Fraude au Président et BEC : comment les PME perdent des dizaines de milliers d'euros en un virement

Votre directeur financier reçoit un email du PDG. Objet : "Opération confidentielle -- virement urgent". Le message explique qu'une acquisition est en cours, que tout doit rester discret, et qu'un virement de 87 000 euros doit partir avant 17h vers un compte en Hongrie. L'adresse email est presque identique à celle du PDG. La signature est parfaite. Le ton aussi.

48 heures plus tard, l'argent a disparu.

Ce scénario n'est pas une simulation. C'est ce qui arrive à plusieurs centaines de PME françaises chaque année, avec des montants moyens qui dépassent désormais 70 000 euros par incident.

1. L'usurpation d'identité du dirigeant

L'attaquant crée une adresse email visuellement proche de la vraie : hakim.djelili@cyber-expert.fr devient hakim.djeli1i@cyber-expert.fr ou hakim.djelili@cyber-experts.fr. Il envoie un message au DAF ou à la comptable en invoquant une urgence, une confidentialité, et une conséquence grave si le virement ne part pas rapidement.

Le contexte OSINT est soigné : l'attaquant a consulté LinkedIn, le site web, les communiqués de presse. Il sait qui est qui, il connaît le jargon interne, parfois même les projets en cours.

2. La compromission de la messagerie (vraie BEC)

Plus sophistiqué : l'attaquant prend le contrôle d'une vraie boite email -- celle d'un fournisseur, d'un client ou du dirigeant lui-même. Il surveille les échanges pendant plusieurs semaines, attend une vraie transaction, puis intervient au bon moment pour changer le RIB.

3. L'ingénierie sociale par téléphone (vishing)

Parfois, le fraudeur appelle après avoir envoyé l'email, pour "confirmer" l'opération. La voix rassure. Elle lève les doutes que l'employé aurait pu avoir. Avec les outils de clonage vocal disponibles aujourd'hui, certains fraudeurs utilisent même une voix synthétique du dirigeant construit à partir de vidéos LinkedIn ou YouTube.

Les PME cumulent plusieurs facteurs de risque que les grands groupes ont en partie corrigés :

• Pas de procédure formelle de validation des virements : dans beaucoup de PME, la parole du dirigeant suffit. Pas de double signature, pas de rappel systématique sur un numéro connu.
• Dirigeant très accessible : profil LinkedIn complet, interviews dans la presse locale, conférences. L'attaquant construit un dossier OSINT précis sans effort.
• Équipe comptable réduite : une seule personne traite les virements, sans contre-validation interne. La pression hiérarchique fonctionne.
• Messagerie mal configurée : absence de SPF, DKIM, DMARC. N'importe qui peut envoyer un email avec votre nom de domaine sans que les serveurs de messagerie le rejettent.
• Formation inexistante : les collaborateurs n'ont jamais vu de simulation de fraude. Ils ne savent pas que ça arrive, encore moins comment réagir.

1. Contrôle 1

   Procédure de rappel obligatoire pour tout virement exceptionnel

   Toute demande de virement hors procédure habituelle (nouveau bénéficiaire, montant inhabituel, urgence invoquée) déclenche un rappel téléphonique sur un numéro connu -- pas celui fourni dans l'email. Cette règle s'applique même si la demande vient du PDG. Surtout si elle vient du PDG.

2. Contrôle 2

   Double validation pour les virements au-delà d'un seuil

   Définissez un seuil (ex : 5 000 euros) au-delà duquel tout virement requiert la validation de deux personnes distinctes. Ce seuil s'applique aussi aux virements vers des bénéficiaires existants si le RIB a changé récemment.

3. Contrôle 3

   Configuration SPF, DKIM et DMARC sur votre domaine

   Ces trois enregistrements DNS empêchent les attaquants d'envoyer des emails en usurpant votre nom de domaine. DMARC en mode reject bloque l'envoi si SPF et DKIM échouent. Configuration technique, mais critique : sans elle, n'importe qui peut envoyer un email au nom de votre entreprise.

4. Contrôle 4

   Vérification systématique des changements de RIB fournisseurs

   Toute modification de coordonnées bancaires d'un fournisseur déclenche une vérification : rappel téléphonique sur l'ancien numéro connu, jamais sur le numéro fourni dans l'email de changement. Ce processus doit être documenté et systématique, sans exception.

5. Contrôle 5

   Sensibilisation ciblée de l'équipe comptable

   Un exercice de simulation de fraude au président par an minimum. Les personnes qui traitent les virements doivent avoir vu au moins un faux email convaincant et su dire non malgré la pression simulée. La formation théorique ne suffit pas.

6. Contrôle 6

   MFA sur toutes les messageries professionnelles

   La compromission d'une boite email nécessite de récupérer les credentials. La MFA bloque l'accès même si le mot de passe est volé. Sans MFA sur les boites email des dirigeants et du service comptable, vous restez exposé à la vraie BEC (compromission de messagerie).

• Contactez votre banque immédiatement pour demander un recall du virement (efficace uniquement si le virement n'a pas encore été vidé du compte destinataire).
• Déposez plainte auprès du commissariat ou de la gendarmerie avec toutes les preuves : emails, montants, coordonnées du compte destinataire.
• Signalez l'incident sur Cybermalveillance.gouv.fr -- les données remontent aux services spécialisés de la police judiciaire.
• Informez votre assureur cyber si vous avez une police en place. Certains contrats couvrent les pertes liées à la fraude au virement.
• Preservez les preuves : ne supprimez pas les emails frauduleux, notez les horodatages, conservez les logs de connexion si la messagerie a été compromise.

Vous voulez tester la résistance de votre équipe à ce type d'attaque ? Cyber Expert propose des simulations de fraude au président sur mesure. Contactez-nous pour un premier échange.