Vous recevez un courriel de votre fournisseur le plus fiable : ils ont mis à jour leurs coordonnées bancaires, veuillez virer les 42 000 $ de la prochaine facture sur le nouveau compte. Le logo est correct, la conversation est familière, le ton est le leur, et la demande est urgente. Vous mettez à jour la fiche fournisseur, approuvez le virement et appuyez sur envoyer. Quelques jours plus tard, le vrai fournisseur appelle pour demander où est son paiement. Le compte vers lequel vous avez viré était contrôlé par un criminel qui, pendant des semaines, avait silencieusement transféré les courriels de votre fournisseur.
Ce scénario s'appelle l'escroquerie au virement interentreprises (BEC), et le FBI lui attribue plus de 3 milliards de dollars de pertes exposées au cours de la seule dernière année — soit un total sur une décennie dépassant désormais 55 milliards de dollars selon les calculs de la Réserve fédérale. La BEC n'est pas une intrusion technique au sens classique ; c'est une tromperie sur les paiements qui exploite le moment précis où une petite entreprise est la plus vulnérable : quand une personne habilitée à déplacer de l'argent fait confiance à un courriel.
Les petites et moyennes entreprises sont touchées de manière disproportionnée, non pas parce que les criminels les préfèrent, mais parce que les contrôles qui arrêtent la BEC — vérification par rappel, double approbation et discipline de la fiche fournisseur — sont ceux que les équipes réduites sautent le plus souvent.
Comment fonctionne réellement la BEC
Le Centre de traitement des plaintes pour la cybercriminalité (IC3) du FBI suit la BEC comme une catégorie aux côtés de la compromission de compte de courrier électronique (EAC). Les mécanismes sont cohérents :
- Compromission ou usurpation. L'acteur accède à un compte de courrier légitime par hameçonnage, bourrage d'identifiants ou règles de transfert de boîte aux lettres, ou il enregistre un domaine d'apparence similaire qui diffère d'un caractère. Une fois à l'intérieur, il lit les conversations pour apprendre le rythme des paiements, le langage d'approbation et qui autorise les virements.
- Manipulation d'un paiement. Il intervient dans une transaction réelle — une facture fournisseur, un fichier de paie, une clôture immobilière — et substitue ses propres instructions de paiement. Le courriel provient de l'adresse de confiance ou d'une adresse quasi identique, et il inclut souvent un sentiment d'urgence : « Nous clôturons les comptes, veuillez utiliser le nouveau compte aujourd'hui. »
- Détournement par virement ou ACH. Les fonds sont déplacés par virement ou ACH vers un compte contrôlé par l'acteur, souvent dans une banque différente de celle utilisée habituellement par le fournisseur. Au moment où le fournisseur rapproche ses comptes, l'argent a déjà été stratifié à travers plusieurs comptes.
Le FBI met en évidence cinq variantes courantes rencontrées par les petites entreprises :
- Compromission du courriel fournisseur : Le compte d'un fournisseur est piraté ; le « fournisseur » envoie des instructions de virement mises à jour.
- Usurpation du PDG : Le propriétaire ou un dirigeant semble ordonner à la finance de virer des fonds pour une affaire confidentielle. La finance obtempère sans remettre en question le dirigeant.
- Détournement de paie : Les RH reçoivent une demande qui semble provenir d'un employé pour mettre à jour les informations de dépôt direct. La paie suivante va à l'acteur.
- Fraude au virement immobilier : Un officier de clôture ou un acheteur reçoit des instructions de virement modifiées pour l'achat d'un bien — souvent le virement unique le plus important qu'une petite entreprise n'envoie jamais.
- Vol de données suivi d'une BEC : L'acteur vole d'abord les données W-2 des employés ou les données de paiement des fournisseurs, puis les utilise pour une fraude supplémentaire.
La récente perte de 545 000 $ d'une ville de Caroline du Sud à cause d'une BEC municipale — un virement unique à un fournisseur usurpé — montre que même les entités publiques avec des procédures d'achat formelles ne sont pas à l'abri lorsque la vérification est traitée comme facultative.
Pourquoi les petites entreprises perdent le plus par incident
Les pertes liées à la BEC ne sont pas réparties uniformément. Le FBI et le Laboratoire de recherche de l'armée de l'air ont tous deux noté que les petites et moyennes organisations disposant de ressources informatiques limitées sont les plus vulnérables. Les raisons sont opérationnelles, non techniques :
- La personne qui répond au courriel du fournisseur est souvent la même qui approuve les paiements, donc il n'y a pas de second regard.
