Fraude au président : comment repérer en 30 secondes un faux patron qui demande un virement urgent ?
Cinq signaux permettent de repérer un faux patron : l'urgence, le secret, une demande imprévue, un RIB inconnu et un canal qu'on ne peut pas vérifier. Dès que deux se cumulent, on ne paie pas : on rappelle la personne sur le numéro qu'on connaît déjà, jamais sur celui du message. Une validation par une deuxième personne, sans exception, et une procédure écrite ferment l'essentiel de la porte.
Le scénario en bref
Exemple, inventé pour illustrer. Un vendredi à 16 h 40, la secrétaire d'un cabinet médical reçoit un mail du médecin titulaire. Il est en congrès, ne peut pas téléphoner et demande un virement de 38 000 euros « avant lundi » pour réserver un appareil d'imagerie. Dernière ligne : « Reste discrète, je ne veux pas inquiéter l'équipe. »
Le mail porte son nom, sa signature, ses tournures de phrase. Seule l'adresse diffère, d'une lettre. Dix minutes plus tard, un « avocat » appelle pour confirmer et presse le mouvement. Le RIB fourni renvoie vers un compte à l'étranger.
C'est la fraude au président, que les autorités appellent escroquerie aux faux ordres de virement (FOVI). La bonne nouvelle : elle suit presque toujours le même scénario. Quand on sait quoi chercher, on la repère en moins d'une minute.
Comment l'arnaque est montée
La CNIL décrit une préparation en trois temps, qui peut toucher toute entreprise, quelle que soit sa taille ou son secteur :
- L'analyse de l'environnement. L'escroc rassemble les informations publiques : organigramme, clients, fournisseurs, qui signe les paiements.
- Le faux nom de domaine. Il crée une adresse presque identique à celle de l'entreprise, avec une lettre changée ou une autre extension, ou il pirate directement la messagerie d'un salarié.
- Le message ciblé. Il envoie une demande urgente, « prétendument validée en haut lieu », en jouant sur la pression et la confiance.
Selon la fiche réflexe de Cybermalveillance.gouv.fr, le dispositif public d'assistance aux victimes, le compte de l'escroc est souvent situé à l'étranger, et l'arnaque passe par téléphone, par mail, ou les deux. Elle peut suivre le piratage de la messagerie de la personne dont l'identité est usurpée.
Les 5 signaux à repérer en 30 secondes
Avant d'ouvrir l'espace bancaire, relisez la demande avec cette grille. Elle reprend les éléments typiques décrits par Cybermalveillance.gouv.fr et la CNIL.
| Signal | Ce que vous voyez | Ce que vous faites |
|---|---|---|
| 1. L'urgence | « Avant ce soir », « avant lundi », « c'est bloquant » | Ralentir : une vraie urgence supporte un appel de deux minutes |
| 2. Le secret | « Reste discret », « n'en parle à personne, même pas à l'expert-comptable » | En parler, justement, à la personne chargée de valider |
| 3. L'imprévu | Un virement non prévu, un montant ou un motif jamais vus | Comparer avec les paiements habituels |
| 4. Le nouveau RIB | Un bénéficiaire inconnu, souvent à l'étranger, ou un « changement de coordonnées bancaires » | Ne jamais payer un compte inconnu sur la foi d'un seul message |
| 5. Le canal invérifiable | Mail seulement, messagerie privée, « je suis en réunion, ne m'appelle pas » | Rappeler sur le numéro que vous connaissez déjà |
Un seul signal ne veut pas dire grand-chose : les vraies urgences existent. Mais dès que deux signaux se cumulent, la règle est simple : on s'arrête et on vérifie, sans exception, quel que soit le nom au bas du message.
L'adresse presque identique
Regardez la partie après l'arobase, le nom de domaine : c'est l'adresse de l'entreprise sur internet. Un « rn » à la place d'un « m », un tiret en plus, un « .com » au lieu de votre « .fr » : c'est souvent la seule trace visible. La CNIL recommande de vérifier les noms de domaine des mails reçus, et même de surveiller et réserver ceux qui ressemblent au vôtre.
