Paie détournée d’un employé vers le compte d’un fraudeur

Fraude à la paie : quand un faux employé détourne son dépôt direct

Fabrice BlanchetBlog et nouveautés

Fraude · Appelez le tech

Un courriel d’une employée arrive à la paie : elle a changé de banque et demande de mettre à jour son dépôt direct avant la prochaine paie. La demande est polie, banale, et traitée en deux minutes. Deux semaines plus tard, la vraie employée demande où est passé son salaire. La fraude à la paie ne vise pas un gros virement : elle détourne une paie à la fois, souvent sans que personne ne s’en aperçoive avant le jour de paie.

3 G$ USde pertes liées à la compromission de courriels d’affaires déclarées au FBI en 2025, dont la fraude à la paie fait partie
≈ 6 000comptes courriel de 25 universités visés en 2025 par un seul groupe spécialisé dans le détournement de salaires, selon Microsoft
1 courrielsuffit souvent : aucun logiciel malveillant, aucune faille technique, seulement une demande qui semble normale

Qu’est-ce que la fraude à la paie ?

Aussi appelée « détournement de paie » ou payroll diversion, c’est une variante de la fraude par courriel d’affaires. Le fraudeur se fait passer pour un employé, ou prend le contrôle de son compte, afin de faire modifier les coordonnées de son dépôt direct. Les paies suivantes sont versées dans un compte qu’il contrôle, souvent un compte en ligne ouvert à la hâte ou une carte prépayée, puis vidées en quelques heures.

Les cibles préférées : les employés bien payés (dirigeants, professionnels, cadres), dont le nom et le poste se trouvent facilement sur le site Web ou LinkedIn, et les entreprises où une seule personne gère la paie.

Les deux façons de détourner une paie

Le faux employé

Le fraudeur écrit à la paie ou aux RH depuis une adresse personnelle au nom de l’employé (souvent Gmail ou Outlook.com), ou depuis sa vraie boîte courriel piratée. Il demande simplement de changer le compte de dépôt.

Le compte d’employé piraté

Le fraudeur vole les identifiants de l’employé par hameçonnage, puis se connecte au portail de paie en libre-service et change lui-même le compte bancaire. Personne aux RH ne voit passer de demande.

Comment l’attaque se déroule

1. Le repérageSite Web, LinkedIn, page « Notre équipe » : le fraudeur choisit un employé, trouve qui gère la paie et devine le format des adresses courriel.
2. L’accès ou l’imitationIl crée une adresse gratuite au nom de l’employé, ou hameçonne son compte Microsoft 365. Des groupes organisés utilisent même des pages qui volent le code MFA en temps réel.
3. La demande ou la modificationUn courriel court et poli à la paie, ou un changement direct dans le portail de paie, juste avant la date limite de traitement.
4. Le camouflageAvec un compte piraté, il crée une règle dans la boîte de réception qui supprime automatiquement les avis « vos coordonnées bancaires ont été modifiées ». Il peut aussi ajouter son propre téléphone comme méthode MFA pour garder l’accès.
5. L’encaissementLa paie arrive dans le compte du fraudeur. L’employé ne s’en rend compte qu’au jour de paie, parfois après deux ou trois paies.

Le courriel type, décortiqué

De : Sophie Tremblay <sophie.tremblay.paie@gmail.com>1
À : paie@toituresabc.com
Objet : Changement de compte pour ma paie

Bonjour,

J’ai changé d’institution financière cette semaine. Pouvez-vous mettre à jour mon dépôt direct avant la paie de jeudi2 ? Voici mes nouvelles coordonnées3 : transit, institution et numéro de compte.

Je suis en formation toute la semaine et je ne peux pas prendre d’appels4, un courriel de confirmation suffit5.

Merci beaucoup !
Sophie

  1. Adresse personnelle : le nom est le bon, mais le courriel ne vient pas de l’adresse de l’entreprise. Avec un compte piraté, l’adresse serait la vraie : ce n’est donc pas une vérification suffisante.
  2. Délai serré : la demande arrive juste avant la date limite de la paie.
  3. Coordonnées dans le courriel : aucun formulaire signé, aucune vérification.
  4. Impossible à joindre : on vous empêche de vérifier de vive voix.
  5. Contournement : on vous propose de répondre au fraudeur lui-même.

