Les arnaques aux faux ordres de virement en augmentation dans les PME

Bien que l'OCRGDF ait constaté une baisse des arnaques au président dans les grosses entreprises, ce phénomène revient en force en s’industrialisant et en visant massivement les PME.

Selon l’Office Central pour la Répression de la Grande Délinquance Financière (OGRGDF), les escroqueries ont baissé en 2016. Et ce, grâce aux actions de sensibilisation entamées dans les grandes entreprises, lesquelles sont devenues mieux armées et plus prévoyantes face aux grands arnaqueurs professionnels. Force est cependant de constater que les escrocs ont changé de stratégie, en visant désormais des cibles plus modestes. C’est pourquoi le nombre d’ « arnaques au président » dans les PME a considérablement augmenté en 2017.

La production de « faux ordres de virement » (FOVI) constitue la principale action de fraude à laquelle l’entreprise fait aujourd’hui face. Par l’envoi d’emails ou par appels téléphoniques, l’arnaqueur demande à l’entreprise de faire un virement en urgence d’une grosse somme d’argent sur un compte généralement à l’étranger. Et ce, sous prétexte d’une opération confidentielle, mais cruciale à l’entreprise. Cette stratégie d’attaque est très bien ciblée dans le sens où elle nécessite une connaissance large préalable de l’entreprise ciblée, de son rouage, de son personnel et surtout de son ou ses dirigeants. D’où sa qualification « arnaque au président ». Cette étape préalable de « social engineering » consiste à recueillir la moindre information possible sur l’entreprise, principalement grâce aux réseaux sociaux comme Facebook ou Linkedln. D’autres moyens peuvent aussi être utilisés : les procès-verbaux de réunion ou les messages des dirigeants. Suffisamment renseigné, l’escroc se fait alors passer pour le président ou l’un des cadres dirigeants de l’entreprise. Dans ses messages, il va insister sur le caractère confidentiel et crucial du virement pour l’entreprise. De ce fait, il va presser les assistants de direction et les secrétaires comptables à agir avec diligence et à suivre ses instructions.

Comprendre comment fonctionnent les faux ordres de virement internationnal en 4 étapes ! © Stephane Manhes Comprendre comment fonctionnent les faux ordres de virement internationnal en 4 étapes ! © Stephane Manhes

Les techniques des arnaqueurs se sont perfectionnées au fil des années. Auparavant, ils ont ciblé les grandes entreprises comme Facebook ou Google. Les USA ont enregistré des actes d’escroquerie d’un montant s’élevant à 2,3 milliards de dollars. En France, ce type d’arnaque constitue 430 millions d’euros de détournement de fonds en l’espace de 3 ans, selon l’OGRGDF. À titre d’illustration, la société Michelin a subi une arnaque d’une somme de 1,6 million d’euros.

Actuellement, l’arnaque au président s’est largement popularisée et touche de plus en plus d’entreprises, avec des enjeux plus modestes. Très ingénieux, les escrocs peuvent même créer un nom de domaine ou de marque semblable à celui de votre partenaire, en vue de vous faire payer de fausses factures. Pour y faire face, l’on pourra faire appel aux sociétés spécialistes de la détection d’enregistrements de noms de domaines proches de votre marque. D’autres procédés consistent à usurper et à envoyer des messages avec les adresses emails de l’entreprise. L’arnaqueur exige par la suite d’être répondu à sur autre adresse, externe à l’entreprise. Heureusement, avec les anti-spam sont dans la plupart des cas équipés de systèmes anti-fovi. L’entreprise peut signaler tout ce qu’elle considère comme un spam dans ses boîtes de messagerie et le rapporter par la suite aux autorités compétentes pour lutter contre l’envoi de spams. Récemment découverte en 2017, la faille Mailsploit permet à l’expéditeur d’usurper des adresses emails sans être identifié ni inquiété.  D’après la solution de protection des emails Altospam, «100% des entreprises sont actuellement victimes d’attaques de fraude de masse par email ». Paradoxalement, peu d’entre elles portent plainte aux autorités (seulement 2300 plaintes en France en l’espace de 5 ans). Pourtant, les fraudes par email s’avèrent très efficaces dans la mesure où une arnaque sur cinq a pu permettre un détournement de fonds, selon l’assureur Euler Hermes.

Afin de contrecarrer ce fléau, les entreprises doivent prendre des mesures adéquates, à savoir :

  • La sensibilisation des salariés aux risques d’arnaques auxquels ils sont exposés, notamment les assistants de direction et les secrétaires comptables qui sont les plus vulnérables aux arnaques par emails ;
  • Le contrôle de l’utilisation des réseaux sociaux au sein de l’entreprise ;
  • La constitution d’un service de lutte contre l’usurpation des adresses emails de l’entreprise ;
  • Le renforcement des contrôles durant la période de pauses ou de vacances, propices aux actes frauduleux.

Aujourd’hui, près de la moitié des entreprises (46%) n’ont pas encore instauré un service de lutte contre la fraude et la majorité d’entre elles (63%) n’ont pas prévu un plan d’urgence en cas de fraude selon Euler Hermes. L’entreprise devrait se doter d’un service capable de déclencher immédiatement une alerte en cas de messages ou d’appels dans lesquels apparaissent : « urgent », « confidentiel » et « à l’étranger ».

FOVI, la psychose... © FRH ( https://www.facebook.com/Effet-Rache-1780885632210658/ ) FOVI, la psychose... © FRH ( https://www.facebook.com/Effet-Rache-1780885632210658/ )
 

Si ces moyens de lutte contre les arnaques se sont avérés inefficaces, l’entreprise doit le plus tôt possible s’adresser à sa banque en vue d’un « gel des avoirs » et ensuite porter plainte aux autorités compétentes (police, gendarmerie). Cependant, les victimes ne parviennent généralement pas à recouvrer à temps leurs avoirs, ceux-ci étant très vite transférés par les arnaqueurs dans des comptes internationaux. Il est toutefois possible de s’attaquer aux banques qui ont, par inadvertance, autorisé le virement de fonds sans attendre l’aval préalable du détenteur officiel de la signature. C’est par exemple que la Banque CIC a été condamnée pour avoir permis un virement frauduleux. Alternativement, il existe des assureurs, comme Euler Hermes, qui peuvent offrir des garanties aux entreprises, leur permettant d’être directement dédommagés en cas de fraudes.

 

Le Club est l'espace de libre expression des abonnés de Mediapart. Ses contenus n'engagent pas la rédaction.