Fraude au président et faux ordre de virement : comment votre PME peut éviter le piège en 2026

Un matin, votre comptable reçoit un email du dirigeant : « opération confidentielle, virement urgent à faire aujourd'hui, je compte sur ta discrétion ». Le ton est crédible, la signature parfaite, le RIB fourni. Quelques heures plus tard, 40 000 € ont quitté l'entreprise et ne reviendront jamais. C'est la **fraude au président**, aussi appelée **faux ordre de virement** ou **BEC** (Business Email Compromise). Contrairement aux idées reçues, elle ne vise pas que les grands groupes : les PME et TPE sont des cibles idéales, car les procédures y sont souvent informelles. Voici comment ça marche vraiment, et surtout comment l'arrêter.

Comment fonctionne concrètement la fraude au virement

Le principe est simple : l'escroc se fait passer pour une personne de confiance afin d'obtenir un virement vers un compte qu'il contrôle. Ce n'est pas un piratage brutal, c'est de la **manipulation (ingénierie sociale)**. L'attaquant a fait ses devoirs : il connaît le nom du dirigeant, celui du comptable, parfois le nom d'un fournisseur en cours de facturation. Ces informations se trouvent facilement sur votre site, LinkedIn, le registre du commerce ou une fuite de données antérieure.

Les trois scénarios les plus fréquents

**La fraude au président** : un email ou un SMS imite le dirigeant et demande un virement urgent et confidentiel, souvent pendant ses congés ou un déplacement. **La fraude au fournisseur** (ou fraude au RIB) : un vrai fournisseur que vous payez régulièrement vous « informe » d'un changement de coordonnées bancaires ; le prochain règlement part sur le compte du voleur. **La compromission de boîte mail** : l'attaquant a réellement accès à une messagerie interne et répond dans un fil d'échange existant, ce qui rend la demande quasi indétectable.

Pourquoi ça marche si bien

La fraude joue sur trois leviers : **l'urgence** (« il faut le faire avant 17h »), **l'autorité** (« c'est le patron qui demande ») et **la confidentialité** (« n'en parle à personne »). Ces trois signaux, réunis, désactivent l'esprit critique. En 2026, l'IA amplifie le danger : un email sans faute d'orthographe, un **deepfake vocal** imitant la voix du dirigeant au téléphone, ou une fausse visioconférence rendent l'arnaque redoutablement crédible.

Les signaux d'alerte à reconnaître immédiatement

Certains détails trahissent presque toujours la fraude. **Une adresse email légèrement modifiée** : jean.dupont@votre-societe.fr devient jean.dupont@votre-societe.co ou @votresociete-fr.com. **Un changement de coordonnées bancaires** annoncé par email, surtout vers une banque étrangère. **Une urgence anormale** couplée à une demande de secret. **Un canal de communication inhabituel** : le dirigeant qui écrit d'une adresse Gmail personnelle alors qu'il utilise toujours la messagerie pro. Au moindre de ces signaux, on ne paie pas : on vérifie.

La procédure qui bloque 99 % des tentatives

La bonne nouvelle : cette fraude se contre avec de l'organisation, pas forcément avec de la technologie coûteuse. La règle d'or est la **validation par un second canal**. Aucun virement ne part sur la seule base d'un email.

Les règles à écrire noir sur blanc

**Toute demande de virement inhabituelle ou tout changement de RIB doit être confirmé par téléphone**, en rappelant le numéro connu de la personne (jamais celui indiqué dans l'email suspect). **Instaurez un principe de double signature** au-delà d'un certain montant : deux personnes valident, jamais une seule. **Définissez un plafond** au-delà duquel une validation renforcée est obligatoire. **Assumez qu'un dirigeant ne demandera jamais un virement secret et urgent par email** : faites-en une règle culturelle, connue de tous, sans crainte de « déranger le patron ».

Les protections techniques utiles

Deux mesures réduisent fortement le risque en amont. D'abord, **l'authentification de vos emails** avec les protocoles SPF, DKIM et DMARC, qui empêchent un escroc d'usurper votre nom de domaine. Ensuite, **l'authentification multifacteur (MFA)** sur toutes les boîtes mail : c'est ce qui bloque la compromission de messagerie, le scénario le plus dangereux. Une **formation courte des équipes comptables et de direction** — celles qui manipulent l'argent — complète le dispositif : ce sont elles les vraies cibles.

Que faire si le virement est déjà parti

Chaque minute compte. **Contactez immédiatement votre banque** pour tenter un blocage ou un rappel des fonds : si l'argent n'a pas encore été retiré, une récupération est parfois possible dans les premières heures. **Déposez plainte** au commissariat ou à la gendarmerie et signalez l'escroquerie sur les plateformes officielles (cybermalveillance.gouv.fr, THESEE). **Conservez toutes les preuves** : emails, en-têtes, SMS, relevés. Si une boîte mail a été compromise, **changez les mots de passe et activez le MFA** sans attendre, car l'attaquant pourrait encore lire vos échanges. Enfin, **communiquez en interne** pour éviter qu'un second virement ne suive.

Vous voulez savoir si votre entreprise est réellement protégée contre la fraude au virement et l'usurpation d'identité ? Demandez votre diagnostic cybersécurité gratuit à JOUCLA CYBERDÉFENSE : nous vérifions vos emails, vos procédures de paiement et vos points faibles, puis vous repartez avec un plan d'action clair.