Exemple fictif.

Pourquoi ça fonctionne si bien

  • La demande est banale. Changer de banque arrive tous les jours. Le courriel est court, poli et sans faute, donc il passe les filtres antipourriel.
  • Le montant est modeste. Une paie n’alerte personne, contrairement à un gros virement vers l’étranger.
  • Le délai joue pour le fraudeur. Avec une paie aux deux semaines, l’argent a disparu bien avant que l’employé se plaigne.
  • C’est souvent l’employeur qui paie deux fois. Comme le rappelle la police de Saskatoon, l’employeur doit s’assurer que l’employé est payé. La perte retombe donc souvent sur l’entreprise.

Comment protéger votre entreprise

Des procédures, d’abord

  • Jamais de changement par courriel seulement. Tout changement de dépôt direct se confirme de vive voix ou en personne, avec l’employé, à un numéro déjà au dossier, et non celui fourni dans le courriel. C’est la vérification qui fonctionne même quand le courriel vient de la vraie adresse.
  • Un formulaire signé et un spécimen de chèque ou un relevé de dépôt direct de l’institution. Un spécimen peut être falsifié : il complète l’appel, il ne le remplace pas.
  • Un avis automatique à l’employé par un autre canal (téléphone ou adresse personnelle déjà au dossier) dès que ses coordonnées bancaires changent.
  • Une deuxième approbation avant la première paie versée au nouveau compte, et un délai d’une paie si la demande arrive à la dernière minute.
  • Un contrôle simple avant chaque paie : liste des comptes modifiés depuis la dernière paie, et vérification si deux employés pointent vers le même compte.

Des protections techniques

  • MFA résistante à l’hameçonnage (clés de sécurité, Windows Hello Entreprise, clés d’accès) sur Microsoft 365 et sur le portail de paie. Idéalement, le portail de paie s’ouvre avec le compte Microsoft 365 de l’employé (authentification unique), pour profiter des mêmes protections.
  • Alertes sur la création de règles de boîte de réception suspectes, surtout celles qui suppriment ou déplacent les avis de la paie.
  • Alertes quand un nouveau téléphone ou une nouvelle méthode MFA est ajouté à un compte.
  • Bannière « courriel externe » et détection des courriels externes qui utilisent le nom d’un employé.
  • Activer, dans le portail de votre fournisseur de paie, les avis de modification des coordonnées bancaires et la MFA pour tous les employés.

Des humains informés

Expliquez à vos employés que la paie ne leur demandera jamais leurs identifiants par courriel, et que tout avis de changement bancaire qu’ils n’ont pas demandé doit être signalé tout de suite. Les personnes qui gèrent la paie doivent connaître ce scénario par cœur. La logique est la même que pour la fraude du président : de nouvelles coordonnées bancaires sont toujours un signal d’alerte. Pour aller plus loin, consultez nos 12 étapes pour protéger votre entreprise en 2026.

La règle d’or : l’appel de deux minutes. Avant de modifier un dépôt direct, appelez l’employé à un numéro que vous aviez déjà, ou parlez-lui en personne. Si la demande est légitime, il vous remerciera. Si elle ne l’est pas, vous venez d’éviter de payer deux fois.

Une paie a été détournée ? Agissez vite

  1. Appelez votre institution financière et votre fournisseur de paie immédiatement : demandez l’annulation ou le rappel du dépôt et le contact avec la banque qui l’a reçu. Plus l’appel est rapide, plus les chances de récupérer l’argent sont bonnes.
  2. Remettez le bon compte au dossier et bloquez toute autre modification jusqu’à vérification.
  3. Prévenez votre soutien informatique : si un compte a été piraté, il faut changer le mot de passe, fermer les sessions ouvertes, retirer les méthodes MFA ajoutées et supprimer les règles de boîte de réception malveillantes.
  4. Signalez la fraude à la police locale et au Centre antifraude du Canada, et avisez votre assureur.

Vous voulez vérifier la sécurité de vos comptes Microsoft 365 et de votre processus de paie ?

Appelez le tech · 1 833 444-1041

Sources