Citation: 4A_81/2018 E. A

A.a. La société A.________ SA, sise à Genève, a pour but social le commerce de matières premières, en particulier les diamants. Elle est entièrement détenue par B.________ SA, dont le siège est aussi à Genève et dont le but social est d'acquérir et vendre des participations dans toutes entreprises, en particulier celles actives dans le commerce de diamants. Cette entité est elle-même détenue par la société de droit russe C.________, dont D.________ est chargé de gérer les projets. A.b. En 2005, A.________ SA et B.________ SA ont toutes deux noué une relation bancaire avec l'établissement... SA. Chacune y détenait trois comptes courants dont un en francs suisses, le deuxième en dollars américains (USD) et le troisième en euros. Les deux sociétés ont désigné C.________ comme ayant droit économique des valeurs patrimoniales. D.________ avait un pouvoir de signature individuel pour les deux relations bancaires. Les deux sociétés ont signé une décharge autorisant la banque à exécuter les ordres donnés par téléphone, télex, téléfax et/ou tout autre moyen convenu de télécommunication. Elles déclaraient reconnaître et accepter les risques inhérents à l'utilisation de ces moyens de communication, notamment l'erreur d'identification de l'interlocuteur ou la falsification des documents transmis, qui pouvaient leur occasionner un dommage pécuniaire ou tout autre dommage. Les clientes acceptaient de supporter sans réserve les conséquences de l'exécution par la banque des ordres ainsi transmis et déchargeaient celle-ci de toute responsabilité dans la mesure permise par la loi. A.c. En 2010, la société Z.________ SA (ci-après: la banque) a acquis par fusion... SA, dont elle a repris les droits et obligations. B.________ SA et A.________ SA ont régulièrement communiqué à cette banque des ordres de transfert par courrier électronique. En janvier 2012, elles ont entrepris des démarches pour pouvoir donner des ordres de transfert par e-banking. D.________ a reçu un code unique lui permettant d'accéder aux comptes des deux sociétés. Les sociétés ont néanmoins continué à donner des ordres de transfert par courrier électronique. A.d. Les Conditions générales de la banque, acceptées par les deux sociétés, prévoyaient notamment ce qui suit: «1. Vérification de la légitimation La Banque vérifie avec la diligence usuelle la légitimation du titulaire du compte, de ses mandataires ou d'autres personnes disposant du droit de signature. Dès lors que la Banque a fait preuve de la diligence d'usage, tout dommage pouvant résulter de défauts de légitimation ou de falsifications non décelés est à la charge du titulaire du compte. [...] Lorsque le titulaire du compte donne des ordres de paiement, il respecte toutes les mesures de prudence pour diminuer le risque de fraude. Les dommages qui résultent d'un manquement à ce devoir de diligence sont à la charge du titulaire du compte. [...]