Arnaque au président : la reconnaître et réagir

L’arnaque au président est un faux ordre de virement : un message urgent et confidentiel, présenté comme venant du dirigeant, pousse le service comptable à payer hors procédure. Elle se reconnaît à cette demande qui contourne les règles internes. Elle se bloque par une double validation et un rappel sur un numéro déjà connu.

L’arnaque au président, un virement obtenu hors procédure

Le mécanisme tient en trois pièces : une identité usurpée, un motif qui interdit d’en parler, un compte bénéficiaire inhabituel. Aucune faille logicielle n’est nécessaire. Il suffit d’une personne autorisée à déclencher un paiement et d’un contexte qui rend la vérification gênante.

La cible n’est presque jamais le dirigeant lui-même. Ce sont les personnes qui manipulent l’argent au quotidien : comptable, assistant de direction, responsable administratif et financier, parfois un salarié de la trésorerie arrivé depuis peu. Quatre raisons expliquent ce choix :

• un accès direct aux outils de paiement et l’habitude des montants importants ;
• une relation hiérarchique qui rend la contestation inconfortable ;
• une exposition publique suffisante pour être identifié depuis internet ;
• une charge de travail qui pousse à traiter vite ce qui vient d’en haut.

Toutes les tailles de structure sont concernées. La fraude au président frappe autant une PME familiale, sans procédure écrite, qu’un groupe à filiales où personne ne connaît tout le monde. Associations, cabinets et collectivités reçoivent les mêmes messages, rédigés dans un français soigné.

Comment le scénario se monte, de la reconnaissance au virement

Rien n’est improvisé. Chaque étape prépare la suivante, et la partie technique arrive en dernier.

Tout commence par la lecture de ce que vous publiez. Site institutionnel, page équipe, communiqués, profils professionnels, offres d’emploi, registre du commerce : l’organigramme se reconstitue sans effort. Le nom du dirigeant, celui du comptable, le format des adresses mail, l’identité des fournisseurs : tout sert à rendre le message suivant plausible.

Le calendrier compte autant que les noms. Un déplacement annoncé sur les réseaux, une opération de croissance en cours, une fin de trimestre chargée : la fenêtre de tir se choisit. Cette phase de repérage méthodique est la signature des groupes organisés décrits dans notre dossier sur qui est à l’origine des cyberattaques.

Vient l’usurpation du dirigeant. Trois canaux dominent : une adresse mail qui ressemble à la vraie à un caractère près, une adresse d’affichage correcte doublée d’une adresse de réponse détournée, ou un appel téléphonique direct. Quand la messagerie du dirigeant a réellement été piratée, le message part de la vraie boîte et aucune anomalie technique n’apparaît.

La voix clonée a renforcé l’appel de confirmation. Quelques secondes d’enregistrement public suffisent aux outils de synthèse vocale actuels pour produire un timbre proche. Un mail annonce l’opération, un appel la confirme, et la voix familière lève le dernier doute. Une voix ne prouve plus une identité.

Le scénario repose ensuite sur quatre ressorts constants :

• une opération présentée comme stratégique et strictement confidentielle, acquisition, litige ou contrôle en cours ;
• une autorité affichée, le dirigeant en personne, parfois relayé par un prétendu avocat ou expert mandaté ;
• une urgence comptée en heures, avec une échéance qui tombe le soir ou la veille d’un week-end ;
• une valorisation de l’interlocuteur, choisi pour sa discrétion et sa fiabilité supposées.

La pression monte par paliers : relances rapprochées, reproche voilé sur la lenteur, rappel du secret. Le virement part vers un compte ouvert à l’étranger, parfois fractionné pour rester sous les seuils d’alerte. Les fonds sont dispersés en cascade dans les heures qui suivent, ce qui commande toute la réaction.

Les variantes qui visent le même bouton de validation

Le faux ordre de virement se décline selon l’identité empruntée. Le geste attendu reste identique : un paiement validé sans contrôle croisé.

