Arnaque au président : le faux ordre de virement qui vise les TPE

↑ Ce conseil fait partie du guide : Arnaques et hameçonnage

Qu'est-ce que l'arnaque au président, et que faire ?

C'est un faux ordre de virement : un escroc se fait passer pour le dirigeant ou pour un fournisseur et obtient un virement urgent vers son compte. Vérifiez toute demande de paiement en rappelant le numéro que vous connaissez déjà. Si l'argent est parti, appelez la banque dans l'heure et portez plainte.

1. Ne répondez jamais au mail reçu.
2. Rappelez le dirigeant sur son numéro habituel.
3. Vérifiez tout changement de RIB par téléphone.
4. Si le virement est parti : la banque, tout de suite.
5. Portez plainte au commissariat ou à la gendarmerie.
6. Changez le mot de passe de la messagerie.

Qui est visé : les TPE, pas seulement les grands groupes

L'expression « arnaque au président » fait penser à une multinationale et à un virement de plusieurs millions. C'est l'image que les médias retiennent, et c'est celle qui protège le mieux les escrocs : un artisan, un garage, un cabinet de trois personnes ou une association se disent que ce n'est pas pour eux.

Dans les faits, une TPE est une cible plus facile qu'un grand groupe. Il n'y a pas de service comptable, pas de double signature, pas de procédure écrite. Le gérant fait ses virements lui-même depuis sa banque en ligne, ou les confie à une seule personne : un conjoint, un salarié, un comptable externe. Une demande qui semble venir du patron ne passe donc par aucun filtre.

L'autre raison est publique : le nom du gérant, la forme juridique et l'adresse figurent sur l'annuaire des entreprises et sur le Kbis, et le site vitrine donne les prénoms et souvent les adresses mail au format prenom.nom@entreprise.fr. En vingt minutes, un escroc sait à qui écrire, au nom de qui, et sur quel ton.

Le déroulé, du repérage au virement

Le scénario est toujours le même, et il tient en cinq temps. Le reconnaître au deuxième suffit à l'arrêter.

1. Le repérage. Nom du dirigeant, format des adresses mail, fournisseurs habituels. Tout est public ou déductible.
2. L'entrée en matière. Un premier message très court, sans pièce jointe et sans lien, du genre « Êtes-vous disponible ? J'ai besoin de vous pour une opération, je suis en réunion. » Il ne demande rien : il teste seulement si vous répondez.
3. Le cadre. Dès votre réponse, l'escroc explique : rachat en cours, régularisation fiscale, acompte à verser à un cabinet. Deux mots reviennent toujours, urgent et confidentiel. Le secret sert à vous empêcher d'en parler au collègue d'à côté.
4. Le RIB. Il arrive en pièce jointe, au format PDF, souvent avec un IBAN étranger et un nom de titulaire qui évoque un cabinet d'avocats ou une société de conseil.
5. La relance. Si le virement tarde, les messages se rapprochent : « où en êtes-vous ? », « je compte sur vous ». Cette pression, chez un vrai dirigeant, n'existe presque jamais par écrit.

Les phrases exactes du message, et l'adresse qui trahit

Ces mails ne ressemblent pas à de l'hameçonnage classique : pas de logo mal copié, pas de faute grossière, pas de lien à cliquer. Souvent trois lignes, et une signature du type « Envoyé de mon iPhone », qui explique commodément le style télégraphique.

Les formulations reviennent d'un dossier à l'autre : « je ne peux pas être dérangé pour le moment », « merci de rester discret, l'opération n'est pas encore annoncée », « confirmez-moi juste que c'est fait ». Aucune de ces phrases n'est illégitime prise isolément. C'est leur combinaison — urgence, secret, virement — qui ne correspond à aucune situation réelle.

Le détail technique qui tranche en dix secondes est ailleurs : dans l'adresse. Trois cas se présentent.

• Le nom affiché ment. Votre logiciel de messagerie montre « Jean Martin », mais l'adresse réelle est une adresse gratuite quelconque. Dans Outlook comme dans Gmail, il faut cliquer sur le nom de l'expéditeur pour voir l'adresse complète ; sur téléphone, elle est presque toujours masquée, et c'est là que les erreurs se produisent.
• Le nom de domaine est un sosie. Une lettre change, ou deux se ressemblent à l'œil : rn à la place de m, un .com au lieu du .fr, un tiret ajouté. Recopiez l'adresse dans un bloc-notes et comparez caractère par caractère avec un ancien mail.
• L'adresse de réponse diffère de l'expéditeur. Le message part bien de l'adresse du dirigeant, mais un champ « répondre à » renvoie ailleurs. Vous croyez écrire au patron, vous écrivez à l'escroc. C'est le cas le plus difficile à voir, et le plus fréquent quand le compte a réellement été visité.

Un cas mérite d'être connu : le message arrive parfois par SMS ou sur WhatsApp, avec la photo de profil du dirigeant récupérée sur le site de l'entreprise, et un numéro « nouveau » justifié par un « téléphone cassé ». Le principe de vérification reste identique : on rappelle l'ancien numéro, pas le nouveau.

