Un fournisseur annonce un changement de coordonnées bancaires par e-mail. Le virement part. Il ne reviendra pas. C’est la fraude qui coûte le plus cher aux PME, et c’est la seule contre laquelle aucun logiciel ne peut rien.
Le scénario est toujours le même, et c’est ce qui le rend efficace.
Votre comptable reçoit un message d’un fournisseur que vous payez depuis des années. Le ton est juste, la signature est la bonne, l’historique de la conversation est là, au-dessus. Le message annonce un changement de banque et joint un nouveau RIB. La facture suivante arrive quelques jours plus tard. Elle est payée sur le nouveau compte.
Trois semaines passent. Le vrai fournisseur relance : il n’a rien reçu.
Un virement entre entreprises n’a pas de bouton d’annulation. Une fois exécuté, la banque émettrice ne peut que demander à la banque réceptrice de bien vouloir restituer les fonds. Celle-ci n’y est pas tenue, et le compte est généralement vidé dans les heures qui suivent.
Les montants ne sont pas symboliques. Il s’agit de factures fournisseurs ordinaires, donc de plusieurs milliers d’euros, parfois de plusieurs dizaines de milliers. Pour une PME, c’est une trésorerie de fin de mois.
Et l’assurance ne couvre pas automatiquement. Beaucoup de contrats excluent la fraude dite « au faux fournisseur » lorsqu’aucune procédure de vérification n’était en place. C’est précisément le point que vous pouvez changer.
Deux cas se présentent, et ils ne se traitent pas pareil.
Le message est une imitation. L’adresse ressemble à celle du fournisseur, à un caractère près : un « rn » à la place d’un « m », un « .fr » devenu « .com », un nom de domaine avec un tiret en plus. Personne ne lit une adresse d’expéditeur en entier.
Le message est authentique. C’est le cas le plus désagréable : la boîte du fournisseur a réellement été compromise. L’attaquant a lu les échanges, attendu une facture en cours, et répondu dans le fil. Il n’y a rien à repérer, parce qu’il n’y a rien d’anormal.
Dans le second cas, aucune vigilance sur la forme ne protège. Seule une procédure protège.
Elle tient en une phrase, et elle ne coûte rien :
Tout changement de coordonnées bancaires est vérifié par téléphone, auprès du fournisseur, sur un numéro déjà connu, jamais sur un numéro figurant dans le message.
Le dernier membre de phrase est le plus important. Les messages frauduleux comportent presque toujours un numéro de téléphone, et quelqu’un répond au bout. Le numéro à utiliser est celui que vous aviez avant : sur une facture ancienne, dans votre logiciel de comptabilité, sur le site du fournisseur.
Trois précisions font la différence entre une règle affichée et une règle appliquée.
Elle vaut pour tout le monde, y compris la direction. Une règle qui souffre une exception hiérarchique n’est pas une règle : c’est exactement le levier qu’utilise la fraude dite « au président ».
Elle vaut aussi pour les demandes urgentes. L’urgence est le principal outil de l’attaquant, parce qu’elle sert à sauter l’étape de vérification.
Elle doit être écrite. Pas pour la forme : pour que la personne qui paie puisse dire non sans avoir à se justifier, en s’appuyant sur une consigne de l’entreprise plutôt que sur son intuition.
Dans cet ordre, et vite : les premières heures comptent.
Appelez votre banque immédiatement pour demander le rappel des fonds. C’est la seule action dont le résultat dépend de la rapidité.
Portez plainte. C’est la pièce que votre assureur demandera, et elle conditionne toute indemnisation éventuelle.
Prévenez le fournisseur. Si sa boîte est compromise, vous n’êtes probablement pas le seul client visé, et il l’ignore peut-être encore.
Vérifiez vos propres accès. Si vous avez répondu, cliqué, ou saisi un mot de passe quelque part dans l’échange, changez-le et activez la double authentification sur la messagerie.
Parce que c’est la seule attaque courante qu’aucun produit ne bloque. Un antivirus ne voit rien : il n’y a pas de logiciel malveillant. Un pare-feu ne voit rien : il n’y a pas d’intrusion. Le virement est fait volontairement, par une personne autorisée, depuis un poste sain.
C’est une question d’organisation, pas d’équipement. Et c’est pour cette raison qu’elle figure parmi les dix questions de notre auto-diagnostic : trois minutes, sans laisser vos coordonnées.
Si vous n’êtes pas sûr que la règle existe chez vous, c’est qu’elle n’existe probablement pas. Cela se met en place en une réunion.
