Arnaques à l'usurpation de fournisseurs : protégez votre entreprise

Tactiques courantes

• • Envoi de factures avec des adresses e-mail légèrement modifiées (par exemple, [email protected] au lieu du domaine d’entreprise légitime) ou utilisation de noms de domaine imitant étroitement l’URL réelle du fournisseur, comme changer « supplier.com » en « suppIier.com » ou « supplier-inc.com ».
• • Demande urgente de redirection de paiement en raison de « changements de compte bancaire », « mises à jour système », « problèmes de conformité fiscale » ou « activités de fusion/acquisition » créant une pression temporelle et contournant les procédures normales de vérification.
• • Reproduction des communications légitimes du fournisseur en copiant les formats de factures réels, conditions de paiement, numéros de bons de commande et tarifs issus de transactions précédentes découvertes via des fuites d’e-mails ou de l’ingénierie sociale.
• • Ciblage d’employés spécifiques par des e-mails de spear-phishing faisant référence à de vrais projets, échéances ou cadres nommément cités, rendant la communication authentique et urgente.
• • Utilisation de méthodes de paiement légitimes comme les virements ACH ou bancaires vers des comptes au nom du fournisseur mais situés dans d’autres pays, rendant la récupération des fonds extrêmement difficile une fois le paiement effectué.
• • Relances multiples par e-mails ou appels provenant de fausses lignes d’assistance fournisseurs, augmentant la pression et l’urgence tout en répondant aux questions sur la fausse facture avec des détails étonnamment précis sur les opérations de l’entreprise.

Comment l'identifier

• Demandes de factures pour des montants nettement supérieurs aux paiements habituels du fournisseur, ou demandes de paiement simultané de plusieurs factures ne correspondant pas aux habitudes de facturation ou à la fréquence habituelle du fournisseur.
• Adresses e-mail ou noms de domaine presque identiques à ceux des fournisseurs légitimes mais comportant des fautes d’orthographe subtiles, des extensions différentes (.net au lieu de .com), ou utilisant des services de messagerie gratuits au lieu des domaines d’entreprise.
• Demandes soudaines de changement de méthode de paiement, d’ajout de nouveaux bénéficiaires à la liste des fournisseurs approuvés, ou de redirection des paiements vers de nouveaux comptes bancaires sans en-tête officiel, bons de commande ou approbation multipartite du fournisseur.
• Communications créant une urgence artificielle en invoquant des délais serrés, des fenêtres de maintenance système ou des opportunités de paiement uniques, surtout lorsqu’elles contournent vos processus d’approvisionnement établis.
• Montants des factures ne correspondant pas aux transactions historiques avec ce fournisseur, incluant des lignes inhabituelles ou manquant de descriptions détaillées et d’éléments normalement présents dans les factures légitimes du fournisseur.
• En-têtes d’e-mails, métadonnées ou signatures numériques invalides lorsque vous transférez les e-mails à votre équipe de sécurité informatique, ou demandes envoyées à des adresses génériques de l’entreprise plutôt qu’à la personne spécifique des comptes fournisseurs qui reçoit habituellement les communications fournisseurs.

Comment se protéger

• Mettre en œuvre des protocoles d’authentification des e-mails incluant SPF (Sender Policy Framework), DKIM (DomainKeys Identified Mail) et DMARC (Domain-based Message Authentication, Reporting and Conformance) pour détecter et signaler les e-mails usurpés provenant de fournisseurs ou d’adresses internes.
• Établir un protocole de vérification obligatoire obligeant le personnel financier à contacter directement les fournisseurs via les numéros de téléphone figurant sur les sites officiels ou les factures précédentes avant de traiter toute demande de modification de paiement, d’intégration de nouveau fournisseur ou de redirection de compte.
• Utiliser un logiciel de gestion des fournisseurs centralisant les listes de fournisseurs approuvés, les comptes de paiement et les informations de contact dans un système sécurisé nécessitant une autorisation à plusieurs niveaux avant toute modification.
• Former trimestriellement les équipes des comptes fournisseurs et financières aux tactiques d’usurpation de fournisseurs, incluant la reconnaissance du phishing, les techniques de vérification des e-mails et les procédures pour signaler les communications suspectes sans effectuer de paiement au préalable.
• Mettre en place une double validation pour tout nouveau fournisseur, virement bancaire dépassant un seuil (généralement entre 5 000 et 50 000 euros selon la taille de l’entreprise) ou changement de méthode de paiement, avec une approbation secondaire par un autre département ou manager.
• Surveiller les comptes bancaires et logiciels comptables pour détecter toute activité inhabituelle, notamment les paiements vers de nouveaux comptes, les transferts vers des banques internationales ou des montants de factures très éloignés des normes, en examinant les transactions signalées dans les 24 heures suivant leur traitement.

Cas réels

Où signaler — France

Canaux officiels de votre région pour signaler cette escroquerie.