Fraude au président: comment les PME perdent des centaines de milliers d’euros en un virement

500 millions d’euros volés aux entreprises françaises en un an

Un email arrive dans la boîte du responsable comptable. L’expéditeur semble être le directeur général, son nom, son prénom, parfois même son style d’écriture. Le message est court, confidentiel, urgent : une acquisition stratégique est en cours de finalisation, un virement de 180 000 € doit être effectué avant ce soir sur un compte en Hongrie. Le DG est en déplacement et injoignable. La comptable, sous pression, effectue le virement. L’argent disparaît en quelques heures vers des comptes relais à l’étranger. Il ne reviendra jamais.

Ce scénario se répète des centaines de fois par an en France. La fraude au président, également appelée Business Email Compromise (BEC) ou arnaque au faux ordre de virement (FOVI), est aujourd’hui la cybermenace qui génère les pertes financières directes les plus importantes pour les entreprises françaises. Selon le FBI, les pertes mondiales liées au BEC ont dépassé 55 milliards de dollars entre 2013 et 2023. En France, la gendarmerie nationale estime les pertes à plusieurs centaines de millions d’euros par an, dont une large part concerne des PME qui n’en parlent jamais publiquement.

Contrairement au ransomware qui paralyse les systèmes informatiques, la fraude au président ne nécessite aucune intrusion technique. Elle n’exploite pas une faille logicielle mais une vulnérabilité humaine : la confiance, l’autorité hiérarchique et l’urgence. C’est pourquoi elle est si difficile à détecter et si dévastatrice financièrement.

Comment fonctionne la fraude au président : les quatre scénarios types

La fraude au président n’est pas une attaque unique mais une famille d’escroqueries qui partagent le même mécanisme : l’usurpation d’une identité de confiance pour déclencher un virement ou une divulgation d’informations sensibles. Voici les quatre variantes les plus fréquentes en France.

1. L’usurpation de l’identité du dirigeant

C’est le scénario classique qui a donné son nom à l’arnaque. Un attaquant envoie un email semblant provenir du PDG, du DG ou du directeur financier à la comptabilité ou aux services financiers. Le prétexte est toujours une opération confidentielle et urgente : acquisition d’une entreprise concurrente, règlement d’un contentieux juridique sensible, opération à ne pas divulguer aux autres employés. L’urgence et la confidentialité sont les deux leviers psychologiques centraux, ils empêchent la victime de prendre le temps de vérifier et de consulter ses collègues.

2. La fraude au faux fournisseur

Dans cette variante, l’attaquant usurpe l’identité d’un fournisseur habituel de l’entreprise. Un email, qui semble authentique, informe le service comptable d’un changement de RIB : « Suite à notre changement de banque, merci de bien vouloir mettre à jour nos coordonnées bancaires pour les prochains règlements. » Les prochaines factures légitimes du fournisseur sont alors réglées sur le compte frauduleux. Cette variante est particulièrement sournoise car elle peut passer inaperçue pendant plusieurs mois, le fournisseur réel relançant simplement pour non-paiement, sans que la victime comprenne immédiatement ce qui s’est passé.

3. La compromission de messagerie (BEC avancé)

Dans les attaques les plus sophistiquées, l’attaquant ne se contente pas d’usurper une adresse email, il prend réellement le contrôle de la boîte mail d’un dirigeant ou d’un commercial, après avoir volé ses identifiants. Il peut alors lire les échanges en cours, répondre depuis la vraie adresse, et s’insérer dans une conversation commerciale existante pour détourner un paiement à venir. Cette technique, appelée « Man-in-the-Mailbox », est indétectable si l’on vérifie uniquement l’adresse email de l’expéditeur. Elle représente une part croissante des fraudes BEC en 2025-2026.

