Piratage de compte et fraude au virement : la menace n° 1 des entreprises

En bref

• Le piratage de compte est la première menace visant les entreprises et associations françaises : 21 % des demandes d'assistance à Cybermalveillance.gouv.fr en 2025, en hausse de 52 %.
• La fraude au virement fait son entrée dans les trois principales menaces, avec 13,5 % des assistances et une progression de 93 % en un an.
• Ces deux menaces s'enchaînent souvent : on pirate un compte pour préparer un virement frauduleux crédible.
• La contre-mesure la plus rentable ne coûte rien : un rappel téléphonique au numéro déjà connu avant tout changement de coordonnées bancaires.

Le basculement de 2025

Pendant des années, le rançongiciel a occupé l'essentiel de l'attention, à juste titre, tant ses effets sont spectaculaires. Les données françaises de 2025 montrent que d'autres menaces, plus discrètes, sont passées devant.

Dans son bilan 2025 des cybermalveillances visant les professionnels, tiré de son rapport d'activité, Cybermalveillance.gouv.fr établit le classement suivant pour les entreprises et associations :

1. Piratage de compte : 21 % des demandes d'assistance, +52 %
2. Hameçonnage : 16 %, +29 %
3. Fraude au virement : 13,5 %, +93 %
4. Rançongiciel : 8,1 %, +9 %
5. Violation de données : 6,6 %, +40 %
6. Piratage informatique : 6 %, +112 %

Le rançongiciel, avec 8,1 %, arrive loin derrière le trio de tête. Et ce trio est souvent lié : le dispositif relie lui-même la progression du piratage de compte aux violations de données et aux hameçonnages réussis. Le scénario type consiste à hameçonner pour voler des identifiants, à utiliser ces identifiants pour prendre le contrôle d'une boîte aux lettres, puis à se servir de cette boîte pour détourner un virement.

Le dispositif national a par ailleurs franchi un cap en 2025, selon son rapport d'activité : plus de 500 000 victimes assistées, tous publics confondus, soit une hausse de 20 % sur un an.

Anatomie de l'attaque

Le scénario type se déroule en quatre temps. Comprendre l'enchaînement est ce qui permet de le briser.

Étape 1 : obtenir les identifiants

Par hameçonnage classique, par un faux appel du service informatique, ou par la réutilisation d'un mot de passe ayant fuité ailleurs. Dans son Panorama de la cybermenace 2025, l'ANSSI décrit l'emploi de techniques d'ingénierie sociale avancées. Elle cite des arnaques au faux support informatique qui incitent des employés à installer un outil de prise en main à distance, ainsi que l'hameçonnage vocal. Elle mentionne aussi la fatigue MFA (des demandes de validation en rafale jusqu'à acceptation par inadvertance) et l'échange de carte SIM pour intercepter les codes envoyés par SMS.

Aucune de ces méthodes ne nécessite de logiciel malveillant. L'ANSSI note que le mode opératoire Scattered Spider « utilise rarement des codes malveillants » et que son accès au système d'information « est quasi systématiquement obtenu grâce à la compromission d'accès légitimes ». Plusieurs entreprises françaises, dont des entités du secteur du luxe, ont été compromises par ce mode opératoire en 2025. Dans au moins un cas, les attaquants auraient usurpé le service informatique pour obtenir les accès à une application de gestion de la relation client.

Étape 2 : s'installer discrètement

Une fois dans la boîte aux lettres, l'attaquant cherche à rester invisible. Il peut créer une règle de transfert ou de suppression automatique pour dissimuler ses échanges, puis il lit. Il apprend qui valide les paiements, comment se formulent les échanges avec les fournisseurs, quelles factures sont en cours, quand le directeur financier part en congés.

C'est cette phase d'observation qui distingue une fraude au virement élaborée d'une arnaque grossière. L'attaquant ne devine pas votre contexte : il le lit dans vos messages.

Étape 3 : intervenir au bon moment

Deux variantes dominent.

La fraude au faux fournisseur : un courriel annonce un changement de coordonnées bancaires. Il part souvent de la véritable boîte aux lettres du fournisseur, compromise elle aussi, ou d'un domaine imitant le sien à une lettre près. Le message reprend le fil de discussion réel, mentionne la bonne facture, le bon montant. Il n'y a presque rien à repérer.

