Arnaque au président : comment appliquer le double contrôle face à un ordre confidentiel

👁 111 lectures

Une instruction financière qualifiée d’absolument secrète arrive parfois par surprise sur le poste d’un gestionnaire de trésorerie. L’expéditeur affirme être le dirigeant, invoque une opération stratégique majeure et exige une exécution immédiate, tout en interdisant formellement d’en référer aux collègues ou à la hiérarchie habituelle. Face à cette situation typique du faux ordre de virement international (FOVI), communément appelé fraude au président, un principe strict documenté par les autorités nationales s’impose : le caractère confidentiel ne dispense jamais d’une contre-vérification indépendante.

L’anatomie d’un message trompeur

La Commission nationale de l’informatique et des libertés (CNIL) rappelle que ce type d’escroquerie repose sur un travail préparatoire minutieux. Les attaquants analysent l’organigramme, la chaîne de décision et les habitudes de communication de la structure ciblée afin de construire un contexte crédible. L’ingénierie sociale utilise l’urgence et l’autorité pour paralyser le sens critique du salarié.

Sur le plan technique, la fraude s’appuie couramment sur des noms de domaine contrefaits :

• Le typosquattage : l’adresse émettrice imite le domaine de l’entreprise en glissant une coquille minime, par exemple direction@entrerprise.fr au lieu de direction@entreprise.fr.
• Le cybersquattage : l’attaquant modifie l’extension géographique ou commerciale, passant d’un domaine officiel en .fr à une terminaison en .com ou .uk.
• L’usurpation de boîte interne : le pirate prend le contrôle d’une messagerie professionnelle après le vol d’identifiants et de mots de passe, envoyant la consigne depuis l’infrastructure réelle de l’entreprise.

Comme le précise le ministère de l’Économie, ces manœuvres peuvent également mobiliser des hypertrucages (deepfakes). L’usage de voix clonées au téléphone ou de séquences vidéo synthétiques lors d’un appel court vise à conforter l’illusion d’une validation directe par le président.

La méthode du contre-appel sur canal hors bande

Pour déjouer la tentative sans enfreindre les règles de sécurité internes, la vérification ne doit jamais emprunter les coordonnées indiquées dans le message suspect. La CNIL préconise de contacter en personne ou par téléphone les interlocuteurs légitimes de l’entreprise via les coordonnées déjà enregistrées dans l’annuaire officiel interne.

Voici la procédure de bureau à suivre avant toute saisie bancaire :

1. Isoler la demande : suspendre tout traitement bancaire immédiat, malgré l’insistance ou la menace d’un préjudice commercial brandie dans le courriel.
2. Inspecter l’en-tête technique : vérifier la concordance exacte du nom de domaine avec l’adresse habituelle du dirigeant. Une variation d’une seule lettre trahit une infrastructure externe.
3. Déclencher le contre-appel : composer le numéro habituel du dirigeant figurant sur la liste interne tenue à jour, ou appeler le siège de l’organisme concerné s’il s’agit d’une facture de fournisseur. Ne jamais répondre au courriel ni composer un numéro transmis dans le corps du message.
4. Vérifier les données bancaires : en cas de modification de RIB, joindre le contact fournisseur historique avant tout enregistrement dans l’outil de gestion.

Limites et mesures après incident

Le double contrôle humain trouve ses limites face à la compromission directe des comptes de messagerie ou aux clonages vocaux très élaborés. Le ministère de l’Économie recommande donc d’instaurer des mécanismes internes formalisés, tels qu’un mot de sécurité ou des règles de signature conjointe écrites, qui interdisent tout virement unilatéral sous prétexte d’urgence.

Si un ordre frauduleux a néanmoins été émis, les réflexes immédiats fixés par la CNIL et les services de l’État consistent à joindre sur-le-champ l’organisme bancaire pour bloquer les fonds, puis à modifier les mots de passe des comptes impactés. Sur le plan institutionnel, la CNIL est compétente sur les atteintes aux données personnelles mais ne verse pas de dommages et intérêts. La victime doit déposer plainte auprès de la police ou de la gendarmerie et peut signaler les escroqueries en ligne sur la plateforme Pharos.

Sources

• Le faux ordre de virement international ou « fraude au président » | CNIL
• Deepfakes (hypertrucage) et arnaques à l’intelligence artificielle : comment les repérer et vous en protéger ? | economie.gouv.fr

Kinetyra