La première cible n'est pas le dirigeant : c'est son entourage

Qui décroche, qui vire : relire les affaires par la victime

Dans la fraude vocale de 2019, la voix clonée est celle du PDG du groupe allemand — mais celui qui vire 220 000 € est le dirigeant de la filiale britannique [1]. Chez Arup en 2024, les hypertrucages représentent le directeur financier et des collègues — mais celui qui exécute quinze virements est un employé du service financier de Hong Kong [2]. Chez WPP, le clone imite le PDG Mark Read — mais la cible est un dirigeant d'agence du groupe [3]. Chez Ferrari, la voix imite Benedetto Vigna — mais c'est un cadre qui reçoit l'appel, et c'est lui qui déjoue l'attaque [4].

Le schéma est constant : l'identité usurpée est celle du sommet, la pression s'exerce un cran en dessous. L'attaquant n'a pas besoin de tromper le dirigeant — il a besoin de son autorité, projetée sur quelqu'un qui exécute.

Pourquoi l'entourage est structurellement exposé

Trois facteurs se cumulent. L'asymétrie hiérarchique, d'abord : dire non à une demande de son PDG, fût-elle étrange, coûte quelque chose — et l'attaquant le sait, c'est exactement ce coût qu'il exploite en jouant l'urgence et la confidentialité.

L'accès, ensuite : assistants de direction, trésorerie, comptabilité fournisseurs détiennent la capacité d'exécution — paiements, agendas, documents — sans détenir toujours l'information de contexte qui rendrait la demande invraisemblable.

La visibilité, enfin : ces fonctions sont publiques ou déductibles en sources ouvertes — profils professionnels, signatures, organigrammes. Un attaquant sait précisément qui appeler, avec quel prétexte, pendant quelle absence annoncée du dirigeant.

Lire : ce que les sources ouvertes révèlent de votre organisation →

Le droit de vérifier : une politique, pas une faveur

La protection décisive tient en une phrase, qui doit venir du dirigeant lui-même et être écrite : toute demande sensible se vérifie hors du canal qui la porte, et cette vérification n'est jamais reprochée — même quand la demande est authentique, même quand elle est urgente, même quand elle vient de moi.

Ce dernier point est le plus important et le moins appliqué. Un dirigeant qui s'agace d'un rappel de vérification détruit sa propre défense : il enseigne à son entourage que vérifier coûte, et l'attaquant héritera de cet apprentissage. À l'inverse, chaque vérification félicitée renforce le réflexe qui, chez Ferrari, a fait raccrocher l'escroc.

Briefer, outiller, entraîner

Le dispositif tient en une demi-journée. Briefer : trente minutes avec les assistants de direction, la trésorerie et la comptabilité fournisseurs, sur les affaires documentées et les quatre règles de l'encadré ci-dessous. Outiller : une liste de numéros connus pour les rappels de vérification, les modalités de vérification à réponse non publique convenues avec le dirigeant, les seuils de double validation. Entraîner : un exercice par an — une fausse demande urgente, un vendredi à 17 h — qui vaut tous les rappels de consigne.