Fraude du président et postes de travail : quand l’urgence devient l’arme des fraudeurs

Pourquoi cette fraude fonctionne-t-elle?

Elle s’appuie sur le comportement humain habituel : le respect de l’autorité, le désir d’aider, l’urgence et la confidentialité. L’entreprise, son organigramme, ses projets, ses investissements et ses habitudes peuvent facilement être trouvés en effectuant une recherche sur internet, et c’est ce que font les pirates avant de passer à l’action. De plus, grâce à l’intelligence artificielle, ils peuvent imiter le style d’écriture d’un dirigeant, créer de faux courriels très crédibles ou même reproduire sa voix et son image lors d’un appel ou d’une vidéoconférence.

Le scénario est souvent similaire :

• Un courriel, un message texte ou un appel semble provenir du président ou d’une personne en haute autorité;
• Il fait une demande urgente de transfert d’argent, d’émission rapide de chèque à un fournisseur ou de changement de coordonnées bancaires;
• Il demande à l’employé d’agir rapidement et, parfois, discrètement;
• Le paiement est effectué avant que l’entreprise ne réalise qu’il s’agit d’une fraude et, bien sûr, le compte nouvellement ouvert est vidé rapidement de sorte que l’argent disparaît.

Les nouvelles variantes avec l’hypertrucage (deepfake), de fausses voix ou vidéos générées par l’IA, rendent les tentatives encore plus convaincantes.

Comment une PME peut-elle se protéger?

Les mesures les plus efficaces sont souvent simples et peu coûteuses :

• Dans vos processus et politiques, prévoir une double approbation pour les virements importants;
• Toujours dans vos processus et politiques, interdire les changements de coordonnées bancaires reçus uniquement par courriel;
• Vérifier toute demande inhabituelle par un second canal indépendant (appel à un numéro déjà connu, conversation Teams, etc.) pour savoir si la demande est véridique;
• Activer l’authentification multifacteur (AMF) pour les comptes sensibles;
• Former régulièrement les employés aux risques d’hameçonnage, de fraude au président et d’ingénierie sociale. Sensibilisez-les avant ou pendant les vacances. Des étudiants et des remplaçants sont en poste, et moins de personnes sont formées pour répondre à ces demandes. Assurez-vous que tous reçoivent une formation. C’est une période appréciée des pirates!

Le télétravail : un risque additionnel

Les employés en télétravail sont souvent davantage exposés aux tentatives de fraude puisqu’ils ne peuvent pas toujours valider rapidement une demande auprès d’un collègue ou d’un gestionnaire. Il est donc important de prévoir des mécanismes de validation clairs, des canaux de communication sécurisés et une formation adaptée aux réalités du travail à distance.

Les télétravailleurs utilisant leur propre ordinateur

Certains télétravailleurs doivent utiliser leur propre portable. Ils sont à leur compte ou encore l’employeur ne fournit pas l’outil. Ils se doivent alors de :

• maintenir le système d’exploitation et les logiciels à jour;
• utiliser un antivirus réputé et activé en permanence;
• activer l’AMF pour les comptes professionnels;
• utiliser des mots de passe uniques et robustes;
• éviter que les membres de la famille utilisent le même appareil;
• verrouiller leur écran lorsqu’ils s’absentent;
• utiliser un réseau Wi-Fi sécurisé et protégé par un mot de passe fort;
• éviter de télécharger des documents professionnels localement lorsque ce n’est pas nécessaire;
• signaler rapidement toute activité inhabituelle ou tout appareil compromis.

Voici les erreurs les plus fréquentes de ces télétravailleurs :

• Utiliser le même ordinateur pour le travail et les activités personnelles, ce qui augmente le risque d’attaques par des logiciels malveillants.  Les jeux gratuits et les réseaux sociaux sont des portes d’entrée des logiciels malveillants. Si les enfants utilisent le portable à ces fins, la surface d’attaque augmente. Conserver le portable à des fins professionnelles, utilisé par une seule personne, permet de s’assurer que personne ne cliquera sur un lien frauduleux et que les paramètres de sécurité demeureront conformes.
• Reporter les mises à jour, ce qui expose l’utilisateur à des attaques qui auraient autrement été évitées.
• Réutiliser le même mot de passe que pour d’autres comptes. Si le mot de passe est divulgué lors d’une attaque ou se retrouve sur le Web clandestin (dark web), il sera facile de remonter à l’employé et de tester le même mot de passe sur l’ordinateur personnel pour accéder à de l’information privilégiée.
• Désactiver ou ne pas activer l’AMF. L’authentification n’est pas là pour embêter l’employé, mais comme mesure de dernier recours, surtout si le mot de passe a été exposé ailleurs.
• Utiliser un réseau Wi-Fi mal sécurisé, car les routeurs résidentiels utilisent parfois encore des mots de passe faibles ou les paramètres installés par défaut. Un réseau domestique mal protégé peut faciliter certaines attaques ou interceptions de données.
• Télécharger localement des documents sensibles, comme des listes de clients, des contrats et des renseignements personnels. Cette pratique ne devrait pas être permise. Demeurer dans l’environnement sécurisé de l’entreprise, lorsqu’il y en a un plutôt que sur le disque dur de l’employé, est beaucoup plus sécuritaire.
• Répondre trop rapidement à une demande urgente, surtout si on parle de demande financière qui risque d’être une fraude du président, ou installer une application ou un outil d’intelligence artificielle sans autorisation de l’entreprise, même s’il est gratuit et peut augmenter la productivité, n’est pas recommandé non plus. Des renseignements confidentiels peuvent ainsi être divulgués sans que l’employé ne s’en rende compte.
• Enfin, ignorer les signaux d’alerte après une erreur, un clic sur un lien inconnu, un mot de passe saisi sur un faux compte ou un courriel envoyé à un mauvais destinataire. Tout incident doit être signalé à l’entreprise le plus rapidement possible aux fins d’intervention.

La prudence est particulièrement importante lorsque des renseignements personnels, financiers ou confidentiels sont accessibles à partir du poste personnel.

La meilleure défense : la vigilance

À l’ère de l’hypertrucage et de l’intelligence artificielle, une voix familière, une adresse courriel connue (parfois un compte Gmail personnel) ou même une vidéo ne constituent plus une preuve suffisante d'authenticité. La meilleure protection demeure une combinaison de procédures claires, de contrôles financiers et technologiques, de formation continue et d’une culture où les employés sont encouragés à vérifier avant d’agir. Quelques minutes de validation peuvent éviter des pertes de plusieurs milliers de dollars.