Compromission de messagerie professionnelle (BEC)
Prise de contrôle ou usurpation d’une boîte mail professionnelle pour détourner des paiements, voler des données ou piéger les contacts.
Définition complète
La compromission de messagerie professionnelle, en anglais Business Email Compromise (BEC), désigne l’usage frauduleux d’une adresse de messagerie d’entreprise : soit l’attaquant a réellement pris le contrôle de la boîte (mot de passe volé, hameçonnage), soit il imite une adresse très proche pour se faire passer pour un dirigeant, un salarié ou un fournisseur.
Une fois dans la boîte, l’attaquant lit les échanges en cours, attend le bon moment et s’insère dans une conversation réelle, par exemple pour envoyer une facture avec un nouveau RIB. Il s’en sert aussi pour hameçonner les contacts de la victime, exfiltrer des données ou accéder à d’autres applications.
Le CERT-FR liste les signes qui doivent alerter : règles de transfert ou de suppression automatique créées à l’insu de l’utilisateur, connexions depuis des lieux ou des horaires inhabituels, messages envoyés que l’utilisateur n’a pas écrits, applications tierces (OAuth) autorisées sans raison.
Source : CERT-FR, fiche réflexe « Compromission d’un compte de messagerie : qualification »
Exemple concret
Une entreprise de BTP de 60 salariés échange depuis des semaines avec son fournisseur de béton. Le compte Microsoft 365 du commercial du fournisseur a été piraté. Dans le fil de discussion habituel, l’attaquant envoie la facture du mois avec un courriel indiquant que la banque a changé. Le ton, la signature et l’historique sont authentiques. Le service comptable paie 42 000 € sur le nouveau compte ; le vrai fournisseur relance trois semaines plus tard.
Comment se protéger
- Activer l’authentification multifacteur sur toutes les boîtes mail, en priorité celles de la direction et de la comptabilité.
- Surveiller et interdire par défaut les règles de transfert automatique vers l’extérieur.
- Faire confirmer tout changement de coordonnées bancaires par téléphone, à un numéro connu, même si le message vient d’un fil de discussion légitime.
- Activer et conserver les journaux de connexion de la messagerie pour pouvoir détecter et analyser une compromission.
- Restreindre l’autorisation des applications tierces (OAuth) aux seuls administrateurs.
- En cas de doute, changer le mot de passe, révoquer les sessions actives, supprimer les règles suspectes et prévenir ses partenaires.
Questions fréquentes
Les indices les plus fréquents sont des règles de transfert ou de tri que vous n’avez pas créées, des messages envoyés ou supprimés à votre insu, des connexions depuis un pays inhabituel et des contacts qui signalent des courriels étranges venant de vous.
La répartition des responsabilités dépend des faits et des procédures de chacun ; elle relève d’un avocat ou d’un juge. En pratique, alertez immédiatement votre banque, conservez les échanges, portez plainte et prévenez le fournisseur pour qu’il traite la compromission.
Termes liés
Authentification multifacteur
Méthode de connexion requérant plusieurs preuves d'identité.
Phishing
Technique d'hameçonnage par email pour voler des données sensibles.
DMARC
Politique publiée dans le DNS qui indique quoi faire des courriels usurpant un domaine et fournit des rapports sur leur authentification.
Fraude au président (faux ordre de virement, FOVI)
Escroquerie où un fraudeur usurpe l’identité d’un dirigeant ou d’un fournisseur pour obtenir un virement urgent vers un compte frauduleux.
Vous avez besoin d'un expert en Compromission de messagerie professionnelle (BEC) ?
Créez votre compte pour recevoir des réponses de prestataires qualifiés.