Fraude · Appelez le tech
Un courriel du « président » demande un virement urgent et confidentiel. Le ton est juste, la signature aussi, et l’argent part. La fraude du président ne pirate pas vos systèmes : elle pirate la confiance et la hiérarchie. C’est l’une des fraudes les plus coûteuses pour les entreprises, et l’IA la rend plus convaincante que jamais.
Qu’est-ce que la fraude du président ?
Aussi appelée « fraude au faux dirigeant » ou CEO fraud, c’est une forme d’hameçonnage très ciblé. Le fraudeur se fait passer pour une personne en qui la victime a confiance (un dirigeant, un fournisseur, un client, un avocat) afin d’obtenir un paiement ou des renseignements financiers. Selon la GRC, c’est un acte criminel, que l’argent ait été transféré ou non.
Les quatre visages de la fraude
Le faux dirigeant
« Je suis en réunion, j’ai besoin que tu fasses un virement urgent pour une acquisition. Reste discret. »
Le faux fournisseur
« Nous avons changé de banque : voici nos nouvelles coordonnées pour vos prochains paiements. » La variante la plus fréquente en PME, souvent envoyée depuis la vraie boîte piratée du fournisseur.
La fausse paie
Un « employé » demande de modifier son dépôt direct. La paie suivante part vers le compte du fraudeur.
Les cartes-cadeaux
Le « patron » demande d’acheter des cartes-cadeaux pour des clients et d’envoyer les codes par courriel.
Comment l’attaque se prépare
Le courriel type, décortiqué
Bonjour Julie,
Je suis en réunion avec nos avocats toute la journée et je ne peux pas prendre d’appels.3 Nous finalisons une acquisition et je dois compter sur ta discrétion4 : n’en parle à personne pour l’instant.
Peux-tu effectuer un virement de 48 750 $ avant 15 h aujourd’hui5 au compte ci-joint ? Les coordonnées bancaires sont nouvelles6, c’est normal.
Merci, je compte sur toi.
Marc
Envoyé de mon iPhone
- Domaine sosie : un tiret et .co au lieu de .com.
- Pression : « urgent » et « confidentiel » dès l’objet.
- Impossible à joindre : on vous empêche de vérifier.
- Secret : on vous isole de vos collègues.
- Délai serré : pas le temps de réfléchir.
- Nouvelles coordonnées : le signal le plus fiable de toutes ces fraudes.
Exemple fictif.
Le piège le plus fréquent : le fournisseur piraté
Dans la réalité, la fraude ne vient souvent pas d’une fausse adresse, mais d’un vrai fournisseur dont la boîte courriel a été piratée. Le fraudeur lit les échanges pendant des semaines, puis répond dans une conversation existante, avec la vraie adresse, la vraie signature, le bon numéro de facture et le bon montant. Une seule chose change : les coordonnées bancaires.
Ce qui semble rassurant
L’adresse est la bonne. Le courriel passe tous les filtres et les contrôles SPF, DKIM et DMARC, puisqu’il part vraiment de chez le fournisseur. Le ton, l’historique et la facture sont authentiques.
Ce qui doit alerter
« Nous avons changé de banque », « payez plutôt à ce nouveau compte », « notre comptable est en vacances, voici un nouveau spécimen de chèque », ou une facture qui arrive avec un lien plutôt qu’en pièce jointe habituelle.
La règle d’or : prenez le téléphone. Tout changement de coordonnées bancaires se confirme par un appel à un numéro que vous aviez déjà au dossier, et non celui inscrit dans le courriel ou sa signature, qui peut avoir été modifié. Demandez votre interlocuteur habituel. Cet appel de deux minutes est la seule vérification qui fonctionne quand l’adresse courriel est la vraie.
Quelques réflexes à intégrer dans votre procédure de paiement :
- Conserver un registre des coordonnées bancaires et des numéros de téléphone de vos fournisseurs, mis à jour seulement après vérification par téléphone.
- Faire valider tout changement par une deuxième personne avant le premier paiement au nouveau compte.
- Se méfier encore plus quand le fournisseur insiste, presse ou se dit injoignable.
- Prévenir le fournisseur si vous avez un doute : il ignore peut-être que sa boîte est piratée, et ses autres clients sont aussi visés.
Comment protéger votre entreprise
Des procédures, d’abord
- Rappel obligatoire à un numéro déjà connu (jamais celui du courriel) avant tout virement inhabituel ou tout changement de coordonnées bancaires, même si le courriel vient de la vraie adresse du fournisseur ou du dirigeant.
- Double approbation des virements au-dessus d’un seuil, par deux personnes.
- Mot de code convenu en personne entre la direction et la comptabilité, utile aussi contre les voix clonées.
- Règle écrite : aucun dirigeant ne demandera jamais un paiement en contournant la procédure. Ainsi, l’employé qui vérifie ne craint pas de déplaire.
Des protections techniques
- MFA résistante à l’hameçonnage sur toutes les boîtes courriel, pour éviter qu’un compte réel soit piraté.
- SPF, DKIM et DMARC sur votre domaine, pour qu’on ne puisse pas envoyer de courriels en votre nom.
- Bannière « courriel externe » et alerte sur les noms d’affichage qui imitent vos dirigeants.
- Surveillance des domaines sosies et des règles de transfert automatique créées à votre insu.
Des humains formés
Les personnes qui touchent aux paiements (comptabilité, adjointes, paie) sont la cible principale. Une formation courte et régulière, avec des exemples réels, vaut plus qu’un long cours annuel. Pour aller plus loin, consultez nos 12 étapes pour protéger votre entreprise en 2026.
Vous avez envoyé l’argent ? Chaque heure compte
- Appelez votre institution financière immédiatement : donnez le montant et le compte destinataire, et demandez l’annulation du virement et le contact avec la banque qui l’a reçu.
- Prévenez votre soutien informatique : un compte piraté doit être sécurisé avant que le fraudeur recommence.
- Signalez à la police locale (« fraude du président »), au Centre antifraude du Canada et au Centre canadien pour la cybersécurité (contact@cyber.gc.ca).
- Avisez votre assureur : certaines polices couvrent la fraude par ingénierie sociale, souvent avec des conditions de vérification.
Vous voulez former votre équipe ou vérifier la protection de vos courriels ?
Appelez le tech · 1 833 444-1041