Module 1 · 1.2
Français
Phishing, fraude au président et fraude à la facture
Module 1: Pourquoi vous êtes une cible · Temps de lecture : 10 minutes
Objectif pédagogique : à l'issue de cette leçon, vous saurez reconnaître le mode opératoire du phishing, de la fraude au président et de la fraude à la facture (BEC), et mettre en place une procédure de paiement avec rappel de contrôle.
Notions clés : phishing, spear phishing, fraude au président, fraude à la facture, Business Email Compromise, principe des quatre yeux, rappel sur un numéro connu
Trois formes d'une même ruse
Les trois attaques présentées dans cette leçon reposent sur la tromperie. Il ne s'agit pas de pirater un ordinateur, mais de convaincre quelqu'un de faire lui-même quelque chose : cliquer sur un lien, saisir un mot de passe, effectuer un virement. On appelle cela l'ingénierie sociale. Cela fonctionne parce que cela joue sur des réactions humaines ordinaires : vous voulez aider votre responsable, payer un fournisseur à temps, résoudre un problème rapidement.
| Forme | Ce que veut l'attaquant | Message type |
|---|---|---|
| Phishing | Identifiants de connexion, coordonnées bancaires ou un clic sur un logiciel malveillant | "Votre boîte mail est pleine, connectez vous pour conserver vos messages" |
| Fraude au président | Un paiement urgent | "Je suis en réunion, pouvez vous virer cette somme aujourd'hui ? N'en parlez à personne" |
| Fraude à la facture | Paiement d'une facture réelle sur un mauvais compte | "Attention : notre numéro de compte a changé" |
La fraude au président et la fraude à la facture relèvent toutes deux de la catégorie appelée en anglais Business Email Compromise (BEC) : une fraude dans laquelle la messagerie professionnelle est détournée et un escroc se fait passer pour quelqu'un d'autre.
Phishing et spear phishing
Le phishing est un message qui se fait passer pour un expéditeur de confiance, afin de vous pousser à faire quelque chose que vous ne feriez pas autrement. Il s'agit souvent d'un lien vers une page de connexion falsifiée, par exemple rnijnbank.example (avec "rn" à la place de "m"), ou d'une pièce jointe contenant un logiciel malveillant. Le phishing classique est envoyé en masse, avec un message générique.
Dans le cas du spear phishing, le message est personnalisé pour vous. L'attaquant utilise votre nom, votre fonction, le nom d'un collègue ou d'un fournisseur réel, un projet sur lequel vous travaillez. Il trouve ces informations sur votre site web, sur LinkedIn, dans le registre du commerce et des sociétés (RCS) ou dans une boîte mail piratée par ailleurs. Comme le message correspond à ce que vous attendez, il passe beaucoup plus facilement inaperçu.
Les fautes d'orthographe ne sont plus un indice fiable. Avec les outils de traduction et les générateurs de texte par IA, un escroc écrit un français irréprochable. Dans le module 3, vous apprendrez à reconnaître le phishing grâce à des éléments qu'un escroc ne peut pas imiter : le domaine réel d'un lien et l'expéditeur technique d'un e-mail.
La fraude au président
Dans la fraude au président, une personne chargée des paiements reçoit un message qui semble provenir du directeur ou du dirigeant de l'entreprise. Cybermalveillance.gouv.fr décrit les caractéristiques récurrentes de cette fraude :
- Autorité : c'est un ordre, pas une demande.
- Confidentialité : "n'en parlez pas encore à qui que ce soit, il s'agit d'un rachat."
- Urgence : il faut agir aujourd'hui, avant la fermeture de la banque.
- Un expéditeur presque correct : par exemple
directie@example-com.example, qui ressemble à première vue au domaine de l'entreprise, ou une adresse personnelle "parce que je suis en déplacement".
Parfois, un "avocat" ou un "expert comptable" est impliqué pour confirmer la demande ; il fait en réalité partie des escrocs. Les associations et les petites entreprises sont également visées de cette manière : le trésorier reçoit un e-mail du "président".
