Vendredi, dix-sept heures moins dix. La comptable d’une PME s’apprête à boucler sa semaine quand son téléphone sonne. Le président. Il parle bas, sur le ton de la confidence. Une acquisition est en cours, dit-il, strictement confidentielle, les avocats vont envoyer les coordonnées bancaires dans quelques minutes, et le virement doit partir aujourd’hui, sinon l’opération capote. Il ne peut pas rester en ligne, il enchaîne les réunions. « Je compte sur vous. N’en parlez à personne. »

Rien dans cet appel n’est anormal, et c’est exactement le problème. La voix sonne juste. Le mail qui suit porte l’en-tête d’un cabinet d’avocats. Le montant est élevé mais plausible pour votre entreprise. Tous les signaux que votre service comptable a appris à contrôler sont au vert, parce que tous ont été fabriqués.

Je construis des outils de vérification, et si les dossiers de fraude m’apprennent une chose, c’est celle-ci : la fraude aux virements n’est presque jamais une histoire de piratage bancaire. C’est une histoire de confiance. Personne ne force le coffre. Quelqu’un convainc une seule personne, celle qui a la main sur les paiements, que l’instruction posée devant elle est authentique.

Comment la fraude au président arrive vraiment

Quatre portes d’entrée, à peu près dans l’ordre de fréquence des dossiers.

Le fil de discussion détourné. La messagerie d’un fournisseur est compromise des semaines à l’avance, en silence. Quand une vraie facture est en discussion, le fraudeur répond à l’intérieur même de la conversation authentique : « merci de noter nos nouvelles coordonnées bancaires ». L’historique est vrai, les noms sont vrais, les références du dossier sont vraies. Seul l’IBAN est neuf. C’est la fraude au faux fournisseur dans sa version la plus dangereuse, celle qui piège les gens soigneux, puisque tout ce qu’ils vérifient est réel, sauf le seul champ qui compte.

L’acquisition confidentielle. L’appel décrit plus haut, ou son jumeau par mail : un message venant de l’adresse du dirigeant (ou d’une adresse à une lettre près) vers la comptabilité, au nom d’un dossier secret. L’habillage varie, les ingrédients jamais : autorité, urgence, secret. C’est le schéma que cybermalveillance.gouv.fr documente sous le nom de faux ordre de virement, avec une fiche réflexe à distribuer telle quelle à votre équipe.

Le courrier fournisseur. Un PDF soigné sur papier à en-tête convaincant : « nous avons changé de banque, merci d’orienter vos prochains règlements vers le compte ci-dessous ». Pas besoin de messagerie piratée, juste votre liste de fournisseurs et un peu de patience.

La réunion deepfake. En janvier 2024, un employé du bureau de Hong Kong du groupe d’ingénierie Arup reçoit un message sur une transaction confidentielle, censé venir du directeur financier basé au Royaume-Uni. Il se méfie, dira-t-il ensuite. Puis il rejoint une visioconférence avec ce directeur financier et plusieurs collègues qu’il reconnaît. Tous les autres participants étaient des deepfakes générés par IA à partir d’images publiques. Il exécute quinze virements vers cinq comptes, environ 25,6 millions de dollars au total, avant qu’une vérification auprès du siège ne révèle la fraude (le récit de CNN vaut la lecture). Depuis cette affaire, « je l’ai vu de mes yeux en visio » ne prouve pas plus que « j’ai reconnu sa voix ».

Pathé, Crelan : quand les grands groupes paient

On imagine volontiers que seules les structures naïves tombent. Deux affaires suffisent à enterrer cette idée.

En mars 2018, la filiale néerlandaise de Pathé reçoit des mails semblant émaner de la direction du groupe, évoquant une acquisition confidentielle à Dubaï. En quatre virements, plus de 19 millions d’euros partent vers un compte à Dubaï avant que le siège parisien ne découvre la supercherie ; les deux dirigeants locaux y ont laissé leur poste (Europe 1 a relaté l’affaire). Côté belge, la banque Crelan annonçait en janvier 2016 avoir perdu jusqu’à 70 millions d’euros dans une fraude au président découverte lors de contrôles internes. Une banque. Une entreprise dont le métier est précisément la maîtrise du risque.

Pourquoi ça marche ? Trois leviers. L’autorité : un comptable n’appelle pas le président pour lui demander s’il est bien lui-même ; dans la plupart des cultures d’entreprise, ce geste ressemble à de l’insubordination. L’urgence : l’opération doit se conclure aujourd’hui, et c’est remarquablement souvent un vendredi après-midi ou une veille de pont, quand les valideurs manquent. Le secret : « n’en parlez à personne » se déguise en discrétion d’affaires, mais sa vraie fonction est de couper la personne visée du collègue qui aurait dit tout haut « c’est bizarre ».

