Arnaque au président : faux mail décrypté
Retour d’expérience client
Interception d’un faux ordre de virement en entreprise
Le service comptable d’une entreprise cliente a reçu un courriel semblant émaner directement de sa direction générale : formulation polie, français soigné, absence de faute d’orthographe et RIB joint pour régler des « frais administratifs » auprès d’un notaire.
La somme demandée s’élève à 4 800 euros. Une somme assez modeste pour ne pas éveiller les soupçons, et crédible pour des frais de notaire. Cette variante du faux ordre de virement (arnaque au président) cible régulièrement les TPE, PME et établissements publics.
L’équipe a immédiatement reconnu la tentative d’arnaque et nous a transmis le courriel : c’est exactement le bon réflexe. Nous le décortiquons ici pour aider d’autres entreprises à faire de même.
Exemple d’arnaque au président : autopsie d’un mail réel
Le texte reproduit ci-dessous reprend le courriel intercepté (les données d’identification des parties ont été masquées ou anonymisées) :
URGENT - Règlement notaire / Frais administratifs
- De :
- [Nom du dirigeant]
<entreprise***@gmail.com> - À :
- comptabilite@example.com
Bonjour,
Merci de virer 4 800 euros sur le RIB du notaire joint, avec comme motif : FRAIS ADMINISTRATIFS.
Merci de me confirmer dès que le virement est fait et de me transmettre l’avis d’opération.
Merci !
[Nom du dirigeant]
Les signaux d'alerte
- 1Le montant de 4 800 € : une somme modeste qui n'inquiète pas, crédible pour des frais de notaire, et qui peut passer sous un éventuel plafond de double validation interne.
- 2Le recours à l'argument notarié : l'évocation d'un notaire et de frais administratifs confère une autorité formelle limitant les contestations.
- 3L'exigence de l'avis d'opération : la confirmation rapide permet à l'escroc de vérifier l'émission des fonds avant d'activer les comptes rebonds.
- 4Le style direct : la formulation courte et directive exploite le réflexe d'exécution hiérarchique.
- 5L'adresse d'expédition : le nom affiché correspond au dirigeant, mais le compte réel (ici une adresse grand public masquée entreprise***@gmail.com) n'a aucun lien avec l'organisation.
Le piège de l’adresse d’expédition : ne vous fiez jamais au seul nom affiché
Dans la très grande majorité des tentatives d’escroquerie au président, l’attaquant ne pirate pas le serveur de messagerie de l’entreprise. Il utilise une technique bien plus simple : modifier le nom d’affichage de son courriel pour y inscrire le prénom et le nom exacts du dirigeant (par exemple Jean DUPONT), tout en expédiant le message depuis une adresse totalement externe (ex. entreprise***@gmail.com ou un nom de domaine approchant créé pour l’occasion).
Sur smartphone comme sur la plupart des logiciels de messagerie de bureau (Outlook, Apple Mail, Gmail), l’interface met en avant le nom d’affichage et masque l’adresse électronique réelle pour alléger la lecture.
Le réflexe indispensable : cliquez ou appuyez systématiquement sur le nom de l’expéditeur pour déployer son adresse complète. Si le nom de domaine situé après l’arobase (@) ne correspond pas exactement au nom de domaine officiel de votre société ou établissement, le message est un faux.
Pourquoi le faux ordre de virement (FOVI) cible les PME
Le faux ordre de virement (FOVI) est une escroquerie éprouvée. Plusieurs facteurs expliquent la persistance de cette menace auprès des structures régionales, des PME, mais aussi des établissements médico-sociaux (EHPAD) et des collectivités territoriales :
1. Des messages rédigés sans fautes de syntaxe
Les fautes de grammaire ou de traduction qui permettaient autrefois d’isoler un courriel malveillant ont presque disparu. Les outils de génération textuelle permettent aux attaquants de produire des formulations fluides et adaptées au ton habituel des échanges professionnels.
2. L’exploitation des informations publiques (OSINT)
La consultation de sources ouvertes (LinkedIn, annonces légales, Infogreffe, organigrammes publics, délibérations) permet d’identifier sans intrusion technique :
- L’identité du dirigeant, du directeur d’établissement ou de la gouvernance ;
- Les coordonnées des gestionnaires comptables, régisseurs ou directeurs financiers ;
- Les acquisitions, signatures de baux, travaux ou opérations notariées récentes.
3. Des montants modestes qui n’éveillent pas les soupçons
Plutôt que d’exiger des dizaines de milliers d’euros, qui attireraient l’attention, les attaquants ont tout intérêt à demander des sommes modestes, plausibles dans les flux quotidiens d’une PME. Si votre entreprise a un plafond de double validation, l’escroc a aussi intérêt à rester en dessous : vérifiez le vôtre, et appliquez la double validation dès qu’un nouveau RIB entre en jeu, quel que soit le montant.
L'engrenage d'une tentative de fraude en 4 phases
Collecte d'informations publiques (OSINT)
L'escroc étudie l'entreprise ou l'établissement public via les registres légaux et les réseaux professionnels (LinkedIn, registres légaux, organigrammes publics) pour identifier la direction, la comptabilité et les actes récents.