La fraude au président : un message présenté comme venant du dirigeant demande un virement urgent et confidentiel (une acquisition en cours, un contrôle, une opération sensible). Le ressort est l'autorité combinée au secret, qui neutralise précisément le réflexe de vérification.

Étape 4 : encaisser et disparaître

Les fonds sont rapidement transférés vers d'autres comptes, souvent à l'étranger. Plus le temps passe, plus la récupération devient difficile. C'est pourquoi une détection rapide change tout, et pourquoi la prévention vaut mieux que la réaction.

Pourquoi les défenses classiques ne suffisent pas

Trois raisons expliquent que des entreprises correctement équipées se fassent avoir.

L'antivirus ne voit rien, puisqu'il n'y a pas de logiciel malveillant. La connexion se fait avec des identifiants valides.

Le message est authentique. Quand il provient de la vraie boîte aux lettres d'un vrai fournisseur, les filtres anti-hameçonnage ont peu de chances de le signaler. Les indices traditionnels (fautes, adresse suspecte, ton inhabituel) sont absents.

La MFA aide mais ne suffit pas. Elle complique fortement l'usage d'un mot de passe volé, ce qui explique que les attaquants aient développé la fatigue MFA et l'échange de carte SIM. Et surtout, elle ne protège pas contre un virement autorisé volontairement par un salarié trompé.

Cette dernière remarque est décisive : la fraude au virement est un problème de processus autant que de technique. Elle se traite en changeant la manière de valider un paiement, pas seulement en durcissant les accès.

Les contre-mesures, par ordre de rentabilité

1. La règle du rappel : coût nul, efficacité maximale

C'est la mesure la plus efficace de tout cet article, et elle ne coûte rien.

Tout changement de coordonnées bancaires est vérifié par un appel téléphonique au numéro déjà enregistré dans vos fichiers : jamais celui indiqué dans le message, jamais celui figurant sur la nouvelle facture.

La règle vaut pour les fournisseurs comme pour les salariés qui modifient leur RIB de paie. Elle s'applique sans exception, y compris quand la demande semble venir du dirigeant, et surtout en cas d'urgence, puisque l'urgence est l'outil de l'attaquant.

2. La double validation des paiements

Au-delà d'un seuil défini, tout virement est validé par deux personnes distinctes, sur deux canaux distincts. Cette mesure convertit une erreur individuelle en incident évité. Elle doit être connue de tous et opposable, y compris à la direction : une procédure à laquelle le dirigeant peut déroger n'est pas une procédure, c'est une suggestion, et c'est exactement ce que la fraude au président exploite.

3. L'authentification multifacteur, correctement paramétrée

La MFA sur la messagerie, les accès distants et les outils bancaires reste indispensable. Selon le baromètre national de la maturité cyber des TPE-PME (2^e édition, octobre 2025), seules 26 % d'entre elles ont déployé une solution de double authentification.

Deux précisions font la différence. D'abord, privilégiez une application d'authentification ou une clé physique plutôt que les SMS, vulnérables à l'échange de carte SIM. Ensuite, diffusez la règle suivante : « une demande de validation non sollicitée signifie que votre mot de passe est probablement compromis : refusez et signalez ».

4. La surveillance des règles de boîte aux lettres

Mesure peu connue et très rentable. La création d'une règle de transfert automatique vers une adresse externe est un signal fort de compromission. La plupart des suites professionnelles permettent d'alerter sur ce type d'événement, ou au minimum de le retrouver dans les journaux d'audit.

À ajouter à la liste : vérifier les règles de la boîte concernée est l'un des premiers gestes après tout soupçon de piratage de compte. Un mot de passe changé sans suppression de la règle peut laisser l'attaquant en place.

5. La surveillance des connexions

Connexions depuis un pays inhabituel, à des horaires anormaux, ou depuis deux localisations incompatibles en peu de temps : ces alertes sont disponibles dans la console d'administration de la plupart des messageries professionnelles. Encore faut-il les avoir activées et avoir désigné quelqu'un pour les lire.

