Il existe une catégorie d’attaque contre laquelle votre antivirus ne peut strictement rien. Elle n’exploite aucune faille logicielle, ne dépose aucun fichier suspect et ne déclenche aucune alerte. Elle exploite quelque chose de beaucoup plus difficile à corriger : la confiance qu’un collaborateur accorde à un message qui semble venir de son patron.
La fraude au président, et sa cousine la fraude au faux fournisseur, visent directement le service comptabilité des PME. Le résultat n’est pas un fichier chiffré, c’est un virement parti volontairement, validé par une personne de l’entreprise, vers un compte qui sera vidé dans l’heure.
Comment se déroule concrètement l’attaque ?
Le scénario est presque toujours le même, et il commence bien avant le premier message.
L’escroc étudie d’abord votre entreprise. Votre site public lui donne le nom du directeur, celui du responsable des finances, parfois l’organigramme complet et le format des adresses e-mail. Les réseaux professionnels complètent le tableau. Une annonce de vacances, un salon professionnel ou une publication sur un déplacement lui indiquent le bon moment.
Vient ensuite le message. Il arrive d’une adresse très proche de la vraie, avec une lettre changée ou un domaine légèrement différent, ou depuis une véritable boîte aux lettres compromise. Le ton est celui d’un dirigeant pressé. La demande est claire, le montant crédible, l’échéance courte.
Enfin, la pression s’installe. Si le collaborateur hésite, l’escroc relance, répond aux objections, ajoute un faux avocat ou un faux notaire dans la conversation. Chaque échange sert le même objectif : empêcher la vérification par un autre canal.
La comptable reçoit un e-mail signé du directeur, parti en déplacement la veille. « Bonjour Sandra, je suis en réunion toute la journée à l'étranger, je vous appelle difficilement. Nous finalisons le rachat d'un concurrent et je dois verser un acompte aujourd'hui. C'est strictement confidentiel, le conseil n'est pas encore informé, merci de n'en parler à personne pour l'instant. Notre avocat va vous transmettre les coordonnées. Je compte sur vous. » L'adresse ressemble à celle du directeur, à une lettre près. Vingt minutes plus tard, un « avocat » envoie un IBAN étranger et rappelle que le délai expire à 17 h. Tout est réuni : une autorité qu'on ne conteste pas, une urgence qui interdit d'attendre, un secret qui interdit de demander confirmation à un collègue.
La variante la plus discrète : le faux fournisseur
La fraude au faux fournisseur est moins spectaculaire et souvent plus efficace. Ici, l’escroc ne se fait pas passer pour le patron, mais pour une entreprise avec laquelle vous travaillez depuis des années.
Le message annonce un changement de coordonnées bancaires : nouvelle banque, restructuration interne, changement de société de factoring. La facture est parfois authentique, interceptée dans une boîte e-mail compromise puis renvoyée avec un seul élément modifié, l’IBAN.
Cette variante est redoutable pour trois raisons. Elle ne comporte aucune urgence anormale, puisqu’il s’agit d’un paiement que vous attendiez de toute façon. Elle porte souvent sur des montants habituels, qui ne déclenchent aucun seuil d’alerte. Et elle passe fréquemment inaperçue pendant des semaines, jusqu’à ce que le vrai fournisseur envoie son premier rappel.
C'est l'erreur qui annule toute la vérification. Le numéro de téléphone figurant dans l'e-mail ou sur la facture modifiée appartient à l'escroc, qui répondra avec assurance et confirmera le changement. Utilisez uniquement le numéro que vous possédiez déjà : celui de votre fichier fournisseurs, d'un contrat signé ou d'une ancienne correspondance. La même règle vaut pour le téléphone du dirigeant.
Pourquoi ça marche ? Autorité, urgence, secret
Ces attaques ne réussissent pas parce que les collaborateurs sont négligents. Elles réussissent parce qu’elles activent trois mécanismes que nous portons tous, et qui se renforcent mutuellement.
L’autorité. Un message du directeur ne se discute pas de la même façon qu’une demande d’un collègue. Refuser, c’est prendre un risque personnel. Demander une confirmation, c’est implicitement mettre en doute la parole du patron. Dans une petite structure où la hiérarchie est proche, ce poids est encore plus fort.
L’urgence. Le délai court supprime le temps de réflexion. Or c’est exactement pendant ce temps que le doute apparaît. Une demande à traiter avant 17 h ne laisse pas la place au « je vérifie demain matin ».
Le secret. C’est le levier le plus important, et le plus révélateur. L’instruction de confidentialité a une seule fonction : isoler la personne ciblée. Tant qu’elle ne peut parler à personne, elle ne peut pas être contredite. Une demande légitime ne vous interdit jamais d’en parler à votre collègue de bureau.
Ces trois leviers relèvent de l’ingénierie sociale, la même famille de techniques que le phishing. La différence est le degré de préparation : ici, l’escroc connaît votre entreprise par son nom.
Que montrent les chiffres suisses ?
La fraude n’est pas une menace marginale. Au second semestre 2025, elle représentait 52 % de toutes les annonces reçues par l’Office fédéral de la cybersécurité, soit 15 090 signalements de fraude. L’ensemble des déclarations volontaires de cyberincidents s’est établi à 64 733 pour l’année 2025, contre 62 954 en 2024. Ces séries et leur mode de collecte sont repris dans notre page sur la cybercriminalité en Suisse en chiffres.
