Arnaque au président : reconnaître, éviter et réagir

Le scénario tient en un coup de téléphone ou en un courriel. Un faux dirigeant, parfois bien renseigné, demande à un collaborateur habilité de virer une somme tout de suite, sans en parler à personne. Tout repose sur l’urgence et sur l’autorité. Ce guide décrit la fraude, ses variantes, les signaux qui la trahissent et la marche à suivre quand le mal est fait.

Qu’est-ce que l’arnaque au président ?

Les autorités la rangent dans une famille plus large : l’escroquerie aux faux ordres de virement, abrégée FOVI. Selon Cybermalveillance.gouv.fr, elle pousse la victime, par persuasion, menace ou pression, à effectuer un virement non prévu. La page distingue trois formes.

Le compte visé appartient souvent à l’escroc et se situe fréquemment à l’étranger. L’attaque passe par le téléphone, par courriel, ou par les deux. Elle peut suivre le piratage de la messagerie de la personne usurpée, ce qui rend le message d’autant plus crédible.

Le but reste toujours le même : détourner des fonds vers un compte contrôlé par des cybercriminels. Il s’agit d’une attaque d’ingénierie sociale : le fraudeur ne force aucun système, il convainc une personne de faire le geste à sa place.

Président, whaling, BEC : des mots proches à ne pas confondre

Le vocabulaire se brouille vite, parce que chaque éditeur de sécurité utilise le sien. En pratique, trois termes reviennent.

• Fraude au président : le fraudeur imite un responsable hiérarchique pour piéger un salarié et obtenir un virement. C’est le terme français courant.
• Business Email Compromise (BEC) : l’appellation anglo-saxonne. Elle désigne une attaque par courriel ciblé, présentée comme urgente et confidentielle, qui vise un virement, des identifiants ou des données sensibles. Hornetsecurity la range dans le spear phishing, une attaque par hameçonnage ciblée.
• Whaling : l’attaque qui vise les dirigeants eux-mêmes, quel que soit l’auteur présumé du message. SoSafe en fait la différence avec la fraude au président : le whaling cible la direction, la fraude au président imite la direction pour piéger les autres.

Retenez que l’étiquette importe peu. Dans tous les cas, quelqu’un se présente sous une fausse identité d’autorité pour obtenir de l’argent ou un accès, et la défense relève de la procédure, pas du vocabulaire.

Le déroulé d’une attaque

Les assureurs et les services de prévention décrivent une mécanique en plusieurs temps. Elle varie d’un cas à l’autre, mais ses étapes se ressemblent.

1. Le repérage. Le fraudeur collecte des informations sur l’entreprise : extrait Kbis, procès-verbaux, rapports annuels, site internet, réseaux sociaux, ou simples échanges avec des salariés. Il identifie le dirigeant et les personnes qui peuvent émettre un virement.
2. L’usurpation. Il utilise une adresse de messagerie ou un numéro de téléphone proche de ceux du dirigeant.
3. La pression. Il contacte le service financier, ou la banque, pour réclamer un virement, souvent vers l’étranger. Il joue de l’autorité du dirigeant et du temps : opération confidentielle, à traiter immédiatement, parfois liée à un événement exceptionnel comme un contrôle fiscal ou une fusion.
4. Le virement. La victime exécute l’ordre, souvent vers un compte à l’étranger.
5. La disparition des fonds. Les fonds sont ensuite déplacés, et plus on tarde à alerter la banque, moins il y a de chances de les récupérer.

Les canaux du fraudeur : courriel, téléphone, SMS, visio

Le message arrive par le canal qui inspire le moins de méfiance. SoSafe recense plusieurs tactiques, qui se combinent souvent.

• Le phishing par courriel : un message qui imite un collègue ou un dirigeant. Selon la même source, les attaques de phishing ont augmenté de 61 % entre 2021 et 2022.
• L’usurpation de l’expéditeur : l’adresse affichée est falsifiée pour paraître fiable.
• Le prétexte : le fraudeur invente un contexte crédible, par exemple une réunion qui empêche le dirigeant de répondre au téléphone.
• Le SMS : un message court et urgent demande un virement ou un clic sur un lien.
• Le clonage vocal et la fausse visioconférence : détaillés plus bas.

