Fraude à l'IBAN et au faux président : les règles qui l'arrêtent

• La cible, ce sont les personnes La précipitation, la hiérarchie et la confiance, pas les vulnérabilités techniques.
• Une des escroqueries dominantes La facture à l'IBAN modifié ne laisse aucune trace technique.
• La technologie ne suffit pas Un paiement autorisé par erreur ne s'évite que par une règle.
• La règle De nouvelles coordonnées bancaires se valident par téléphone, auprès d'un contact qui existait déjà.

1. Entrée : le fraudeur accède à la messagerie d'un fournisseur, ou à celle de votre propre entreprise.
2. Attente : des semaines à lire, sans rien toucher : qui paie qui, quels montants, quel langage, quelles dates.
3. Substitution : il récupère une facture authentique et la renvoie avec un autre IBAN. Montant, référence, échanges précédents et signature sont exacts.
4. Prétexte : vient souvent un message décontracté : « nous avons changé de banque, merci de mettre à jour ».
5. Découverte : seulement quand le vrai fournisseur réclame son paiement, des semaines plus tard.

Celui qui a payé ne s'est pas trompé : il a suivi la procédure. C'est pourquoi la défense doit être une règle absolue, y compris pour les fournisseurs de longue date. Toute modification d'IBAN se valide par un appel au numéro que l'entreprise avait déjà enregistré, et jamais à celui qui figure dans l'email.

Quelqu'un à la trésorerie ou à la comptabilité reçoit un message d'un administrateur. C'est urgent et confidentiel, il est en déplacement et ne répond pas. Il lui faut un virement immédiatement.

Le texte appuie sur trois leviers à la fois. L'urgence, pour couper la réflexion. Le pouvoir, pour inhiber les questions. Le secret, pour empêcher toute vérification auprès d'un collègue. Aujourd'hui, ces messages tombent juste sur le nom, la signature et même sur de vrais sujets internes, copiés d'anciens emails.

La réponse est organisationnelle, pas technologique. Au-delà d'un montant fixé, aucun virement ne part sans validation par un autre canal. Et la direction doit déclarer à l'équipe, par écrit si possible, qu'elle ne prendra jamais mal une demande de confirmation.

Presque toujours par un mot de passe saisi sur une fausse page de connexion. Ces pages imitent l'originale à la perfection ; le seul indice est l'adresse, et celui qui est pressé ne la lit pas. Trois contrôles réduisent ce risque de façon drastique :

• Double authentification pour tous Le meilleur rapport effort/protection ; le mot de passe volé, à lui seul, n'ouvre plus le compte.
• Gestionnaire de mots de passe Il supprime la réutilisation et refuse de remplir les identifiants sur un faux domaine, alertant avant même que la personne ne le remarque.
• Alerte de transfert La première chose que fait un intrus est de créer une règle qui copie le courrier vers l'extérieur ; sans alerte, elle reste en place des mois.

• Valider l'IBAN par téléphone Toujours auprès d'un contact enregistré au préalable.
• Principe des quatre yeux Au-delà du seuil, celui qui demande le paiement n'est pas celui qui l'approuve.
• L'urgence est un signal d'alarme Jamais une raison de sauter la vérification.
• Le droit de bloquer Tout collaborateur peut suspendre un paiement sans avoir à justifier son doute. Là où poser une question est sanctionné, personne ne pose de question.

Complétez par une formation courte et fréquente, avec des exemples réels. Un quart d'heure par trimestre ancre davantage qu'une séance annuelle de deux heures.

Chaque heure compte. Suivez cet ordre :

1. Appelez la banque : demandez l'annulation ou le rappel du virement, le plus tôt possible.
2. Verrouillez les comptes : nouveaux mots de passe et fermeture de toutes les sessions ouvertes.
3. Inspectez la messagerie : cherchez les règles de transfert que vous n'avez pas créées.
4. Portez plainte : auprès des autorités.
5. Prévenez l'autre partie : le fournisseur ou le client est probablement compromis, et d'autres entreprises reçoivent les mêmes fausses factures.
6. Trouvez l'origine : en dernier, mais sans faute. Si vous ne savez pas comment ils sont entrés, ils reviendront.

DataRoad - IT Services and Consulting configure l'authentification forte, le filtrage de la messagerie et la cybersécurité gérée avec pare-feu dans le cadre des services IT gérés. Demandez une évaluation sans engagement.

Plus de 10 postes · contrat d'assistance · support à distance, sur site et par téléphone. +351 211 459 950 * · sales@dataroad.pt

*Appel vers un fixe portugais.