La fraude au PDG est une arnaque informatique et financière qui cible les entreprises, cabinets professionnels, organismes et organisations.

Le mécanisme est simple mais très efficace : un criminel se fait passer pour le PDG, un dirigeant, un responsable administratif ou une figure interne autorisée et demande à un employé d'effectuer un paiement urgent.

La demande peut arriver par email, SMS, WhatsApp, Teams, téléphone ou d'autres canaux d'entreprise.

Souvent, le message semble crédible, utilise un ton décidé et joue sur l'urgence, la confidentialité et l'autorité.

Comment fonctionne la fraude au PDG

L'escroc tente de convaincre la victime que la demande provient d'une personne autorisée.

Il peut se faire passer pour :

  • PDG ;
  • directeur général ;
  • directeur financier ;
  • responsable des achats ;
  • collègue interne ;
  • fournisseur habituel ;
  • consultant externe.

Le message contient souvent une demande de paiement urgent, un changement d'IBAN, une facture à régler, une opération réservée ou une procédure à exécuter sans impliquer d'autres personnes.

Des phrases telles que « fais-le tout de suite », « c'est confidentiel », « n'en parle à personne » ou « je t'en prie, la plus grande discrétion » sont des signaux très importants.

Business Email Compromise

La fraude au PDG fait souvent partie de la catégorie Business Email Compromise, ou BEC.

Dans certains cas, le compte email professionnel est réellement compromis. Dans d'autres, l'escroc utilise un domaine très similaire à l'original ou une adresse email fausse qui, à une lecture rapide, semble authentique.

Exemples typiques :

  • domaine quasi identique à celui de l'entreprise ;
  • nom affiché correct mais adresse email différente ;
  • compte personnel utilisé au lieu de l'email professionnel ;
  • messages transférés depuis des boîtes compromises ;
  • signatures email copiées de communications réelles.

C'est pourquoi il ne suffit pas de regarder le nom de l'expéditeur : il faut aussi vérifier le domaine, l'adresse et le contexte de la demande.

Les techniques les plus utilisées

L'arnaque repose principalement sur le social engineering.

Le criminel ne mise pas seulement sur la technologie, mais sur la pression psychologique.

Les techniques les plus courantes sont :

  • fausse identité ;
  • urgence ;
  • autorité ;
  • confidentialité ;
  • demande hors procédure ;
  • changement soudain d'IBAN ;
  • ton menaçant ou très insistant ;
  • demande de contourner les contrôles internes.

L'employé est mis dans la position de penser : « Si c'est le patron qui le demande, je dois le faire tout de suite ».

C'est précisément cette faiblesse que l'arnaque exploite.

Signaux d'alerte

Plusieurs éléments doivent faire suspecter une fraude au PDG :

  • demande de virement urgent ;
  • demande hors procédure ;
  • ton inhabituel ou trop insistant ;
  • email provenant d'un domaine similaire mais non identique ;
  • changement soudain d'IBAN ;
  • demande de confidentialité ;
  • invitation à ne pas impliquer d'autres collègues ;
  • montants élevés ou nouveaux destinataires ;
  • paiement vers un compte étranger ou inconnu ;
  • demande reçue en dehors des heures de bureau ;
  • message avec erreurs, style différent ou langage inhabituel.

Même un message bien rédigé peut être faux. La vérification doit toujours suivre une procédure.

Comment se défendre

La règle principale est de ne pas autoriser de paiements hors procédure.

Chaque demande de virement, changement d'IBAN ou paiement urgent doit être vérifiée via un second canal.

Si vous recevez une demande du PDG par email, ne répondez pas directement au même email pour confirmer. Appelez la personne en utilisant un numéro déjà connu ou contactez-la via un canal officiel.

Les entreprises devraient adopter des procédures d'approbation à plusieurs niveaux, surtout pour les paiements importants ou les modifications des données bancaires des fournisseurs.

Bonnes pratiques d'entreprise

Pour réduire le risque de fraude au PDG, il est utile d'adopter certaines mesures :

  • double approbation pour les virements importants ;
  • vérification téléphonique pour les changements d'IBAN ;
  • procédures écrites pour les paiements urgents ;
  • formation du personnel administratif ;
  • contrôle des domaines email similaires ;
  • authentification à deux facteurs sur les comptes d'entreprise ;
  • protections SPF, DKIM et DMARC sur le domaine email ;
  • surveillance des accès suspects ;
  • limites opérationnelles pour les virements et paiements ;
  • canal interne pour signaler les demandes suspectes.

La technologie aide, mais la procédure est fondamentale.

Que faire si le virement a été effectué

Si un paiement suspect a déjà été réalisé, il faut agir rapidement :

  • contacter immédiatement la banque ;
  • demander le blocage ou le rappel du virement ;
  • informer le responsable interne ;
  • conserver emails, messages, en-têtes et pièces jointes ;
  • vérifier si les comptes d'entreprise ont été compromis ;
  • changer les mots de passe et révoquer les sessions suspectes ;
  • activer ou vérifier la MFA ;
  • signaler l'incident aux autorités compétentes ;
  • informer le service informatique ou le consultant en sécurité.

La rapidité peut faire la différence dans la récupération des fonds.

Conclusion

La fraude au PDG ne fonctionne pas parce que le message est parfait, mais parce qu'elle exploite l'autorité, l'urgence et la confiance.

Un vrai patron ne devrait pas demander de virements urgents hors procédure.

Quand une demande concerne de l'argent, un IBAN ou des données d'entreprise, arrêtez-vous et vérifiez.

Mieux vaut perdre cinq minutes pour contrôler que perdre des milliers d'euros à cause d'une arnaque.