Arnaque au président : comment couper court ?

Un message arrive, signé du dirigeant. Une opération confidentielle est en cours, un virement doit partir aujourd'hui, l'affaire ne doit être évoquée avec personne. Le ton est courtois mais ferme. Cette fraude, dite arnaque au président ou fraude au faux ordre de virement, ne repose sur aucune prouesse informatique : elle joue sur la hiérarchie et sur le temps. Voici comment la neutraliser.

À quoi ressemble une tentative ?

Le message imite les habitudes de la maison : formule de politesse, signature, prénom employé au quotidien. L'adresse d'envoi ressemble à la vraie, avec une lettre changée ou une extension différente. Parfois, l'escroc écrit depuis un compte réellement piraté, ce qui rend le message indiscernable.

« Je vous sollicite pour une opération de croissance externe encore confidentielle. Notre conseil va vous transmettre les coordonnées bancaires. Merci de traiter ce virement aujourd'hui et de n'en parler à personne en interne. Je suis en réunion, joignable uniquement par écrit. »

Quatre ressorts se cumulent : l'autorité, l'urgence, le secret et l'impossibilité de vérifier par téléphone. Un cinquième arrive souvent ensuite : un faux avocat ou un faux auditeur qui confirme l'histoire et guide la personne visée.

Pourquoi le scénario fonctionne-t-il ?

• Le secret désactive le contrôle : la personne visée s'interdit d'en parler, donc personne ne l'arrête.
• L'urgence supprime la réflexion : il n'y a pas de temps pour vérifier, seulement pour exécuter.
• La préparation est sérieuse : organigramme public, réseaux sociaux, publications légales, signature électronique reprise d'un vrai courrier.
• Le moment est choisi : absence du dirigeant, veille de congés, changement récent de comptable.
• La cible est flattée : être choisi pour une mission confidentielle donne envie de bien faire.

Les règles qui rendent la fraude inopérante

1. Aucune exception, jamais : la procédure de paiement s'applique à tout le monde, dirigeants compris. Ils s'engagent par écrit à ne jamais demander de la contourner. Une demande qui sort du cadre devient alors un signal, pas un dilemme.
2. Le contre-appel : toute demande inhabituelle se vérifie par un appel au numéro de l'annuaire interne, jamais à celui indiqué dans le message.
3. La double validation : deux personnes différentes autorisent les virements au-delà d'un seuil que vous fixez, ainsi que toute création de bénéficiaire.
4. Le droit de dire non : personne n'est sanctionné pour avoir retardé un paiement le temps de vérifier. Cette phrase doit être dite par la direction, pas seulement écrite.
5. Le canal de secours : un numéro interne à appeler en cas de doute, connu de tous, y compris des intérimaires et des remplaçants.

Ce que la technique peut apporter

Aucune de ces mesures n'arrête un message envoyé depuis un compte légitime piraté. La procédure humaine reste la dernière barrière, et la seule qui fonctionne dans tous les cas.

Une demande suspecte est arrivée : que faire ?

1. Ne répondez pas et ne dites pas que vous avez un doute : l'escroc adapterait son discours.
2. Appelez la personne concernée sur son numéro habituel.
3. Conservez le message entier, avec ses en-têtes techniques, et signalez-le au support.
4. Si un virement est parti, appelez immédiatement la banque, puis déposez plainte, comme détaillé dans notre article sur la fraude au virement.
5. Vérifiez la messagerie des personnes citées : connexions inconnues, règles de transfert, mot de passe à changer.

Pour que ces réflexes soient partagés par toutes les personnes qui manipulent des paiements, NexSecure anime des sessions de sensibilisation à la cybersécurité.