La fraude au président : ce que c'est, pourquoi elle marche, ce qui l'arrête

Quatre noms, un seul mécanisme

L'administration française retient le terme d'escroquerie aux faux ordres de virement, abrégé en FOVI. Cybermalveillance.gouv.fr la définit comme une escroquerie qui, par usurpation d'identité, vise à amener la victime à réaliser un virement de fonds sur un compte frauduleux. Lorsque la demande se présente comme émanant d'un dirigeant et revêt un caractère urgent et confidentiel, on parle d'arnaque au président [1].

« Fraude au PDG » désigne exactement la même chose : c'est la traduction courante de l'anglais CEO fraud. Le vocabulaire varie, le mécanisme non. Et il ne se limite pas à l'usurpation du dirigeant.

Le dispositif officiel décrit trois variantes, qu'il faut traiter ensemble parce qu'elles empruntent la même faille :

• L'usurpation du dirigeant : une demande de virement urgente et confidentielle, présentée comme venant du président, du directeur général ou du directeur financier.
• L'usurpation du fournisseur : un courriel annonce un changement de coordonnées bancaires, et les règlements suivants partent sur le nouveau RIB. C'est la variante la plus discrète, souvent la plus coûteuse, et celle qui passe sous le radar des dispositifs pensés pour la seule usurpation du dirigeant.
• L'usurpation du salarié : une demande de modification des coordonnées bancaires de paie, adressée aux ressources humaines.

Une organisation qui n'a protégé que le premier cas a laissé les deux autres ouverts. C'est une erreur fréquente : la procédure se rédige autour du mot « président » alors que la faille est le changement de coordonnées bancaires, quel qu'en soit l'émetteur.

Une technique française, née en 2005

La fraude au président n'est pas un phénomène importé ni récent. Elle est apparue en France en 2005 et 2006, mise au point par Gilbert Chikli, qui appelait des salariés de grandes entreprises en se faisant passer pour leur dirigeant et invoquait des opérations confidentielles de renseignement pour obtenir des virements immédiats. Le tribunal correctionnel de Paris l'a condamné par défaut en 2015 pour ces faits [3].

La même méthode, transposée à des particuliers fortunés et à des dirigeants étrangers, a produit l'affaire dite du « faux Le Drian » : entre 2015 et 2016, des escrocs se sont fait passer pour le ministre de la Défense de l'époque, y compris par visioconférence à l'aide d'un masque en silicone, pour solliciter des fonds destinés à de prétendues opérations secrètes. Le préjudice se compte en dizaines de millions d'euros. La cour d'appel de Paris a confirmé les condamnations le 9 septembre 2020, à dix ans et sept ans de prison pour les deux principaux prévenus [3].

Ce détour par le judiciaire n'est pas anecdotique. Il dit deux choses utiles à un comité de direction : la fraude au président est un délit constitué, poursuivi et sanctionné, ce qui rend le dépôt de plainte pertinent ; et elle est assez rentable pour qu'on lui consacre des masques en silicone et des années de préparation. Ce n'est pas une nuisance opportuniste, c'est un métier.

Pourquoi elle fonctionne : ce n'est pas de la crédulité

L'explication paresseuse consiste à dire que la victime a manqué de vigilance. Elle est fausse, et elle est coûteuse : elle conduit à répondre par de la sensibilisation là où le problème est structurel.

Une demande frauduleuse réussie présente presque toujours la même signature : urgence, confidentialité exigée, contournement explicite des procédures habituelles, et un canal de confiance usurpé. L'urgence n'est pas un décor, c'est l'outil : elle est conçue pour empêcher la vérification. La confidentialité non plus : elle isole la personne visée de ses collègues, c'est-à-dire du seul mécanisme de contrôle disponible dans l'instant.

