Fraude au président et usurpation d'identité de dirigeants : quand l'ingénierie sociale vise les paiements

La fraude au président est une escroquerie dans laquelle un criminel se fait passer pour un dirigeant, généralement le PDG ou le directeur financier, et demande à un collaborateur d'effectuer un paiement, d'acheter des cartes cadeaux ou d'envoyer des données sensibles. C'est une variante de la compromission de messagerie professionnelle (business email compromise, BEC), et elle fonctionne parce qu'elle emprunte l'autorité de la personne au sommet et y ajoute de la pression : urgence, secret et un motif plausible.

L'Internet Crime Complaint Center du FBI a enregistré 24 768 plaintes pour compromission de messagerie professionnelle en 2025, avec des pertes déclarées de 3 046 598 558 $ (IC3 2025 Internet Crime Report). Le même rapport note que les outils d'IA peuvent produire rapidement des e-mails au ton officiel imitant le PDG d'une entreprise, et que le clonage de voix peut servir à demander des virements.

La défense repose moins sur la technologie que sur quelques règles fermes, appuyées par des réglages de messagerie qui rendent plus difficile l'usurpation de vos dirigeants.

À quoi ressemble une tentative typique

Le scénario change rarement :

1. Le prétexte. « Je suis en réunion avec les avocats au sujet d'une acquisition. J'ai besoin que vous vous occupiez d'un virement aujourd'hui, et merci de garder cela entre nous pour l'instant. »
2. Le canal. Un e-mail depuis une adresse qui semble correcte, un SMS d'un numéro inconnu (« mon nouveau téléphone ») ou un message vocal qui ressemble à la voix du dirigeant.
3. La pression. Des délais, de la confidentialité et le sous-entendu que poser des questions serait mal vu.
4. Le paiement. Un virement vers un nouveau compte, un lot de cartes cadeaux ou une demande de données de paie ou fiscales.

La cible est généralement une personne de la finance, de la comptabilité ou un assistant de direction, car ces personnes ont le pouvoir de déplacer de l'argent et l'habitude d'agir vite sur les demandes de la direction.

Pourquoi cela fonctionne

Les criminels étudient ce qu'un attaquant peut voir de l'extérieur : noms et fonctions sur le site web et les réseaux professionnels, déplacements annoncés sur les réseaux sociaux, format de vos adresses e-mail et liens hiérarchiques. Avec cela, un message n'a besoin que de ressembler au patron un jour chargé.

3 failles techniques facilitent la tâche :

• Votre domaine peut être usurpé. Sans politique DMARC appliquée, un message avec From: ceo@yourcompany.com peut arriver en boîte de réception alors que vos serveurs ne l'ont jamais envoyé. Voir SPF, DKIM et DMARC expliqués.
• Un domaine similaire existe. yourcornpany.com (avec « rn » au lieu de « m ») passe l'authentification parce que le criminel en est propriétaire. Plus de détails dans domaines similaires et typosquatting.
• On fait confiance aux noms affichés. Beaucoup d'applications de messagerie n'affichent que « Jane Smith, CEO » et masquent l'adresse réelle, surtout sur téléphone.

Messages vocaux et SMS

L'usurpation ne se limite plus à l'e-mail. En mai 2025, le FBI a mis en garde contre une campagne utilisant des SMS et des messages vocaux générés par IA pour se faire passer pour de hauts responsables américains, en conseillant de ne pas présumer de l'authenticité de tels messages (FBI IC3 PSA I-051525-PSA). Les mêmes techniques s'appliquent aux dirigeants d'entreprise dont la voix se trouve dans des interviews, des webinaires ou des conférences.

Conséquence pratique : une voix familière au téléphone n'est pas, à elle seule, une preuve d'identité.

Les règles qui l'arrêtent

Mettez-les par écrit et assurez-vous que chaque dirigeant les soutient ouvertement :

• Aucun paiement ni changement de coordonnées bancaires n'est validé sur un seul canal. Une demande par e-mail se confirme par téléphone, une demande par téléphone par un message dans votre messagerie interne, toujours avec des coordonnées que vous possédez déjà.
• Les dirigeants ne demandent jamais le secret autour d'un paiement. Dites-le à voix haute en réunion d'équipe. Dès que le personnel sait que le PDG ne lui demandera jamais de contourner la procédure, la phrase « gardez cela entre nous » devient un signal d'alerte.
• 2 personnes valident les nouveaux bénéficiaires et les virements importants.
• Les demandes de cartes cadeaux venant de la direction sont toujours refusées.
• Les collaborateurs qui prennent le temps de vérifier sont remerciés, jamais critiqués, même si la demande s'avère authentique.

Les réglages de messagerie à vérifier

dig +short TXT _dmarc.yourcompany.com

1. Appliquez DMARC avec p=quarantine ou p=reject, afin que les messages falsifiés au nom de votre propre domaine ne soient pas distribués.
2. Activez le marquage des expéditeurs externes dans votre système de messagerie, pour que les messages venant de l'extérieur soient clairement signalés.
3. Activez la protection contre l'usurpation des noms de dirigeants si votre solution de sécurité de messagerie le permet.
4. Exigez l'authentification multifacteur sur les boîtes des dirigeants et de la finance, car une vraie boîte compromise est l'expéditeur le plus convaincant qui soit.
5. Tenez une liste des domaines qui ressemblent au vôtre et vérifiez lesquels ont des enregistrements MX.

Si quelqu'un a déjà payé

Contactez immédiatement votre banque et demandez le rappel du virement, puis déposez une plainte sur ic3.gov. Le FBI rappelle que chaque minute compte et que l'IC3 peut aider les établissements financiers et les forces de l'ordre à récupérer les fonds (IC3 PSA I-091124-PSA). Conservez les messages d'origine avec leurs en-têtes complets pour les enquêteurs.

Une courte liste de contrôle

• Vérification sur 2 canaux pour chaque paiement ou changement de coordonnées bancaires.
• Une déclaration claire de la direction : toute demande de secret est un signal d'alerte.
• DMARC appliqué, marquage des expéditeurs externes activé.
• Authentification multifacteur sur les boîtes de la finance et des dirigeants.
• Domaines similaires identifiés et surveillés.

Comment Datahorses vous aide

Datahorses surveille votre entreprise depuis l'extérieur, comme le ferait un attaquant : nouveaux domaines qui ressemblent au vôtre, leur capacité à envoyer des e-mails, fausses pages de connexion et modifications de vos SPF, DKIM et DMARC. Une personne examine chaque constat et vous recevez des étapes concrètes à suivre. Vous pouvez voir comment cela fonctionne dans comment nous surveillons ou parcourir le tableau de bord d'exemple. Le schéma voisin des factures est expliqué dans les fausses factures envoyées au nom de votre entreprise.