Faux ordre de virement (fraude au président)

Définition

Le faux ordre de virement est une fraude visant les entreprises et les associations : un message se présentant comme la direction ou un dirigeant demande un virement urgent, confidentiel et sortant des procédures habituelles.

Comment ça fonctionne

L'attaquant se documente d'abord sur l'organisation à partir d'informations publiques : organigramme, nom du dirigeant, service comptable, opérations en cours. Le message arrive ensuite au bon moment — veille de congés, période de clôture — et combine trois leviers : l'autorité de l'expéditeur supposé, la confidentialité invoquée (opération sensible, rachat en cours) qui interdit d'en parler autour de soi, et un délai qui empêche la vérification. L'adresse d'expédition imite celle de l'organisation, ou la réponse est redirigée vers une autre boîte. Ce qui rend la fraude efficace n'est pas la crédulité du comptable, mais la difficulté sociale à contredire une consigne présentée comme venant du dirigeant.

Pourquoi ça marche

Contredire une consigne qui semble venir de la direction est socialement difficile, surtout quand la confidentialité est exigée. L'urgence et le moment choisi — veille de congés, fin de journée — suppriment la possibilité de vérifier auprès de quelqu'un.

Sur quoi cette attaque s'appuie

Comprendre ces ressorts vaut mieux que retenir cent fiches : c'est ce qui permet de reconnaître une arnaque que personne n'a encore décrite.

Signaux d'alerte

• Demande de virement présentée comme urgente et confidentielle
• Consigne explicite de ne pas en parler aux collègues ou au supérieur habituel
• Procédure de validation habituelle contournée « exceptionnellement »
• Adresse d'expéditeur légèrement différente de l'adresse interne, ou adresse de réponse distincte
• Coordonnées bancaires nouvelles, souvent à l'étranger
• Message envoyé juste avant une période de congés ou une fin de journée

Comment vérifier

Rappelez le demandeur sur le numéro interne déjà connu, jamais sur un numéro indiqué dans le message. Appliquez la procédure de double validation prévue pour tout virement, sans exception : une demande légitime n'est jamais empêchée par une vérification, et un dirigeant réel ne reprochera pas de l'avoir appliquée.

Les questions à se poser, dans l'ordre

1. 1

   La demande contourne-t-elle la procédure de validation habituelle ?

   Si oui : Appliquez la procédure quand même, sans exception.

2. 2

   Le demandeur est-il injoignable sur son numéro interne habituel ?

   Si oui : N'exécutez rien : une demande qui ne peut pas être confirmée ne s'exécute pas.

3. 3

   Les coordonnées bancaires sont-elles nouvelles ?

   Si oui : Vérifiez-les par un canal indépendant avant tout paiement.

Que faire

N'exécutez pas le virement. Signalez le message au responsable financier et au service informatique, et prévenez les autres personnes habilitées à payer : la même demande leur est souvent envoyée en parallèle.

Si c'est déjà arrivé

Contactez la banque immédiatement : un virement très récent peut parfois être bloqué ou rappelé, et chaque heure compte. Déposez plainte, conservez les messages et les journaux de connexion, et prévenez les partenaires concernés si leurs coordonnées ont pu être utilisées.

• Checklist d'urgence : « Vous avez envoyé de l'argent »
• L'assistant « J'ai cliqué » : les gestes après un email, dans l'ordre

Pour que ça ne se reproduise pas

• Mettez par écrit une procédure de double validation pour tout virement inhabituel, connue de toutes les personnes habilitées.
• Convenez qu'aucune consigne de confidentialité ne dispense d'une vérification.
• Quand une tentative est détectée, prévenez les autres personnes habilitées à payer : elles reçoivent souvent la même.

Les gestes qui déjouent cette attaque

• Analyseur de message suspect : ce SMS ou cet email est-il une arnaque ?Collez un SMS, un email ou un message : l'outil montre les procédés d'arnaque qu'il contient, lit chaque lien et nomme les attaques qui y ressemblent. Rien n'est envoyé.
• Vérifier à qui vous parlez vraimentComment être sûr que la personne qui me contacte est bien celle qu'elle prétend ?
• La checklist pour une petite entreprise, à imprimerDouble validation des virements, changement d'IBAN confirmé au numéro connu, factures sans bon de commande : les procédures qui protègent une TPE, sur une page à imprimer.

Questions fréquentes

Le message venait bien de l'adresse interne du dirigeant.

Cela arrive lorsque sa messagerie a été compromise en amont : la fraude est alors précédée d'une attaque de compte. C'est une raison de plus pour que la vérification passe par un canal différent du message lui-même — un appel sur un numéro connu.

Comment protéger une petite structure sans service financier dédié ?

Une règle écrite suffit et ne coûte rien : tout virement au-delà d'un seuil, ou vers un nouveau bénéficiaire, exige une validation orale par une seconde personne sur un numéro déjà enregistré. La règle protège autant l'organisation que la personne qui exécute le paiement.

Attaques liées

• Fraude au changement de RIB
• Phishing (hameçonnage)
• Piratage de messagerie
• Fausse facture
• Prétexting (scénario fabriqué)
• Hameçonnage généré par IA
• Deepfake en visioconférence

Sources officielles

• Cybermalveillance.gouv.fr — Assistance et signalement