La faille exploitée est toujours la même : l'organisation accepte que l'identité soit prouvée par le canal lui-même. « C'est bien son adresse », « je reconnais sa voix », « je le vois à l'écran ». Or le canal est précisément ce que l'attaquant contrôle. Tant que l'identité se vérifie dans le canal attaqué, aucune vigilance individuelle ne compense.

Ajoutons un fait que les organisations intègrent mal : la personne visée n'est presque jamais le dirigeant usurpé. C'est un cadre financier, un dirigeant de filiale, un assistant de direction. Protéger le dirigeant sans protéger son entourage revient à verrouiller une porte en laissant la fenêtre ouverte.

Situer votre organisation en dix minutes →

Les signaux qui doivent arrêter une demande

Aucun de ces signaux n'est une preuve de fraude. Chacun impose en revanche une vérification hors canal avant toute exécution. La règle utile n'est pas « repérer la fraude », exercice où l'humain échoue, mais « reconnaître la configuration qui exige une vérification ».

• Une instruction de paiement assortie d'une urgence qui interdit la vérification, en particulier en fin de semaine ou en période de congés.
• Une consigne de confidentialité qui vous isole de votre hiérarchie ou de vos collègues, souvent justifiée par une opération sensible en cours.
• Un changement de coordonnées bancaires, quel qu'en soit l'émetteur apparent : dirigeant, fournisseur habituel ou salarié.
• Une demande qui arrive par un canal inhabituel pour cet interlocuteur : messagerie personnelle, application de messagerie instantanée, numéro inconnu.
• Un contournement assumé de la procédure normale, présenté comme une exception justifiée par les circonstances.
• Une adresse d'expéditeur presque exacte : un caractère substitué, un nom de domaine voisin. La CNIL recommande explicitement de surveiller les dépôts de noms de domaine proches du vôtre pour cette raison [2].

La contre-mesure tient en une phrase : aucune instruction sensible reçue par un canal ne se valide par ce même canal. On rappelle sur un numéro déjà connu, jamais sur celui fourni dans la demande.

L'IA générative n'a pas changé la fraude, elle a changé la preuve

Les hypertrucages n'ont pas inventé la fraude au président : ils ont supprimé les derniers indices sur lesquels reposait la confiance. La voix, puis le visage en visioconférence, sont devenus imitables à faible coût. En janvier 2024, un employé de la filiale hongkongaise du cabinet Arup a effectué quinze virements après une visioconférence entièrement synthétique. Deux mois plus tard, une tentative visant Ferrari a échoué parce qu'un cadre a posé une question dont seul le vrai dirigeant connaissait la réponse.

Ce contraste résume l'état de l'art : la détection technique du trucage n'a sauvé personne, la vérification hors canal a sauvé tout le monde. Nous avons consacré une analyse détaillée aux quatre affaires publiquement documentées, deux réussies et deux déjouées, et à ce qu'elles enseignent.

Après coup, ce n'est pas seulement une perte financière

Une fraude au président aboutie déclenche une séquence que peu d'organisations ont anticipée. Cybermalveillance.gouv.fr recommande d'identifier immédiatement l'ensemble des virements frauduleux, d'alerter la banque pour tenter le rappel des fonds, de suspendre les virements en cours, de conserver les preuves (numéros, messages, ordres de virement), de changer les mots de passe des comptes compromis et de déposer plainte sans attendre [1].

Il existe une obligation que l'on oublie presque toujours. Lorsque la fraude s'appuie sur des données personnelles compromises, typiquement l'usurpation de la boîte mail d'un salarié, elle constitue aussi une violation de données personnelles, avec les obligations de notification qui en découlent. La CNIL traite explicitement le faux ordre de virement sous cet angle [2]. Une entreprise qui gère l'incident comme un pur sinistre financier peut donc se retrouver, des mois plus tard, en défaut sur un second terrain.

Les premières heures déterminent le reste : qui décide, qui parle, ce que l'on écrit et ce que l'on conserve.

Recevoir le protocole des 24 premières heures (PDF) →