L'e-mail est exactement tel qu'il devrait être. Il provient de l'adresse réelle de votre PDG, dans un fil de discussion qui fait référence à une transaction réelle en cours, demandant à votre contrôleur de virer 47 000 $ à un fournisseur avant la fin de la journée parce qu'une échéance est serrée et "Je suis en réunions successives, veuillez simplement vous en occuper." Rien ne semble suspect. Le ton correspond. L'urgence correspond. Les fautes de frappe ont disparu — l'ère de l'anglais de phishing comiquement mauvais est révolue.
Vingt minutes plus tard, l'argent a disparu, et le PDG n'a jamais envoyé cet e-mail.
Il s'agit de la fraude au président (Business Email Compromise, ou BEC), et c'est désormais la catégorie de cybercriminalité la plus coûteuse signalée au FBI — plus importante que les rançongiciels, plus importante que les violations de données. Rien qu'en 2025, le Centre de plaintes pour la criminalité sur Internet du FBI a enregistré près de 25 000 plaintes BEC totalisant un peu plus de 3 milliards de dollars de pertes déclarées, contre 2,77 milliards de dollars l'année précédente. Au cours de la dernière décennie, les pertes cumulées déclarées dues au BEC ont dépassé 17 milliards de dollars, soit une augmentation de plus de dix fois depuis 2015. Et contrairement à une carte de crédit volée, un virement frauduleux est souvent perdu pour de bon dès qu'il est compensé — environ 86 % des pertes BEC passent par virement bancaire ou ACH, qui sont tous deux réglés rapidement et sont brutalement difficiles à récupérer une fois que les fonds atterrissent sur le compte du fraudeur et sont à nouveau déplacés.
Les petites et moyennes entreprises sont exposées de manière disproportionnée. Elles gèrent de l'argent réel via les comptes fournisseurs chaque semaine, mais elles disposent rarement des contrôles de vérification en couches qu'un grand département de trésorerie d'entreprise tient pour acquis. Cet écart — flux de trésorerie réels, contrôles minces — est exactement ce que les escrocs du BEC sont conçus pour exploiter.
Comment l'arnaque fonctionne réellement
La fraude au président (BEC) n'est pas vraiment un problème de piratage. C'est un problème de confiance, et c'est ce qui la rend si efficace contre des personnes bien intentionnées et occupées. Les mécanismes se répartissent généralement en quelques modèles :
Usurpation d'identité d'un dirigeant. Un message qui semble provenir d'un fondateur, d'un PDG ou d'un directeur financier — parfois d'un compte réel mais compromis, parfois d'un domaine usurpé ou similaire (votreentreprise-inc.com au lieu de votreentreprise.com) — ordonne à quelqu'un du service financier d'effectuer un virement urgent et confidentiel. Le cadre d'urgence et de confidentialité fait le travail : il décourage le destinataire de vérifier auprès de quiconque avant d'agir.
Usurpation d'identité de fournisseur. Un e-mail qui semble provenir d'un fournisseur réel et existant informe votre équipe des comptes fournisseurs que "notre banque a changé" et fournit de nouvelles instructions de virement pour le prochain paiement de facture. Cette variante est particulièrement dangereuse car la facture elle-même est souvent complètement légitime — montant réel, travail réel effectué — avec seulement le compte de destination remplacé. Votre équipe paie une facture qu'elle doit réellement, mais au mauvais endroit.
Prise de contrôle de compte compromis. Plutôt que d'usurper une adresse e-mail, l'attaquant obtient un accès réel à une véritable boîte aux lettres — celle d'un fournisseur, d'un partenaire, parfois d'un employé — via une attaque de phishing antérieure ou une fuite d'identifiants. Depuis l'intérieur d'un fil de discussion légitime et précédemment fiable, il insère une demande de paiement ou redirige une conversation de facture en cours. Étant donné que l'e-mail provient véritablement du compte réel, les contrôles techniques d'authentification des e-mails ne le détecteront pas ; seul un processus humain le fera.
Détournement de paie. Un message usurpant l'identité d'un employé demande aux RH ou au service de paie de mettre à jour les détails de dépôt direct avant la prochaine exécution de la paie, redirigeant discrètement un chèque de paie (ou plusieurs) vers un compte que l'employé ne contrôle pas.
Ce qui relie tous ces éléments, c'est qu'aucun d'entre eux ne nécessite d'intrusion dans vos systèmes. Ils nécessitent de trouver une personne, lors d'une journée chargée, qui fasse suffisamment confiance à un e-mail pour sauter une étape de vérification qu'elle aurait autrement effectuée.
Les contrôles qui l'arrêtent réellement
La bonne nouvelle : la fraude au président (BEC) est vaincue presque entièrement par les processus, et non par la technologie. Une petite entreprise n'a pas besoin d'un centre d'opérations de sécurité — elle a besoin d'une courte liste de règles à suivre à chaque fois, sans exception pour "mais celui-ci semblait urgent et légitime".
1. Vérification par rappel pour toute modification de détail de paiement
C'est le contrôle le plus précieux que vous puissiez mettre en place, et il ne coûte rien d'autre que de la discipline. Toute demande de modification du compte bancaire d'un fournisseur, des instructions de virement ou du contact de paiement — quelle que soit la manière dont elle arrive, quelle que soit la personne dont elle semble provenir — doit être vérifiée par téléphone avant d'y donner suite. De manière critique, ce rappel doit être effectué vers un numéro de téléphone déjà enregistré dans vos fiches fournisseurs, jamais un numéro fourni dans l'e-mail ou le texte faisant la demande. Si la seule façon de "confirmer" le changement est de répondre au même fil de discussion ou d'appeler le numéro dans la signature, vous n'avez rien vérifié — vous avez simplement demandé au fraudeur de se confirmer lui-même.
