Un employé reçoit un e-mail qui semble provenir exactement de votre prestataire de paie. Le logo est le bon. Le ton est le bon. Il indique que le portail RH de l'entreprise a changé de prestataire et que tout le monde doit revérifier ses informations de virement bancaire direct avant la fin de la journée. L'employé clique, se connecte avec ses véritables identifiants sur une fausse page, et deux cycles de paie plus tard, son salaire atterrit sur un compte qu'il n'a jamais vu.
Ce scénario est désormais suffisamment courant pour que l'IRS l'ait inscrit sur sa liste « Dirty Dozen » 2026 — le recensement annuel de l'agence des arnaques fiscales les plus dommageables pour les particuliers et les entreprises. Le phishing et l'usurpation d'identité dominent à nouveau la liste cette année, mais ce qui est nouveau, c'est la cible spécifique : les systèmes de paie et des ressources humaines, et non plus seulement les contribuables individuels qui déposent une déclaration.
Si vous gérez la paie, même pour une poignée d'employés, cela mérite cinq minutes de votre attention. Cette arnaque est peu coûteuse à mettre en œuvre, difficile à annuler une fois l'argent transféré, et elle vise précisément les systèmes dont dépendent le plus les petites entreprises.
Comment l'arnaque fonctionne réellement
Les arnaques classiques d'usurpation de l'identité de l'IRS cherchent à effrayer un contribuable individuel pour qu'il paie une fausse facture fiscale. La variante liée à la paie est plus discrète et plus patiente. Au lieu de vous menacer, elle usurpe l'identité de quelqu'un en qui vous avez déjà confiance — un administrateur de paie, un représentant RH ou un dirigeant de l'entreprise — et demande quelque chose qui ressemble à une formalité de routine.
Voici les versions les plus courantes :
- Une fausse notification de formulaire W-2 ou de portail. Un e-mail affirme que votre système de paie a de nouveaux documents prêts ou nécessite une réinitialisation de mot de passe, et renvoie vers une page de connexion convaincante mais frauduleuse qui capture les identifiants réels.
- Une demande massive de données. Une personne se faisant passer pour un dirigeant de l'entreprise envoie un e-mail aux RH ou au service de la paie pour demander un tableau contenant les noms des employés, leurs numéros de sécurité sociale et leurs informations W-2 — souvent programmée autour de la saison fiscale, période où ces demandes semblent plausibles.
- Une demande de changement de virement bancaire direct. Un e-mail, envoyé comme s'il provenait d'un employé ou acheminé via un compte compromis, demande au service de la paie de mettre à jour le numéro d'acheminement bancaire et le numéro de compte « avant le prochain cycle de paie ». S'il est traité en dehors de vos étapes de vérification habituelles, le prochain salaire part directement chez l'escroc.
Une fois que les attaquants disposent des identifiants de connexion ou des données des employés, ils peuvent rediriger les virements bancaires directs, déposer de fausses déclarations fiscales à l'aide de numéros de sécurité sociale volés, ou tout simplement revendre les données. Rien de tout cela ne nécessite de s'introduire dans vos systèmes — il suffit qu'un seul employé fasse confiance à un seul e-mail.
Pourquoi la paie est une cible si attrayante
Ce n'est pas une intuition — cela se voit dans les chiffres. L'Internet Crime Complaint Center (IC3) du FBI suit la compromission de messagerie professionnelle (BEC), la catégorie générale qui inclut la fraude au détournement de paie aux côtés de la fraude à la facture et de l'usurpation d'identité de dirigeants. Dans son rapport 2025 sur la cybercriminalité (Internet Crime Report), l'IC3 a enregistré 24,768 plaintes pour BEC totalisant environ $3.05 billion de pertes — contre $2.77 billion l'année précédente. Fait crucial, 86% des pertes liées au BEC ont transité par virement bancaire ou ACH, les mêmes circuits qu'empruntent les virements bancaires directs de paie, ce qui explique précisément pourquoi ces stratagèmes agissent vite et sont si rarement récupérés une fois les fonds sortis du compte.
