Le BEC exploite la confiance, pas seulement la technique
Le business email compromise (BEC), aussi appelé fraude au président dans certains scénarios, consiste à faire croire qu’une demande vient d’un dirigeant, d’un fournisseur ou d’un partenaire de confiance. Le message peut demander un virement, un changement de coordonnées bancaires, une copie de document ou un accès temporaire.
Le piège fonctionne parce que la demande paraît plausible et urgente. L’attaquant n’a pas nécessairement besoin de déchiffrer un coffre ou de deviner un mot de passe : il cherche surtout à influencer la personne qui peut déclencher l’action.
Trois scénarios fréquents
- Le dirigeant en déplacement. Un message demande à la finance de régler rapidement une opération confidentielle, avec interdiction d’appeler.
- Le fournisseur dont les coordonnées changent. Une facture réelle est reprise dans une conversation crédible, puis le RIB est remplacé.
- Le compte ou le domaine qui ressemble au bon. Une boîte compromise ou une adresse presque identique donne à l’échange une apparence normale.
Ces scénarios peuvent se combiner. Un premier message de reconnaissance identifie les rôles, les signatures et les habitudes de l’organisation ; la demande financière arrive ensuite avec le vocabulaire et le calendrier adéquats.
Pourquoi les mots de passe ne suffisent pas
Un mot de passe robuste protège un compte. Il ne peut pas, à lui seul, décider si une demande de virement est légitime. Le risque se déplace alors vers les boîtes mail, les comptes de direction, les outils comptables et les secrets partagés entre plusieurs personnes.
Les accès critiques méritent donc plusieurs barrières :
- Des secrets uniques. Un compte finance ou administration ne doit pas réutiliser le mot de passe d’un autre service. Utilisez un générateur de mots de passe sécurisé et stockez les secrets dans un coffre contrôlé.
- Une validation hors bande. Pour un nouveau RIB, un paiement inhabituel ou une demande urgente, appelez un numéro déjà connu ou utilisez un canal interne différent.
- Une séparation des rôles. La personne qui reçoit la demande ne devrait pas être seule à l’approuver et à exécuter le paiement.
- Des accès limités. Les comptes finance, achats, RH et direction doivent avoir uniquement les droits nécessaires, avec une revue régulière des accès.
Cette approche rejoint la logique du partage sécurisé des mots de passe en équipe : partager un secret ne signifie pas le copier dans un email, un tableur ou une conversation impossible à auditer.
Une checklist courte pour les équipes
Avant de valider une demande sensible, posez quatre questions :
- Qui demande ? L’adresse et le ton ne suffisent pas à authentifier une personne.
- Qu’est-ce qui change ? Nouveau RIB, nouveau bénéficiaire, nouveau compte ou nouveau document : toute variation mérite une vérification.
- Quel est le second canal ? Confirmez avec une coordonnée déjà enregistrée, jamais avec celle du message.
- Qui contrôle ? Une seconde personne relit et valide l’opération selon la procédure prévue.
Pour la finance et les achats, conservez la preuve de cette validation. Pour les RH, appliquez la même prudence aux demandes de documents ou de données personnelles. Pour la direction, rendez explicite qu’aucune urgence ne justifie de contourner le contrôle.
Après une erreur : contenir, comprendre, faire tourner les secrets
Si une demande frauduleuse a été suivie, prévenez immédiatement la banque et les personnes responsables, conservez les messages et examinez les règles de transfert ou les sessions actives du compte concerné. Ne supprimez pas les éléments utiles à l’analyse.
Changez ensuite les secrets exposés, et ceux qui auraient été réutilisés ailleurs. La rotation doit être faite dans un coffre chiffré et selon une procédure connue, pas dans la précipitation d’un fil de discussion. Enfin, transformez l’incident en règle opérationnelle : quel type de demande déclenche un appel, qui approuve, et où la preuve est conservée ?
Le BEC rappelle une règle simple : l’identité affichée dans un message n’est pas une preuve d’identité. La sécurité repose sur une organisation capable de ralentir la demande au bon moment, de garder les secrets sous contrôle et de vérifier par un chemin indépendant.