Consultations ciblées des profils de l'organisation par des comptes externes ou appels au standard demandant l'identité des personnes en charge des paiements.
Sensibiliser le standard et les équipes : ne jamais divulguer l'organigramme interne ni les coordonnées directes des comptables ou régisseurs à des tiers non habilités.
Configuration du canal frauduleux
Création d'une adresse sur un webmail grand public (ex. Gmail) avec le nom du dirigeant en nom d'affichage, ou réservation d'un nom de domaine sosie approchant (typosquatting).
Le nom du dirigeant apparaît en clair, mais l'adresse réelle dissimule un domaine externe ou une adresse grand public (ex. entreprise***@gmail.com).
Mise en place d'un bandeau d'alerte visuel automatique signalant les expéditeurs externes sur les messageries professionnelles et vérification systématique de l'adresse réelle.
Pression hiérarchique et prétexte notarié
Envoi d'un message direct combinant autorité managériale, prétexte notarié solennel, somme modeste et crédible (4 800 €) et demande impérative du récépissé bancaire.
Demande formulée exclusivement par courriel, sans contact vocal préalable, exigeant une exécution rapide et l'envoi immédiat de l'avis d'opération.
Règle absolue : contre-appel téléphonique systématique sur le numéro interne habituel du demandeur avant tout traitement d'un ordre de virement.
Fuite des fonds vers des comptes mules
Dès réception du récépissé bancaire, les 4 800 € réceptionnés sur un compte rebond (mule financière) sont immédiatement transférés vers d'autres établissements pour brouiller les pistes.
RIB domicilié auprès d'une néobanque ou d'un établissement financier récent, sans antécédent de facturation avec la structure.
Déclenchement immédiat de la procédure de rappel de fonds (recall SEPA) auprès de l'établissement bancaire ou du comptable public dans les premières heures.
Les leviers psychologiques exploités
Une tentative de fraude au virement s’appuie en premier lieu sur la manipulation humaine. Ce mécanisme repose sur les mêmes ressorts psychologiques que les faux mails Meta et alertes de suspension de compte : urgence fabriquée, autorité managériale et crainte d’un blocage opérationnel.
Les 4 ressorts psychologiques : du piège à la parade
L'autorité hiérarchique
Mécanisme exploité :L'usurpation de l'identité du dirigeant pousse le collaborateur à exécuter la demande sans contestation préalable par réflexe d'obéissance hiérarchique.
Consigne de sécurité :Règle de séparation des pouvoirs : aucune demande de virement n'échappe au protocole de vérification interne, quelle que soit la fonction de l'émetteur.
L'urgence imposée
Mécanisme exploité :La pression temporelle réduit le temps d'analyse critique et incite à court-circuiter les circuits de validation habituels de l'entreprise ou de l'établissement.
Consigne de sécurité :Toute mention d'urgence sur un flux financier impose au contraire un ralentissement délibéré et une confirmation de vive voix sur un numéro vérifié.
Le prétexte notarié solennel
Mécanisme exploité :L'évocation d'une étude notariale ou d'un acte officiel crée un sentiment de légitimité institutionnelle qui décourage les questions du comptable.
Consigne de sécurité :Ne jamais valider un RIB notarié reçu par courriel sans confirmation téléphonique préalable en composant le numéro officiel de l'étude (issu de l'annuaire notaires.fr, jamais celui figurant dans le message).
Un montant modeste (4 800 €)
Mécanisme exploité :Une somme modérée ne bloque pas la trésorerie, paraît crédible pour des frais de notaire et ne justifie pas, aux yeux du comptable, de déranger la direction.
Consigne de sécurité :Contrôle à quatre yeux appliqué systématiquement pour tout versement vers un compte bancaire non répertorié au registre des fournisseurs vérifiés.
Procédures internes pour sécuriser les virements
La protection contre la fraude financière dépend avant tout de la rigueur des procédures opérationnelles au sein des équipes administratives.
Le contre-appel systématique
Dès qu’un courriel demande l’émission d’un virement ou transmet de nouvelles coordonnées bancaires :
- Ne jamais répondre directement au message reçu ;
- Ne pas composer le numéro figurant dans le corps du message ou dans la signature électronique ;
- Joindre le demandeur ou le créancier sur sa ligne téléphonique interne ou sur un numéro officiel préalablement consigné dans vos répertoires vérifiés.
La double signature systématique
Instaurer une règle de validation conjointe par deux collaborateurs pour tout ordre de paiement vers un compte non répertorié au registre habituel des bénéficiaires.
La vérification des coordonnées bancaires
Toute modification ou transmission de coordonnées bancaires d’un fournisseur ou d’un auxiliaire de justice doit faire l’objet d’une confirmation orale auprès du standard officiel de la structure (notamment via l’annuaire notaires.fr pour une étude notariale).
Grille d'analyse : votre demande est-elle suspecte ?
En l'absence d'anomalie visible, appliquez la procédure habituelle de validation conjointe pour tout compte bancaire non préalablement répertorié.
