La compromission de courriels d’affaires en mots simples : comment elle fonctionne, la règle du rappel qui l’arrête, une affiche pour le poste des finances, une séance d’information de cinq minutes pour l’équipe, et quoi faire dans les premières heures si l’argent est parti.
À imprimer et à adapter librementDernière révision octobre 2026Traduction du guide anglais
Comment ça fonctionne
La compromission de courriels d’affaires est une escroquerie, pas un piratage. L’outil de l’attaquant, c’est un courriel convaincant au bon moment.
Le faux fournisseur. Un courriel qui semble venir d’un fournisseur annonce que ses coordonnées bancaires ont changé. La facture suivante est payée au criminel.
La directive urgente. Un courriel qui semble venir de la direction ou de la trésorerie demande un paiement urgent et confidentiel.
Le changement de paie. Un « employé » demande de changer le compte où son salaire est versé.
La vraie boîte aux lettres. Souvent, l’attaquant s’est introduit dans un vrai compte de courriel, le vôtre ou celui du fournisseur, et attend une vraie facture pour l’intercepter. Le courriel peut venir de la bonne adresse et citer une vraie conversation.
L’IC3 du FBI décrit la compromission de courriels d’affaires comme le recours à l’ingénierie sociale ou à l’intrusion informatique pour obtenir un transfert de fonds non autorisé. Son conseil commence par la même chose que le nôtre : vérifier les changements par un deuxième moyen.
Signaux d’alerte
Aucun de ces signaux ne prouve une fraude. Chacun est une raison d’appeler.
Un changement de coordonnées bancaires, surtout vers un compte à un autre nom ou dans un autre pays.
L’urgence, le secret, ou de la pression pour ne pas appeler : « Je suis en réunion, fais-le, c’est tout. »
Une adresse d’expéditeur presque exacte, ou une adresse de réponse différente de celle de l’expéditeur.
Une demande qui contourne votre processus d’approbation habituel.
Une facture qui semble correcte, mais qui arrive à un moment inhabituel ou pour un montant inhabituel.
La procédure de rappel
Une seule règle arrête la plupart de ces fraudes : aucun changement de coordonnées bancaires sur la seule foi d’un courriel.
Arrêtez.Toute demande de changement de coordonnées bancaires, ou de paiement urgent ou inhabituel, est considérée comme suspecte jusqu’à vérification. Même si elle vient de la direction.
Trouvez le numéro vous-même.Utilisez un numéro que vous aviez déjà : celui du contrat, d’une facture déjà payée ou du site Web officiel de l’organisation. Jamais le numéro, le lien ou l’adresse de réponse du message.
Appelez et demandez.Parlez à une personne que vous connaissez ou dont vous pouvez vérifier l’identité. Relisez-lui les nouvelles coordonnées et demandez-lui de les confirmer. Ne demandez pas « C’est bien vous qui avez envoyé ceci? » d’une façon qui appelle un oui.
Une deuxième personne approuve.Une deuxième personne vérifie que l’appel a été fait et approuve le changement avant qu’il soit saisi.
Notez tout.Notez qui a appelé qui, à quel numéro, quand, et qui a approuvé. Gardez cette note avec le dossier du paiement.
Appliquez-la aux changements de fournisseurs, aux changements de paie et à tout premier paiement vers un nouveau compte. Mettez-la par écrit, et dites à vos fournisseurs que vous appellerez toujours pour confirmer : un vrai fournisseur s’y attendra.
Lisez-la à voix haute à une réunion d’équipe, adaptez les noms, puis affichez l’affiche.
« Je veux vous parler d’une fraude bien précise, parce qu’elle coûte de l’argent bien réel à des organismes comme le nôtre, et qu’elle est facile à arrêter.
Des criminels envoient des courriels qui semblent venir de nos fournisseurs, ou de l’un d’entre nous, pour nous demander de changer des coordonnées bancaires ou de faire un paiement urgent. Parfois, ils se sont introduits dans un vrai compte de courriel : le message peut donc venir de la bonne adresse et mentionner une vraie facture.
À partir d’aujourd’hui, notre règle est simple. Si quelqu’un nous demande de changer des coordonnées bancaires, de payer un nouveau compte ou de faire un paiement urgent en dehors du processus habituel, nous ne le faisons pas à partir du courriel. Nous rappelons la personne à un numéro que nous avions déjà, pas à celui du message. Une deuxième personne approuve le changement. Et nous notons qui nous avons appelé.
Ça s’applique à tout le monde, moi compris. Si je vous envoie un jour un courriel pour un paiement urgent, je m’attends à ce que vous m’appeliez pour vérifier. Vous n’aurez jamais d’ennuis pour avoir vérifié. Vous pourriez en avoir pour ne pas l’avoir fait.
Si vous pensez qu’un paiement est déjà parti au mauvais endroit, dites-le-moi ou dites-le à la personne responsable des finances immédiatement, même s’il est tard ou que vous n’êtes pas certain. C’est dans la première heure que la banque a les meilleures chances de l’arrêter.
L’affiche avec les étapes sera installée près du poste des finances. Avez-vous des questions? »
Si l’argent est parti
Les premières heures.
La rapidité compte plus que tout. Faites les deux premières étapes tout de suite, en parallèle si vous le pouvez.
Appelez votre banque maintenant.Utilisez le numéro de la ligne des fraudes indiqué sur le site Web de votre banque ou sur votre carte. Demandez-lui de rappeler ou d’annuler le paiement et de communiquer avec la banque destinataire. Chaque minute compte : plus la banque agit vite, plus il y a de chances d’arrêter l’argent.
Signalez-le à l’organisme national.Aux États-Unis, déposez une plainte auprès de l’IC3 du FBI, avec les coordonnées bancaires. Au Royaume-Uni, signalez-le à Report Fraud (Angleterre, pays de Galles et Irlande du Nord) ou à Police Scotland. Les autres pays figurent plus bas.
Sécurisez le compte de courriel.Partez du principe que la boîte aux lettres qui a envoyé ou reçu la demande est peut-être compromise. Changez le mot de passe, fermez toutes les sessions, cherchez les règles de transfert et les règles de boîte de réception que vous n’avez pas créées, et activez l’authentification multifacteur.
Conservez les preuves.Ne supprimez pas les courriels. Enregistrez-les avec leurs en-têtes complets, ainsi que les factures, les confirmations de paiement et les notes d’appel.
Prévenez le vrai fournisseur ou la vraie personne.Appelez-les à un numéro connu. C’est peut-être leur compte qui a été compromis, et d’autres pourraient être visés ensuite.
Avisez votre assureur et votre conseil d’administration.Si vous avez une assurance cyberrisques ou contre le crime, appelez l’assureur tôt; bien des polices ont des conditions sur le préavis. Informez ensuite votre direction.
Ailleurs, signalez-le à la police et à votre agence nationale de cybersécurité; notre guide de sécurité en énumère plusieurs.
Sources
D’où cela vient.
Sources primaires seulement : gouvernements, organismes de réglementation, organismes de normalisation et les fournisseurs eux-mêmes, presque toutes en anglais. Chacune a été ouverte et vérifiée le 18 octobre 2026. Si quelque chose ici ne correspond plus à la source, c’est la source qui fait foi; écrivez-nous à hello@moraph.org.