# Fraude du président : déjouer le courriel d'affaires compromis

Source : https://cybercaribou.com/blogue/fraude-president-courriel-affaires-compromis · Cyber Caribou

> Faux patron, faux fournisseur, paie détournée : comment fonctionne la fraude du président, ce qu'elle coûte aux PME et les contrôles simples qui la bloquent.

Vendredi, 16 h 40. La responsable de la comptabilité d'un cabinet d'ingénierie de Laval reçoit un courriel du président, en vacances en Floride. Il est bref : une acquisition confidentielle se conclut aujourd'hui, il faut virer 48 000 $ à un notaire avant la fermeture des banques, et surtout, n'en parler à personne.

L'adresse semble la bonne. Le ton aussi, jusqu'à la signature « Envoyé de mon iPhone ». Elle hésite, puis fait le virement. Le lundi, le vrai président n'a jamais entendu parler de cette acquisition.

C'est la fraude du président, une variante de ce qu'on appelle le courriel d'affaires compromis (BEC, pour *business email compromise*). Elle ne repose sur aucun logiciel malveillant sophistiqué. Elle exploite la confiance, l'urgence et des processus de paiement trop souples. La bonne nouvelle : ce sont des choses qu'une PME peut corriger.

- La fraude du président et ses cousines (faux fournisseur, paie détournée) visent à vous faire envoyer de l'argent vous-même, de bonne foi.
- Les meilleures protections sont des règles de processus : rappel à un numéro connu, double approbation, délai pour tout changement de coordonnées bancaires.
- Les contrôles techniques (DMARC, MFA, alertes sur les règles de boîte de réception) réduisent les occasions, mais ne remplacent pas le coup de fil de vérification.

## Les quatre visages de la fraude au courriel d'affaires

La GRC décrit plusieurs variantes qui reviennent constamment. Le point commun : un message qui semble venir de quelqu'un en qui vous avez confiance.

| Variante | Scénario type | Signal d'alarme |
|---|---|---|
| Faux président | Un dirigeant demande un virement urgent et confidentiel | Urgence, secret, contournement des procédures habituelles |
| Faux fournisseur | Un fournisseur annonce un « nouveau compte bancaire » pour ses factures | Changement de coordonnées par courriel, souvent en fin de mois |
| Paie détournée | Un employé demande de modifier son dépôt direct | Demande faite par courriel, sans validation en personne |
| Cartes-cadeaux | Le patron demande d'acheter des cartes-cadeaux « pour des clients » | Demande de photographier les codes au dos des cartes |

La variante du faux fournisseur est particulièrement sournoise, parce qu'elle se fond dans le cycle normal de facturation. Un manufacturier de Saint-Georges qui paie le même fournisseur d'acier chaque mois ne se méfie pas d'une facture au montant habituel. Seul le numéro de compte a changé.

## Comment les fraudeurs préparent leur coup

Ces fraudes paraissent improvisées. Elles sont en réalité bien préparées.

**La recherche.** Le site Web de l'entreprise, LinkedIn et les communiqués révèlent qui dirige, qui paie les factures et quels sont les fournisseurs. Une publication « En congrès à Las Vegas cette semaine ! » indique le moment idéal pour usurper l'identité d'un dirigeant absent.

**Le domaine sosie.** Le fraudeur enregistre un domaine presque identique au vôtre ou à celui d'un fournisseur : une lettre doublée, un « rn » à la place d'un « m », un .com au lieu d'un .ca. Sur un cellulaire, la différence est presque invisible.

**La boîte compromise.** Plus redoutable encore : le fraudeur vole le mot de passe d'une vraie boîte de courriel, chez vous ou chez un fournisseur, par hameçonnage. Il lit les échanges pendant des semaines, puis répond dans un vrai fil de discussion au bon moment. Il crée souvent une règle de boîte de réception qui détourne ou cache les réponses, pour que la victime ne voie rien passer.

**L'appel ou la voix.** Certains fraudeurs appuient le courriel d'un appel. Avec les outils d'IA qui imitent une voix à partir de quelques extraits, un message vocal du « président » n'est plus une preuve suffisante.

## Ce que ça coûte vraiment

Selon des données de l'industrie citées par Insurance Business Canada (octobre 2025), une fraude au virement coûte en moyenne 118 000 $ à une PME canadienne. Le Centre antifraude du Canada, de son côté, a recensé 67,9 millions de dollars de pertes déclarées en 2025 pour le harponnage, la catégorie où se classent ces fraudes. C'est la deuxième fraude la plus coûteuse de l'année.

Et ces chiffres ne comprennent que les pertes déclarées : par gêne, bien des entreprises ne signalent jamais la fraude.

## Les contrôles de processus qui arrêtent la fraude

La fraude du président réussit quand une seule personne peut envoyer de l'argent sur la foi d'un seul courriel. Les règles suivantes coûtent presque rien et cassent ce scénario :

- [ ] **Rappel systématique** : toute demande de virement inhabituel ou de changement de coordonnées bancaires est confirmée par téléphone, à un numéro déjà connu, jamais à celui qui figure dans le courriel.
- [ ] **Double approbation** : deux personnes approuvent chaque virement au-delà d'un seuil fixé par la direction.
- [ ] **Délai de sécurité** : un nouveau compte bancaire de fournisseur n'est utilisé qu'après validation et un délai de quelques jours.
- [ ] **Aucune exception pour le patron** : la direction s'engage par écrit à ne jamais demander de contourner ces règles. Un employé qui « dérange » le président pour vérifier est félicité, pas réprimandé.
- [ ] **Paie protégée** : toute modification de dépôt direct se fait en personne ou dans le portail RH, jamais par simple courriel.
- [ ] **Procédure écrite et connue** : les employés des finances savent quoi faire et qui appeler en cas de doute.