- Les fiches fournisseurs sont mises à jour sur simple demande sans appel de vérification, car s'arrêter pour appeler semble plus lent que de corriger un paiement en retard.
- Les changements bancaires de paie et fournisseurs arrivent par courriel et sont traités le jour même, car l'équipe est légère et réactive — exactement les traits qu'exploite la BEC.
- L'authentification multifacteur n'est pas appliquée sur le courrier électronique, donc un seul mot de passe hameçonné donne à l'acteur un accès persistant plus la capacité de définir des règles de transfert qui conservent une copie de chaque courriel futur.
La perte médiane de BEC signalée à l'IC3 est bien supérieure à la médiane des autres cybercrimes, car la BEC cible le paiement lui-même, pas le terminal. Un seul virement réussi peut dépasser le bénéfice annuel d'une petite entreprise, et les taux de récupération chutent fortement après les premières 24 heures.
Les contrôles que le FBI affirme réellement efficaces
Le FBI, le modèle FraudClassifier de la Réserve fédérale et les directives terrain du Bureau convergent vers le même ensemble de contrôles. Aucun ne nécessite une technologie coûteuse. Tous exigent de la discipline au moment du paiement.
1. Vérifiez chaque modification des instructions de paiement hors bande
C'est le contrôle le plus efficace, et celui qui est le plus souvent omis.
Lorsqu'un courriel demande un changement de destination des fonds — nouveau numéro de compte, nouvelle banque, nouvelles instructions de virement, nouveau dépôt direct — ne répondez pas au courriel. Appelez un numéro connu au dossier, pas le numéro dans le courriel, et parlez à un contact connu pour confirmer le changement. Pour les modifications de valeur élevée, exigez à la fois un appel téléphonique et une seconde approbation en personne ou via un canal séparé.
Documentez la vérification : qui a appelé qui, à quel numéro, à quelle heure, et ce qui a été confirmé. Cette note est votre piste d'audit si la contrepartie conteste plus tard la réception.
Pour les fiches fournisseurs, ajoutez trois champs et faites-les respecter :
- Un indicateur « vérifié » qui n'est défini qu'après un rappel, avec la date de l'appel et les initiales.
- Une période de maintien pour les comptes nouveaux ou modifiés — 24 à 48 heures avant la libération du premier paiement vers le nouveau compte.
- Une interdiction de mettre à jour les coordonnées bancaires par courriel seul — exigez un formulaire signé plus un rappel pour chaque modification, sans exception.
2. Séparez le demandeur de l'approbateur
Aucune personne seule ne devrait pouvoir créer un fournisseur, modifier ses coordonnées bancaires et approuver son paiement. Même dans une équipe de trois, vous pouvez séparer les tâches :
- La personne A (souvent le propriétaire ou l'exploitation) autorise la relation fournisseur.
- La personne B (comptabilité) saisit le fournisseur et le paiement, mais ne peut pas approuver les virements au-dessus d'un seuil.
- La personne C (propriétaire ou un second gestionnaire) approuve les virements ou les changements de paie au-dessus de ce seuil.
Dans de nombreux systèmes comptables, c'est un paramètre de flux de travail, pas une question d'effectifs. Activez les seuils d'approbation pour les lots ACH et virements, et activez les alertes pour toute modification de fiche fournisseur. Si votre banque prend en charge la double approbation des virements — où un utilisateur crée le virement et un second le libère — activez-la, même si cela ajoute cinq minutes au processus.
3. Renforcez le courrier électronique — la porte d'entrée du rail de paiement
Parce que la BEC vit dans le courrier électronique, l'hygiène du courrier est l'hygiène du paiement.
- Exigez l'authentification multifacteur sur tous les comptes de courrier, en particulier la finance, les RH et le propriétaire.
- Bloquez le transfert automatique vers des adresses externes. Les directives du FBI signalent à plusieurs reprises les règles de transfert comme le mécanisme de persistance — l'acteur définit une règle pour transférer une copie de chaque courriel vers une adresse externe, puis supprime la notification de création de la règle.
- Signalez les courriels externes et les domaines d'apparence similaire. Configurez votre système de courrier pour étiqueter le courrier provenant de l'extérieur de l'organisation et pour avertir lorsque le nom d'affichage de l'expéditeur correspond à un nom interne mais que l'adresse ne correspond pas.
