La fraude au faux président repose sur une usurpation d’identité crédible et une pression temporelle savamment construite. Le fraudeur se fait passer pour un dirigeant, un avocat ou un fournisseur afin d’obtenir un virement rapide et discret. Les petites structures sont exposées dès lors qu’une même personne peut créer, valider et transmettre un paiement. Prévenir la fraude au faux président demande donc des règles de trésorerie formelles, appliquées même lorsque la demande vient de la direction. La protection dépend autant des contrôles internes que de la capacité des équipes à interrompre un processus inhabituel.
Points clés
- La fraude au faux président vise à contourner les circuits de paiement par une usurpation d’identité et une demande présentée comme urgente.
- Un faux ordre de virement (FOVI) doit être vérifié hors de la messagerie utilisée par le demandeur.
- Il faut ne jamais valider un virement sur la seule base d’un e-mail, même si l’adresse paraît exacte.
- La double validation des virements réduit fortement le risque lorsqu’elle sépare création, contrôle et émission du paiement.
- Après un paiement suspect, il faut contacter immédiatement la banque et réunir les éléments utiles au rappel des fonds.
Suivez les contrôles avant chaque virement sensible ↓
Comprendre la fraude au faux président et le faux ordre de virement
La fraude au faux président, aussi appelée arnaque au président, appartient aux fraudes par ingénierie sociale. L’attaquant collecte des informations sur l’entreprise, ses dirigeants, ses fournisseurs et ses habitudes de paiement. Il exploite ensuite un moment favorable, comme une absence, une clôture comptable ou un dossier confidentiel.
Le scénario classique impose un virement vers un compte nouveau, souvent situé à l’étranger. Le message évoque une acquisition, un contentieux ou une opération sensible. Il exige le secret afin d’empêcher la vérification hiérarchique. Une adresse électronique peut être imitée à une lettre près ou affichée sous le nom réel du dirigeant.
Un faux ordre de virement peut aussi viser un fournisseur habituel. Le fraudeur annonce un changement de relevé d’identité bancaire, puis intercepte le prochain règlement. La sécurisation des paiements fournisseurs doit donc traiter les coordonnées bancaires comme une donnée critique, au même titre qu’un accès à la banque en ligne.
Repérer les signaux d’une demande de virement frauduleuse
Une demande inhabituelle cumule souvent plusieurs alertes. L’urgence, la confidentialité, un destinataire inconnu et l’écart avec les pratiques de l’entreprise doivent provoquer un arrêt du processus. Toute demande urgente ou confidentielle doit être vérifiée, y compris lorsqu’elle semble provenir d’un dirigeant connu.
L’absence de bon de commande, de facture cohérente ou de validation budgétaire constitue un autre signal. Un changement de coordonnées bancaires transmis par e-mail ne prouve rien. Un code verbal, volcan par exemple, ne constitue pas davantage une preuve fiable s’il est connu de plusieurs personnes ou conservé dans une messagerie.
La vérification doit passer par un contre-appel via un numéro déjà référencé dans l’annuaire interne, le contrat fournisseur ou l’outil de gestion. Le numéro indiqué dans l’e-mail suspect ne doit jamais être utilisé. Cette règle évite que le salarié contacte directement le complice du fraudeur.
Mettre en place une procédure de validation des virements
Une procédure de validation des virements efficace sépare les tâches et fixe des seuils financiers. Elle doit s’appliquer aux virements fournisseurs, aux acomptes, aux modifications de RIB et aux paiements exceptionnels. Le dirigeant reste libre de décider, mais l’exécution doit respecter le circuit prévu.
Avant de commencer, l’entreprise doit disposer d’une matrice de délégation à jour, des coordonnées bancaires de référence des fournisseurs et des numéros directs des validateurs. Il faut aussi paramétrer des profils distincts dans l’outil bancaire. La création du bénéficiaire et l’émission du virement ne doivent pas relever du même accès.
- Le collaborateur saisit la demande avec la facture, le bon de commande et la référence budgétaire.
- Un premier valideur contrôle la réalité de la dépense, le montant et le bénéficiaire.
- Un second valideur confirme les coordonnées bancaires par une source indépendante.
- Le signataire bancaire émet le paiement après vérification des pièces et du seuil d’autorisation.
- Le service financier archive la preuve du contrôle et rapproche le virement avec la comptabilité.
Le principe de double validation des virements doit prévoir deux personnes réellement distinctes. Une validation automatique entre deux profils administrés par le même salarié ne protège pas l’entreprise. Pour les montants élevés, un délai de carence de quelques heures avant émission laisse le temps de détecter une anomalie.
| Situation | Contrôle minimal | Délai recommandé |
|---|---|---|
| Nouveau bénéficiaire | Contre-appel au contact connu | Avant le premier paiement |
| Changement de RIB | Vérification du document et appel indépendant | Avant toute modification |
| Virement exceptionnel | Deux validations et pièces justificatives | Le jour même |
| Ordre suspect déjà exécuté | Alerte bancaire et conservation des preuves | Sans délai |
- Vérifier la facture, le bon de commande et la référence budgétaire
- Contrôler la réalité de la dépense, le montant et le bénéficiaire
- Confirmer les coordonnées bancaires par une source indépendante
- Effectuer un contre-appel vers un numéro déjà référencé
- Séparer la création du bénéficiaire et l’émission du virement
- Faire valider le paiement par deux personnes distinctes
- Vérifier les pièces et le seuil d’autorisation avant émission
- Archiver la preuve du contrôle et rapprocher le virement
Sécuriser les paiements fournisseurs et former les équipes
La sécurisation des paiements fournisseurs commence par un référentiel centralisé des coordonnées bancaires. Seuls quelques profils habilités doivent pouvoir modifier un RIB. Chaque modification doit laisser une trace, comporter la date, l’auteur, la pièce reçue et la preuve du contre-appel.