Ces règles fonctionnent parce qu'elles ne demandent pas aux employés de détecter un faux parfait. Elles rendent le faux inutile.

## Les contrôles techniques en renfort

La technologie ne remplace pas le processus, mais elle réduit nettement les occasions :

- **Protéger votre domaine** avec [SPF, DKIM et DMARC](https://cybercaribou.com/blogue/spf-dkim-dmarc-explication), pour qu'un fraudeur ne puisse pas envoyer de courriels avec votre adresse exacte.
- **Activer l'authentification multifacteur** sur toutes les boîtes, idéalement une méthode résistante à l'hameçonnage. Notre guide pour [choisir son MFA](https://cybercaribou.com/blogue/authentification-multifacteur-choisir-mfa) détaille les options.
- **Surveiller les règles de boîte de réception** et les transferts automatiques vers l'externe, signes classiques d'une boîte compromise. C'est l'un des réglages que nous vérifions dans un [audit Microsoft 365](https://cybercaribou.com/blogue/audit-securite-microsoft-365).
- **Marquer les courriels externes** avec un bandeau visible, et enregistrer les variantes évidentes de votre nom de domaine.
- **Former les équipes des finances** avec des exemples réalistes, puis vérifier les réflexes par une [simulation d'hameçonnage](https://cybercaribou.com/blogue/simulation-hameconnage-employes).

Notre [audit Microsoft 365 et Google Workspace](https://cybercaribou.com/services/audit-microsoft-365-google-workspace) passe ces réglages en revue et signale ceux qui laissent la porte ouverte aux fraudeurs.

## Si le virement est déjà parti

Chaque heure compte. Dans l'ordre :

1. **Appelez votre institution financière immédiatement** et demandez un rappel ou un blocage des fonds. Ne vous contentez pas d'un courriel.
2. **Signalez la fraude** au service de police local et au Centre antifraude du Canada.
3. **Conservez tout** : le courriel original avec ses en-têtes, les factures, les échanges. Ne supprimez rien.
4. **Vérifiez si une boîte a été compromise** : réinitialisez le mot de passe, révoquez les sessions actives, cherchez les règles de transfert suspectes.
5. **Prévenez votre assureur** et, si la fraude venait d'une boîte de fournisseur, avisez ce fournisseur.

Si une boîte de courriel contenant des renseignements personnels a été compromise, l'incident peut aussi relever de la Loi 25. Validez vos obligations avec votre conseiller juridique.

## En conclusion

La fraude du président ne cible pas votre technologie, mais vos habitudes. Une PME qui impose le rappel systématique et la double approbation retire aux fraudeurs leur meilleure arme : la pression du moment.

Commencez lundi : écrivez la règle du rappel, faites-la signer par la direction et présentez-la à l'équipe des finances. C'est la mesure de cybersécurité la moins chère que vous adopterez cette année.

## FAQ

**La banque peut-elle annuler un virement frauduleux ?**
Parfois, si elle est avisée très vite. La banque peut tenter de rappeler ou de bloquer les fonds auprès de l'institution qui les a reçus, mais rien n'est garanti une fois l'argent retiré ou transféré ailleurs. Un virement autorisé par un employé de l'entreprise n'est généralement pas remboursé automatiquement : d'où l'importance de prévenir plutôt que de compter sur un recours.

**L'assurance cyber couvre-t-elle la fraude du président ?**
Pas toujours. Ce type de perte relève souvent d'une garantie distincte (fraude par ingénierie sociale ou fraude au virement), parfois assortie d'une limite plus basse que le reste de la police, ou absente. Vérifiez votre contrat avec votre courtier avant d'en avoir besoin.

**Faut-il signaler une tentative de fraude du président qui a échoué ?**
Oui. Le Centre antifraude du Canada recueille aussi les tentatives, même sans perte, ce qui l'aide à repérer les stratagèmes en circulation. À l'interne, notez l'incident, remerciez l'employé qui l'a déjoué et prévenez vos fournisseurs ou clients si leur nom a été usurpé : ils sont peut-être visés à leur tour.

## Sources

- [GRC : Fraude du président](https://grc.ca/fr/police-federale/cybercriminalite/nouvelles-sur-cybercriminalite/fraude-du-president)
- [Centre antifraude du Canada : Mois de la prévention de la fraude 2026 (statistiques 2025)](https://antifraudcentre-centreantifraude.ca/features-vedette/2026/02/month-prevention-mois-fra.htm)
- [Insurance Business Canada : AI-powered attacks push cyber risks higher for Canada's SMEs (oct. 2025)](https://www.insurancebusinessmag.com/ca/news/cyber/aipowered-attacks-push-cyber-risks-higher-for-canadas-smes-zensurance-551828.aspx)