En résumé
- La plupart des fraudes n'exploitent pas de logiciels — explora la urgence, la hiérarchie et la confiance.
- La facture modifiée est la fraude la plus rentable au Portugal et ne laisse aucune trace technique.
- Aucune technologie n'empêche un paiement autorisé par erreur. Ce qui empêche est une procédure.
- La règle qui résout presque tout : les modifications de données bancaires sont confirmées par téléphone, un numéro déjà connu.
Dans cet article
Quand on parle de sécurité informatique, on pense aux pare-feu et aux antivirus. Mais la plus grande partie de l'argent que les entreprises portugaises perdent en fraude ne sort pas par une faille technique — elle sort par un virement autorisé par quelqu'un qui a cru ce qu'il était en train de lire.
Ce sont des attaques qui n'exploitent pas de logiciel. Elles exploitent la précipitation, la hiérarchie et la confiance. Et c'est pourquoi aucune technologie ne les résout seule.
La facture modifiée
C'est le système le plus rentable et le plus difficile à détecter. Cela fonctionne ainsi.
Quelqu'un compromet la boîte aux lettres d'un fournisseur — ou de l'entreprise elle-même — et observe en silence pendant des semaines. Il apprend qui facture à qui, les montants habituels, le ton des messages, les délais.
Quand une vraie facture arrive, l'intercepter et la réexpédier avec le IBAN modifié. Tout le reste est authentique : la valeur, la référence, l'historique de la conversation, la signature. Elle est souvent accompagnée d'une note anodine — “ nous avons changé de banque, veuillez mettre à jour nos coordonnées ”.
Le paiement est effectué par quelqu'un qui a fait son travail correctement. La fraude n'est découverte des semaines plus tard, lorsque le véritable fournisseur réclame le paiement en retard.
La règle qui bloque complètement cette fraude : toute modification des coordonnées bancaires d'un fournisseur est confirmée par téléphone, vers un numéro qu'ils avaient déjà auparavant — jamais vers le numéro indiqué dans l'e-mail demandant la modification. Aucune exception, y compris pour les fournisseurs de longue date.
La demande urgente de la direction
Un message d'une personne de la direction destiné à la comptabilité ou à la trésorerie. C'est urgent, c'est confidentiel, la personne est en voyage et ne peut pas répondre au téléphone. Elle demande un virement immédiat.
Les détails varient, mais la structure est toujours la même et attaque trois choses en même temps : urgence, pour qu'il n'y ait pas de temps pour penser ; autorité, pour décourager les questions ; et confidentialité, pour empêcher la vérification avec des collègues.
Ces attaques sont aujourd'hui tout à fait convaincantes : elles utilisent le bon nom, la bonne signature, et font parfois référence à de véritables sujets internes collectés à partir d'e-mails précédents.
La défense est organisationnelle, non technique : aucune virement au-dessus d'une valeur définie ne se fait sans confirmation par un deuxième canal — et la direction doit dire explicitement à l'équipe qu'elle ne sera jamais irritée qu'on lui demande une confirmation.
Vol d'identifiants
La porte d'entrée des deux schémas précédents est presque toujours la même : quelqu'un a écrit le mot de passe sur une page qui semblait légitime.
Les fausses pages d'authentification sont aujourd'hui des copies fidèles. Ce qui les trahit, c'est l'adresse — et c'est précisément ce que personne ne vérifie lorsqu'il est pressé.
Trois mesures réduisent drastiquement ce risque :
- Authentification à deux facteurs pour tout le monde. C'est la mesure isolée avec le meilleur rapport entre effort et protection. Un mot de passe volé ne suffit plus.
- Gestionnaire de mots de passe. En plus d'éviter la réutilisation, il présente un avantage sous-estimé : il ne remplit pas les identifiants sur des sites dont l'adresse ne correspond pas à la vraie. Il détecte la fraude avant la personne.
- Alertes de transfert automatique. Créer une règle qui réachemine le courrier vers l'extérieur est la première étape de quiconque compromet un compte — et cela passe inaperçu pendant des mois.
Les procédures qui fonctionnent
Quatre règles simples, écrites et connues de tout le monde, qui résolvent l'écrasante majorité des cas :
- Les modifications d'IBAN se confirment par téléphone, un numéro préalablement connu.
- Les paiements au-dessus d'une limite exigent deux personnes. Celui qui demande n'est pas celui qui approuve.
- Aucune demande urgente ne dispense de la vérification. L'urgence est l'outil de l'attaquant, pas une raison pour sauter des étapes.
- Tout le monde peut arrêter un paiement sans avoir à justifier la méfiance. Si la culture de l'entreprise punit ceux qui posent des questions, personne ne pose de questions.
Et une formation courte et régulière, avec des exemples réels. Pas une séance de deux heures par an que personne ne se rappelle — quinze minutes par trimestre avec des cas concrets fonctionne mieux.
Si cela s'est déjà produit
La rapidité est tout. Dans les premières heures, il y a encore des chances.
Contactez immédiatement la banque pour demander l'annulation ou la récupération du virement — plus tôt c'est fait, plus la probabilité est grande. Modifiez les mots de passe des comptes concernés et fermez toutes les sessions actives. Vérifiez si des règles de transfert ont été créées dans la boîte aux lettres. Déposez une plainte auprès des autorités. Et prévenez le fournisseur ou le client de l'autre côté, car c'est probablement lui qui est compromis — et d'autres entreprises doivent recevoir les mêmes factures.
Ensuite, et seulement ensuite, comprenez comment ils sont entrés. Sans cela, cela se répète.
DataRoad aide les entreprises à mettre en œuvre sécurité informatique et authentification forte, à l'intérieur des services informatiques gérés.
Une discussion avant de prendre une décision
Que vous cherchiez à résoudre un problème concret, que vous envisagiez un changement ou que vous souhaitiez simplement obtenir un deuxième avis, nous procédons toujours de la même manière : nous commençons par comprendre votre situation avant de vous proposer quoi que ce soit. Sans engagement, sans jargon et sans catalogues.