Les messageries instantanées servent aussi de relais : les scénarios décrits dans l’arnaque WhatsApp et sa parade reprennent la même mécanique d’usurpation.

Le prétexte explique pourquoi la victime ne peut pas « simplement appeler le patron » : le fraudeur a déjà installé l’idée que le dirigeant est occupé, en déplacement ou en réunion. Si l’indisponibilité fait partie du scénario, c’est qu’il faut justement vérifier.

Qui est visé, et pas seulement les grands groupes

La fraude a d’abord touché de grandes entreprises, dans les années 2010. Elle s’est ensuite étendue par envois de masse aux entreprises de taille intermédiaire et aux PME. Elle peut aussi viser les administrations.

Selon une enquête de l’éditeur Trustpair citée par Generali, 64 % des entreprises ont subi au moins une tentative de fraude en 2024. Un seul chiffre ne décrit pas tous les pièges, mais il rappelle que le risque est courant, pas exceptionnel.

Dans l’entreprise, la cible n’est pas seulement le comptable. Les éditeurs de formation à la sécurité citent plusieurs profils :

• le service financier, qui exécute les virements ;
• les ressources humaines, qui reçoivent des candidatures avec pièces jointes et gèrent les données du personnel ;
• le service informatique, dont les accès donnent la main sur les messageries ;
• l’équipe de direction, qui détient le pouvoir de décision et, souvent, très peu de temps.

Les assistants de direction, le standard et les commerciaux entrent aussi dans le périmètre à former, puisqu’ils fournissent au fraudeur les informations du repérage.

Pourquoi des professionnels aguerris tombent dans le piège

La réussite de la fraude ne tient pas à la naïveté des victimes. Elle exploite trois ressorts très humains, que décrivent toutes les fiches de prévention : l’autorité, parce qu’on hésite à contredire un dirigeant ; l’urgence, qui coupe le temps de la vérification ; la confidentialité, qui isole la personne et l’empêche de demander un avis.

Le fraudeur ajoute souvent de la flatterie ou de la menace. Un compliment sur la confiance accordée, ou la crainte de décevoir le dirigeant, suffisent à faire passer la demande avant la procédure. C’est pourquoi la défense ne repose pas sur la vigilance individuelle : elle repose sur des règles écrites qui autorisent chacun à dire non, à retarder et à vérifier.

Des cas réels, avec leurs montants

Les cas publics montrent l’ampleur des sommes en jeu. Le tableau regroupe ceux que citent Generali et l’éditeur SoSafe ; les montants et les dates sont repris tels quels, sans recoupement indépendant.

Dans le cas français de 2021, le virement de 300 000 € vers une banque hongroise a été découvert au moment de l’exécution. L’appel venait d’Israël ; après une plainte auprès d’Interpol, huit suspects ont été arrêtés, d’après SoSafe.

Aux États-Unis, SoSafe cite près de 22 000 plaintes pour arnaque au président reçues par le FBI en 2022, pour plus de 2,7 milliards de dollars de pertes. Le chiffre ne se transpose pas à la France, mais il situe la taille du phénomène.

Les variantes à connaître

L’arnaque au président est la plus connue, pas la seule. Les mêmes ressorts servent à plusieurs scénarios.

La dernière variante mérite l’attention. Generali rappelle qu’un faux virement peut servir de « mule bancaire » : en renvoyant la somme vers un autre compte, l’employé participe à du blanchiment d’argent d’origine illicite sans le savoir. Pour comprendre ce piège côté particulier, lisez Virement fait par erreur : vraie erreur ou arnaque ?.

Reconnaître la fraude : les signaux d’alerte

Un faux message se détecte rarement à une seule erreur. Ce qui l’accuse, c’est l’accumulation d’indices. Le tableau croise les signaux cités par Generali et par SoSafe.