La variante la plus chère : le faux changement de RIB

En TPE, la version qui fait le plus de dégâts n'est pas celle du faux patron : c'est celle du fournisseur qui change de coordonnées bancaires. Vous recevez une facture parfaitement normale, avec le bon logo, le bon montant, la bonne référence de commande — et un IBAN différent, accompagné d'une phrase du type « suite à un changement d'établissement bancaire, merci de mettre à jour nos coordonnées ».

Elle est efficace parce que la facture est vraie. Dans une partie des dossiers, l'escroc a pris la main sur la boîte mail du fournisseur, y a lu les échanges en cours et renvoie un vrai document avec un faux IBAN, au bon moment du mois. Il arrive aussi qu'il ait installé une règle de transfert discrète pour recevoir copie des réponses : la vérification faite par mail lui revient donc directement, et il confirme lui-même que le nouveau RIB est bon.

Le repérage de ces règles de transfert est décrit dans la fiche compte Microsoft ou Outlook piraté. Et quand c'est votre messagerie qui a été ouverte, ce sont vos clients qui reçoivent de fausses factures à votre nom.

Le contrôle en deux minutes, à écrire noir sur blanc

La recommandation officielle tient en une ligne : mettre en place « une procédure de vérification et de validation hiérarchique interne non dérogeable », selon la fiche réflexe de Cybermalveillance.gouv.fr. Dans une entreprise de trois personnes, cela ne demande ni logiciel ni budget : quatre lignes affichées près du poste qui fait les virements suffisent, et elles tiennent en deux minutes d'application.

La règle qui tranche, quel que soit l'expéditeur

Une demande de virement ou un changement d'IBAN arrive par mail, SMS ou messagerie ?

Ce qu'on ne fait pas

Répondre au message, appeler le numéro qu'il donne, ou se fier au nom affiché de l'expéditeur. Le nom, le numéro et le nom de domaine se falsifient tous les trois.

Ce qu'on fait

On décroche et on appelle la personne sur le numéro déjà enregistré, ou celui d'une facture ancienne. Tant que l'appel n'a pas eu lieu, aucun virement ne part.

1. Un seuil chiffré. Au-delà d'un montant que vous fixez, tout virement vers un bénéficiaire nouveau exige un appel de confirmation. Écrivez le montant : une règle sans chiffre ne s'applique pas.
2. Un canal différent, toujours. Une demande écrite se confirme à l'oral, une demande orale se confirme par écrit. Jamais deux fois le même canal.
3. Un annuaire figé. Les numéros des fournisseurs sont enregistrés une fois pour toutes, hors de la messagerie. On ne prend jamais le numéro d'un mail récent.
4. Le droit de dire non. Dites à vos salariés, à voix haute, qu'aucun retard de virement ne leur sera reproché. C'est la mesure qui protège le plus, et elle est gratuite : l'arnaque repose entièrement sur la crainte de contrarier le patron.

La double authentification sur la messagerie professionnelle complète l'ensemble : elle empêche la variante où l'escroc lit vos échanges avant d'écrire. Le choix entre SMS, application et clé physique est détaillé dans la fiche double authentification.

Le virement est parti : ce qu'on fait dans l'heure

Les fonds ne restent pas sur le compte destinataire. Ils sont éclatés vers d'autres comptes, souvent à l'étranger, dans les heures qui suivent. Tout se joue donc très vite, et les week-ends comptent.

1. Appelez votre banque immédiatement et demandez explicitement un rappel de fonds (le « recall »). C'est une procédure interbancaire : elle n'aboutit que si l'argent est encore sur le compte d'arrivée.
2. Faites bloquer les virements suivants s'il y en avait plusieurs de programmés, et supprimez le bénéficiaire ajouté.
3. Confirmez par écrit dans la foulée, par la messagerie sécurisée de la banque ou par recommandé. L'oral seul ne fait courir aucun délai.
4. Conservez tout : le mail d'origine avec son en-tête complet, le PDF du RIB, les SMS, l'ordre de virement, l'heure de chaque échange. Ne supprimez rien, même ce qui vous gêne.
5. Déposez plainte au commissariat ou à la gendarmerie. Une entreprise ne peut pas utiliser la plainte en ligne THESEE, réservée aux particuliers majeurs : pour une TPE, c'est le dépôt physique, ou une lettre au procureur de la République.
6. Prévenez le vrai dirigeant et le vrai fournisseur : si son compte a servi, d'autres clients sont visés en ce moment même.

Si le virement n'est pas encore exécuté — cas fréquent quand la demande arrive en fin de journée —, il peut souvent être annulé depuis la banque en ligne tant qu'il est en file d'attente. C'est le seul moment où la récupération est simple, et il dure quelques heures.