- Examinez les règles de transfert et de délégation trimestriellement. Cet audit de 30 secondes détecte la règle dont personne ne se souvient avoir créée.
4. Établissez un rituel de vérification de la paie
Le détournement de paie est une variante de la BEC qui contourne entièrement les contrôles fournisseurs car elle cible les RH. Traitez toute demande de modification des informations de dépôt direct comme un changement de paiement :
- Exigez que l'employé soumette le changement dans le système de paie après s'être connecté avec MFA, pas par courriel.
- Si une demande par courriel est reçue, vérifiez en appelant l'employé à un numéro au dossier des RH, pas le numéro dans le courriel, et exigez un second facteur comme la confirmation des quatre derniers chiffres du compte précédent.
- Consignez chaque changement bancaire avec un enregistrement avant-après et une note de vérification.
5. Classez et consignez correctement la fraude
Le modèle FraudClassifier de la Réserve fédérale encourage les entreprises à étiqueter les événements de fraude de manière cohérente — comment la fraude s'est produite (usurpation, prise de contrôle de compte, informations de paiement modifiées) et ce qui l'a facilitée (identifiants compromis, absence de rappel). Cette discipline n'est pas seulement pour les régulateurs. Lorsque vous consignez les tentatives de BEC — même les échouées — avec une taxonomie cohérente, vous pouvez voir des tendances : quel fournisseur est usurpé à plusieurs reprises, quel employé est ciblé à plusieurs reprises, et quel contrôle a échoué.
Si un virement part vers le mauvais compte, l'IC3 recommande une action immédiate :
- Contactez votre institution financière pour demander un rappel ou un blocage du virement.
- Contactez l'IC3 du FBI à ic3.gov (sélectionnez BEC) ou votre bureau local, en identifiant l'incident comme BEC et en fournissant les détails du virement, y compris la banque bénéficiaire et le compte.
- Conservez le courriel original avec les en-têtes complets — ne le transférez pas en ligne, ce qui supprime les en-têtes. Transférez-le en pièce jointe ou exportez le fichier .eml/.msg.
La récupération est la plus probable dans les 24 heures et chute fortement après. Plus la demande de rappel est rapide et plus les détails du virement sont complets, plus la probabilité de gel des fonds est élevée.
Une politique de vérification minimale que vous pouvez adopter cette semaine
Vous n'avez pas besoin d'une politique de 20 pages. Vous avez besoin d'une règle d'une page que tout le monde suit sans exception :
- Aucun changement de données de paiement par courriel seul. Chaque nouveau compte fournisseur ou modification d'un compte existant exige un rappel à un numéro connu plus une seconde approbation.
- Aucun virement ou ACH au-dessus de 2 500 $ sans double approbation. Ajustez le seuil à votre volume, mais gardez-le suffisamment bas pour attraper le virement BEC médian.
- Changements de paie uniquement via le portail de paie avec MFA, plus un rappel pour toute demande initiée par courriel.
- Examen mensuel des modifications de fiche fournisseur et des règles de transfert de courrier, avec signature.
- Simulation trimestrielle d'hameçonnage et de BEC pour toute personne capable de déplacer de l'argent — y compris le propriétaire.
Ajoutez ces cinq lignes à votre manuel comptable, activez les paramètres correspondants dans votre système comptable et votre portail bancaire, et vous aurez mis en œuvre les contrôles que le FBI attribue aux cas où l'argent n'a pas été perdu.
Gardez vos enregistrements de paiement vérifiables
La BEC exploite l'écart entre ce que dit votre boîte de réception et ce que prouve votre grand livre. Un grand livre discipliné — avec des fiches fournisseurs qui montrent quand les coordonnées bancaires ont été vérifiées, avec des enregistrements de paie qui montrent quand le dépôt direct a changé et comment il a été vérifié, et avec des approbations de virement qui montrent qui a libéré quoi à qui — comble cet écart. Lorsque chaque changement de paiement est traçable à un appel, un approbateur et un horodatage, le courriel seul ne peut plus déplacer l'argent.
Simplifiez votre gestion financière
La vérification des paiements n'est aussi solide que les enregistrements financiers qui la soutiennent. Beancount.io fournit une comptabilité en texte brut et versionnée où chaque fournisseur, chaque compte bancaire, chaque changement de paie et chaque approbation est transparent et auditable — afin que votre discipline de rappel soit documentée, pas seulement mémorisée. Commencez gratuitement et faites échouer votre prochaine tentative de fraude au virement à l'étape de la vérification.