 millions de dollars après avoir infiltré une entreprise privée, et a mis en garde contre les deepfakes et les contenus manipulés.[15]

Action policière. Lors du lancement du Mois de la sensibilisation à la cybersécurité en octobre 2026, la police de Dubaï a annoncé la création d'une unité dédiée aux crimes liés à l'IA et d'un outil de détection des deepfakes. Les responsables ont appelé les habitants à signaler les intrusions et les tentatives d'extorsion.[16] Les victimes peuvent effectuer un signalement via la plateforme eCrime de la police de Dubaï.[17]

Règles bancaires. La Banque centrale des EAU (CBUAE) a publié la notice 2025/3057 en mai 2025. Elle impose aux banques et établissements financiers agréés d'abandonner progressivement les mots de passe à usage unique envoyés par SMS et par courriel, ainsi que les mots de passe statiques, pour authentifier leurs clients, avec une échéance fixée au 31 mars 2026.[18] À partir de juillet 2025, les banques sont devenues responsables des fraudes à la carte 3-D Secure lorsqu'elles s'appuyaient encore sur des mots de passe à usage unique par SMS.[19] La notice exige aussi une surveillance des transactions en temps réel, capable de bloquer les paiements suspects ou de les soumettre à une vérification complémentaire.[18] Le décret-loi fédéral n° 6 de 2025, la nouvelle loi sur la Banque centrale promulguée le 8 septembre 2025, fait de la mise en place de systèmes solides de prévention et de détection de la fraude une obligation légale pour les établissements financiers.[20] Le décret-loi fédéral n° 10 de 2025 met à jour le dispositif de lutte contre le blanchiment d'argent.[19] La Banque centrale a également créé un Centre central des opérations de lutte contre la fraude.[21] Aucune de ces mesures ne vise nommément les deepfakes. Elles suppriment toutefois deux points faibles qu'exploite le clonage vocal : la confiance accordée à une voix reconnue et le recours à un seul canal de vérification.

Droit. Fin 2026, les EAU n'ont pas de loi spécifique sur les deepfakes.[22] La fraude par deepfake est poursuivie sur le fondement du décret-loi fédéral n° 34 de 2021 sur la lutte contre les rumeurs et la cybercriminalité, des dispositions du Code pénal relatives à la fraude et de la loi sur la protection des données personnelles (décret-loi fédéral n° 45 de 2021). Cette loi considère l'image d'une personne et ses données biométriques comme des données personnelles protégées.[23] Les règles du Conseil des médias couvrent les représentations par IA de personnalités publiques réalisées sans autorisation.

Ce que l'affaire révèle pour les banques et les cabinets d'avocats

Chaque élément de la fraude de 2020 reposait sur ce qu'une banque ou une entreprise est habituée à croire : une voix que le directeur d'agence connaissait, un fil de courriels, un avocat coordonnant une opération et une autorisation signée. Les contrôles qui l'auraient empêchée sont ceux que l'on recommande depuis l'affaire Arup :

rappeler sur un numéro vérifié de façon indépendante ;
exiger l'approbation de deux personnes pour les virements importants ;
confirmer l'identité de tout avocat grâce aux coordonnées publiées par son cabinet, et non à partir du fil de courriels ;
considérer une demande de confidentialité autour d'une « acquisition » comme un signal d'alerte, et non comme une raison de sauter les vérifications.

Les banques des EAU y sont désormais poussées par la réglementation. Les cabinets d'avocats, qui relaient souvent des instructions de paiement pour des transactions, n'ont pas de règle sectorielle équivalente.