Faux WhatsApp, vraie hémorragie. En février, la trésorerie de Fideuram a expédié près de 95 millions d’euros vers la Chine et Hong Kong. L’ordre paraissait venir de Carlo Messina, directeur général d’Intesa Sanpaolo, la même banque qui venait de déclarer près de 100 millions de dollars d’ETF Bitcoin au comptant.
Il venait en réalité d’une équipe de fraudeurs munie d’un clone vocal. La banque a depuis récupéré 53 millions grâce à la coopération interbancaire et au parquet de Milan. Les 39,5 millions manquants ont été convertis en cryptomonnaies, et les enquêteurs multiplient les demandes d’entraide pour remonter la piste avant que les escrocs n’encaissent.
Fideuram : un faux WhatsApp, puis une voix clonée par IA
La semaine dernière, dans son article le média Le Corriere della Sera a reconstitué la chronologie. Le 23 février, le président de Fideuram Paolo Molesini reçoit un message WhatsApp portant l’identité de Carlo Messina. Le texte explique que des contraintes pratiques empêchent Intesa Sanpaolo d’effectuer elle-même une série de virements et qu’il faut donc passer par la trésorerie de la filiale pour ne pas laisser filer une opération financière à l’étranger. Le total demandé atteint près de 95 millions d’euros, une goutte d’eau face aux 450 milliards que gère ce leader italien de la banque privée.
La fraude au président repose toujours sur le même ressort, l’urgence doublée de l’autorité hiérarchique. Les escrocs y ont ajouté une couche technologique.
Ainsi, le téléphone de Paolo Molesini sonne peu après, et la voix au bout du fil est celle de Paolo Nastasi, managing partner d’A&O Shearman Italia et avocat d’affaires qu’il connaît personnellement. Sauf que l’avocat n’a jamais appelé. Son timbre a été reproduit par intelligence artificielle, et le cabinet, né de la fusion entre Allen & Overy et Shearman & Sterling, n’a rien à voir avec l’opération.
Le directeur financier de Fideuram exécute l’instruction de son président, qui croit lui-même exécuter celle du numéro un du groupe. L’argent part pour l’essentiel vers la Chine et Hong Kong.
Quelques secondes d’enregistrement suffisent désormais aux outils de synthèse vocale pour reproduire un timbre, et les interventions publiques d’un dirigeant en fournissent largement assez. Le groupe d’ingénierie britannique Arup en a fait l’expérience à Hong Kong en 2024, quand un de ses employés a viré 25 millions de dollars à l’issue d’une visioconférence où tous ses interlocuteurs étaient des deepfakes. Le FBI a comptabilisé 2,77 milliards de dollars de pertes déclarées pour ce type d’escroquerie au virement sur la seule année 2024.
53 millions d’euros récupérés entre la Chine et le Portugal
Les contrôles internes ont pourtant réagi vite. Dès que la banque comprend l’ampleur du piège, elle actionne les canaux de coopération interbancaire internationale. Un établissement chinois gèle 40 millions d’euros et les restitue.
Puis l’enquête ouverte à Milan sur la plainte de Fideuram, déposée par l’avocat Guido Alleva, se raccorde au parquet de Lisbonne sous l’égide d’Eurojust. Les procureurs Alfonso Serritiello et Barbara Benzi parviennent à bloquer 13 millions supplémentaires dans une banque portugaise, saisis par la juge des enquêtes préliminaires Sonia Mancini.
Le 12 mars, Paolo Molesini quittait la présidence de Fideuram. Le communiqué du groupe évoquait des « raisons personnelles ». L’ancien président n’est ni mis en cause par l’enquête ni visé par un contentieux de son propre employeur, ce qui ne l’empêche pas de rejoindre la liste des dirigeants italiens piégés de la même manière, après Sisal pour 5,5 millions d’euros et Maire Tecnimont pour 18 millions.
Crypto : la conversion en bitcoin, dernier maillon et point faible
Restent 39,5 millions d’euros, évaporés dans un série de comptes étrangers avant d’être basculés en cryptomonnaies. Les enquêteurs milanais multiplient les rogatoires (ces demandes d’entraide judiciaire adressées à des autorités étrangères) pour suivre la trace avant que les fraudeurs ne monétisent leurs bitcoins.
La partie crypto du dossier est sans doute celle qui offre le plus de prise à la justice. Les sommes parties par virement se sont diluées dans des comptes bancaires asiatiques dont la transparence n’a jamais été la vertu première, et il a fallu la bonne volonté d’un établissement chinois pour en rapatrier 40 millions. Chaque transfert on-chain, lui, reste inscrit dans un registre public consultable par n’importe qui, et des sociétés comme Chainalysis, Elliptic et TRM Labs en ont fait un métier.
Les précédents sont documentés. En juin 2021, le FBI récupérait 63,7 bitcoins sur la rançon versée par Colonial Pipeline, quelques semaines seulement après l’attaque. En février 2022, la justice américaine saisissait 94 636 bitcoins liés au piratage de Bitfinex de 2016, soit 3,6 milliards de dollars au cours de l’époque, six ans après les faits. Le point de friction se situe à la sortie, sur les plateformes d’échange où l’identification des clients est obligatoire.
