Arnaques par compromission de messagerie professionnelle (BEC)

Tactiques courantes

• • Usurpation d’identité de dirigeants via email usurpé : Les escrocs créent des adresses email très proches de celles du PDG ou du directeur financier, ne différant que par un ou deux caractères ('[email protected]' au lieu de '[email protected]'), ou compromettent un compte email interne légitime pour envoyer des demandes semblant provenir directement de la direction.
• • Formulation de demandes urgentes avec scénarios fabriqués : Les criminels exercent une pression sur les employés en prétendant que le virement est nécessaire pour une acquisition confidentielle, un paiement urgent à un fournisseur, un règlement juridique ou une opportunité commerciale sensible qui ne peut être discutée avec d’autres membres du personnel pour des raisons de confidentialité ou de concurrence.
• • Reconnaissance approfondie : Avant de lancer l’attaque, les escrocs passent des semaines ou des mois à étudier la structure organisationnelle, les processus financiers, les noms des employés et les actualités récentes de l’entreprise afin de formuler des demandes cohérentes avec les activités normales et faisant référence à des scénarios réalistes.
• • Demande de virement vers des comptes inattendus : L’escroc incite l’employé à envoyer des fonds vers un compte bancaire différent de celui habituellement utilisé par le fournisseur, prétextant que le fournisseur a temporairement changé de banque, que la maison mère dispose d’un nouveau portail de paiement, ou que les fonds doivent être versés sur un compte séquestre détenu par un cabinet d’avocats.
• • Blocage des tentatives de vérification : Lorsqu’on le questionne, le faux dirigeant affirme être en réunions consécutives, en déplacement à l’étranger, confronté à une urgence personnelle, ou incapable de discuter des détails par email, empêchant délibérément l’employé de vérifier la demande par les canaux habituels.
• • Tactiques d’urgence et de distraction en suivi : Les escrocs envoient des emails de relance affirmant que l’affaire est en train d’échouer, que des concurrents sont prêts à racheter la cible, ou que le fournisseur travaillera avec une autre entreprise à moins qu’un paiement immédiat ne soit effectué, maintenant ainsi la pression et empêchant toute réflexion.

Comment l'identifier

• Demande inattendue de virement de la part de la direction invoquant l’urgence ou la confidentialité : Les dirigeants légitimes utilisent rarement l’email pour demander un virement urgent sans confirmation verbale ultérieure ou procédures d’approvisionnement établies, surtout pour des destinations de paiement inhabituelles.
• Adresse email similaire mais non identique à celles des dirigeants connus : Examinez attentivement l’adresse complète — les escrocs modifient souvent une lettre ou utilisent un nom de domaine proche qui semble légitime au premier abord mais diffère du domaine officiel de l’entreprise.
• Demande d’envoi de fonds vers un compte différent de l’historique de paiement du fournisseur : Si un fournisseur habituel demande soudainement un paiement sur un nouveau compte bancaire, surtout à l’international, cela constitue un signal d’alerte majeur nécessitant une vérification indépendante.
• Pression pour contourner les procédures d’approbation normales ou garder la demande confidentielle : Les transactions commerciales légitimes suivent des workflows d’autorisation établis ; les demandes visant à contourner ces contrôles ou à cacher la transaction aux autres dirigeants indiquent une intention frauduleuse.
• Langage vague sur la raison du transfert combiné à un refus de discuter des détails : Les escrocs fournissent peu de précisions sur l’objet du transfert et refusent d’en dire plus, invoquant la confidentialité, alors que les demandes commerciales légitimes incluent généralement des bons de commande, factures ou contrats détaillés.
• Style de communication incohérent ou erreurs grammaticales dans les emails des dirigeants : Si les emails d’un dirigeant contiennent des tournures inhabituelles, des fautes de grammaire ou un ton différent de leur style habituel, cela peut indiquer un compte compromis ou usurpé.

Comment se protéger

• Établir un protocole de vérification des virements exigeant une confirmation vocale : Avant de traiter toute demande de virement, exiger que les employés appellent le demandeur en utilisant un numéro figurant dans l’annuaire interne de l’entreprise (et non un numéro fourni dans l’email) pour confirmer verbalement la demande, le montant et la destination du paiement.
• Mettre en place une approbation multifactorielle pour les virements dépassant un seuil : Exiger que les demandes de virement supérieures à un montant spécifié (10 000 €, 25 000 € ou plus selon la taille de l’entreprise) soient approuvées par au moins deux personnes autorisées, chaque approbateur vérifiant indépendamment la demande.
• Utiliser des technologies d’authentification des emails : Déployer SPF (Sender Policy Framework), DKIM (DomainKeys Identified Mail) et DMARC (Domain-based Message Authentication, Reporting and Conformance) pour empêcher l’usurpation de votre propre domaine, et former les employés à reconnaître l’absence de ces protections dans les emails externes.
• Organiser des formations régulières sur les tactiques BEC pour les équipes financières, comptables et la direction : Proposer une formation annuelle ou semestrielle de sensibilisation à la sécurité incluant des exemples réels d’arnaques BEC, des instructions sur les procédures de vérification, et des exercices de simulation où les employés s’entraînent à identifier les demandes suspectes.
• Maintenir une liste à jour des destinations de paiement autorisées et vérifier toute modification par des canaux secondaires : Tenir un registre documenté de tous les fournisseurs réguliers et de leurs coordonnées bancaires autorisées, et exiger que tout changement de destination de paiement soit vérifié directement auprès du fournisseur via un numéro connu avant traitement.
• Surveiller les usurpations de domaine et configurer des alertes email pour les activités suspectes : Utiliser des outils de sécurité email qui signalent les messages provenant d’adresses externes ressemblant fortement à des adresses internes, et configurer des alertes pour toute activité inhabituelle de virement, comme des transferts vers de nouveaux bénéficiaires ou des destinations internationales atypiques pour votre entreprise.

Cas réels

Où signaler — France

Canaux officiels de votre région pour signaler cette escroquerie.