Capillary Technologies : KPMG conclut à une fraude externe de 3 M€

Un audit forensique de KPMG conclut que la fraude bancaire de 3,04 M€ subie par SessionM Czech Republic, filiale de Capillary Technologies, correspond le plus probablement à une escroquerie externe de détournement de paiement. Selon un document déposé par Capillary auprès de la bourse, les fraudeurs se sont fait passer pour un dirigeant et pour un avocat externe.

Le document indique que le schéma reposait vraisemblablement sur un nom de domaine de messagerie quasi identique, de l'ingénierie sociale et des échanges via WhatsApp et des comptes de messagerie personnels. KPMG n'a trouvé, dans les systèmes et documents examinés, aucune trace de logiciel malveillant, d'accès non autorisé, de compromission de boîte mail, de prise de contrôle de compte ni d'usurpation classique d'adresse électronique. Aucun élément n'indique non plus une implication de salariés.

La piste du deepfake reste ouverte

Lors de l'annonce initiale, Capillary évoquait des techniques avancées de deepfake. L'audit n'a pu ni confirmer ni exclure leur usage, faute d'enregistrements originaux, de données de téléphones mobiles et de relevés d'appels.

Sur les quatre transactions contestées, trois ont été versées à ZZDJB CO LIMITED auprès de HSBC Hong Kong et une à ZHONGXIAN TRADING PTE. LTD auprès d'UOB Singapour. KPMG a établi ces premiers virements, mais n'a pas suivi la circulation ultérieure des fonds, identifié les bénéficiaires finaux ni évalué les chances de récupération. L'absence d'historiques du portail bancaire et des flux de validation a aussi empêché de vérifier les procédures d'approbation des paiements.

Récupération et suites

KPMG qualifie l'incident de fraude principalement fondée sur l'ingénierie sociale. Capillary affirme avoir renforcé ses contrôles de paiement et poursuivre la récupération des fonds et les recours juridiques. L'entreprise avait déjà indiqué avoir récupéré 450 000 € et fait bloquer d'autres comptes suspects. La filiale bénéficiait d'une assurance cyber et fraude, dont la couverture est en cours d'évaluation.

Selon Capillary, ni les données clients ni l'infrastructure technique n'ont été compromises. SessionM avait été rachetée à Mastercard en février pour 20 M$.

Ce cas montre qu'une perte importante peut survenir sans intrusion informatique, en exploitant simplement les circuits de validation des paiements et la confiance accordée à des messages d'apparence familière.