Pour affiner votre œil sur les courriels piégés, voyez les trois signaux sûrs d’un mail de phishing. Les mêmes réflexes valent pour un message reçu par téléphone.

Voix clonée, faux visio : ce que change l’IA

L’intelligence artificielle rend les attaques plus crédibles. SoSafe affirme qu’un extrait audio de trois secondes suffit à cloner une voix. L’éditeur cite deux affaires : en 2019, un dirigeant britannique d’une société d’énergie a viré 220 000 € à un faux sous-traitant hongrois après un appel imitant la voix de son supérieur allemand ; début 2020, un directeur de banque à Dubaï a exécuté un virement de 35 millions de dollars après un appel à la voix clonée.

La faute d’orthographe cesse d’être un indicateur fiable, puisque les messages rédigés avec l’IA sont propres. Le faux visio entre aussi dans la panoplie : le faux dirigeant utilise sa photo de profil et invoque une panne de caméra ou de micro pour masquer l’absence d’image ou de son.

La parade reste la même, indépendante de la technologie : on ne se fie ni à la voix, ni à l’image, ni à l’adresse, mais à la procédure. Pour voir la même logique sur les SMS, lisez les arnaques de livraison par IA et leurs réflexes.

Six questions à se poser avant tout virement inhabituel

Une grille courte évite de s’appuyer sur l’intuition, qui lâche sous la pression. Répondez par oui ou non ; un seul oui impose de vérifier avant d’agir.

1. La demande est-elle urgente ou confidentielle ?
2. Le demandeur me contacte-t-il d’un canal ou d’une adresse que je ne connais pas ?
3. La demande contourne-t-elle une procédure habituelle ?
4. Le virement part-il vers un compte nouveau ou vers l’étranger ?
5. Une coordonnée a-t-elle changé : RIB, numéro, adresse de messagerie ?
6. Ai-je confirmé auprès de la personne par un moyen déjà connu, et non par celui du message ?

Cette grille reprend, sous forme de questions, les signaux de Generali et les procédures de Cybermalveillance.gouv.fr. Imprimez-la et gardez-la près du poste qui valide les paiements.

Se protéger : procédures et réflexes

Cybermalveillance.gouv.fr recommande des mesures simples, à poser avant l’attaque.

• Sensibiliser collaborateurs et cadres aux messages d’hameçonnage, surtout si la messagerie est accessible depuis l’extérieur.
• Définir des procédures claires pour authentifier les émetteurs et confirmer les demandes de virement inattendues ou les changements de RIB.
• Instaurer une validation hiérarchique interne, sans exception, pour ces demandes.
• Limiter la publication d’informations, sur le site comme sur les réseaux sociaux, qui permettent d’identifier et de contacter les personnes habilitées à effectuer des virements.
• Utiliser des mots de passe robustes pour la messagerie et activer la double authentification.

Generali ajoute des contrôles internes : double validation, notamment pour les virements internationaux, authentification renforcée pour les demandes sensibles, et contact du donneur d’ordre par ses coordonnées habituelles, jamais par celles fournies dans la demande.

Côté technique, la messagerie est la porte d’entrée. Un gestionnaire de mots de passe et une double authentification par application réduisent le risque de piratage de la boîte mail du dirigeant, qui nourrit les attaques les plus convaincantes.

Organiser l’entreprise pour qu’un virement ne dépende pas d’une seule personne

Les fraudes réussissent quand une seule personne peut décider, sans contre-pouvoir et sous pression. Quelques choix d’organisation réduisent ce risque.

• La séparation des tâches : celui qui saisit un virement n’est pas celui qui le valide.
• La double validation au-delà d’un seuil que vous fixez, et pour tout virement international, comme le recommande Generali.
• Le registre des coordonnées : les RIB des fournisseurs sont enregistrés une fois, et toute modification suit une vérification écrite.
• Le droit de refuser : chaque collaborateur sait qu’il peut suspendre une demande, même venue de la direction, sans risque pour lui.
• Un référent à joindre : un numéro interne à appeler en cas de doute, y compris pendant les congés.