Remboursement : pourquoi la banque résiste

C'est le point que personne n'explique franchement, et il vaut mieux le savoir avant l'appel. Quand un escroc pille un compte à l'insu du titulaire, l'opération est non autorisée : la banque doit rembourser, sauf à démontrer une négligence grave. Ce mécanisme est celui décrit dans la fiche se faire rembourser par sa banque après une arnaque.

Dans l'arnaque au président, la situation est différente : le virement a été saisi et validé par une personne habilitée de l'entreprise, avec ses propres identifiants. Du point de vue de la banque, l'ordre est autorisé, même si le consentement a été obtenu par tromperie. Le remboursement automatique ne s'applique donc pas, et c'est pour cette raison que ces dossiers se règlent souvent en contentieux, autour de la question de savoir si la banque aurait dû détecter une anomalie apparente : un IBAN étranger inhabituel, un montant sans rapport avec l'activité, un bénéficiaire créé le jour même.

En pratique : la trace écrite datée compte énormément, la plainte se dépose sans attendre, et l'assurance de l'entreprise mérite un appel — certains contrats multirisques professionnels comportent une garantie fraude, d'autres non. Vérifiez la vôtre avant d'en avoir besoin.

Si la boîte mail a été ouverte : plainte, CNIL, clients

Un faux ordre de virement peut arriver de l'extérieur, sans aucune intrusion. Mais quand le message reprend le fil d'une conversation réelle, cite une référence de commande exacte ou tombe pile au moment d'un règlement attendu, c'est qu'une messagerie a été lue : la vôtre ou celle du fournisseur. Cela change la suite.

• Reprendre la main sur le compte : changer le mot de passe depuis un autre appareil, déconnecter toutes les sessions, activer la double authentification, puis chercher les règles de transfert et de suppression automatique. Une règle oubliée, et l'escroc continue de tout lire.
• Vérifier le poste qui sert à la comptabilité : si le mot de passe a été capté par un logiciel installé sur la machine, le changer depuis ce poste ne sert à rien. La marche à suivre est dans j'ai cliqué sur un lien de phishing, et un audit de soupçon tranche la question en une séance.
• Notifier la CNIL sous 72 heures si des données personnelles de clients, de salariés ou de fournisseurs ont été exposées. C'est une obligation pour toute entreprise, y compris une TPE d'une personne (procédure sur le site de la CNIL).
• Prévenir les personnes concernées : clients et fournisseurs en cours d'échange. Un message court qui dit de ne valider aucun changement de coordonnées bancaires sans appel.

Les canaux de signalement et la façon de les remplir sont rassemblés dans porter plainte et signaler un piratage. Si la messagerie doit être reprise et le poste vérifié sans attendre, une assistance à distance de 30 minutes suffit le plus souvent ; les tarifs sont publics et le diagnostic au téléphone de 15 minutes est gratuit.

Dernière précision qui change tout : si le message ne se contente pas d'imiter une adresse mais arrive depuis une vraie boîte mail de l'entreprise, ce n'est plus une usurpation, c'est une intrusion — lire la messagerie professionnelle détournée.

Pour un commerce, la variante physique du même procédé est le faux technicien de monétique qui se présente en boutique : voir terminal de paiement : que risque-t-il.

Questions fréquentes

Comment reconnaître un faux ordre de virement ?

Trois signes ensemble : l'urgence, la demande de discrétion et un bénéficiaire nouveau. Ajoutez la vérification de l'adresse réelle de l'expéditeur et du champ « répondre à ». Un seul appel sur un numéro déjà connu lève le doute en deux minutes.

Mon comptable a fait le virement : est-il responsable ?

Un salarié trompé par un message crédible n'est pas en faute du seul fait d'avoir exécuté l'ordre. C'est l'absence de procédure écrite qui est en cause. Sanctionner la personne ne récupère pas l'argent et décourage les alertes suivantes.

La banque doit-elle rembourser un virement frauduleux en entreprise ?

Pas automatiquement. Le virement ayant été saisi par une personne habilitée, la banque le considère comme une opération autorisée. La discussion porte alors sur l'anomalie apparente : montant, IBAN étranger, bénéficiaire créé le jour même. Il faut contester par écrit.

Peut-on annuler un virement SEPA déjà parti ?

Seulement s'il est encore en file d'attente, ou par une demande de rappel de fonds si l'argent se trouve toujours sur le compte d'arrivée. Passé quelques heures, les fonds sont éclatés et la procédure aboutit rarement.

Une TPE peut-elle porter plainte en ligne sur THESEE ?

Non. Cette plateforme est réservée aux particuliers majeurs. Une entreprise dépose plainte au commissariat ou à la gendarmerie, ou adresse une lettre au procureur de la République, avec les mails, le RIB reçu et l'ordre de virement.

Faut-il prévenir la CNIL après une arnaque au président ?

Oui, si une messagerie professionnelle a été consultée et que des données personnelles ont pu être exposées. La notification se fait sous 72 heures. Si seule une demande de virement a circulé, sans intrusion, elle n'est pas requise.

À lire aussi : l'arnaque au faux conseiller bancaire · le guide des arnaques et de l'hameçonnage.