La compromission de messagerie professionnelle, ou BEC, est l’un des types de fraude les plus coûteux auxquels les entreprises sont confrontées. Contrairement à l’hameçonnage envoyé à des milliers de personnes à la fois, la BEC est ciblée. Les criminels se renseignent sur une entreprise, déterminent qui approuve les paiements et rédigent des messages conçus pour paraître totalement authentiques.
Il n’y a souvent ni logiciel malveillant ni piratage évident. La fraude fonctionne parce qu’une personne de confiance est persuadée d’approuver un paiement ou de partager des informations sensibles — c’est pourquoi la BEC est souvent qualifiée de fraude de la confiance plutôt que de fraude technologique.
Elle peut toucher une entreprise de toute taille. Les grandes organisations sont attrayantes en raison de montants de transaction plus élevés, mais les petites entreprises sont souvent ciblées précisément parce qu’elles disposent de moins de contrôles formels.
Comment cela fonctionne
La fraude commence généralement bien avant l’apparition d’une quelconque demande de paiement. Les criminels recueillent des informations sur des sites web publics, les réseaux sociaux, les annonces de l’entreprise, les relations avec les fournisseurs et les organigrammes, afin de comprendre comment les paiements sont approuvés et par qui.
Ils créent ensuite une adresse e-mail convaincante, compromettent une véritable boîte aux lettres ou usurpent l’identité d’une personne déjà impliquée dans une transaction légitime. Comme l’e-mail ressemble à un élément des activités quotidiennes de l’entreprise, la demande de paiement est souvent traitée sans vérification supplémentaire.
Certaines attaques utilisent de fausses factures. D’autres demandent de modifier les coordonnées bancaires d’un fournisseur. Dans les cas les plus sophistiqués, les fraudeurs lisent de véritables échanges d’e-mails pendant des semaines avant d’intervenir au moment le plus convaincant.
À quoi cela peut ressembler
Une équipe financière attend une facture d’un fournisseur habituel. Quelques jours avant son échéance, un e-mail arrive indiquant que le fournisseur a modifié ses coordonnées bancaires. Le moment semble opportun, la formulation semble familière et la demande paraît raisonnable — le paiement est donc effectué.
Quelques semaines plus tard, le véritable fournisseur contacte l’entreprise pour demander pourquoi sa facture n’a pas été réglée. C’est à ce moment que l’entreprise découvre que l’argent a été versé à un criminel. La fraude a fonctionné parce qu’elle s’est parfaitement intégrée à un processus commercial normal.
Pourquoi cette escroquerie fonctionne
La BEC réussit en raison du comportement humain, et non de la technologie. Les fraudeurs exploitent la confiance, les habitudes et l’urgence — lorsqu’une demande correspond à un schéma familier, elle semble naturellement présenter moins de risques.
Le personnel n’est pas négligent. Il traite ce qui ressemble à une transaction ordinaire, car c’est exactement ce que le fraudeur veut faire croire.
Protéger votre entreprise
La meilleure défense consiste à procéder à une vérification indépendante. Ne modifiez jamais les instructions de paiement sur la seule base d’informations contenues dans un e-mail — confirmez toute modification à l’aide des coordonnées que vous avez déjà enregistrées, et non de celles fournies dans la demande elle-même.
Autres contrôles utiles :
- Double approbation des paiements
- Séparation des tâches
- Seuils de paiement
- Procédures de vérification des fournisseurs
- Formation à la sensibilisation à la fraude
- Un processus d’escalade pour les demandes inhabituelles
La prévention de la fraude est plus efficace lorsque ces contrôles fonctionnent ensemble, et non séparément.
À retenir
Une demande de paiement peut sembler totalement légitime tout en étant frauduleuse. La confiance ne doit jamais remplacer la vérification.
Articles associés
- Qu’est-ce que la fraude à la facture ?
- Qu’est-ce que la fraude au fournisseur ?
- Qu’est-ce que la fraude au président ?
- Comment les entreprises peuvent-elles se protéger contre la fraude aux paiements ?