Mesures techniques de protection de la messagerie
Les procédures humaines doivent être doublées de configurations techniques adaptées :
- Bandeau d’alerte pour les courriels externes : insertion automatique d’un avertissement visuel sur tout message entrant provenant de l’extérieur. C’est le rempart le plus direct contre l’usurpation de nom d’affichage émise depuis un compte webmail tiers (comme Gmail).
- Protocoles DNS d’authentification (SPF, DKIM, DMARC) : indispensables pour empêcher qu’un pirate n’utilise directement votre propre nom de domaine comme expéditeur. Attention : DMARC n’empêche pas un escroc d’émettre depuis un compte tiers légitime (Gmail, Yahoo) dont seul le nom d’affichage a été falsifié.
- Double facteur d’authentification (MFA) : indispensable pour empêcher le piratage direct des boîtes de messagerie de la direction ou des comptables.
- Surveillance des noms de domaine approchants (typosquatting) : filtrage préventif des noms de domaine imitant celui de votre structure ou de vos partenaires.
Pour tester le niveau de vigilance de vos collaborateurs, découvrez également notre quiz interactif sur le phishing.
Virement bancaire frauduleux : la procédure de rappel de fonds (Recall SEPA)
Si un virement suspect vient d’être émis, la rapidité de la réaction conditionne les chances de récupération des fonds auprès des banques françaises et des autorités :
Protocole d'urgence : que faire si un virement a été validé ?
Alerte bancaire ou Trésor Public
Appelez d'urgence le service des opérations financières de votre banque (pas par courriel). Exigez l'ouverture immédiate d'une procédure de rappel de fonds pour motif de fraude avérée (procédure officielle de « Recall SEPA »).
En EHPAD public ou collectivité territoriale, alertez sur-le-champ le comptable public (DGFIP / Trésorerie de rattachement) pour bloquer le règlement du mandat administratif ou faire opposition sur le compte de dépôt.
Chaque minute compte avant la compensation interbancaire : plus la réaction est rapide, plus les chances de bloquer ou récupérer les fonds sont élevées.
Isolement technique et gel des preuves
Réinitialisez immédiatement le mot de passe de messagerie du dirigeant et des comptables. Révoquez toutes les sessions actives (Microsoft 365, Google Workspace) et inspectez les règles de transfert clandestines créées par l'attaquant.
Exportez les courriels suspects au format brut (.eml) avec leurs en-têtes techniques complets depuis le serveur de messagerie. Ces fichiers constituent la preuve indispensable pour les enquêteurs.
Ne supprimez aucun courriel et ne formatez aucun poste : la traçabilité des en-têtes IP et des journaux d'accès est capitale pour l'expertise.
Plainte pénale et autorités françaises
Déposez plainte sans attendre auprès de la brigade de gendarmerie ou du commissariat de police, muni des fichiers .eml et des relevés de virement. Enregistrez un signalement officiel sur la plateforme nationale cybermalveillance.gouv.fr.
Pour les EHPAD et structures médico-sociales, prévenez l'Agence Régionale de Santé (ARS) et saisissez votre DPO pour évaluer les éventuelles déclarations à effectuer (signalement.social-sante.gouv.fr ou CNIL).
Le récépissé de dépôt de plainte est exigé par la banque et par votre compagnie d'assurance pour instruire tout recours ou indemnisation.
Déclaration d'assurance et audit interne
Déclarez le sinistre auprès de votre assureur (garantie fraude ou contrat cyber-risques). Convoquez l'équipe administrative pour un débriefing et auditez l'ensemble des RIB fournisseurs récemment modifiés.
Si la boîte aux lettres compromise contenait des données à caractère personnel de résidents ou d'agents, saisissez le Délégué à la Protection des Données (DPO) pour évaluer la nécessité d'une notification formelle à la CNIL sous 72 heures.
Mettre en place sans délai un verrouillage strict : interdiction formelle d'enregistrer tout nouveau RIB sans validation téléphonique préalable sur le standard officiel du tiers.
Accompagnement proposé par mc-media.com
La sécurisation des flux financiers et des postes de travail nécessite une approche combinée entre méthode organisationnelle et infrastructure informatique.
Dans le cadre de notre pôle Infrastructure IT, nous accompagnons les entreprises, EHPAD et collectivités de l’Allier et du Puy-de-Dôme :
- Audit de sécurité et politique de messagerie : configuration des protocoles d’authentification et mise en place d’alertes visuelles sur les courriels externes ;
- Sécurisation des postes et serveurs : solutions antivirus professionnelles, pare-feu, mises à jour logicielles et sauvegardes automatiques chiffrées ;
- Sensibilisation et formation des équipes : formation des utilisateurs et du personnel administratif face aux risques de fraude et de phishing ;
- Maintenance et infogérance informatique : assistance sur site et à distance à Vichy et dans sa région (notre offre locale est consultable sur la page informatique d’entreprise à Vichy).
Sécurité informatique des PME
Besoin d’un regard d’expert sur la sécurité de vos flux ?
Nos techniciens basés à Vichy auditent votre messagerie professionnelle et vous accompagnent dans la sécurisation de vos équipements informatiques.
Échanger avec un expert →
Questions Fréquentes
Retrouvez les réponses aux questions les plus courantes.