Le dernier point compte. Les fraudeurs choisissent leurs moments : demandes pendant les vacances, en soirée ou lors d’un événement exceptionnel comme un contrôle fiscal ou une fusion. Un référent joignable à ces heures-là coupe l’avantage du faux dirigeant.

Indépendant ou TPE : adapter la défense

Sans service comptable ni direction financière, la défense paraît difficile. Elle tient pourtant en quatre contrôles, à appliquer avant tout virement inhabituel ou changement de coordonnées bancaires.

1. Le rappel. Appelez la personne au numéro que vous aviez déjà, jamais à celui du message.
2. Le second avis. Montrez la demande à un associé, un comptable ou un proche de confiance, même pour une somme modeste.
3. Le délai. Imposez-vous un délai avant d’exécuter : l’urgence est l’arme principale du fraudeur.
4. La trace. Notez qui a demandé quoi, et par quel canal ; la trace sert de preuve si vous devez porter plainte.

Si vous recevez des factures de fournisseurs, une règle de plus : un nouveau RIB ne se prend jamais en compte sur un simple courriel. Pour ces paiements, vérifier le vendeur avant de payer reste le réflexe de base.

Que faire dans l’heure si le virement est parti ?

La vitesse décide de tout. Cybermalveillance.gouv.fr propose l’ordre suivant.

1. Repérer tous les virements vers les coordonnées frauduleuses, exécutés, en attente ou à venir, prévenir la hiérarchie et la comptabilité, et faire bloquer ces coordonnées dans les outils métiers.
2. Alerter la banque sans délai et demander le retour des fonds.
3. Si le virement n’est pas encore exécuté, demander à la comptabilité ou au cabinet comptable de le suspendre.
4. Conserver les preuves : numéros de téléphone, messages, courriels, ordres de virement, factures.
5. Si une messagerie a été piratée, changer le mot de passe et activer la double authentification.
6. Porter plainte au commissariat, à la gendarmerie ou auprès du procureur de la République, rapidement et avec les preuves.

Un avocat spécialisé peut aider, y compris pour joindre un confrère à l’étranger. La plateforme officielle propose aussi un diagnostic en ligne qui oriente vers les bons services. La ligne Info Escroqueries répond au 0 805 805 817.

Si votre messagerie a été piratée

Quand l’attaque suit un piratage de la boîte mail, le fraudeur écrit depuis la vraie adresse, avec l’historique des échanges. Il devient très difficile à distinguer. Cybermalveillance.gouv.fr recommande alors de changer le mot de passe, d’activer la double authentification et de suivre la fiche sur le piratage de compte.

Prévenez aussi vos correspondants, clients et fournisseurs : un message envoyé depuis votre adresse piratée peut les piéger à leur tour. Ils sauront ainsi ignorer toute demande de changement de RIB reçue ces derniers jours.

La banque rembourse-t-elle ?

Pas automatiquement. Generali explique qu’il faut demander le retour des fonds à la banque en lui fournissant le procès-verbal de plainte et les preuves disponibles, mais que le remboursement n’est pas garanti : la banque peut le refuser, notamment en cas de négligence grave.

Le procès-verbal de plainte est donc une pièce centrale du dossier. Conservez aussi la chronologie : l’heure de l’appel, l’heure du virement, l’heure de l’alerte. Elle permet de montrer que vous avez réagi vite.

Ce que dit la loi

Les faits relèvent de plusieurs infractions pénales. Cybermalveillance.gouv.fr en cite trois.

Ces sanctions visent les auteurs. Elles ne dispensent pas les victimes d’agir vite : l’enquête dépend de la plainte et des preuves conservées.

Choisissez dès aujourd’hui la règle que vous appliquerez : tout changement de RIB ou virement hors habitude se confirme par un rappel à un numéro déjà connu. Écrivez-la, partagez-la avec la personne qui valide vos paiements, puis testez-la une fois.

Yann Deverre

Douze ans de développement web, en agence puis chez un éditeur de logiciels, avant de passer à l'écriture. Il explique le numérique en partant du mécanisme, et teste avant d'affirmer.