Fraude au virement et faux fournisseur : comment protéger son entreprise

Une fraude sans virus ni piratage

La fraude au virement ne demande aucune compétence technique particulière. Pas de logiciel malveillant, pas de faille à exploiter : seulement un message crédible, envoyé au bon moment à la bonne personne. C'est précisément ce qui la rend dangereuse. Aucun antivirus ne bloque un courriel poli qui demande de mettre à jour des coordonnées bancaires.

Les deux scénarios les plus fréquents

Le faux fournisseur

Le service comptable reçoit un message d'un fournisseur habituel : « Suite à un changement de banque, merci de régler nos prochaines factures sur le RIB ci-joint. » Le logo, la signature et le ton sont identiques. Souvent, le message vient même de la vraie adresse du fournisseur, dont la messagerie a été piratée. Les factures suivantes partent vers le compte du fraudeur, et l'on ne s'en aperçoit qu'à la relance du vrai fournisseur, des semaines plus tard.

Le faux dirigeant

Un comptable reçoit un message du directeur général, ou un appel de quelqu'un qui en imite la voix : une opération confidentielle, un rachat en cours, un virement à faire aujourd'hui et sans en parler à personne. L'urgence et le secret sont les deux leviers : ils empêchent la victime de vérifier.

Les signaux d'alerte

• Un changement de coordonnées bancaires, quel que soit le prétexte.
• Une urgence inhabituelle, associée à une demande de discrétion.
• Un canal inhabituel : une messagerie personnelle, un numéro inconnu, une adresse légèrement différente.
• Un pays ou une banque sans rapport avec l'activité du fournisseur.
• Une pression pour contourner la procédure : « pas le temps de faire signer », « je valide moi-même ».

La procédure qui arrête presque tout

La protection la plus efficace n'est pas technique : c'est une règle écrite, connue de tous et appliquée sans exception.

1. Tout changement de RIB est vérifié par un appel au fournisseur, sur le numéro déjà connu, jamais sur celui qui figure dans le message.
2. Tout virement inhabituel demande deux validations, par deux personnes différentes.
3. Aucune demande reçue par messagerie ne dispense de la procédure, quel que soit son auteur.

Cette règle protège aussi le comptable : face à un faux dirigeant pressant, il peut répondre « je dois appliquer la procédure », sans avoir à mettre en doute la parole de son supérieur.

Les mesures techniques qui complètent

• La double authentification sur la messagerie, pour qu'un mot de passe volé ne suffise pas à prendre le contrôle d'une boîte.
• Un filtrage de la messagerie qui signale les adresses ressemblantes et les messages venant de l'extérieur.
• La sensibilisation régulière des équipes comptables et des assistants de direction, les premiers visés.

Si le virement est déjà parti

Chaque heure compte. Appelez immédiatement votre banque pour demander le blocage ou le rappel des fonds, puis déposez plainte. Prévenez le fournisseur dont l'identité a été usurpée : sa messagerie est peut-être compromise, et d'autres clients peuvent être visés. Enfin, changez les mots de passe des boîtes concernées.

Pour reconnaître les messages piégés, voir aussi notre guide reconnaître un email d'hameçonnage. Nous accompagnons les entreprises marocaines dans la protection de leur messagerie : contactez-nous.