Dans cet article
La fraude par e-mail qui coûte le plus aux entreprises portugaises ne dépend pas d'une faille technique : elle dépend de quelqu'un qui autorise un virement parce qu'il a cru ce qu'il a lu. Les deux schémas dominants sont la facture au RIB modifié et la fausse demande urgente de la direction (la « fraude au président »). Aucune technologie ne bloque à elle seule un paiement autorisé par erreur ; ce qui le bloque, c'est une procédure, appuyée par des contrôles techniques bien gérés.
L'essentiel
- Ce n'est pas du logiciel, c'est du comportement Ces attaques exploitent la précipitation, la hiérarchie et la confiance.
- La facture modifiée arrive en tête C'est la fraude la plus rentable au Portugal et elle ne laisse aucune trace technique.
- La procédure avant la technologie Seule une règle empêche un paiement légitime vers le mauvais compte.
- La règle d'or Tout changement de coordonnées bancaires se confirme par téléphone, à un numéro déjà connu.
Anatomie de la facture modifiée
- Intrusion — l'attaquant compromet la boîte mail d'un fournisseur ou de l'entreprise elle-même.
- Observation — pendant des semaines, il apprend en silence qui facture qui, les montants, le ton et les délais.
- Interception — lorsqu'une vraie facture arrive, il la renvoie avec l'IBAN changé. Montant, référence, historique et signature sont authentiques.
- Prétexte — souvent une note anodine : « nous avons changé de banque, merci de mettre à jour nos coordonnées ».
- Découverte tardive — des semaines plus tard, le vrai fournisseur réclame le paiement en retard.
Celui qui a payé a correctement fait son travail. La défense est donc une règle sans exception, même pour les fournisseurs de longue date : toute modification d'IBAN se confirme par téléphone, au numéro dont vous disposiez déjà — jamais à celui qui figure dans l'e-mail.
Anatomie de la fausse demande de la direction
La comptabilité ou la trésorerie reçoit un message d'un administrateur : urgent, confidentiel, la personne est en déplacement et ne peut pas répondre. Il demande un virement immédiat.
Le message frappe trois points à la fois : l'urgence, pour qu'on n'ait pas le temps de réfléchir ; l'autorité, pour qu'on ne pose pas de questions ; la confidentialité, pour qu'on ne vérifie pas auprès de collègues. Aujourd'hui, il utilise le bon nom, la bonne signature et parfois de vrais sujets internes tirés d'e-mails antérieurs.
La défense est organisationnelle : au-delà d'un montant défini, aucun virement ne part sans confirmation par un second canal. Et la direction doit dire explicitement à l'équipe qu'elle ne s'offusquera jamais qu'on lui demande confirmation.
La porte d'entrée : des identifiants volés
Les deux schémas commencent presque toujours de la même façon : quelqu'un a saisi son mot de passe sur une page qui semblait légitime. Les fausses pages sont des copies fidèles ; seule l'adresse les trahit, et personne ne la vérifie dans la précipitation.
- Authentification à deux facteurs pour tous La mesure isolée au meilleur rapport effort/protection ; un mot de passe volé ne suffit plus.
- Gestionnaire de mots de passe Il évite la réutilisation et ne remplit pas les identifiants sur une fausse adresse, détectant la fraude avant la personne.
- Alertes de transfert automatique Une règle qui renvoie le courrier vers l'extérieur est le premier geste de quiconque compromet un compte et peut passer inaperçue pendant des mois.
Quatre règles à écrire et à afficher
- IBAN modifié Confirmation téléphonique à un numéro connu au préalable.
- Double validation Au-delà d'un seuil, celui qui demande n'est pas celui qui approuve.
- L'urgence ne dispense pas de vérifier L'urgence est l'outil de l'attaquant.
- Droit d'arrêter Chacun peut suspendre un paiement sans justifier sa méfiance ; si la culture punit celui qui pose des questions, plus personne n'en pose.
Ajoutez une formation courte et régulière avec des cas réels : quinze minutes par trimestre fonctionnent mieux que deux heures par an dont personne ne se souvient.
Si la fraude a déjà eu lieu
- Banque — demandez immédiatement l'annulation ou le rappel du virement ; les premières heures comptent.
- Comptes — changez les mots de passe et fermez toutes les sessions actives.
- Boîte mail — recherchez les règles de transfert créées par l'attaquant.
- Autorités — déposez plainte.
- Contrepartie — prévenez le fournisseur ou le client ; c'est probablement lui qui est compromis, et d'autres entreprises reçoivent les mêmes factures.
- Cause — ensuite seulement, comprenez par où ils sont entrés. Sans cela, cela se reproduira.
Prochaine étape : des contrôles techniques managés
DataRoad - IT Services and Consulting met en place l'authentification forte, le filtrage des e-mails et des pare-feu managés dans le cadre de ses services IT managés. Demandez une évaluation sans engagement.
Plus de 10 postes · contrat d'assistance · support à distance, sur site et téléphonique. Appelez le +351 211 459 950* ou écrivez à sales@dataroad.pt.
*Appel vers un fixe portugais.
