Fraude au PDG : Comment les escrocs usurpent l'identité des dirigeants

Tactiques courantes

• • Envoi d'e-mails depuis des adresses usurpées ou très similaires à celles du PDG ou du directeur financier, souvent avec une différence d’un caractère ou utilisant des noms de domaine proches comme « companynme.com » au lieu de « company.com ».
• • Création d’un sentiment d’urgence artificiel en évoquant une acquisition confidentielle, un virement bancaire d’urgence ou une affaire commerciale sensible dans le temps nécessitant une action immédiate avant les heures normales de travail ou en contournant les procédures habituelles de vérification.
• • Demande de virements vers des comptes bancaires nouvellement ouverts, des portefeuilles de cryptomonnaies ou des comptes offshore, souvent déguisés en paiements fournisseurs, primes aux employés ou frais de règlement qui paraissent plausibles au personnel financier.
• • Utilisation de renseignements collectés sur LinkedIn, les sites web de l’entreprise et les réseaux sociaux pour mentionner des employés spécifiques, des projets ou des détails financiers qui rendent la demande crédible et bien informée.
• • Instruction aux victimes de garder un secret absolu et d’éviter de discuter de la transaction avec d’autres employés, sous prétexte que l’affaire est confidentielle en raison de négociations d’acquisition, de questions réglementaires ou juridiques.
• • Relance par e-mails ou appels supplémentaires de la part de « avocats » ou « comptables » se faisant passer pour des tiers qui renforcent l’urgence et la légitimité de la demande financière.

Comment l'identifier

• E-mails de dirigeants demandant des virements inhabituels, notamment vers de nouveaux fournisseurs ou comptes, ou demandant de contourner les processus standards d’approbation des paiements sans justification commerciale claire.
• Adresses d’expéditeur presque identiques à celles des dirigeants connus mais comportant des variations subtiles d’orthographe, des extensions de domaine alternatives ou utilisant des services de messagerie externes au lieu des domaines de l’entreprise.
• Demandes marquées comme hautement confidentielles, urgentes ou sensibles au facteur temps avec des instructions d’éviter de discuter de l’affaire avec la comptabilité, le service juridique ou d’autres départements qui vérifieraient normalement ces transactions.
• Incohérences dans la grammaire, le ton ou la mise en forme des e-mails des dirigeants, telles que des tournures inhabituelles, l’absence d’informations de contact ou l’absence de signatures électroniques standard utilisées habituellement par la direction.
• Demandes de virements vers des fournisseurs inconnus, de nouveaux bénéficiaires ou des comptes dans d’autres pays, en particulier lorsque le dirigeant demandeur communique habituellement par d’autres canaux ou n’a jamais demandé de virements auparavant.
• Communications de suivi de la part de prétendus avocats, comptables ou associés commerciaux qui ajoutent de la pression et de la légitimité en confirmant les détails de la transaction ou en fournissant de faux documents juridiques.

Comment se protéger

• Établir des protocoles de vérification obligatoires pour tous les virements et transferts de fonds dépassant un seuil spécifié (10 000 € et plus), exigeant une confirmation verbale via un numéro de téléphone connu, et non celui fourni dans l’e-mail.
• Créer une liste d’entreprise des adresses e-mail et des préférences de communication de tous les dirigeants, et former les employés à vérifier les demandes par des canaux alternatifs (appel téléphonique vers un numéro connu, vérification en personne ou e-mail secondaire).
• Mettre en place une authentification multifactorielle sur tous les comptes e-mail, en particulier ceux ayant un accès financier, et activer les normes d’authentification de domaine e-mail (SPF, DKIM, DMARC) pour empêcher l’usurpation d’adresse.
• Établir une politique exigeant que les demandes de virement soient toujours approuvées par au moins deux employés de départements différents, avec des traces d’approbation documentées séparées des communications par e-mail.
• Organiser des formations régulières de sensibilisation à la sécurité spécifiquement axées sur la fraude au PDG, incluant des simulations d’e-mails de phishing et des scénarios testant la capacité des employés à identifier les communications usurpées et à suivre les procédures de vérification.
• Surveiller les activités anormales des comptes, telles que les règles de transfert d’e-mails, les connexions depuis des lieux inattendus ou l’accès de nouveaux appareils aux comptes des dirigeants, pouvant indiquer une compromission avant la fraude.

Cas réels

Questions fréquentes

Où signaler — France

Canaux officiels de votre région pour signaler cette escroquerie.