La fraude par courriel d'affaires compromis (BEC, pour Business Email Compromise) est l'une des cyberfraudes les plus coûteuses au monde : le FBI y attribue à lui seul des pertes de plusieurs milliards de dollars par année. Elle ne nécessite aucun logiciel malveillant, seulement un courriel crédible envoyé au bon moment. Et l'été est le bon moment.

Pourquoi l'été est la haute saison

  • Les réponses automatiques d'absence indiquent aux fraudeurs qui est parti, jusqu'à quand et qui le remplace.
  • Les remplaçants connaissent moins bien les processus et hésitent à déranger un gestionnaire en vacances pour valider une demande.
  • Les publications sur les réseaux sociaux confirment qu'un dirigeant est à l'étranger et difficile à joindre.

Les trois scénarios les plus fréquents

  • Le faux changement de coordonnées bancaires — Un « fournisseur » annonce un nouveau compte pour les prochains paiements. Souvent, le courriel provient du vrai compte du fournisseur, piraté, et s'insère dans un fil de discussion existant.
  • La fraude au président — Un message signé par le dirigeant demande un virement urgent et confidentiel, « je suis en réunion, je ne peux pas parler ».
  • La fausse facture — Une facture presque identique aux vraies, avec un montant habituel, mais des coordonnées de paiement modifiées.

Les signaux qui doivent faire réagir

Une adresse d'expéditeur légèrement différente (une lettre changée, un autre domaine), un ton d'urgence ou de confidentialité inhabituel, une demande de contourner le processus normal, ou tout changement de coordonnées bancaires — même venant d'un contact connu.

La règle qui bloque presque tout

Instaurez une règle simple et non négociable : tout changement de coordonnées bancaires ou tout virement inhabituel est confirmé par téléphone, à un numéro déjà connu — jamais à celui indiqué dans le courriel. Cette seule vérification déjoue la grande majorité des tentatives.

Côté technique, trois mesures réduisent fortement le risque : le MFA sur toutes les boîtes Microsoft 365 (pour empêcher le piratage de vos propres comptes), la configuration SPF, DKIM et DMARC de votre domaine (pour empêcher l'usurpation de votre adresse) et une alerte sur les règles de transfert automatique créées dans les boîtes aux lettres, une technique classique des fraudeurs.

Former avant les vacances

Un rappel de cinq minutes avant les vacances, avec des exemples concrets, vaut mieux qu'une longue formation annuelle oubliée. Nos campagnes d'hameçonnage simulé permettent de mesurer qui clique, de former sur le moment et de suivre la progression de votre équipe.