Ordres de virement des entreprises : 9 réflexes sécurité
Quelle que soit la taille de votre entreprise, vous pouvez être la cible d’escrocs. Ce guide, édité par la Fédération bancaire française en collaboration avec la police judiciaire, présente 9 réflexes simples pour prévenir ces attaques, déjouer les tentatives de fraude et savoir comment réagir aux ordres de virement frauduleux.
Qu’est-ce qu’une fraude aux ordres de virement ?
Les tentatives d’escroquerie consistent ainsi à obtenir d’un collaborateur de l’entreprise l’exécution d’un ordre de virement, pour un motif apparemment valable, au bénéfice d’un escroc. En 2022, les fraudes aux ordres de virement (FOVI) ont provoqué un préjudice de plus de 313 millions d’euros pour les entreprises, les services publics et les particuliers1.
Important : une fois un ordre de virement (transfert de compte à compte) émis dans le système bancaire, il ne peut plus être annulé. Un virement est en effet irrévocable.
Ce type de fraude donne lieu à différentes variantes, décrites ci-dessous. Cette liste n’est pas exhaustive. Les escrocs renouvellent leurs modes opératoires régulièrement. Ils continuent leurs tentatives en cas d’échec comme en cas de succès, en utilisant d’autres méthodes si nécessaire.
L’escroquerie à l’usurpation d’identité
L’escroc se fait passer pour une personne de l’entreprise (y compris de la direction, ex : « fraude au président ») ou pour une autorité extérieure (commissaire aux comptes, banquier, fonctionnaire de police ou du renseignement intérieur voire un ministre...) auprès d’un collaborateur ou du président de l’entreprise, pour lui faire réaliser un virement.
Pour le convaincre, il prétexte que c’est urgent et confidentiel. Il se sert d’informations sur la société et ses dirigeants, préalablement recueillies sur Internet ou auprès de services de l’entreprise lors d’appels précédents (ingénierie sociale). Souvent, le compte bénéficiaire est domicilié à l’étranger.
ATTENTION Avec le développement de l’intelligence artificielle, les escrocs peuvent modifier des vidéos ou des enregistrements sonores, de sorte qu’on croit véritablement qu’il s’agit de la personne dont ils usurpent l’identité. On appelle ça un hypertrucage ou « deepfake ».
L’escroquerie aux coordonnées bancaires (fraude au RIB)
L’escroc fait croire à un changement de domiciliation bancaire du bailleur, d’un fournisseur/prestataire de services ou de tout autre créancier de l’entreprise.
L’escroc envoie de nouvelles coordonnées bancaires et une facture par courrier électronique ou postal avec des caractéristiques très proches de celles de l’interlocuteur habituel (adresse e-mail, en-tête de courrier...).
L’escroquerie à l’informatique
L’escroc se fait passer pour un personnel du service technique de la banque de l’entreprise visée. Il tente d’obtenir l’exécution de « virements tests » par le collaborateur.
Il peut aussi se faire passer pour un technicien prestataire informatique de l’entreprise et demander l’installation de logiciels permettant de récupérer des informations de sécurité ou de pirater le système informatique de l’entreprise.
ATTENTION Les escrocs renouvellent leurs modes opératoires régulièrement. Ils persévèrent en cas d’échec comme en cas de succès, en utilisant d’autres méthodes si nécessaire.
Le piratage de la messagerie électronique
Un pirate peut avoir récupéré vos accès à votre boîte e-mail. Il peut alors intercepter un message et modifier une pièce jointe. Il pourrait ainsi remplacer le RIB envoyé ou reçu par le sien pour récupérer l’argent.
Vous avez effectué un virement qui n’est pas parvenu à son destinataire ? Vous constatez qu’un paiement qui vous a été envoyé ne vous parvient pas ? Vérifiez si votre messagerie professionnelle a été piratée et suspendez tout paiement le temps de cette vérification.
Sécurisez votre boîte e-mail pour éviter qu’un pirate n’y accède. À chaque nouveau RIB reçu ou envoyé par e-mail, et avant tout virement, appelez votre interlocuteur aux coordonnées habituelles pour vérification.
Cybermalveillance.gouv.fr, propose des modules d’e-sensibilisation (« SensCyber »), accessibles à tous, pour comprendre, agir, partager les bonnes pratiques et tester vos connaissances en matière de cybersécurité.
Soyez vigilant
Si vous êtes victime d’une fraude (ou d’une tentative de fraude), votre rapidité pour contacter votre banque et la police judiciaire est essentielle.