4. La fraude au faux juriste ou notaire

Un email d’un prétendu notaire, avocat ou représentant d’une autorité de régulation (AMF, Banque de France) annonce une opération légale urgente nécessitant un virement immédiat : séquestre, provision sur procédure judiciaire, régularisation fiscale. La mise en scène est soignée, faux documents officiels, faux numéros de référence, faux numéros de téléphone redirigeant vers des complices. Cette variante cible souvent les dirigeants eux-mêmes plutôt que les services comptables.

La phase de reconnaissance : comment les attaquants préparent l’arnaque

La fraude au président n’est pas une attaque au hasard. Elle est précédée d’une phase de reconnaissance minutieuse qui peut durer plusieurs semaines. Les attaquants collectent des informations sur votre entreprise depuis des sources entièrement publiques et légales.

Les sources d’information exploitées

LinkedIn est la principale mine d’or des fraudeurs. Votre organigramme y est souvent partiellement visible : qui est le DG, qui est le DAF, qui gère la comptabilité, qui a la délégation de signature. Les profils LinkedIn révèlent aussi les absences, conférences, déplacements professionnels annoncés dans les posts, que les attaquants exploitent pour choisir le moment idéal de l’attaque (quand le dirigeant usurpé est « injoignable »).

Le registre du commerce (INPI, Pappers) fournit gratuitement les noms des dirigeants, la structure juridique, les comptes annuels et parfois les relations capitalistiques. Le site web de l’entreprise expose souvent les noms, fonctions et emails des collaborateurs. Les communiqués de presse révèlent les opérations en cours, acquisitions, levées de fonds, partenariats, que les fraudeurs utilisent comme prétextes crédibles. En combinant ces sources, un attaquant peut construire une mise en scène extrêmement convaincante en quelques heures.

L’accélération par l’IA générative

Depuis 2024, les outils d’IA générative permettent aux fraudeurs de personnaliser leurs emails à une échelle industrielle. Un outil peut analyser les publications LinkedIn et les emails publics d’un dirigeant pour reproduire son style d’écriture avec une précision troublante. Les deepfakes audio, générés à partir de quelques secondes d’enregistrement vocal disponible en ligne, permettent désormais de simuler un appel téléphonique du dirigeant pour « confirmer » l’ordre de virement, rendant la vérification téléphonique classique insuffisante si l’on ne rappelle pas sur le numéro officiel de l’entreprise.

Les signaux d’alerte à reconnaître absolument

Toute demande de virement frauduleuse présente en général plusieurs des caractéristiques suivantes. Former vos équipes à les reconnaître est votre première ligne de défense.

• L’urgence absolue : « avant ce soir », « dans l’heure », « c’est critique ». L’urgence est le principal outil de manipulation, elle court-circuite le raisonnement et empêche la vérification.
• La confidentialité imposée : « n’en parlez à personne », « c’est une opération sensible », « votre discrétion est essentielle ». Cette instruction isole la victime et l’empêche de consulter ses collègues.
• Le dirigeant injoignable : l’expéditeur est présenté comme en réunion, en déplacement, en avion, sans accès à son téléphone habituel, ce qui rend impossible la vérification directe.
• Un compte bancaire inhabituel : coordonnées bancaires à l’étranger (mais pas nécessairement, les fraudes utilisant des comptes français existent), ou différentes de celles habituellement utilisées.
• Une adresse email légèrement modifiée : maxime.dupont@monentreprise-fr.com au lieu de maxime.dupont@monentreprise.fr ; une lettre changée, un tiret ajouté, un domaine sosie (homoglyphe).
• Un contexte inhabituel : une opération dont personne d’autre dans l’entreprise n’est au courant, un montant supérieur aux plafonds habituels, un bénéficiaire jamais vu auparavant.

Comment protéger votre PME : procédures et mesures techniques

La double validation systématique des virements

La mesure la plus efficace, et la plus simple, est l’instauration d’une procédure de double validation obligatoire pour tout virement dépassant un seuil défini (par exemple 3 000 €). Deux personnes différentes doivent approuver le virement : la personne qui l’initie et une seconde qui le valide. Cette procédure doit s’appliquer sans exception, y compris, et surtout, lorsque l’ordre vient du dirigeant lui-même et même en cas d’urgence invoquée. Une règle qui souffre des exceptions ne protège pas.

