Fraude par e-mail en entreprise (BEC) : que faire dans les 24 premières heures

Qu’est-ce qu’une fraude BEC, et comment fonctionne-t-elle en pratique ?

Vous recevez un e-mail du « directeur général » qui demande de virer 200 000 ₪ à un nouveau fournisseur avant la fin de la journée. Il est à l’étranger et injoignable par téléphone. L’urgence vous pousse, et vous effectuez le virement. Deux jours plus tard, vous découvrez que l’e-mail était faux.

C’est une fraude BEC — Business Email Compromise (compromission de la messagerie d’entreprise). Elle ne commence pas par une intrusion dans votre réseau, mais par de l’ingénierie sociale. Quelqu’un imite une adresse e-mail de confiance (parfois différente d’une seule lettre), gagne votre confiance et exploite la pression et l’urgence. L’argent est viré, souvent vers des comptes à l’étranger, et il devient ensuite difficile de le suivre.

Trois scénarios BEC fréquents. L’usurpation de l’adresse d’un dirigeant : un e-mail adressé à la comptabilité au nom du directeur général demande un paiement urgent. L’usurpation d’identité d’un fournisseur : un e-mail qui semble venir d’un fournisseur existant, avec des coordonnées bancaires « mises à jour ». La compromission d’un vrai compte : les fraudeurs piratent le compte e-mail actif d’un partenaire commercial et envoient les messages depuis ce compte. Ce dernier scénario est le plus dangereux, car tout est authentique, sauf l’ordre de paiement.

L’entreprise est-elle responsable lorsqu’un de ses salariés a viré de l’argent à la suite d’un faux e-mail ?

Prenons un employeur qui n’a pas formé ses salariés, n’a pas mis en place de procédures de vérification et n’a pas interdit les virements importants sans double validation. S’il poursuit la banque ou une autre partie, il risque de se voir opposer la faute contributive. L’indemnisation qui lui sera accordée sera alors réduite selon sa part de responsabilité dans le préjudice (article 68 de l’ordonnance sur les délits civils). À l’égard des tiers, l’employeur répond de l’acte commis par son salarié dans l’exercice de ses fonctions (article 13 de l’ordonnance).

À l’inverse, prenons un salarié qui a agi de bonne foi, n’a pas dépassé ses pouvoirs et ne disposait d’aucune information qui aurait éveillé un soupçon raisonnable. Il est douteux qu’il soit considéré comme négligent : la négligence s’apprécie selon ce qu’une personne raisonnable et avisée aurait fait dans les mêmes circonstances (article 35 de l’ordonnance sur les délits civils). Votre assureur peut couvrir la perte (voir plus bas), sous réserve des conditions de la police : certaines polices subordonnent la couverture à l’existence de procédures de vérification.

Comment repérer une tentative de fraude au paiement avant que l’argent ne parte ?

Les signes qui imposent de s’arrêter et de vérifier :

Une urgence artificielle : « il faut que ce soit fait aujourd’hui », « n’en parlez à personne », « c’est confidentiel ». C’est un signal d’alarme immédiat. Une adresse e-mail presque identique : ceo@company-il.com au lieu de ceo@company.co.il. Regardez le domaine, pas seulement le nom. Une demande de changement de coordonnées bancaires : un fournisseur qui demande à changer de compte bancaire doit être vérifié par téléphone, au numéro que vous avez obtenu d’une autre source, et non à celui de son e-mail. Des fautes d’orthographe ou une formulation inhabituelle : un dirigeant qui écrit d’habitude dans un certain style se met soudain à écrire autrement.

La règle d’or : tout ordre de paiement au-delà d’un montant que vous avez fixé à l’avance (par exemple 10 000 ₪) doit être vérifié de vive voix. Appelez le numéro que vous connaissez, et non le numéro qui figure dans le message.

Que faire quand vous découvrez que vous avez été piégé : les 24 heures décisives

Étape 1 — la banque, tout de suite : appelez immédiatement la banque et demandez d’arrêter le virement. S’il est encore en cours de compensation interbancaire, il est parfois possible de l’arrêter. Plus vous réagissez vite, plus les chances sont grandes. Donnez tous les détails du virement.

Étape 2 — tout documenter immédiatement : conservez tous les e-mails et ne supprimez rien. Faites des captures d’écran. Notez qui a fait quoi et quand. Cela servira de base à l’action en justice et à la chronologie (timeline) pour l’assureur et pour la police.

Étape 3 — porter plainte à la police : déposez une plainte auprès de l’unité cyber. L’enquête prend du temps, mais la plainte elle-même est importante pour prouver une future action en justice. Parfois, la coopération entre les autorités de l’étranger et d’Israël permet de retrouver les voleurs.

Étape 4 — un avocat : si la somme est importante, un conseil juridique rapide permet d’envisager une action civile, une demande de mesure provisoire au tribunal (pour bloquer la sortie des fonds) et la vérification de la couverture d’assurance.

Comment protéger l’entreprise : les procédures qui préviennent le BEC

Trois procédures réduisent fortement le risque (sur les procédures de paiement sécurisées en détail : Fraude au paiement : qui est responsable, et ce que doivent faire les entreprises) :

Une double vérification des paiements : tout paiement au-delà d’un montant que vous avez fixé exige une confirmation par téléphone d’un dirigeant autre que celui qui a fait la demande. C’est une mesure de base, qui ne coûte rien, et elle rend ce type de fraude très difficile.

Configurer SPF/DKIM/DMARC sur votre domaine : ce sont des protocoles d’authentification des e-mails qui empêchent des tiers d’envoyer des e-mails au nom de votre domaine. Votre responsable informatique peut les configurer. Cela n’empêchera pas l’usurpation d’un compte externe, mais empêchera que votre domaine serve à une attaque.

Former les salariés : une fois par an, expliquez à l’équipe ce qu’est le BEC. Montrez des exemples réels. Définissez la procédure à suivre lorsque quelqu’un a un soupçon. Un salarié qui connaît cette fraude s’arrêtera avant de virer l’argent.

Assurance cyber : ce qu’elle couvre et ce qu’elle ne couvre pas

De nombreuses polices d’assurance cyber couvrent la fraude BEC, mais il faut lire les petits caractères. Ce que la plupart des polices couvrent : la perte financière directe due à une fraude électronique, les frais d’enquête, les frais d’information des clients (si une fuite de données s’est aussi produite) et les frais de restauration des systèmes.

Ce qui n’est généralement pas couvert : la perte due à une fraude causée par une négligence grave de l’entreprise (par exemple, un virement sans aucune vérification), et les pertes survenues après que l’assureur a notifié l’absence de couverture. Les conditions de couverture varient beaucoup d’une police à l’autre : il faut les lire et demander conseil avant un incident, et non après.

Peut-on récupérer l’argent ?

Parfois oui, à condition de réagir vite. L’argent encore en cours de compensation interbancaire peut être bloqué. Si l’argent est arrivé sur un compte bancaire en Israël, il est possible de demander au tribunal une ordonnance de blocage. Si l’argent est parti à l’étranger, c’est plus difficile, mais pas impossible, grâce à la coopération internationale.

En outre, il est possible d’engager une action civile contre la banque si elle a agi avec négligence (articles 35 et 36 de l’ordonnance sur les délits civils [nouvelle version]), par exemple si elle a approuvé un virement inhabituel sans les vérifications appropriées. Il est recommandé de consulter un avocat avant de renoncer.