La fraude au président est une forme de fraude aux faux ordres de virement (FOVI) : un escroc pousse une équipe à effectuer un paiement inhabituel en usurpant l’identité d’un dirigeant. Le business email compromise (BEC) est une notion plus large, qui englobe notamment l’usurpation d’un fournisseur et l’utilisation frauduleuse d’une messagerie professionnelle. Les deux notions se recoupent sans être synonymes. Une vérification indépendante et une validation à deux personnes peuvent interrompre une fraude au virement avant le paiement.
Comment distinguer fraude au président et BEC ?
Le BEC désigne des fraudes qui exploitent la messagerie professionnelle ou l’usurpation d’un interlocuteur de confiance. La fraude au président en est un scénario possible, mais le terme couvre aussi des attaques visant des paiements fournisseurs et d’autres demandes. En France, FOVI désigne plus précisément le détournement d’un virement par usurpation, notamment celle d’un dirigeant ou d’un fournisseur.
Le piège fonctionne parce que la demande paraît plausible et urgente. L’attaquant n’a pas nécessairement besoin de déchiffrer un coffre ou de deviner un mot de passe : il cherche surtout à influencer la personne qui peut déclencher l’action. Selon le scénario, il peut usurper une adresse ou exploiter une messagerie réellement compromise.
Trois scénarios fréquents
- Le dirigeant en déplacement. Un message demande à la finance de régler rapidement une opération confidentielle, avec interdiction d’appeler.
- Le fournisseur dont les coordonnées changent. Une facture réelle est reprise dans une conversation crédible, puis le RIB est remplacé.
- Le compte ou le domaine qui ressemble au bon. Une boîte compromise ou une adresse presque identique donne à l’échange une apparence normale.
Ces scénarios peuvent se combiner. Dans une attaque ciblée, des échanges préalables peuvent aider l’escroc à repérer les rôles et les habitudes de l’organisation avant d’envoyer une demande financière qui paraît cohérente.
Pourquoi les mots de passe ne suffisent pas
Un mot de passe robuste protège un compte. Il ne peut pas, à lui seul, décider si une demande de virement est légitime. Le risque se déplace alors vers les boîtes mail, les comptes de direction, les outils comptables et les secrets partagés entre plusieurs personnes.
Les accès critiques méritent donc plusieurs barrières :
- Des mots de passe distincts. Un compte finance ou administration ne doit pas réutiliser le mot de passe d’un autre service. Des mots de passe distincts limitent les risques liés à la réutilisation, mais n’empêchent ni l’hameçonnage ni l’usurpation. Utilisez un générateur de mots de passe sécurisé et stockez les secrets dans un coffre contrôlé.
- Une validation hors bande. Pour un nouveau RIB, un paiement inhabituel ou une demande urgente, appelez un numéro déjà connu ou utilisez un canal interne différent.
- Une séparation des rôles. La personne qui reçoit la demande ne devrait pas être seule à l’approuver et à exécuter le paiement.
- Des accès limités. Les comptes finance, achats, RH et direction doivent avoir uniquement les droits nécessaires, avec une revue régulière des accès.
Cette approche rejoint la logique du partage sécurisé des mots de passe en équipe : partager un secret ne signifie pas le copier dans un email, un tableur ou une conversation impossible à auditer. Une politique de mots de passe adaptée aux PME aide aussi à protéger les comptes de messagerie qui servent parfois de point d’entrée aux fraudeurs.
Vérifier une demande avant de payer
Avant de valider une demande sensible, posez quatre questions :
- Qui demande ? L’adresse et le ton ne suffisent pas à authentifier une personne.
- Qu’est-ce qui change ? Nouveau RIB, nouveau bénéficiaire, nouveau compte ou nouveau document : toute variation mérite une vérification.
- Quel est le second canal ? Confirmez avec une coordonnée déjà enregistrée, jamais avec celle du message.
- Qui contrôle ? Une seconde personne relit et valide l’opération selon la procédure prévue.
Pour la finance et les achats, conservez la preuve de cette validation. Pour les RH, appliquez la même prudence aux demandes de documents ou de données personnelles. Pour la direction, rendez explicite qu’aucune urgence ne justifie de contourner le contrôle.
Si un virement frauduleux a été effectué
Si un virement est parti, appelez immédiatement la banque pour demander le rappel des fonds; si le paiement est encore en attente, demandez sa suspension au service comptable. Prévenez les responsables, conservez les messages et examinez les règles de transfert ou les sessions actives de la messagerie concernée. Ne supprimez pas les éléments utiles à l’analyse.
Si une messagerie a été compromise, changez son mot de passe, activez l’authentification multifacteur si elle est disponible et vérifiez les règles de transfert. Remplacez aussi les mots de passe réutilisés sur d’autres services. Enfin, transformez l’incident en règle opérationnelle : quel type de demande déclenche un appel, qui approuve, et où la preuve est conservée ?
Le lien avec Soclyde
Soclyde peut aider l’équipe à conserver et partager les identifiants uniques nécessaires aux comptes finance, achats et messagerie, mais ne vérifie pas les demandes de virement et ne bloque pas une fraude. Complétez les contrôles financiers par le guide du partage sécurisé des mots de passe en équipe et le générateur de mots de passe.
À retenir
L’identité affichée dans un message n’est pas une preuve. Pour tout changement de RIB ou paiement inhabituel, suspendez la demande, rappelez un numéro déjà enregistré et exigez une validation indépendante. La fiche FOVI de Cybermalveillance.gouv.fr décrit les réflexes à appliquer si l’opération a déjà été exécutée.
