Actualités

Phishing et fraude au président : comment les reconnaître et quel protocole suivre

Fraude au président et phishing : signes, protocole de vérification des paiements, que faire si vous avez payé, plainte en Andorre et en Catalogne.

Publié le Par BDR Group9 min de lecture

La fraude au président (en anglais "CEO fraud") est une variante du phishing dans laquelle quelqu’un se fait passer pour un dirigeant ou un fournisseur afin d’obtenir un paiement urgent. On la reconnaît à la précipitation, à la confidentialité exigée et au changement de canal. On la neutralise avec une règle simple : aucun paiement nouveau ou modifié n’est fait sans confirmation par un second canal que vous connaissez déjà.

De quoi parle-t-on

Le phishing est la tromperie qui vise à faire cliquer sur un lien, donner des identifiants ou obéir à une demande falsifiée. L’INCIBE, l’institut national espagnol de cybersécurité, décrit la fraude au président comme une forme de phishing dans laquelle un employé habilité à effectuer des virements reçoit un message qui semble venir de son supérieur (PDG, président ou directeur) et lui demande une opération financière urgente et confidentielle. Les Mossos d’Esquadra, la police de Catalogne, distinguent la modalité par téléphone et la modalité par courriel, ainsi que la variante où l’on usurpe l’identité d’un fournisseur et où l’on communique un nouveau compte pour payer des factures.

Ce n’est pas un risque mineur. Le rapport Threat Landscape 2025 de l’ENISA, l’agence de cybersécurité de l’UE, analyse près de 4 900 incidents entre juillet 2024 et juin 2025 et place le phishing (avec le vishing, le courrier indésirable et la publicité malveillante) comme voie d’entrée principale, dans environ 60 % des cas. Il ajoute que l’IA sert à rédiger des courriels plus convaincants et à usurper des personnes avec des voix et des vidéos falsifiées.

Comment le reconnaître

Signes d’alerte, selon l’INCIBE et les Mossos :

  • Urgence : "le virement doit partir avant 14 h".
  • Confidentialité : "n’en parle à personne".
  • Excuses pour ne pas parler : "je suis en réunion et je ne peux pas appeler".
  • Changement de canal : on demande de continuer sur WhatsApp.
  • Moment choisi : le dirigeant est en vacances ou injoignable.
  • Expéditeur trompeur : un domaine presque identique, avec une lettre modifiée.
  • Moyens de paiement inhabituels : cartes-cadeaux, espèces ou dépôts dans des distributeurs de cryptomonnaies.
  • Nouveau compte : virement vers un compte différent du compte habituel, souvent dans des pays à l’opacité fiscale certaine (Mossos).

En Andorre, la Police a alerté le 4 février 2026 de nouveaux cas par téléphone, avec des préjudices de 700 à 3 000 euros. Les escrocs appellent un établissement en se faisant passer pour le responsable ou pour un fournisseur, avec des données réelles de l’activité, et pressent l’employé de remettre de l’argent en urgence : pris dans les caisses ou dans le coffre-fort, sorti de sa poche, ou en achetant des cartes prépayées et en envoyant les codes en photo. Ils commencent par demander peu et, s’ils voient de la bonne volonté, en demandent davantage, et peuvent imiter la voix avec l’IA. Selon la Police, cela touche différents types d’établissements, de services et d’institutions.

Protocole de vérification des paiements

Il s’appuie sur les recommandations de l’INCIBE, des Mossos et de la Police d’Andorre, et tient sur une page :

  1. Confirmez par un second canal. Appelez un numéro que vous avez déjà, jamais celui du message ni celui qu’on vous donne en appelant. Appliquez-le à toute demande de paiement urgente ou hors de la procédure habituelle.
  2. Vérifiez les changements de compte. Un changement d’IBAN d’un fournisseur ne se fait pas sans confirmation par téléphone auprès du contact connu.
  3. Double autorisation. Les virements au-delà d’un montant fixé sont approuvés par une seconde personne.
  4. Définissez qui peut ordonner des paiements et comment. Avec un protocole écrit, un organigramme et des contacts officiels.
  5. Personne ne paie de sa poche ni n’achète de cartes sur demande. Aucune procédure de l’entreprise ne le demande, et tout employé doit le savoir.
  6. Permettez le doute. Vérifier l’ordre d’un dirigeant doit être une obligation, non une marque de défiance : les escrocs comptent sur la peur de celui qui le reçoit.
  7. Filtres de messagerie. Configurez des alertes pour les domaines proches de celui de l’entreprise et pour les courriels externes qui imitent des noms internes.

