Fraude au président : comprendre et prévenir cette fraude

La fraude au président est une escroquerie dans laquelle un fraudeur se fait passer pour le dirigeant d’une entreprise afin d’obtenir d’un collaborateur un virement urgent et discret vers un compte qu’il contrôle. Désignée par les autorités sous le nom de FOVI, pour faux ordre de virement international, cette escroquerie aux faux ordres repose moins sur la technique que sur la manipulation psychologique : autorité, urgence et confidentialité. Elle touche toutes les structures, de la TPE au grand groupe, et peut coûter plusieurs millions d’euros en une seule opération.

Chez Ingelan, prestataire informatique et cybersécurité qui accompagne les PME de Montpellier et d’Occitanie, nous constatons que la plupart des tentatives réussissent non pas faute d’outils, mais faute de procédures claires. Cet article s’appuie sur les recommandations de la CNIL et sur les dernières tendances publiées par les pouvoirs publics pour vous aider à comprendre le mode opératoire des cybercriminels et à mettre en place des mesures de prévention concrètes au sein de votre organisation.

Qu’est-ce qu’une “fraude au président” ?

Le terme désigne une forme d’ingénierie sociale qui cible les flux financiers des entreprises. Le fraudeur cherche à usurper l’identité d’un dirigeant, d’un fournisseur ou d’un conseiller bancaire pour déclencher un paiement que la victime croit légitime. La CNIL la définit comme le fait de récupérer indûment des fonds normalement destinés à un tiers légitime. Contrairement à un piratage classique, aucune faille informatique n’est nécessaire : la faille exploitée est humaine.

Les principales variantes observées sont les suivantes :

• La fraude au président proprement dite : une demande de paiement présentée comme validée en haut lieu, souvent par le PDG lui-même.
• La modification des coordonnées bancaires d’un fournisseur, afin que les prochains règlements alimentent le compte de l’escroc.
• La fausse facture, émise au nom d’un partenaire réel et payable sur un compte contrôlé par les cybercriminels.
• Le faux conseiller bancaire ou le faux technicien, qui obtient des codes de validation pour réaliser un virement à la place de la victime.

Historique de l’arnaque

Cette escroquerie est apparue en France au milieu des années 2000. Son inventeur présumé, Gilbert Chikli, un escroc franco-israélien, a perfectionné la méthode en téléphonant à des comptables de grands groupes et d’agences bancaires en se faisant passer pour leur dirigeant ou pour un agent des services secrets. Il aurait ainsi soutiré plusieurs millions d’euros à des sociétés françaises en invoquant des opérations secrètes de lutte contre le blanchiment.

Condamné par défaut en 2015, Gilbert Chikli a ensuite été arrêté en Ukraine en 2017 pour une variante spectaculaire : l’imitation du ministre de la Défense Jean-Yves Le Drian, à l’aide d’un masque en silicone lors d’appels vidéo adressés à des personnalités fortunées. Extradé vers la France, il a été condamné en 2020 à onze années de prison. Entre-temps, la méthode avait été copiée par de nombreux réseaux, au point que les enquêteurs ont recensé des centaines de millions d’euros de préjudice en quelques années.

Depuis, le mode opératoire a migré du téléphone vers l’e-mail, puis vers les messageries instantanées et la visioconférence. L’essor de l’intelligence artificielle (IA) permet aujourd’hui de cloner une voix à partir de quelques secondes d’enregistrement, ce qui rend l’appel d’un faux président beaucoup plus difficile à détecter.

Mécanisme de l’arnaque

Selon la CNIL, l’attaque se déroule généralement en trois temps, un schéma que l’on retrouve dans la grande majorité des cas signalés :

1. La phase de reconnaissance : le fraudeur collecte des informations publiques sur la société, par exemple l’organigramme, les offres d’emploi, les fournisseurs ou les publications sur les réseaux sociaux, pour comprendre qui valide les paiements.
2. La préparation de l’usurpation : il crée un nom de domaine quasi identique à celui de l’entreprise (une lettre modifiée, une extension différente) ou pirate une vraie boîte de messagerie interne.
3. Le passage à l’acte : un e-mail ou un appel ciblé, présenté comme urgent et confidentiel, demande au service comptable d’exécuter un virement bancaire sans en parler à quiconque.