Pour l’arnaque au président en particulier, les entreprises suisses ont signalé 605 cas à l’OFCS durant le premier semestre 2025, un nombre record, puis 366 cas au second semestre. En additionnant les deux périodes publiées, cela représente 971 cas annoncés sur l’année. Ces données figurent dans le rapport semestriel 2025/II de l’OFCS, publié le 30 mars 2026.
Ce que ces chiffres disent à un dirigeant de PME est simple. La fraude est devenue la première catégorie d’incidents annoncés en Suisse, loin devant les attaques purement techniques dont on parle davantage. Autrement dit, le maillon le plus sollicité aujourd’hui n’est pas votre pare-feu, c’est la personne qui prépare vos paiements. Et un point mérite d’être souligné : il s’agit uniquement des cas annoncés volontairement. Beaucoup d’entreprises ne signalent rien, par gêne ou par crainte pour leur réputation. L’ordre de grandeur réel est donc supérieur.
Les parades organisationnelles qui bloquent l’attaque
Aucun outil technique ne résout ce problème seul. Un filtre anti-spam réduit le volume, une authentification à deux facteurs limite les compromissions de boîtes e-mail, mais le message final reste un e-mail parfaitement légitime sur le plan technique. La parade est procédurale.
| Mesure | En pratique | Ce qu’elle bloque |
|---|---|---|
| Double validation | Tout virement au-dessus d’un seuil défini exige deux personnes distinctes, dont une qui n’a pas reçu la demande initiale | La manipulation d’une seule personne isolée |
| Rappel sur numéro connu | Toute demande inhabituelle est confirmée par téléphone, au numéro du fichier interne, jamais celui du message | L’usurpation d’identité par e-mail |
| Seuil de montant écrit | Un montant plafond au-delà duquel la procédure renforcée s’applique automatiquement, sans appréciation personnelle | La négociation et la pression sur le collaborateur |
| Contrôle des changements d’IBAN | Toute modification de coordonnées bancaires suit une procédure formelle avec confirmation orale et validation par un tiers | La fraude au faux fournisseur |
| Droit de dire non | Une règle écrite et communiquée par la direction : aucun collaborateur ne sera sanctionné pour avoir vérifié | Le levier de l’autorité |
Cette dernière ligne est celle qu’on oublie le plus souvent, et c’est peut-être la plus efficace. Tant que vérifier une instruction du patron paraît impoli, la procédure restera contournée dès que la pression monte. C’est à la direction, et à elle seule, de retirer ce coût social. La phrase à faire circuler est simple : « si vous m’appelez pour vérifier un paiement, vous faites exactement votre travail. »
« Toute demande de paiement urgente, confidentielle ou vers un nouveau compte est confirmée par téléphone, sur un numéro connu, avant exécution. » Le mot « confidentiel » doit devenir un signal d'alarme, pas une raison de se taire. Une règle courte et affichée est appliquée ; un règlement de douze pages rangé dans un classeur ne l'est pas.
Que faire si le virement est déjà parti ?
Les premières heures décident de tout. Agissez dans cet ordre, sans attendre d’avoir compris ce qui s’est passé.
Appelez d’abord votre banque, immédiatement, et demandez le rappel des fonds. C’est la seule action qui peut encore récupérer l’argent, et sa fenêtre se compte en heures. Déposez ensuite plainte auprès de la police cantonale. Annoncez le cas à l’OFCS via son formulaire en ligne, ce qui alimente la détection nationale. Vérifiez enfin si la boîte e-mail d’un collaborateur ou celle d’un fournisseur a été compromise, car une compromission de messagerie signifie souvent que d’autres fraudes sont en préparation.
Un mot sur l’attitude interne. La personne qui a validé le virement est une victime, pas une coupable. Les questions de responsabilité individuelle dépendent des instructions internes, de la formation reçue et des circonstances concrètes ; elles relèvent du droit du travail et méritent l’avis d’un conseil juridique avant toute décision. Sur le plan pratique, une réaction punitive produit surtout un effet : la prochaine fois, l’alerte arrivera trop tard.
Par où commencer cette semaine
Trois actions suffisent pour réduire fortement le risque, et aucune ne demande de budget informatique.
Écrivez votre procédure de paiement sur une page, avec un seuil de montant chiffré et la règle du rappel téléphonique. Communiquez-la personnellement aux personnes concernées, en insistant sur le droit de vérifier. Puis testez-la : envoyez vous-même une demande inhabituelle et regardez si quelqu’un vous rappelle.
En parallèle, activez l’authentification à deux facteurs sur toutes les messageries de l’entreprise, ce qui coupe la voie d’accès la plus utilisée pour ces attaques, et prévoyez une sensibilisation régulière de vos équipes. Commencez par le sommet : la direction est la première visée par ce type de fraude, et c’est aussi elle qui autorise ses collaborateurs à vérifier, comme nous l’expliquons dans former la direction en premier. Assurez-vous enfin que votre plan de réaction est prêt avant l’incident, comme décrit dans notre article sur les premières heures après une attaque.
Pour situer votre exposition globale, le check-up cyber comporte plusieurs questions sur les procédures de paiement. Les autres attaques qui ciblent vos collaborateurs sont regroupées dans le pilier Menaces, et la protection de vos données en cas d’incident dépend aussi de la règle 3-2-1 des sauvegardes ainsi que de vos obligations nLPD.