Sin categoríaFraude au président : le virement qui ruine une entreprise et les heures décisives

Un courriel du directeur financier demande un virement urgent et confidentiel pour boucler une opération. L’employé l’exécute. Le courriel était faux, l’opération n’existait pas, et l’argent est déjà à Hong Kong. Cela s’appelle la fraude au président, et dans les entreprises moyennes espagnoles elle est aujourd’hui plus fréquente que le braquage.

Comment cela fonctionne, exactement

La fraude au président (ou business email compromise) n’est pas une attaque technique sophistiquée. C’est une attaque contre les personnes et les procédures, et c’est là son efficacité. L’attaquant étudie l’entreprise pendant des semaines : qui signe, qui paie, quand voyage le directeur général, quel ton il emploie dans ses courriels, avec quels fournisseurs il travaille. Parfois il dispose déjà d’un accès à une boîte réelle, compromise des mois plus tôt, et il attend simplement. Puis il frappe au moment parfait : vendredi après-midi, le directeur en vacances, une opération confidentielle qui « ne peut être commentée avec personne », et une pression temporelle qui empêche de vérifier. L’employé qui exécute l’ordre n’est pas un incompétent : c’est quelqu’un qui a fait exactement ce qu’il fait toujours.

Les variantes les plus fréquentes

Usurpation du dirigeant : courriel depuis un domaine presque identique au réel, avec une lettre changée que personne ne regarde. Changement de compte du fournisseur : un courriel, apparemment du fournisseur habituel, communique un nouveau numéro de compte pour les prochaines factures. C’est la modalité la plus dévastatrice, car la fraude n’est détectée que lorsque le vrai fournisseur réclame, des semaines plus tard. Boîte compromise : l’attaquant est dans le courriel réel, lit les conversations et s’insère dans un fil légitime au moment du paiement.

Les premières heures : c’est là que l’argent se récupère ou se perd

C’est le point critique, où presque toutes les entreprises perdent le temps qu’elles n’ont pas. Il existe une fenêtre de quelques heures. Appelez la banque immédiatement et demandez le rappel ou le blocage du virement : plus tôt vous agissez, plus il est probable que l’argent y soit encore. Déposez plainte immédiatement : la plainte active la coopération bancaire internationale et le blocage à la banque de destination. N’éteignez pas et ne nettoyez pas les systèmes : l’élan de « sécuriser » la messagerie en supprimant et réinstallant détruit la preuve de l’accès, celle qui démontre ensuite ce qui s’est passé et qui a failli. Préservez de manière forensique la boîte, les journaux d’accès et les courriels originaux avec leurs en-têtes complets. Les en-têtes sont la preuve, et ils se perdent au renvoi du courriel.

La banque répond-elle ?

Cela dépend, et la réponse honnête est : moins que dans la fraude au consommateur. Lorsque le donneur d’ordre est une entreprise et que le virement a été autorisé avec ses propres identifiants légitimes, l’opération n’est pas « non autorisée » au sens de la réglementation des services de paiement : un employé habilité l’a validée. Cela ne ferme pas la porte. On examine si la banque a respecté ses obligations de détection d’opérations inhabituelles, si le compte de destination présentait des signaux d’alerte évidents, et s’il y a eu négligence dans l’exécution. Mais il ne faut pas vendre d’illusions : ici, la récupération vient plus de la rapidité que de la réclamation.

La responsabilité interne : la conversation inconfortable

Vient ensuite la seconde partie, celle où l’entreprise se fait du mal à elle-même. L’employé qui a exécuté le virement n’a commis aucun délit : il a été trompé, comme l’entreprise. Le licencier précipitamment, outre l’injustice, finit généralement par un licenciement abusif. La bonne question n’est pas qui a appuyé sur le bouton, mais pourquoi la procédure permettait de l’appuyer. Et là, la responsabilité est celle de l’organisation : pas de double vérification, pas de canal alternatif pour confirmer les changements de compte, et une culture interne rendant impensable de questionner un ordre du directeur.

Ce qui l’évite vraiment

C’est étonnamment bon marché et presque personne ne l’a : double vérification par un canal distinct pour tout virement au-dessus d’un seuil et pour tout changement de compte bancaire d’un fournisseur, en appelant un numéro connu, pas celui du courriel. Séparation des fonctions : qui ordonne n’exécute pas. Autorisation à deux personnes au-delà d’un certain montant. Une culture où poser une question n’est pas de l’insubordination : c’est le contrôle le plus efficace et le plus difficile à implanter. Et le tout documenté, car cela fait partie du programme de conformité et, le cas échéant, prouve la diligence de l’entreprise.