01
Validation hors-canal
Tout virement supérieur à un seuil doit être validé par téléphone — sur un numéro connu, pas celui dans l'email — ou en présentiel.
Définition, mécanisme, exemples célèbres (Arup 25 M$, Pathé 19 M€), statistiques 2024 et 5 réflexes pour s'en protéger. Tout sur le BEC (Business Email Compromise) — escroquerie ciblant ETI et grandes entreprises.
La fraude au président, ou Business Email Compromise (BEC), est une technique d'escroquerie financière qui consiste à usurper l'identité d'un dirigeant — souvent par compromission ou imitation de son adresse email — pour ordonner un virement bancaire frauduleux à un comptable ou à un service trésorerie. Les pertes moyennes en France varient de 100 k€ à plusieurs millions d'euros par cas.
Le BEC est l'une des escroqueries les plus rentables pour les attaquants : pas besoin de chiffrer des systèmes ni de contourner d'antivirus — la victime exécute volontairement le virement. Cibles privilégiées : ETI et grandes entreprises avec procédures de virement automatisées et hiérarchies où l'autorité du DG ne se discute pas. Pour la dimension organisationnelle complète, voir la sectorielle crise cyber.
Cas Arup (Hong Kong, février 2024) : 25 M$ détournés via une fausse visioconférence où le « DG » et plusieurs « collègues » étaient des deepfakes vidéo générés par IA. La victime — un employé du service financier — a validé le virement sous couvert d'une prétendue acquisition confidentielle.
Première grande affaire BEC avec deepfake vidéo. Visio truquée avec « DG » et « collègues » synthétisés par IA, virement validé par employé du service financier.
Filiale néerlandaise. Faux email du DG ordonnant un virement urgent dans le cadre d'une « acquisition confidentielle ». DAF sanctionné, condamnation civile contre le groupe.
Cas pionnier qui a popularisé le terme BEC. Fournisseur réseau, virement vers Hong Kong sur faux ordre de virement. Récupération partielle après plainte.
Tout virement supérieur à un seuil doit être validé par téléphone — sur un numéro connu, pas celui dans l'email — ou en présentiel.
Configuration SPF, DKIM, DMARC pour empêcher l'usurpation du domaine. Test régulier via mail-tester.
Authentification multi-facteurs obligatoire sur les boîtes mail des dirigeants — la première cible des attaquants.
Formation spécifique des comptables, DAF, assistantes de direction. Simulations BEC trimestrielles.
Valoriser publiquement le signalement, même quand l'alerte s'avère fausse. Sanctionner le passage en force, jamais la prudence.
Twist intervient sur la dimension procédurale et culturelle du risque BEC, en complément des dispositifs techniques (anti-spoofing, MFA).
La fraude au président (Business Email Compromise) est une escroquerie qui usurpe l'identité d'un dirigeant pour ordonner un virement frauduleux. L'attaquant compromet ou imite l'email du DG ou DAF, puis envoie une demande urgente au comptable. Pertes moyennes en France : 100 k€ à plusieurs M€ par cas.
Quatre étapes : (1) Reconnaissance via LinkedIn et site corporate. (2) Compromission ou usurpation de l'email dirigeant. (3) Envoi d'un ordre de virement jouant sur urgence, confidentialité, autorité. (4) Réception sur compte étranger et blanchiment via cryptomonnaies.
Cinq leviers : double validation hors-canal pour les virements (téléphone vers numéro connu), MFA sur boîtes dirigeantes, anti-spoofing (SPF/DKIM/DMARC), sensibilisation ciblée des comptables et assistantes, dispositif d'alerte au moindre doute.
Cinq actions immédiates : contacter la banque pour bloquer/rapatrier (premières heures décisives), déposer plainte (THESEE), notifier la CNIL si données personnelles compromises, préserver emails et logs, activer la cellule de crise pour communication, RH, juridique.
Oui, tendance forte 2024-2025. Cas Arup à Hong Kong début 2024 : 25 M$ détournés via fausse visioconférence avec deepfake vidéo du DG et collègues. La parade reste la même : double validation hors-canal sur un numéro connu et indépendant.
30 minutes pour cadrer vos enjeux et dessiner une trajectoire réaliste. Gratuit, sans engagement.
Discuter avec un consultant