Que faire si vous avez déjà payé

Le temps compte, car lorsque la fraude est détectée, les comptes destinataires ne sont souvent plus opérationnels (Mossos).

  1. Prévenez la banque immédiatement, depuis un téléphone ou un canal officiel, et demandez-lui de tenter d’arrêter ou de récupérer l’opération.
  2. Conservez les preuves. N’effacez ni le courriel ni le message, faites des captures d’écran de l’usurpation et notez heures, numéros et comptes.
  3. Portez plainte. En Andorre, auprès de la Police d’Andorre : son site indique que les urgences et les plaintes sont traitées 24 heures sur 24, 365 jours par an, au 110 ou au +376 872 000. En Catalogne, auprès des Mossos d’Esquadra, avec le courriel reçu et les preuves. Dans le reste de l’Espagne, auprès de la Policía Nacional ou de la Guardia Civil (forces de police espagnoles).
  4. Appelez l’INCIBE (017) si vous êtes en Espagne : c’est un service gratuit et confidentiel pour les particuliers, les entreprises et les professionnels, tous les jours de 8 h à 23 h (aussi par WhatsApp, au 900 116 117).
  5. Évaluez si des données personnelles sont compromises. Si les attaquants sont entrés dans une messagerie ou un système, il peut s’agir d’une violation de données à caractère personnel. Le RGPD (article 33) et la Llei 29/2021 d’Andorre sur la protection des données personnelles (article 36) imposent de la notifier à l’autorité de contrôle dans les meilleurs délais et, si possible, 72 heures au plus tard, sauf s’il est peu probable qu’elle engendre un risque pour les personnes.
  6. En Andorre, la Llei 22/2022 sur la sécurité des réseaux et des systèmes d’information permet de notifier volontairement des cybermenaces et des incidents au CSIRT-AD, y compris aux entités hors de son champ (article 16).

Formation : ce que tout le monde doit savoir

Le protocole ne fonctionne que si celui qui reçoit l’appel le connaît. Il convient de former tout le personnel, pas seulement la finance, et en particulier ceux qui ont accès aux caisses, à la facturation ou à la messagerie de la direction. Nous recommandons des sessions courtes, avec des exemples réels, répétées chaque année, et qui incluent l’appel téléphonique : tout n’arrive pas par courriel.

Notre intérêt dans ce sujet

Chez BDR Group, nous proposons de la formation et de la sensibilisation à la cybersécurité ainsi que de la réponse aux incidents avec TutumSec ; nous avons donc un intérêt dans ce sujet. Le protocole ci-dessus peut être mis en place sans rien acheter.

Que faire maintenant

  1. Écrivez sur une page le protocole de paiements et de changements de compte, et faites-le parvenir à tout le personnel.
  2. Fixez le montant à partir duquel deux approbations sont nécessaires.
  3. Précisez que personne ne paie ni n’achète de cartes sur l’ordre d’un appel téléphonique.
  4. Notez le numéro de la banque et celui de la Police ou des Mossos, et qui donne l’alerte si cela arrive.
  5. Programmez une session de formation de 30 minutes et répétez-la chaque année.

Questions fréquentes

Cela peut-il passer par un appel, et pas seulement par un courriel ?

Oui. L’alerte de la Police d’Andorre de février 2026 décrit des cas par téléphone, avec des données réelles de l’activité et un possible recours à une voix imitée par l’IA. Les Mossos décrivent une modalité par téléphone et une par courriel.

Peut-on récupérer l’argent ?

Il n’y a aucune garantie. Les Mossos préviennent qu’il est souvent impossible de récupérer l’argent, car le compte destinataire cesse d’être opérationnel. C’est pourquoi prévenir la banque immédiatement est la première étape.

Faut-il porter plainte si le montant est faible ?

Les sources que nous citons recommandent de porter plainte et ne fixent aucun montant minimal. Les cas de l’alerte andorrane portaient sur des montants de 700 à 3 000 euros.

Sources

Vous voulez revoir comment votre entreprise protège ses paiements ?

Si vous voulez un avis extérieur sur les procédures, la formation et la réponse aux incidents, commencez par la page du service : Cybersécurité pour les entreprises

Retour aux actualités

Actualités

Autres articles