L'arnaque au faux président

L’arnaque au faux président figure parmi les méthodes les plus employées contre les entreprises. D’après l’étude sur la fraude 2021 d’Allianz Trade, un quart des entreprises subissent une fraude avérée et deux tiers au moins une tentative.

Une technique ancienne, passée au numérique

Les escroqueries au faux président et au changement de RIB ont fait de nombreuses victimes parmi les entreprises françaises. Les montants se chiffrent en millions d’euros, et l’effet sur les personnes concernées est durable. Les services de l’État documentent le mode opératoire sous le nom de faux ordre de virement.

Les criminels ont conservé la technique d’usurpation et changé d’outillage. Ils usurpent adresses de messagerie et numéros de téléphone, imitent la voix, et désormais la vidéo. Ils se renseignent sur l’entreprise, ce qui rend leur récit crédible.

La cible est une personne, pas un système

L’attaque se prépare longtemps à l’avance et repose sur un scénario plausible. Tous les ressorts psychologiques sont mobilisés pour obtenir d’un comptable un virement dans l’urgence. Elle s’accompagne presque toujours d’une compromission de la messagerie, qui fournit le vocabulaire et le contexte.

C’est un tout autre niveau que l’hameçonnage de masse : des professionnels de la cybersécurité s’y font prendre.

Ce que recommandent les agences

Les recommandations officielles tiennent en quelques points :

• limiter ce que l’entreprise publie sur son fonctionnement, y compris sur les réseaux sociaux ;
• sensibiliser régulièrement les services comptables, la trésorerie, les secrétariats et les standards ;
• informer systématiquement les remplaçants sur ces postes ;
• instaurer des procédures de vérification et de signature multiple pour les paiements internationaux ;
• rompre la chaîne de messages en saisissant soi-même l’adresse habituelle du donneur d’ordre ;
• maintenir le système d’information à jour.

Deux mille trois cents plaintes ont été déposées en cinq ans, et beaucoup d’entreprises n’ont pas déclaré l’attaque pour préserver leur réputation.

Ces mesures restent nécessaires. Elles reposent pourtant sur une discipline humaine constante, que l’organisation ne tient ni pendant les congés, ni dans l’urgence, ni après un changement de poste.

Faire porter la vérification par le processus

Sealfie déplace le point de contrôle du jugement individuel vers le processus. Quand un ordre sensible est initié, le vrai demandeur est sollicité sur son propre téléphone : photo, biométrie de l’appareil, vérifications automatiques. Une seconde personne autorisée confirme. Les vérifications disponibles auprès d’autres systèmes sont collectées au passage.

L’application indique aux personnes ce qu’elles doivent faire, y compris en cas de suspicion. Le comptable cesse d’être le dernier rempart, et n’a plus à choisir entre risquer une fraude et paraître tatillon.

Ce que fait la technique

L’approche consiste à rendre vérifiables les transactions des personnes légitimes, plutôt qu’à tenter de reconnaître toutes les formes d’usurpation. Les vérifications issues des différents systèmes sont chiffrées, scellées et liées entre elles sur une chaîne ouverte. On peut ainsi contrôler quels systèmes ont signé, ce qui produit un faisceau trop coûteux à falsifier dans son ensemble.