• la fraude au faux fournisseur, où un courrier annonce un changement de coordonnées bancaires sur une facture que vous réglez déjà chaque mois ;
• le faux technicien ou le faux conseiller bancaire, qui réclame un virement de test pour valider une prétendue mise à jour du système de paiement ;
• le faux avocat ou le faux auditeur, mandaté pour une opération confidentielle qui justifierait de court-circuiter les circuits habituels ;
• le faux changement de coordonnées d’un salarié, qui détourne un salaire ou un remboursement de frais.

Le whaling se confond souvent avec la fraude au président, à tort. Dans un whaling, le dirigeant est la victime visée : le message piégé lui est adressé pour voler ses accès. Dans l’arnaque au président, son identité sert d’arme contre un collaborateur. Les deux s’enchaînent volontiers, une boîte de direction compromise aujourd’hui alimentant un ordre de virement crédible demain.

Les autorités publiques convergent vers les mêmes réflexes. La fiche consacrée à l’hameçonnage par Cybermalveillance.gouv.fr recommande de ne jamais communiquer d’informations sensibles par messagerie ou par téléphone, de contacter l’organisme concerné par un canal déjà connu pour vérifier une demande, et de prévenir immédiatement sa banque en cas de fraude financière.

Du côté bancaire, ABE Info Service, le site commun de la Banque de France, de l’Autorité de contrôle prudentiel et de résolution et de l’Autorité des marchés financiers, insiste sur la vérification des coordonnées bancaires avant tout versement, sur le rappel de l’établissement concerné par ses coordonnées officielles, et sur la méfiance envers l’urgence imposée par un interlocuteur.

Pour la suite judiciaire, le service 17Cyber, porté par la police nationale, la gendarmerie nationale et Cybermalveillance.gouv.fr, propose un diagnostic guidé aux victimes et les oriente vers la conduite à tenir puis le dépôt de plainte. Aucune de ces sources ne réclame d’expertise technique : elles réclament une vérification par un second canal.

Les signaux qui doivent arrêter un virement

Un ordre frauduleux laisse des traces dans trois zones : ce qui est demandé, par où la demande arrive, vers quel compte elle pointe.

Dans la demande elle-même

• une procédure interne contournée, sans justification vérifiable ;
• une consigne de confidentialité qui vous isole de vos collègues ;
• une échéance intenable sans sauter une étape de contrôle ;
• un montant sans rapport avec les paiements habituels de la structure ;
• une flatterie appuyée ou, à l’inverse, un reproche anticipé en cas de retard.

Le critère décisif est simple : une demande légitime supporte toujours une vérification. Un dirigeant réel accepte un rappel de trente secondes. Un escroc, jamais.

Dans le canal utilisé

L’adresse d’expéditeur se lit caractère par caractère : lettre doublée, tiret ajouté, extension de domaine changée, majuscule qui imite un autre caractère. Cette analyse rejoint les sept indices détaillés dans notre guide pour reconnaître un mail de phishing.

• une adresse de réponse différente de l’adresse affichée ;
• un basculement soudain vers un numéro personnel, une messagerie instantanée ou un SMS ;
• un refus de passer par la ligne interne ou par le secrétariat ;
• un message envoyé en dehors des horaires habituels de son auteur supposé.

Dans l’IBAN et le bénéficiaire

• un compte ouvert dans un pays sans lien avec l’activité du bénéficiaire ;
• un titulaire dont le nom diffère de la raison sociale du fournisseur ;
• un changement de RIB annoncé par un simple mail ou un courrier scanné ;
• un premier versement de faible montant présenté comme un test technique ;
• un nouveau bénéficiaire créé le jour même dans l’outil bancaire.