La vérification systématique par rappel téléphonique

Pour tout changement de coordonnées bancaires d’un fournisseur ou toute demande de virement inhabituelle, la règle absolue est de rappeler le demandeur sur un numéro connu et officiel, jamais sur un numéro fourni dans l’email suspect. Le numéro doit être celui répertorié dans votre système d’information interne ou sur le site officiel de l’entreprise concernée, pas celui indiqué dans le message reçu. Cette vérification doit être documentée : noter la date, l’heure, le numéro appelé et le nom de la personne qui a confirmé.

À l’ère des deepfakes audio, même cette vérification téléphonique peut être insuffisante si vous appelez un numéro fourni par le fraudeur. La solution est d’utiliser un mot de passe de sécurité convenu à l’avance avec vos partenaires financiers clés, que seules les deux parties connaissent ; un code verbal simple que le fraudeur ne pourrait pas connaître.

La politique de gestion des changements de RIB

Instaurez une procédure formelle et inviolable pour les changements de coordonnées bancaires fournisseurs : tout changement de RIB doit être demandé par courrier ou email et confirmé par téléphone sur le numéro figurant dans votre base fournisseurs, validé par deux personnes distinctes, et soumis à un délai de traitement minimum (48 à 72 heures) pendant lequel aucun paiement n’est effectué sur les nouvelles coordonnées. Ce délai seul élimine une large partie des fraudes qui reposent sur l’urgence.

Sécuriser la messagerie pour prévenir la compromission

Puisque les attaques BEC avancées reposent sur la compromission réelle de boîtes mail, la sécurisation de votre messagerie est un pilier essentiel de la protection. En pratique, cela signifie : MFA activé sur tous les comptes de messagerie sans exception (notamment les comptes dirigeants et financiers), SPF, DKIM et DMARC configurés sur votre domaine pour rendre difficile l’usurpation de votre propre adresse email, et surveillance des connexions inhabituelles (connexions depuis des pays étrangers, depuis des adresses IP inconnues). Un attaquant qui ne peut pas accéder à votre messagerie ne peut pas mener d’attaque BEC sophistiquée depuis l’intérieur.

La formation ciblée des équipes financières

Les services comptables et financiers sont les cibles directes de la fraude au président. Ils doivent faire l’objet d’une formation spécifique qui va au-delà de la sensibilisation générale : simulations de tentatives de fraude au président, jeux de rôle sur les procédures de vérification, droit à refuser un virement en cas de doute sans craindre de représailles hiérarchiques. Ce dernier point est crucial : un employé qui a peur de « décevoir » son dirigeant en refusant de faire un virement urgent est une cible idéale. La culture d’entreprise doit clairement établir que le refus de procéder à un virement non vérifié est un acte courageux et valorisé, pas un manque de réactivité.

Les mesures techniques complémentaires

En complément des procédures organisationnelles, plusieurs mesures techniques réduisent significativement le risque de fraude au président.

• Filtrage anti-usurpation sur la messagerie : les solutions de sécurité email modernes (Proofpoint, Microsoft Defender for Office 365, Mimecast) incluent des filtres qui détectent les domaines sosies et les tentatives d’usurpation d’identité par similarité visuelle.
• Alertes sur les virements inhabituels : rapprochez-vous de votre banque pour activer des alertes automatiques sur les virements dépassant un certain montant ou vers des bénéficiaires jamais utilisés. De nombreuses banques professionnelles proposent des services de validation renforcée pour les virements internationaux.
• Annuaire interne sécurisé : maintenez un annuaire interne à jour des numéros de téléphone officiels de vos fournisseurs, accessibles hors messagerie. En cas de doute sur un email, cet annuaire est votre référence ; pas les coordonnées fournies dans le message suspect.
• Journalisation des connexions à la messagerie : activez les logs de connexion dans Microsoft 365 ou Google Workspace pour détecter rapidement toute connexion inhabituelle à un compte dirigeant ou financier.