Le scénario type, inchangé depuis les premiers coups de Gilbert Chikli, repose sur trois leviers psychologiques. L’autorité d’abord : la demande semble émaner du PDG ou d’un avocat mandaté par lui. L’urgence ensuite : une acquisition discrète, un contrôle fiscal ou une opération stratégique doivent être réglés dans l’heure. La confidentialité enfin : la personne ciblée est priée de ne rien dire à ses collègues, ce qui la coupe des contrôles habituels. Le fraudeur entretient la pression par des relances par téléphone, puis formule de nouvelles demandes de virement tant que l’entreprise ne réagit pas.

Impact de l’arnaque sur les entreprises

Les conséquences d’une attaque réussie dépassent largement la somme détournée. Le rapport d’activité de Cybermalveillance.gouv.fr, analysé par France Num, montre que la fraude au virement figure désormais parmi les trois principales menaces pour les entreprises et associations. Ce constat intervient dans un contexte de menace cyber en forte accélération, avec un nombre d’entreprises assistées en hausse de 73 % en un an.

Conséquences financières

Le premier impact est évidemment la perte de trésorerie. Une fois transféré vers un compte à l’étranger, l’argent est rapidement fractionné et réexpédié vers d’autres pays, ce qui rend le retour des fonds très incertain. Les chances de récupération dépendent presque entièrement de la rapidité de réaction : la banque doit être alertée dans les heures qui suivent pour tenter un rappel de l’opération.

Si le paiement vient d’être émis, trois actions s’imposent immédiatement : contacter l’établissement bancaire pour demander le blocage ou le rappel des fonds, conserver toutes les preuves (e-mails, en-têtes, journaux d’appels) et déposer plainte. Chaque heure perdue réduit fortement les chances de récupération.

Plusieurs exemples européens illustrent l’ampleur des risques. En 2016, l’équipementier aéronautique autrichien FACC a perdu environ 50 millions d’euros, et la banque belge Crelan plus de 70 millions. Pour une PME, un préjudice de quelques centaines de milliers d’euros peut suffire à mettre en péril la continuité de l’activité, surtout lorsque l’assurance cyber de la société exclut ce type de sinistre.

À la perte directe s’ajoutent des coûts indirects souvent sous-estimés :

• Les honoraires d’avocats et d’experts mandatés pour l’enquête interne et la procédure.
• Le temps mobilisé par la direction et le service financier pendant plusieurs semaines.
• La hausse éventuelle des primes d’assurance et le durcissement des conditions bancaires.
• Les sanctions possibles si des données personnelles ont été compromises lors de l’attaque.

Répercussions sur la réputation

Une escroquerie réussie fragilise aussi la confiance des partenaires. Clients, fournisseurs et établissements financiers s’interrogent sur la solidité des contrôles internes, tandis que les collaborateurs ciblés vivent souvent l’événement comme une faute personnelle. Or ces employés ont été victimes d’une manipulation conçue par des professionnels de la tromperie. Les sanctionner sans revoir les procédures revient à ignorer la cause réelle du problème.

Lorsque l’affaire devient publique, l’image de la direction peut être durablement atteinte, en particulier dans les secteurs où la rigueur financière est un argument commercial. Il est donc recommandé de préparer en amont un plan de communication de crise, d’informer les partenaires concernés avec transparence et de signaler systématiquement les faits aux services de police ou de gendarmerie, ce qui démontre le sérieux de la réaction de l’organisation.

Comment prévenir la fraude au président ?

La prévention repose sur trois piliers complémentaires : des procédures robustes, des équipes formées et des outils techniques adaptés. Aucun de ces leviers ne suffit seul, car les fraudeurs savent contourner un dispositif isolé. Un point essentiel doit guider l’ensemble : aucune urgence ne justifie de contourner une règle de validation.