Pourquoi cela fonctionne-t-il ? Parce que dans une petite entreprise, tout le monde se connaît et se fait confiance. L'employé veut aider, et la confidentialité l'empêche de vérifier auprès d'un collègue. Ce secret est précisément l'objectif de l'escroc.
La fraude à la facture : seul l'IBAN change
La fraude à la facture est plus difficile à repérer, car la facture est souvent authentique. Montant, numéro de commande, logo, mise en page : tout est correct. Seul le numéro de compte a été modifié. Selon Cybermalveillance.gouv.fr, cela se produit de différentes manières : la facture est interceptée puis modifiée, un courrier séparé annonce que "notre numéro de compte a changé", ou l'entreprise elle même a été piratée et l'escroc envoie l'e-mail depuis la boîte mail authentique.
Ce dernier point est important à comprendre. Si la boîte mail de votre fournisseur leverancier.example a été compromise, l'e-mail provient réellement de la bonne adresse. Tous les contrôles techniques (SPF, DKIM, DMARC, voir module 4) sont alors validés. L'escroc a parfois lu la boîte mail pendant des semaines, sait quelles factures sont en attente, et envoie son message au moment précis, dans le fil de conversation existant. Vérifier l'adresse de l'expéditeur ne sert donc à rien dans ce cas.
Un détail douloureux : si vous avez payé l'escroc, vous devez en principe toujours le montant au véritable fournisseur.
Un exemple
La Boulangerie Example commande un nouveau four auprès de leverancier.example. Le devis, la confirmation de commande et la facture arrivent tous correctement. Deux jours plus tard, dans le même fil de discussion, arrive ce message :
Chère Petra, suite à un changement de banque, notre numéro de compte a été modifié avec effet immédiat. Pourriez vous virer le montant de la facture du four sur le nouveau numéro ? L'ancien numéro sera clôturé la semaine prochaine. Cordialement, Joost
L'adresse est correcte, le nom de Joost est correct, le numéro de commande est correct. La seule chose qui trahit la fraude, c'est la demande elle même : un changement de numéro de compte. C'est toujours un moment à vérifier, jamais un moment où l'on se fie uniquement à l'e-mail.
La procédure de paiement qui bloque la fraude
Vous ne pouvez pas reconnaître chaque faux e-mail. Mais vous pouvez faire en sorte qu'un faux e-mail ne suffise pas à déclencher un virement. Pour cela, quelques règles fixes suffisent.
- Rappeler sur un numéro connu. Pour tout changement de numéro de compte, et pour toute demande de paiement inhabituelle, appelez l'expéditeur. Pas sur le numéro indiqué dans l'e-mail ou la facture, car celui ci peut lui aussi être faux, mais sur un numéro que vous aviez déjà : issu de votre propre comptabilité, du contrat ou du site officiel que vous tapez vous même.
- Ne répondez pas à l'e-mail. Si vous souhaitez vérifier par e-mail, tapez vous même l'adresse. En utilisant "répondre", vous risquez d'aboutir chez l'escroc, par exemple via un champ Reply-To pointant vers une autre adresse (leçon 3.3).
- Le principe des quatre yeux. Les paiements au delà d'un certain montant, les nouveaux bénéficiaires et les changements de numéro de compte sont vérifiés par deux personnes. Dans une entreprise individuelle, cela signifie : un délai d'attente fixe et un rappel avant de payer.
- Aucune exception par e-mail ou par chat. Le dirigeant ne demande jamais par e-mail ou par WhatsApp de contourner la procédure. Convenez en, y compris avec le dirigeant lui même. Ainsi, tout le monde saura qu'un message demandant de "sortir un peu de la procédure habituelle" est par définition suspect.
- Consignez les informations. Le numéro de compte d'un fournisseur figure dans votre comptabilité. Comparez le numéro indiqué sur chaque facture avec celui que vous aviez déjà. Depuis octobre 2025, les banques de la zone euro vérifient, lors d'un virement, si le nom que vous saisissez correspond au numéro de compte (en anglais Verification of Payee). Prenez au sérieux tout avertissement à ce sujet. Mais un résultat positif indique seulement que le nom et le compte correspondent, pas que le bénéficiaire est honnête.
| Situation | Action |
|---|---|
| Nouveau numéro de compte d'un fournisseur existant | Rappeler sur un numéro connu, validation par une deuxième personne |
| Paiement urgent demandé par la direction | Appeler ou vérifier en personne, suivre la procédure normalement |
| Nouveau fournisseur, première facture | Vérifier les informations auprès d'une source officielle, validation par une deuxième personne |
| Facture qui semble différente de d'habitude | Vérifier avant de payer |
Si cela se produit quand même
Vous avez payé et vous avez des doutes ? Chaque heure compte.
