Fraude au président (BEC) : comment s'en protéger

Les variantes les plus courantes

Au-delà du scénario classique du virement urgent, plusieurs variantes se sont développées :

• La fausse facture fournisseur — l'attaquant se fait passer pour un fournisseur habituel et communique un changement de coordonnées bancaires, détournant ainsi les paiements légitimes futurs.
• La demande de données sensibles — plutôt qu'un virement, l'email demande des informations confidentielles (fiches de paie, données fiscales des employés), exploitées ensuite pour d'autres fraudes.
• L'urgence RH — un email semblant venir d'un dirigeant demandant à un service RH de modifier discrètement les coordonnées bancaires de virement de salaire d'un « employé », en réalité celles de l'attaquant.

Chaque variante réutilise le même socle psychologique — urgence, confidentialité, autorité — appliqué à un contexte différent, ce qui explique pourquoi la formation la plus efficace enseigne à reconnaître ce socle plutôt qu'une liste figée de scénarios.

Une évolution mérite d'être notée : les signaux d'alerte classiques fondés sur une écriture maladroite perdent leur fiabilité. Les outils génératifs permettent désormais aux attaquants de produire des messages dans un français impeccable, calqué sur le ton du dirigeant usurpé à partir de ses prises de parole publiques ou de ses publications LinkedIn. Une formation qui apprend surtout à repérer les fautes d'orthographe prépare aux attaques de la décennie précédente. Les signaux qui survivent à cette évolution sont les signaux structurels — urgence, confidentialité, demande de contourner une procédure — parce qu'ils sont inhérents à la fraude elle-même : l'attaquant peut polir le style indéfiniment, il ne peut pas retirer la demande.

Les défenses techniques

DMARC en politique d'application (p=quarantine ou p=reject) élimine la variante la plus directe : l'email qui utilise exactement le domaine de l'entreprise usurpée. Si l'attaque repose sur un From: direction@exemple.fr falsifié, DMARC bloque le message avant qu'il n'atteigne la victime. C'est une défense structurelle, pas une simple vigilance individuelle — voir se protéger de l'usurpation d'adresse email pour la pile complète de défenses techniques.

Mais DMARC ne couvre pas les domaines ressemblants ni les comptes compromis — les deux autres vecteurs fréquents de la fraude au président. C'est pourquoi les défenses techniques seules ne suffisent jamais entièrement contre cette attaque spécifique ; elles réduisent la surface, sans l'éliminer complètement, ce qui rend les défenses organisationnelles décrites plus loin tout aussi indispensables.

Les défenses organisationnelles

C'est ici que se joue l'essentiel de la protection contre les variantes que DMARC ne couvre pas :

• La vérification par un second canal, systématique. Toute demande de virement inhabituelle ou de changement de coordonnées bancaires doit être confirmée par un canal différent de celui utilisé pour la demande — un appel téléphonique sur un numéro connu à l'avance, jamais celui fourni dans l'email suspect lui-même.
• Le seuil de double validation. Au-delà d'un certain montant, aucun virement ne devrait pouvoir être exécuté par une seule personne, quelle que soit la pression exercée.
• La formation ciblée des équipes financières et administratives sur les signaux d'alerte précis : urgence artificielle, demande de confidentialité, changement soudain de coordonnées bancaires, fautes de style inhabituelles chez un expéditeur habituellement rigoureux, ou demande explicite de contourner une procédure de validation existante.
• Une culture qui valorise la vérification, plutôt qu'une culture où poser une question à un dirigeant est perçu comme un manque de confiance. C'est souvent le changement le plus difficile à opérer, tant il touche à la culture managériale de l'organisation, mais c'est aussi le plus déterminant sur la durée.

Le coût réel d'une fraude réussie

Les montants en jeu justifient largement l'investissement dans ces défenses. Une fraude au président réussie se chiffre couramment en dizaines de milliers d'euros pour une PME, et peut atteindre des montants bien plus élevés pour une grande entreprise — certains cas médiatisés ont dépassé plusieurs millions. Au-delà de la perte financière directe, s'ajoutent le coût de l'enquête, l'impact sur la confiance interne (l'employé qui a exécuté le virement porte souvent un poids psychologique disproportionné), et parfois des conséquences juridiques si des obligations de vigilance n'ont pas été respectées — notamment vis-à-vis des assurances, qui exigent souvent la preuve de procédures de contrôle raisonnables pour couvrir ce type de sinistre.

Un cas type, décomposé

Pour ancrer ces principes, voici comment un cas typique se déroule dans une entreprise de taille moyenne. Un vendredi après-midi, le service comptabilité reçoit un email signé du nom du directeur financier, actuellement en déplacement (information glanée sur LinkedIn quelques jours plus tôt). Le message explique qu'une acquisition confidentielle est en cours de finalisation et qu'un virement de 45 000 € doit partir avant la fermeture des marchés, vers un compte fourni dans le message. Le ton est professionnel, reprend des tournures que le vrai directeur utilise habituellement, et l'adresse d'envoi ressemble suffisamment à la vraie pour ne pas attirer l'attention à une lecture rapide — un caractère substitué, invisible sur la plupart des écrans.

La comptable, habituée à traiter les demandes de sa hiérarchie sans les remettre en cause, prépare le virement. Un détail la fait néanmoins hésiter : ce type d'opération passe habituellement par une validation à deux signatures, une procédure que l'email demande explicitement de contourner « pour aller plus vite, exceptionnellement ». C'est précisément ce contournement de procédure — présenté comme une exception justifiée par l'urgence — qui constitue le signal d'alerte le plus fiable dans ce genre de scénario. Une politique claire, connue de toute l'équipe, énonçant qu'aucune exception de procédure n'est jamais acceptée par email, aurait arrêté cette tentative avant même de vérifier l'adresse d'envoi.

Dans cet exemple, un simple appel au directeur financier sur son numéro habituel — pas celui indiqué dans l'email — aurait révélé l'anomalie en moins d'une minute. C'est cette étape de vérification, simple et rapide, qui manque le plus souvent dans les organisations victimes, non par négligence individuelle mais parce qu'aucune procédure ne l'impose systématiquement.

Réagir à une fraude avérée

Si une fraude au président vient d'être découverte, la rapidité d'action compte énormément :

1. Contacter immédiatement la banque émettrice pour tenter un rappel du virement — les chances de succès diminuent drastiquement avec le temps, souvent en l'espace de quelques heures, avant que les fonds ne soient définitivement hors de portée.
2. Déposer plainte rapidement, ce qui déclenche parfois des procédures de coopération internationale entre banques.
3. Documenter l'incident en détail (emails, horodatages, montants) pour l'enquête et les démarches d'assurance éventuelles.
4. Analyser la faille qui a permis l'attaque — quel domaine a été usurpé, par quel canal, quelle procédure interne a été contournée — pour la corriger avant qu'elle ne se reproduise sous une forme légèrement différente.

En résumé

La fraude au président prospère sur la confiance hiérarchique et l'urgence artificielle, pas sur une sophistication technique. La défense la plus efficace combine deux couches : DMARC en application pour éliminer l'usurpation directe du domaine, et des procédures organisationnelles rigoureuses — vérification par second canal, double validation, formation ciblée — pour couvrir ce que la technique seule ne peut pas atteindre.

Vérifier qu'un domaine n'est pas exposé à la forme la plus directe de cette fraude tient en un passage par l'analyseur DMARC gratuit. C'est la première ligne de défense, gratuite et rapide à mettre en place, avant même la revue des procédures internes — les deux chantiers se renforcent mutuellement, mais celui-ci ne coûte rien à démarrer aujourd'hui.