Mais si la vraie messagerie du dirigeant a été piratée, l'adresse sera parfaite. C'est pour cela que le rappel compte plus que l'œil.
La règle d'or : ne pas répondre, rappeler
La CNIL conseille de contacter par téléphone ou en personne les contacts connus de l'entreprise, et non via les coordonnées données dans le mail. Dès le moindre doute, et avant tout virement, on appelle le siège ou la personne concernée sur un numéro connu.
- Le bon numéro : celui de votre répertoire ou de l'annuaire interne. Jamais celui écrit dans le mail ou dans la signature.
- Le bon moment : avant le paiement. Un virement parti est difficile à rattraper.
- La bonne question : « Tu m'as bien demandé un virement de 38 000 euros vers tel compte ? » Pas « C'est bien toi ? », à laquelle un imposteur répondra toujours oui.
- Si personne ne répond : on attend. Aucun dirigeant sérieux ne reprochera à quelqu'un d'avoir vérifié avant de payer.
La voix ou la vidéo du patron ne suffisent plus
Un appel où l'on croit reconnaître la voix du dirigeant n'est pas une preuve. Le FBI, qui publie les chiffres les plus détaillés sur ce type de fraude, range les numéros de téléphone et les applications de visioconférence parmi les canaux détournés, pas seulement les mails (rapport IC3 2024). En 2024, il a reçu 21 442 plaintes aux États-Unis pour ces fraudes, pour environ 2,77 milliards de dollars de pertes déclarées.
Retenez ceci : un appel entrant ne prouve rien, même s'il semble venir du bon numéro. C'est vous qui appelez, sur le numéro que vous avez déjà.
La vérification du bénéficiaire : utile, pas suffisante
Depuis le 9 octobre 2025, le règlement européen sur les virements instantanés oblige les banques à comparer gratuitement le nom que vous saisissez avec le titulaire réel du compte (l'IBAN), avant un virement SEPA. La Finance pour tous, le site d'éducation financière de l'Institut pour l'éducation financière du public, détaille les quatre réponses possibles :
- Correspondance totale : le virement peut partir.
- Correspondance partielle : la banque affiche le nom exact associé à l'IBAN.
- Absence de correspondance : vous êtes averti, sans plus d'information.
- Vérification impossible : la banque du bénéficiaire n'a pas répondu.
C'est une aide réelle contre les faux RIB. Mais dans tous les cas, c'est vous, le donneur d'ordre, qui décidez de valider ou d'abandonner. Et si le faux patron vous donne le nom exact du titulaire du compte qu'il utilise, la vérification dira que tout correspond. Un avertissement doit vous arrêter. L'absence d'avertissement ne prouve rien. Attention : elle ne concerne que les virements SEPA en euros. Pour un compte hors de la zone SEPA, la banque ne vérifie rien.
Ce qu'il faut mettre en place cette semaine
Ces mesures reprennent les recommandations de Cybermalveillance.gouv.fr et de la CNIL. Aucune ne demande de budget, seulement une décision.
| Mesure | Pourquoi | Ce que ça demande |
|---|---|---|
| Une validation par une deuxième personne, « non dérogeable » | Virements imprévus et changements de RIB passent toujours par un second regard, même quand le dirigeant insiste | Une décision et une note interne |
| Une procédure écrite de confirmation | Chacun sait comment authentifier une demande imprévue et qui appeler | Une page A4, relue avec l'équipe |
| Moins d'informations publiques sur qui paie | L'escroc repère d'abord les personnes habilitées à faire des virements | Relire le site, les annuaires et les réseaux sociaux |
| Une connexion renforcée sur la messagerie | Un mot de passe solide et un code en plus compliquent le piratage de la vraie boîte du dirigeant | Une demi-journée avec votre prestataire informatique |
| Une sensibilisation régulière | Les collaborateurs reconnaissent les messages piégés, surtout si la messagerie est accessible de l'extérieur | Dix minutes en réunion d'équipe |
| Une surveillance des noms de domaine proches | Repérer ou réserver les adresses qui imitent la vôtre | Une demande à votre prestataire |
Dans un cabinet de santé
Le titulaire est souvent en consultation, au bloc ou en garde : l'excuse « je ne peux pas te parler » paraît normale. Et la personne qui gère les règlements est parfois seule à l'accueil, sans collègue à qui demander.