2. Double approbation pour les paiements sortants au-dessus d'un certain seuil
Aucune personne — quel que soit son titre — ne devrait être en mesure d'initier et d'approuver un virement bancaire de manière unilatérale au-dessus d'un montant prédéfini. Un deuxième regard indépendant sur les détails du paiement avant le décaissement permet de détecter le schéma de fraude presque à chaque fois, car le deuxième vérificateur n'opère pas sous la même urgence fabriquée que la personne qui a reçu la demande initiale. Fixez le seuil suffisamment bas pour être pertinent pour la taille de votre entreprise ; un virement de 47 000 $ est exactement le genre de montant de taille moyenne, plausible, que les escrocs du BEC privilégient parce qu'il est facilement compensé sans déclencher un examen bancaire supplémentaire.
3. Traitez l'urgence et la confidentialité comme des signaux d'alarme, non comme des instructions
« Gérer cela discrètement », « n'impliquer personne d'autre », « j'ai besoin que ce soit fait avant mon vol » — ces phrases existent également dans les communications commerciales légitimes, c'est précisément pourquoi les escrocs s'appuient sur elles. Formez votre équipe à considérer la pression exercée pour contourner le processus normal comme une raison de ralentir et de vérifier, et non de se précipiter. Un dirigeant légitime, réellement pressé, ne sera pas contrarié si vous avez confirmé un virement bancaire par téléphone avant de l'envoyer.
4. Sécurisez les modifications du fichier principal des fournisseurs
Les modifications apportées aux enregistrements de paiement de vos fournisseurs — nouveau compte bancaire, nouvelle adresse de remise, nouveau contact principal — méritent le même examen minutieux que les paiements eux-mêmes. Exigez un second approbateur pour toute modification du fichier principal des fournisseurs, et envisagez une courte période de latence entre le moment où une modification est saisie et celui où elle prend effet pour le prochain cycle de paiement, donnant ainsi à un second réviseur le temps de détecter toute erreur.
5. Surveillez le domaine, pas seulement le nom
Formez votre équipe à vérifier le domaine d'envoi réel pour toute communication impliquant de l'argent, et non seulement le nom affiché (qui est facile à falsifier). Un message de "John Smith, PDG" mérite un second examen si l'adresse sous-jacente est john.smith@yourcompany-corp.com au lieu de john.smith@yourcompany.com. Côté technique, assurez-vous que votre propre domaine a SPF, DKIM et DMARC configurés — cela n'empêche pas quelqu'un de vous usurper, mais cela empêche les attaquants d'usurper avec succès votre domaine pour frauder vos propres fournisseurs et clients.
6. Instaurer une culture "si cela déplace de l'argent, cela doit être vérifié" — et simplifier le processus
Les contrôles ci-dessus ne fonctionnent que si les gens les respectent réellement sous la pression, ce qui signifie que l'étape de vérification doit être rapide et normalisée, et non un détour ennuyeux. Maintenez une liste de contacts fournisseurs à jour et facilement accessible avec des numéros de téléphone vérifiés. Faites de l'étape de rappel une partie normale et attendue du flux de travail de paiement, plutôt que quelque chose qui donne l'impression d'accuser un collègue d'avoir été escroqué. Les entreprises les plus touchées sont généralement celles où le processus existait techniquement sur papier, mais où personne ne l'a réellement suivi au moment où cela comptait.
Que faire si cela s'est déjà produit
Si un virement frauduleux est effectué, la rapidité est le seul levier qui vous reste. Contactez immédiatement le service des fraudes de votre banque et demandez un rappel ou un blocage du virement — les banques peuvent parfois intercepter des fonds qui ne sont pas encore entièrement réglés ou compensés par l'institution réceptrice, mais seulement dans une fenêtre de temps limitée. Déposez une plainte auprès du Centre de plainte pour la cybercriminalité du FBI (IC3.gov) dès que possible ; l'équipe de recouvrement d'actifs de l'IC3 a, dans certains cas, aidé à geler et à récupérer des fonds lorsqu'elle a été notifiée rapidement. Chaque heure compte — plus le signalement est précoce, meilleures sont les chances d'intercepter l'argent avant qu'il ne soit déplacé à nouveau.
Faites de votre grand livre un contrôle, pas seulement un enregistrement
Chacun de ces contrôles dépend de la capacité à répondre rapidement à des questions fondamentales : qui a approuvé ce paiement, quelles étaient les coordonnées bancaires du fournisseur avant le "changement", et cette transaction correspond-elle à un modèle que nous avons déjà payé ? C'est beaucoup plus difficile lorsque vos livres sont un mélange d'exportations bancaires, de feuilles de calcul et d'approbations à moitié mémorisées — et beaucoup plus facile lorsque chaque transaction se trouve dans un seul endroit vérifiable et versionné.
Beancount.io conserve l'historique complet de vos paiements dans un grand livre en texte brut avec un historique de modifications complet, de sorte que la vérification du véritable enregistrement de paiement d'un fournisseur — au lieu de faire confiance à l'e-mail qui vient d'arriver — prend quelques secondes, et non une recherche laborieuse dans d'anciens relevés. Commencez gratuitement et donnez à votre processus de comptes fournisseurs la trace écrite qui rend la fraude BEC facile à détecter et difficile à cacher.