Le détournement de paie en particulier a pour habitude d'exploser rapidement dès que des criminels trouvent un modèle qui fonctionne. Un avis antérieur de l'IC3 a révélé que les pertes signalées liées aux arnaques au détournement de paie avaient bondi de 815% en 18 mois, les réseaux de fraude ayant compris qu'une redirection réussie peut durer un ou plusieurs cycles de paie complets avant que quiconque ne s'en aperçoive — une méthode bien plus efficace qu'une arnaque à la facture ponctuelle.
Quelques raisons structurelles font de la paie une cible si vulnérable :
- Les informations sont déjà semi-publiques. Les intitulés de poste, les noms de service et les organigrammes sont faciles à trouver sur LinkedIn ou le site web d'une entreprise, ce qui permet aux escrocs de rédiger des e-mails précis et crédibles plutôt que génériques.
- La demande semble routinière. « Merci de mettre à jour mon virement bancaire direct » est une demande que le service de la paie traite en permanence, ce qui ne déclenche pas automatiquement la méfiance comme le ferait une demande de virement vers un fournisseur inconnu.
- Les employés plus jeunes et à revenus plus élevés sont ciblés de manière disproportionnée. Les employés habitués à tout gérer via des portails en libre-service sont plus susceptibles de faire confiance à une page de phishing imitant un portail, et les employés dont la rémunération est plus complexe (primes, actions, comptes multiples) constituent des cibles attrayantes et à forte valeur.
Pourquoi cette catégorie figure spécifiquement sur la liste 2026
La Dirty Dozen n'est pas une liste figée — l'IRS la remanie chaque année en fonction de ce qui fonctionne réellement pour les fraudeurs, et l'édition de cette année ajoute des demandes abusives liées aux gains en capital non distribués du formulaire 2439, aux côtés des entrées habituelles sur le phishing par QR code et les préparateurs fiscaux fantômes. Le fait que le phishing ciblant la paie soit mentionné dans le même souffle que ces arnaques de longue date est un signal à prendre au sérieux : cela signifie que l'IRS et les institutions financières avec lesquelles elle travaille observent ce schéma assez souvent, et pour des montants suffisamment élevés, pour justifier un avertissement public en dehors même de la saison fiscale.
Deux dynamiques se conjuguent actuellement. D'abord, l'IA générative a rendu triviale la production d'un e-mail de phishing impeccable, sans fautes, mentionnant le nom d'un vrai responsable et un vrai processus interne — le genre de message qui était autrefois repéré grâce à la formation « repérez les fautes de grammaire » est désormais indiscernable d'un message légitime. Ensuite, les éditeurs de logiciels de paie et de RH ont réellement changé de plateforme plus souvent ces dernières années, de sorte qu'un e-mail affirmant « votre entreprise a changé de prestataire de paie, merci de revérifier votre compte » paraît plausible plutôt que suspect. Les escrocs n'inventent pas un nouveau mensonge — ils surfent sur une tendance réelle dans la façon dont les entreprises fonctionnent aujourd'hui.
Les signaux d'alerte identifiés par les experts
Les chercheurs en sécurité qui étudient ces stratagèmes reviennent sans cesse à la même liste de contrôle en trois mots : urgence, demandes inhabituelles et changements de procédure. Toute communication de paie ou RH qui combine un délai serré avec une demande qui contourne votre étape de vérification habituelle mérite un second regard, peu importe à quel point le nom de l'expéditeur paraît légitime.
Concrètement, cela signifie qu'il faut considérer les éléments suivants comme des signaux d'alerte :
- Une demande de changement de virement bancaire direct qui arrive uniquement par e-mail, sans vérification téléphonique ou en personne
- Une pression pour agir « aujourd'hui » ou « avant le prochain cycle de paie », en particulier en dehors de votre calendrier habituel de clôture de paie
- Une demande d'export massif des données fiscales ou bancaires des employés, en particulier de la part d'une personne se prévalant d'une autorité de direction
- Des pages de connexion pour votre portail de paie qui ne correspondent pas à l'URL que vous mettez normalement en favori ou que vous saisissez directement
Comment protéger votre entreprise
La solution n'a rien d'exotique — il s'agit de discipline de processus, appliquée de façon constante, même lorsqu'une demande paraît légitime.