Et voici l’asymétrie sur laquelle je retombe sans cesse en tant que fondateur : votre président peut vérifier un comptable en dix secondes. Le comptable, lui, n’a aucun moyen de vérifier le président. Toutes les escroqueries de cet article vivent dans ce sens unique.

Le protocole de vérification des paiements

L’antidote n’est pas la vigilance. La vigilance est une humeur, et les humeurs perdent face à des professionnels. L’antidote est un protocole mécanique qui se déroule à l’identique un mardi calme et un vendredi de panique. Écrivez-le, ajustez les seuils à votre taille, et faites-en une règle :

Quatre yeux sur chaque paiement au-delà d’un seuil défini et sur chaque premier paiement vers un compte nouveau. Deux personnes, indépendantes, dont aucune ne peut exécuter seule.
Rappel par un autre canal pour toute instruction arrivée par mail, téléphone ou visio. On vérifie par un canal différent de celui de la demande, sur un numéro déjà présent dans vos dossiers. Jamais le numéro du message, de la signature ou du courrier : ce serait rappeler le fraudeur.
Tout changement d’IBAN se traite comme un nouveau bénéficiaire. Appelez votre contact habituel chez le fournisseur, sur le numéro de votre base. Tant qu’il n’a pas confirmé : ancien compte, ou pas de paiement.
Aucune exception pour la direction. Ni pour le président, ni pour le conseil, ni pour « l’avocat du dossier ». Plus le nom est gros, plus le contrôle est strict.
Laissez reposer 24 heures les premiers paiements vers un compte nouveau, quand l’activité le permet. La fraude est pressée ; les vraies factures, non.

C’est tout. Cela coûte quelques appels par mois. Cela évite un virement que vous ne reverrez jamais.

Rendre le refus sûr, à l’avance

Le protocole n’a qu’un point de rupture : l’instant où un dirigeant convaincant s’y oppose en direct. « Je n’ai pas le temps pour votre rappel. Vous mesurez ce qui se joue ? » Une règle qu’un patron fâché peut balayer n’est pas une règle, c’est une suggestion.

La pièce manquante est donc politique, pas technique. Le président doit bénir le protocole à l’avance, par écrit et devant l’équipe, avec une phrase de ce genre : « Si quelqu’un, moi compris, vous presse un jour de sauter le rappel de vérification, cette pression est en elle-même le signal de fraude le plus fort que vous recevrez jamais. Refuser fait partie de votre travail, et je vous couvrirai publiquement, à chaque fois. » La psychologie s’inverse : contredire le patron est un risque de carrière ; appliquer la consigne permanente du patron est une sécurité de carrière. L’employé d’Arup doutait avant la visio. Le doute a besoin d’un endroit sûr où atterrir, et seul le sommet de la hiérarchie peut le construire.

La première heure après un virement frauduleux

Si l’argent est parti, la vitesse prime. Appelez immédiatement le service fraude de votre banque, demandez le rappel du virement (recall) et l’alerte de la banque destinataire ; les fonds restent souvent quelques heures sur le premier compte rebond avant d’être dispersés. Déposez plainte sans attendre, en France au commissariat ou à la gendarmerie, en Belgique auprès de la police locale ; les entreprises belges peuvent aussi signaler l’incident au Centre pour la Cybersécurité. Conservez tout : en-têtes complets des mails, fausse facture, journal des appels. Et ne faites pas de l’employé le coupable de l’histoire. Punir la personne trompée apprend à la victime suivante à cacher la fraude pendant une semaine, précisément la semaine où la récupération avait encore une chance.

Vérifier l’humain, pas le canal

Chaque contrôle ci-dessus contourne une brique manquante : deux collègues au téléphone ne peuvent pas se prouver qui ils sont. C’est ce trou que nous comblons avec Hongi. Deux personnes s’apparient une fois, physiquement, puis l’application montre à chacune un mot de code rotatif, renouvelé toutes les 30 secondes et calculé hors ligne sur l’appareil ; un imposteur, si bonne que soit la voix ou l’image, ne peut jamais connaître les deux côtés. Un directeur financier et un président appariés disposent d’un contrôle de deux secondes pour l’appel du vendredi qui ouvre cet article : pas de mot de code, pas de paiement. Cela ne remplace ni les quatre yeux ni le rappel, et je ne le prétendrai pas. Cela ferme le trou précis qu’ils laissent ouvert : la voix au bout du fil. C’est aussi la direction de notre volet organisations.

D’ici là, tenez la version ennuyeuse : rappel sur un numéro connu, quatre yeux, aucune exception. Le virement peut attendre lundi. La fraude, non.