Cette fraude ne vise pas vos systèmes, elle vise une personne. Elle réussit parce qu'elle combine l'autorité, l'urgence et le secret, trois pressions contre lesquelles aucun antivirus ne protège, et qui désarment des gens compétents.
Comment elle fonctionne réellement
Le scénario est stable et il se reconnaît une fois qu'on l'a lu.
Quelqu'un contacte une personne qui peut faire un virement, en se présentant comme un dirigeant, un avocat, un auditeur. Le message est urgent, il porte sur une opération confidentielle, et il demande de ne pas en parler à l'équipe.
Les trois pressions sont combinées à dessein. L'autorité empêche de contester, l'urgence empêche de réfléchir, le secret empêche de vérifier. Chacune prise seule serait suspecte ; réunies, elles produisent une situation où poser une question paraît fautif.
La variante la plus fréquente aujourd'hui ne demande pas un virement mais un changement de coordonnées bancaires d'un fournisseur connu, dans un courriel qui reprend un échange réel. Elle est plus difficile à repérer et elle réussit souvent.
Aucune de ces fraudes n'exploite une faille technique. Elles exploitent une organisation où une personne seule peut engager de l'argent, et où poser une question à son supérieur paraît impoli.
Les quatre signaux qui la trahissent
Ils sont présents dans presque tous les cas, et ils se repèrent sans compétence technique.
L'urgence sans raison vérifiable
Une opération vraiment urgente a une cause qu'on peut nommer. Une urgence qui n'existe que dans le message est le premier signal.
La demande de discrétion
Aucune opération légitime n'exige de ne pas en parler à son collègue. C'est le signal le plus sûr, et c'est celui qui devrait déclencher l'arrêt immédiat.
Le canal inhabituel
Un dirigeant qui écrit depuis une adresse qu'il n'utilise jamais, ou qui demande de répondre à une autre adresse. Le détail se voit si on regarde l'adresse complète et non le nom affiché.
Le changement de coordonnées bancaires
Toujours, sans exception. C'est la demande la plus rentable pour un fraudeur et elle mérite une vérification indépendante à chaque fois, même quand tout paraît normal.
La procédure d'une ligne qui l'arrête
Elle tient en une phrase et elle doit être écrite, connue de tous, et couverte par la direction.
« Tout virement inhabituel et tout changement de coordonnées bancaires est confirmé par un appel à un numéro connu d'avance, jamais à un numéro figurant dans le message. »
Le mot important est connu d'avance. Un fraudeur fournit un numéro, et ce numéro fonctionne. La vérification n'a de valeur que si le canal de retour est choisi par vous.
Et l'élément qui fait tenir la procédure : la direction doit dire publiquement qu'appliquer cette règle ne sera jamais reproché, même si cela retarde une opération réelle et même si cela agace. Sans cette phrase, la première personne mise sous pression contournera la règle.
Ce qui réduit la surface, techniquement
Quatre gestes, tous peu coûteux, qui rendent la fraude plus difficile à monter.
Les trois réglages de courriel associés à votre nom de domaine, qui empêchent quelqu'un d'écrire en se faisant passer pour vous. Leur absence est fréquente et elle facilite directement ce type d'attaque.
Un affichage complet de l'adresse d'expédition dans votre messagerie, et non seulement le nom. C'est un réglage, et il révèle immédiatement la plupart des usurpations.
Une double vérification sur la banque, et un plafond au delà duquel deux personnes sont nécessaires.
Moins d'informations publiques sur qui fait quoi. Un organigramme détaillé en ligne, avec les fonctions et les adresses, est un cadeau pour un fraudeur qui prépare son scénario.
Et si cela arrive
Trois gestes, dans cet ordre, et le premier compte en minutes.
Appeler la banque immédiatement pour tenter un rappel du virement. Le délai est court et il diminue chaque heure.
Conserver tout : messages complets avec leurs en têtes, journaux, horodatages. Ils servent à la banque, à l'assurance et à la plainte.
Ne pas cacher. La honte de la personne qui a été trompée est la première cause de retard, et le retard est ce qui rend la perte définitive. Une direction qui a dit à l'avance qu'appliquer la procédure n'est pas reproché rend aussi l'aveu possible.
Nous ne donnons aucun conseil sur les démarches juridiques ou assurantielles : elles relèvent de votre conseil et de votre assureur.
Une procédure écrite ?
Audit gratuit sous 48 heures, procédure d'une ligne comprise
Demander un audit gratuit