Mise en place de contrôles internes

La mesure la plus efficace reste la double validation de tout paiement sortant au-delà d’un seuil défini. Aucun virement ne devrait pouvoir être exécuté sur la seule base d’un e-mail, quelle que soit la personne qui le demande.

• Contre-appel systématique : toute demande inhabituelle est vérifiée par téléphone, en composant le numéro connu de l’interlocuteur et jamais celui indiqué dans le message.
• Gel des changements de coordonnées bancaires : toute modification d’IBAN d’un fournisseur fait l’objet d’une confirmation écrite et d’un délai de carence.
• Séparation des tâches : la personne qui saisit les ordres de virement n’est pas celle qui les valide.
• Procédure d’exception écrite : les règles applicables en cas d’absence du dirigeant ou pendant les congés sont formalisées et connues de tous.

Ces règles doivent être rappelées régulièrement, notamment lors d’un changement de dirigeant, d’un déménagement ou d’une réorganisation, périodes que les cybercriminels exploitent volontiers.

Formation et sensibilisation des employés

Les collaborateurs de la comptabilité, de la trésorerie et des achats sont les premières cibles. Une sensibilisation régulière, illustrée par des cas réels allant de Gilbert Chikli aux deepfakes récents, leur permet de reconnaître les signaux d’alerte et de se sentir légitimes pour refuser une demande, même lorsqu’elle semble venir de la direction générale. Les bons réflexes s’acquièrent par la répétition.

Les signaux qui doivent déclencher une vérification sont les suivants :

• Un ton pressant et une demande de discrétion absolue.
• Une adresse d’expéditeur légèrement différente de l’adresse habituelle.
• Un compte bénéficiaire situé à l’étranger ou jamais utilisé auparavant.
• Des demandes de virement inhabituelles par leur montant ou leur calendrier.
• Le contournement explicite des circuits de validation habituels.

Les exercices de simulation, comme les campagnes de faux hameçonnage, donnent d’excellents résultats lorsqu’ils sont suivis d’un retour pédagogique plutôt que d’une sanction. Chez Ingelan, nous recommandons d’intégrer un module consacré au faux président dans le parcours d’accueil de chaque nouveau collaborateur ayant accès aux paiements, afin d’ancrer durablement la vigilance.

Utilisation de technologies innovantes

La technologie complète utilement les procédures en réduisant la surface d’attaque de votre système d’information :

• Filtrage avancé des messages : une solution anti-spam professionnelle bloque les messages provenant de domaines usurpés et signale les expéditeurs externes.
• Protocoles d’authentification de la messagerie : la configuration de SPF, DKIM et DMARC empêche l’usurpation de votre propre nom de domaine.
• Authentification multifacteur et gestionnaire de mots de passe : ils limitent les risques de piratage des boîtes mail internes, l’un des vecteurs privilégiés des fraudeurs.
• Surveillance des noms de domaine proches du vôtre, recommandée par la CNIL pour détecter le typosquattage.
• Détection par intelligence artificielle : des outils d’analyse comportementale dopés à l’IA repèrent les tournures et les horaires d’envoi anormaux.
• Supervision continue par un SOC capable d’identifier des connexions suspectes sur les comptes de messagerie.

Face à l’usage de l’IA par les escrocs pour imiter une voix ou un visage, la réponse doit également évoluer. Convenir d’un mot de passe verbal entre la direction et la comptabilité, ou exiger une validation dans l’outil de paiement de la banque, neutralise la plupart des tentatives de deepfake. Enfin, un audit de sécurité informatique permet d’identifier les failles techniques et organisationnelles avant qu’elles ne soient exploitées.

Vous souhaitez évaluer l’exposition de votre entreprise aux faux ordres de virement et former vos équipes aux réflexes de vérification ?

Les experts cybersécurité d’Ingelan réalisent un diagnostic de vos procédures et de votre messagerie, puis vous proposent un plan d’action adapté à votre organisation.

FAQ – Fraude au président