- Appelez immédiatement votre banque et demandez si le paiement peut être bloqué ou récupéré.
- Signalez le à Cybermalveillance.gouv.fr et portez plainte auprès de la police ou de la gendarmerie.
- Prévenez le fournisseur : si sa boîte mail a été compromise, d'autres clients vont recevoir de faux messages.
- Si le message provient de votre propre boîte mail ou de celle d'un collègue, celle ci a peut être été compromise. Changez le mot de passe, révoquez les sessions et vérifiez les règles de transfert (leçons 2.5 et 3.5).
Résumé
- Le phishing, la fraude au président et la fraude à la facture relèvent de l'ingénierie sociale : vous êtes amené à agir vous même.
- Le spear phishing est personnalisé et donc beaucoup plus convaincant ; les fautes d'orthographe ne sont plus un bon indice.
- La fraude au président joue sur l'autorité, la confidentialité et l'urgence.
- Dans la fraude à la facture, souvent seul l'IBAN change, parfois depuis la boîte mail réelle et piratée du fournisseur.
- Une procédure de paiement avec rappel sur un numéro connu et le principe des quatre yeux bloque la plupart des fraudes, même si vous ne reconnaissez pas le faux e-mail.
Quiz
Exercice
Exercice A1.2 : Reconnaître la fraude. Vous recevez six messages courts. Indiquez pour chacun s'il s'agit probablement de phishing, de fraude au président, de fraude à la facture ou d'un message normal, et quelle action vous entreprenez. Le programme corrige et indique pour chaque message les indices que vous auriez pu repérer.
Exercice D1.2 : Votre propre procédure de paiement. Rédigez sur une page A4 la procédure de paiement de votre entreprise : quand rappeler, sur quel numéro, qui effectue un second contrôle et à partir de quel montant. Partagez la avec toutes les personnes qui effectuent des paiements.
Exercice D1.2: Votre propre procédure de paiement
Voici comment procéder : (1) Notez sur une page A4 quand un paiement nécessite un contrôle supplémentaire : numéro de compte modifié, nouveau bénéficiaire, montant supérieur à un seuil que vous choisissez, demande urgente en dehors du circuit habituel. (2) Notez comment vous rappelez : uniquement sur un numéro issu de votre propre comptabilité, du contrat ou du site officiel que vous saisissez vous-même. (3) Désignez une deuxième personne qui vérifie (dans une entreprise individuelle : un délai d'attente fixe, par exemple une nuit). (4) Convenez avec la direction que la procédure n'est jamais contournée par e-mail ou par chat. (5) Discutez de la page A4 avec toutes les personnes qui effectuent des paiements et affichez-la.
Vos cases cochées et vos notes restent uniquement dans ce navigateur ; nous ne les envoyons nulle part. Si vous êtes connecté, nous enregistrons dans Mes formations uniquement le fait que vous avez terminé l'exercice.
Pour aller plus loin
Les étapes décrites dans les articles de WebOké s'appliquent à l'environnement de WebOké ; chez d'autres fournisseurs, le fonctionnement est comparable.
- Cet e-mail provient-il réellement de WebOké ? Reconnaître le phishing et utiliser le code promotionnel
- E-mails d'ICANN ou du registre concernant votre domaine : vrais ou faux, et que devez-vous faire ?
- Cybermalveillance.gouv.fr, assistance aux victimes et conseils pour les entreprises : https://www.cybermalveillance.gouv.fr/
- Signal Spam, signaler un e-mail de phishing : https://www.signal-spam.fr/
- Pharos, signaler un contenu illicite en ligne : https://www.internet-signalement.gouv.fr/