6. La protection de votre nom de domaine

Configurer SPF, DKIM et DMARC rend beaucoup plus difficile l'usurpation de vos adresses pour piéger vos clients, un scénario où votre entreprise devient l'instrument de la fraude. Envisagez aussi de réserver les variantes proches de votre nom de domaine, celles qui servent à créer des adresses ressemblantes.

Que faire si le virement est parti

Les heures comptent. Dans l'ordre :

1. Appelez immédiatement votre banque et demandez le rappel des fonds. Un virement récent peut parfois être bloqué ; c'est la principale fenêtre de récupération.
2. Contactez la banque destinataire si vous en avez les coordonnées, pour signaler la fraude.
3. Déposez plainte sans attendre. L'article L. 12-10-1 du code des assurances subordonne l'indemnisation des pertes et dommages causés par une atteinte à un système de traitement automatisé de données au dépôt d'une plainte au plus tard 72 heures après la connaissance de l'atteinte. Il vise les personnes morales et les personnes physiques dans le cadre de leur activité professionnelle.
4. Déclarez le sinistre à votre assureur, en vérifiant les délais contractuels.
5. Traitez la compromission : changez les mots de passe concernés, révoquez les sessions actives, supprimez les règles de messagerie créées par l'attaquant, et déterminez quels autres comptes ont pu être atteints.
6. Prévenez vos partenaires. Si votre messagerie a servi à envoyer des messages frauduleux, vos clients et fournisseurs sont exposés.
7. Évaluez l'obligation de notification à la CNIL, dans les 72 heures, si des données personnelles ont été compromises : une boîte aux lettres professionnelle en contient presque toujours. Voir notre article sur les liens entre RGPD et cybersécurité.
8. Signalez sur cybermalveillance.gouv.fr pour obtenir des conseils et, si nécessaire, une mise en relation avec un professionnel.

Questions fréquentes

La banque rembourse-t-elle une fraude au virement ?

C'est rarement acquis, car le virement a été ordonné par l'entreprise elle-même : la situation diffère d'un paiement non autorisé. Une assurance cyber ou une garantie « fraude » peut couvrir le préjudice, sous réserve des conditions du contrat, du respect de vos propres procédures internes et du dépôt de plainte dans les délais.

Comment repérer un domaine imitant celui d'un fournisseur ?

Ces domaines jouent sur des substitutions discrètes : un « rn » à la place d'un « m », un tiret ajouté, une extension différente (.co au lieu de .com). L'œil ne les distingue pas dans le flux d'une journée de travail. C'est précisément pourquoi la vérification doit reposer sur une procédure (le rappel téléphonique) et non sur la vigilance visuelle.

Un compte piraté sans vol d'argent est-il grave ?

Oui. L'accès à une boîte aux lettres professionnelle donne accès à des données personnelles, à des informations commerciales et à la confiance de vos correspondants. Il peut aussi servir de point de départ à une attaque contre vos partenaires, ce que l'ANSSI appelle une attaque par rebond : les ressources d'une première victime servent à mieux cibler la suivante.

Faut-il informer ses clients d'un piratage de messagerie ?

Oui, rapidement, s'ils ont pu recevoir des messages frauduleux depuis votre compte. C'est désagréable, mais bien moins qu'un client qui découvre avoir viré des fonds à un escroc en croyant vous payer.

Pour aller plus loin

Notre diagnostic de maturité cyber évalue la gestion des accès, la sensibilisation et vos procédures de validation. Voir aussi former ses équipes à détecter le phishing, le guide d'une politique de mots de passe robuste et notre article sur la fuite de données à la DGFiP. Pour déployer la MFA, sécuriser votre messagerie ou auditer vos processus de paiement, consultez des prestataires certifiés.

Sources

• Cybermalveillance.gouv.fr, Quelles sont les principales cybermalveillances visant les professionnels en 2025 ?
• Cybermalveillance.gouv.fr, Rapport d'activité et état de la menace 2025, 26 mars 2026.
• Cybermalveillance.gouv.fr, 2^e édition du baromètre national de la maturité cyber des TPE-PME, octobre 2025.
• ANSSI, Panorama de la cybermenace 2025 (CERTFR-2026-CTI-002), mars 2026.
• Légifrance, Article L. 12-10-1 du code des assurances.