Que faire si votre PME a été victime d’une fraude au président ?

Chaque minute compte. La rapidité de réaction dans les premières heures est déterminante pour les chances de récupérer les fonds.

Dans les premières heures : la course contre la montre

1. Contactez immédiatement votre banque pour demander le rappel du virement (procédure de « recall »). Si le virement est encore en traitement ou vient d’être exécuté, une intervention rapide peut parfois permettre de bloquer les fonds avant qu’ils ne soient transférés vers un compte relais. Chaque heure perdue réduit drastiquement les chances de récupération.

2. Contactez la banque destinataire si vous connaissez les coordonnées du compte frauduleux, votre banque peut vous aider à initier ce contact. En Europe, le règlement bancaire prévoit des mécanismes de coopération entre établissements pour le blocage des fonds frauduleux.

3. Déposez plainte immédiatement auprès de la gendarmerie ou du commissariat de police le plus proche, en précisant qu’il s’agit d’une fraude au virement. Demandez explicitement la référence de votre plainte, elle sera nécessaire pour votre assureur et pour les démarches bancaires. Signalez également les faits sur la plateforme Pharos (signalement.gouvernement.fr) et contactez le service Thésée de la police nationale dédié aux escroqueries en ligne.

Dans les jours suivants : limiter les dommages et en tirer les leçons

Contactez votre assureur rapidement, certaines polices d’assurance cyber couvrent les pertes liées à la fraude au virement, mais les délais de déclaration sont souvent courts. Mandatez un expert en cybersécurité ou forensique pour déterminer si la fraude a impliqué une compromission réelle de votre messagerie (auquel cas il faut sécuriser l’ensemble du système d’information). Communiquez en interne avec les équipes concernées, sans stigmatisation, et mettez immédiatement en place les procédures de validation que vous n’aviez pas encore instaurées.

La fraude au président et l’assurance cyber : ce qu’il faut vérifier

Toutes les polices d’assurance cyber ne couvrent pas la fraude au virement, il existe une distinction contractuelle importante entre les pertes dues à une intrusion informatique et les pertes dues à une manipulation humaine. Avant de souscrire ou de renouveler votre assurance cyber, vérifiez explicitement que votre contrat couvre :

• La fraude au virement par ingénierie sociale (social engineering fraud), même sans intrusion informatique avérée
• La compromission de messagerie professionnelle (BEC)
• Les frais de gestion de crise et d’investigation forensique en cas d’incident
• Les pertes consécutives à une usurpation d’identité fournisseur

Le montant des primes reste accessible pour les PME ; comptez entre 1 500 et 5 000 € par an pour une couverture sérieuse selon votre taille et votre exposition. C’est le coût d’un seul virement frauduleux moyen.

Conclusion : la fraude au président se combat avec des procédures, pas des technologies

La fraude au président est l’une des rares cybermenaces pour lesquelles la technologie seule ne suffit pas. Aucun antivirus, aucun pare-feu, aucun système de détection ne peut empêcher un employé bien intentionné d’effectuer un virement sur instruction d’un email convaincant. La protection repose sur des procédures organisationnelles claires, appliquées sans exception : double validation des virements, vérification téléphonique systématique sur numéro officiel, délai obligatoire pour les changements de RIB, et culture d’entreprise qui valorise le questionnement plutôt que l’obéissance aveugle.

Ces procédures ne coûtent rien à mettre en place, elles nécessitent seulement de la rigueur et une communication claire auprès de toutes les équipes concernées. Commencez dès aujourd’hui par rédiger votre procédure de validation des virements et organisez une session de sensibilisation avec votre équipe financière. Dans un contexte où les outils d’IA rendent les tentatives de fraude de plus en plus convaincantes, la prévention est la seule réponse efficace, car une fois le virement exécuté, les chances de récupérer les fonds sont très faibles.