Les parades : l’organisation d’abord, la technique ensuite

Aucun filtre ne remplace une règle écrite. La protection se joue d’abord dans le circuit de paiement, et elle tient en six points applicables dès cette semaine :

• une double validation obligatoire au-delà d’un seuil fixé par la direction, par deux personnes distinctes ;
• un rappel systématique du demandeur sur un numéro figurant dans l’annuaire interne, jamais sur celui du message ;
• une procédure de changement de coordonnées bancaires imposant une confirmation vocale auprès d’un contact déjà connu chez le fournisseur ;
• un délai de carence avant le premier paiement vers un bénéficiaire récemment créé ;
• une limitation des informations publiées, organigramme détaillé, adresses nominatives, annonces d’absence du dirigeant ;
• un droit de refus écrit noir sur blanc et réaffirmé publiquement par le dirigeant.

Ce dernier point décide du reste. Un comptable qui craint de déranger finit par payer. Une équipe qui sait la vérification attendue par sa direction résiste sans stress. Les mises en situation valent mieux qu’un règlement rangé dans un classeur : notre dossier sur la sensibilisation à la cybersécurité en entreprise détaille les formats qui tiennent dans la durée.

La technique vient en appui, avec quelques mesures qui rendent l’usurpation plus difficile :

• l’authentification des messages, avec les mécanismes SPF, DKIM et DMARC publiés puis réellement surveillés ;
• une bannière automatique signalant tout message provenant de l’extérieur de l’organisation ;
• une veille sur les noms de domaine proches du vôtre, déposés en vue d’une campagne ;
• la détection des règles de redirection automatique créées dans les boîtes mail, signe classique d’un compte compromis ;
• une alerte bancaire déclenchée à chaque ajout de bénéficiaire ou dépassement de seuil.

La messagerie de la direction et celle de la comptabilité méritent le niveau d’authentification le plus solide disponible. Une boîte piratée livre à l’attaquant le ton, les signatures, l’historique des échanges et les factures en cours. Les méthodes qui résistent vraiment au vol d’accès sont comparées dans notre article sur la double authentification.

Virement parti : la chronologie des premières heures

Le temps joue contre vous, et la fenêtre utile se compte en heures. Six actions, dans cet ordre :

1. Appelez votre banque immédiatement, signalez la fraude et demandez le rappel des fonds ainsi que le signalement du compte destinataire.
2. Prévenez la direction et la personne responsable de l’informatique, pour couper un éventuel accès frauduleux toujours actif.
3. Conservez les preuves : messages d’origine avec leurs en-têtes complets, journaux de connexion, relevés bancaires, comptes rendus écrits des appels reçus.
4. Vérifiez la messagerie concernée, règles de redirection, connexions inhabituelles, mots de passe et seconds facteurs.
5. Déposez plainte auprès de la police ou de la gendarmerie, dossier de preuves en main.
6. Prévenez le vrai fournisseur ou le vrai dirigeant dont l’identité a été utilisée, car d’autres cibles reçoivent souvent la même vague.

Le contrat d’assurance de l’entreprise se consulte le jour même : certaines garanties liées à la fraude imposent une déclaration rapide et un dépôt de plainte préalable.

Cinq erreurs reviennent dans presque tous les dossiers :

• attendre le lendemain pour appeler la banque, en espérant que le virement ne soit pas encore exécuté ;
• rappeler le numéro indiqué dans le message frauduleux pour en avoir le cœur net ;
• supprimer les messages par gêne ou par réflexe de nettoyage ;
• traiter l’incident comme une faute individuelle, ce qui garantit le silence à la prochaine tentative ;
• renoncer à la plainte parce que le montant paraît modeste ou l’auteur hors d’atteinte.

Prochaine étape concrète : rédigez en une page la procédure de validation des virements, seuil de double signature, numéro de rappel, règle de changement de coordonnées bancaires, puis faites-la signer par le dirigeant et affichez-la dans le service comptable. Une demande qui sort de cette page devient refusable sans discussion, et c’est précisément ce que l’escroquerie au virement ne supporte pas.