Convenez d'une règle à l'avance, par écrit : aucun virement inhabituel sans une confirmation de vive voix du titulaire, sur son numéro habituel, même s'il faut attendre la fin des consultations. Le titulaire s'engage, de son côté, à ne jamais contourner cette règle lui-même.
Si le virement est déjà parti
Chaque heure compte. La fiche de Cybermalveillance.gouv.fr détaille les gestes à faire, en commençant par la banque :
- Alerter immédiatement votre banque et demander le retour des fonds. Si le virement n'est pas encore exécuté, le faire suspendre par votre service comptable ou votre expert-comptable.
- Recenser tous les virements frauduleux, exécutés, en attente ou programmés, prévenir la direction et faire bloquer les coordonnées bancaires frauduleuses dans vos logiciels.
- Conserver les preuves : numéros de téléphone, messages, mails, ordres de virement, factures.
- Changer immédiatement le mot de passe de la messagerie si elle a été piratée, et activer la double authentification.
- Déposer plainte au commissariat, à la gendarmerie ou par écrit auprès du procureur de la République. La plainte renforce vos chances de récupérer les fonds.
- Vous faire accompagner : 17Cyber, le service en ligne proposé par la police nationale, la gendarmerie nationale et Cybermalveillance.gouv.fr, vous oriente et vous aide à déposer plainte.
Pour mémoire, l'escroquerie est punie de cinq ans d'emprisonnement et de 375 000 euros d'amende (article 313-1 du code pénal, cité par Cybermalveillance.gouv.fr). Mais la priorité reste la vitesse, pas la sanction.
Enfin, ne cherchez pas de coupable dans l'équipe. Une personne piégée qui le dit tout de suite fait gagner les heures qui comptent. Celle qui a peur d'être sanctionnée se tait, et l'argent a le temps de disparaître.
Questions fréquentes
Qu'est-ce que la fraude au président ?
C'est une arnaque où un escroc se fait passer pour le dirigeant de l'entreprise afin d'obtenir un virement urgent et confidentiel. Les autorités parlent d'escroquerie aux faux ordres de virement (FOVI), qui couvre aussi le faux changement de RIB d'un fournisseur ou d'un salarié.
Comment vérifier une demande de virement urgente de mon dirigeant ?
Rappelez-le vous-même sur le numéro que vous connaissez déjà, jamais sur celui indiqué dans le message. Posez une question précise sur le montant et le compte. S'il est injoignable, attendez : une vraie demande survit à quelques heures de délai.
La vérification du bénéficiaire suffit-elle à me protéger ?
Non. Depuis le 9 octobre 2025, la banque vous avertit si le nom saisi ne correspond pas au titulaire de l'IBAN, ce qui aide contre les faux RIB. Mais si l'escroc vous donne le nom exact du titulaire du compte qu'il utilise, tout correspondra. Et la décision finale de payer reste la vôtre.
Que faire si nous avons déjà payé un faux dirigeant ?
Alertez immédiatement votre banque et demandez le retour des fonds. Recensez tous les virements concernés, conservez les preuves, changez le mot de passe de la messagerie si elle a été piratée et déposez plainte. 17Cyber peut vous orienter et vous aider à déposer plainte.
Une petite entreprise ou un cabinet libéral est-il vraiment visé ?
Oui. La CNIL rappelle que cette attaque peut concerner toutes les entreprises, quelle que soit leur taille ou leur secteur. Une petite structure, où une seule personne gère les paiements et où le dirigeant est souvent injoignable, est même une cible commode. Une validation à deux et une règle de rappel ferment l'essentiel de la porte.