- Exigez un second canal de vérification pour tout changement de virement bancaire direct. Un rappel téléphonique vers un numéro connu, ou une confirmation en personne, referme la plus grande faille : un processus reposant uniquement sur l'e-mail, qu'une page de phishing peut entièrement imiter.
- Formez vos employés à reconnaître les trois signaux d'alerte ci-dessus, pas seulement « ne cliquez pas sur les liens suspects ». Une formation générique sur le phishing ne prépare pas les gens à un e-mail qui semble provenir de leur propre service RH.
- Signalez tout phishing suspecté lié à l'IRS à
[email protected]et déposez une plainte auprès de l'IC3 sur ic3.gov si de l'argent a déjà été transféré — plus une banque est prévenue tôt, meilleures sont les chances de récupérer un virement ACH avant qu'il ne soit définitivement réglé. - Restreignez qui peut approuver les changements de paie. Si votre logiciel de paie prend en charge des workflows d'approbation ou une double validation pour les changements de coordonnées bancaires, activez-les. C'est précisément un point de défaillance unique que ces arnaques sont conçues pour exploiter.
- Auditez votre liste d'accès à la paie. Les anciens employés, les anciens identifiants de fournisseurs et les identifiants partagés constituent tous des points d'entrée plus faciles qu'un piratage inédit — et plus faciles à fermer que la plupart des gens ne le pensent.
Si c'est déjà arrivé : les 72 premières heures
Si un salaire a été redirigé ou si des données de paie ont déjà été envoyées à un attaquant, la rapidité compte plus que tout le reste sur cette liste.
- Appelez immédiatement les banques émettrice et réceptrice. Les virements ACH peuvent parfois être rappelés ou gelés dans une fenêtre étroite après le règlement de la transaction — mais cette fenêtre se compte en heures et en jours, pas en semaines. N'attendez pas d'avoir un rapport d'incident écrit avant de passer cet appel.
- Verrouillez le compte ou les identifiants compromis. Si un employé a saisi ses identifiants de portail de paie sur une fausse page, réinitialisez ce mot de passe ainsi que tout autre compte où il l'a réutilisé, et vérifiez l'absence de règles de transfert d'e-mails non autorisées — un signe classique qu'une boîte de réception a été discrètement compromise avant l'envoi de la demande de paie.
- Déposez une plainte auprès de l'IC3 et prévenez l'IRS. Au-delà de
[email protected], les entreprises dont les données des employés ont été exposées devraient également consulter les recommandations de l'IRS sur le signalement des violations de données, car des numéros de sécurité sociale volés peuvent être utilisés pour déposer de fausses déclarations des mois plus tard, pas seulement immédiatement. - Informez directement les employés concernés, et pas uniquement via le même canal susceptible d'avoir été compromis. Si leurs données personnelles ont été exposées, ils pourraient avoir besoin de placer eux-mêmes une alerte de fraude ou un gel de crédit.
- Documentez tout dans votre comptabilité. Les transactions annulées, les paiements de remplacement versés à l'employé concerné et les fonds récupérés doivent tous être enregistrés avec précision — un incident de fraude qui n'est pas correctement rapproché a tendance à ressurgir des mois plus tard sous la forme d'un écart déroutant.
Gardez vos registres financiers prêts à toute éventualité
La fraude à la paie n'est pas seulement un problème de cybersécurité — c'est un problème de comptabilité dès l'instant où elle se produit. Si un salaire est redirigé, vous avez besoin de registres propres et horodatés pour chaque cycle de paie afin de déterminer précisément ce qui a changé, quand, et qui l'a approuvé. Beancount.io propose une comptabilité en texte brut qui vous offre une piste d'audit entièrement versionnée pour chaque transaction — sans boîte noire, sans dépendance à un fournisseur, et sans avoir à deviner à quoi ressemblaient vos comptes avant qu'un problème ne survienne. Commencez gratuitement et découvrez pourquoi les développeurs et les professionnels de la finance passent à la comptabilité en texte brut.