Les droits d’accès à la banque en ligne doivent être revus après chaque départ, changement de fonction ou réorganisation. L’authentification multifacteur limite aussi le risque de prise de contrôle d’une boîte e-mail. Les relevés bancaires quotidiens permettent enfin de repérer plus vite une sortie de trésorerie non attendue.
La formation des salariés au phishing doit s’adresser au service financier, aux assistants de direction, aux acheteurs et aux personnes habilitées à engager une dépense. Des exercices courts, deux à quatre fois par an, ancrent les réflexes utiles. Ils doivent reproduire des e-mails réalistes et mesurer le respect de la procédure, sans mise en cause individuelle publique.
Le cadre des paiements mérite d’être cohérent avec les autres dépenses professionnelles. Une politique sur la carte bancaire entreprise et les notes de frais clarifie les plafonds, les justificatifs et les délégations. Cette cohérence réduit les exceptions, qui servent souvent de point d’entrée à la fraude.
Réagir immédiatement après un virement frauduleux
La rapidité conditionne les chances de blocage du virement. Le salarié doit prévenir son responsable et la direction financière dès le doute identifié. L’entreprise doit contacter immédiatement la banque par son canal officiel, signaler la fraude et demander l’annulation ou le rappel du virement.
La banque peut tenter un rappel des fonds auprès de l’établissement du bénéficiaire. Le résultat dépend du délai écoulé, de la devise, du pays destinataire et de la disponibilité des sommes. Il faut également demander le retour des fonds lorsque le crédit a déjà été porté sur le compte bénéficiaire.
La préservation des preuves facilite les démarches ultérieures. Il convient de conserver les e-mails avec leurs en-têtes, les pièces jointes, les journaux de connexion, les captures de l’outil bancaire et la chronologie des appels. Un dépôt de plainte complète le dossier, sans retarder l’alerte à la banque.
Clarifier la responsabilité de l’entreprise en cas de fraude
La responsabilité de l’entreprise en cas de fraude dépend des circonstances précises. Lorsqu’un salarié habilité a validé un ordre conforme aux pouvoirs qui lui étaient attribués, le virement peut être considéré comme autorisé. L’entreprise doit alors démontrer, si elle le peut, que la banque a manqué à ses obligations ou qu’une anomalie apparente aurait dû l’alerter.
La banque n’a pas à apprécier l’opportunité économique de chaque paiement. En revanche, une incohérence manifeste entre le profil habituel du compte et l’opération peut engager un débat sur son devoir de vigilance. Les conventions de compte professionnelles prévoient aussi des modalités de contestation qui doivent être examinées rapidement.
L’entreprise conserve une responsabilité de pilotage. Des délégations écrites, des seuils de validation, une formation régulière et une journalisation des contrôles démontrent que le risque a été traité. Ces éléments protègent la trésorerie et permettent d’établir les faits avec précision en cas de litige.
Questions fréquentes pour prévenir la fraude au faux président
Comment reconnaître une fraude au faux président ?
Une fraude au faux président associe souvent une identité usurpée, une demande de virement urgente et une exigence de confidentialité. Le fraudeur cherche à empêcher tout échange avec le dirigeant réel ou le fournisseur concerné. Un contre-appel vers un numéro connu reste le contrôle le plus efficace.
Quel contrôle faut-il appliquer avant un changement de RIB fournisseur ?
Le changement de RIB doit être confirmé par téléphone auprès d’un interlocuteur déjà identifié. Le salarié doit appeler un numéro issu du contrat, de l’annuaire interne ou d’un contact antérieur. L’e-mail annonçant la modification ne doit jamais fournir seul la preuve nécessaire.
La banque rembourse-t-elle un virement frauduleux réalisé par une entreprise ?
Le remboursement n’est pas automatique lorsqu’un utilisateur habilité a validé le paiement. La situation dépend du contrat bancaire, des pouvoirs du salarié, de la détection éventuelle d’une anomalie apparente et des démarches engagées sans délai. Un examen juridique du dossier est souvent nécessaire pour les montants significatifs.
Combien de personnes doivent valider un virement important ?
Deux personnes distinctes constituent un minimum opérationnel pour un virement inhabituel ou élevé. L’une contrôle la réalité de la dépense et l’autre confirme le bénéficiaire et ses coordonnées bancaires. Le seuil doit être adapté à la trésorerie et à la fréquence des paiements de l’entreprise.
La prévention repose sur une règle simple, vérifiable et connue de tous. Aucun impératif de confidentialité ni aucune instruction hiérarchique ne doit suspendre le contrôle d’un bénéficiaire bancaire. Une procédure appliquée sans exception réduit le risque de perte et accélère la réaction si une tentative survient.
