Fraude en entreprise : attention danger !

La fraude au président

Très fréquente, la fraude au président consiste à se faire passer pour le dirigeant d’une entreprise afin d’obtenir le paiement d’une somme d’argent par le biais d’un virement.

Responsable administrative d’une PME spécialisée dans le mobilier professionnel, Mme X consulte ses courriels un jour de juillet 2015. L’un d’entre eux, estampillé « confidentiel », émane du président de l’entreprise et enjoint d’effectuer un virement urgent sur un compte étranger afin de mener à bien le rachat d’un concurrent asiatique. Plus tard, un prétendu avocat l’appelle : « C’est une opération urgente. Vous ne voulez pas mettre en péril l’entreprise, n’est-ce pas ? ». Mme X ordonne alors 7 virements pour un montant total de 1,6 million d’euros avant que la fraude ne soit découverte. Privée de trésorerie, cette entreprise des Deux-Sèvres employant 42 salariés a été placée en liquidation judiciaire en janvier 2016.

Comment se protéger ?

La fraude au président est un cas typique d’abus de confiance. Elle s’appuie sur la connaissance que les fraudeurs ont de l’entreprise cible, sur la mise en place d’un scénario crédible et sur leur capacité à contrôler psychologiquement la personne qui, malgré elle, va devenir leur complice. Pour limiter ce risque de fraude, il faut :
- assurer la confidentialité des organigrammes (a minima en extraire le nom et les coordonnées des responsables financiers et comptables) ;
- limiter la communication de l’entreprise autour de ses partenariats et de ses grands projets ;
- sensibiliser les salariés en leur présentant la mécanique de cette fraude ;
- rappeler aux salariés qu’ils doivent systématiquement mettre en place une procédure de validation (par exemple, contacter directement le chef d’entreprise, un cadre, votre cabinet d’expertise comptable) quand la demande est insolite et/ou portée par un interlocuteur inconnu faisant preuve d’insistance (flatterie, intimidation) ;
- mettre en place un protocole de double signature pour tout virement supérieur à 1 000 €.

Comment réagir ?

Si le virement vient d’être effectué, il n’est peut-être pas trop tard. Les banques disposent, en effet, d’une possibilité de rappel des fonds durant les premières heures qui suivent l’ordre. Sans attendre, il faut :
- alerter sa banque (y compris en dehors des heures d’ouverture, via leur numéro d’urgence) ;
- saisir les autorités (la police dispose de services spécialisés).

Les cyber-fraudes

Phishing ou rançongiciels, la cyber-criminalité peut prendre des formes diverses. Comme son nom l’indique, elle vise les ordinateurs et les données qu’ils contiennent.

Employé au service technique d’une PME du BTP, Jacques vient de recevoir un courriel qui ne lui est pas destiné. À première vue, il émane d’un fournisseur et contient une facture en pièce jointe. Avant de l’adresser au service comptable, Jacques, par curiosité, ouvre la facture. Quelques minutes plus tard, il remarque que son ordinateur est devenu très lent, puis un message apparaît sur son écran lui indiquant que toutes ses données sont désormais cryptées et qu’il devra payer une rançon de 1 bitcoin (autour de 6 000 €) pour les récupérer. Jacques éteint, puis rallume son ordinateur plusieurs fois. Au bout d’une vingtaine de minutes, il entend ses collègues s’agiter dans les couloirs. Tous les ordinateurs de l’entreprise sont désormais bloqués. Toutes les tentatives pour décrypter les données échoueront. Le formatage et la réinstallation de toutes les machines seront nécessaires. L’opération durera 2 jours et mobilisera une dizaine de techniciens extérieurs.

Comment se protéger ?

Le phishing (tentative d’extorsion de mot de passe ou de coordonnées bancaires via des mails ou des interfaces Web imitant ceux d’une banque, d’un fournisseur ou d’une administration) et les rançongiciels (logiciels cryptant les données et réclamant une rançon pour les libérer) se répandent comme tous les logiciels malveillants. Dès lors, il convient :
- de mettre à jour les antivirus et systèmes d’exploitation ;
- de ne jamais ouvrir les pièces jointes des courriels douteux (inhabituels, expéditeurs inconnus, style impersonnel, texte mal traduit…) ;
- d’effectuer une sauvegarde quotidienne des données stockées sur des supports déconnectés du réseau.

Comment réagir ?

Dès qu’une machine est touchée, immédiatement il faut :
- la déconnecter du réseau ;
- alerter les services techniques (internes ou externes à l’entreprise) ;
- porter plainte.

Et il ne faut jamais payer la rançon.

Bon à savoir : la plate-forme gouvernementale cybermalveillance.gouv.fr permet d’identifier, dans toutes les régions de France, des prestataires spécialisés dans la cybersécurité.

La fraude au faux fournisseur

La fraude au faux fournisseur consiste à se faire passer pour un fournisseur de l’entreprise afin d’obtenir le paiement de factures émises par le véritable fournisseur.

Alain travaille au service comptable d’un équipementier automobile. Un jour, il reçoit un courrier à en-tête d’un de ses fournisseurs l’informant d’un changement de coordonnées bancaires. Le courrier est signé par le directeur financier du fournisseur, M. Dumas. Une personne qu’Alain connaît. Sans attendre, il modifie les coordonnées bancaires. Au cours des 6 mois suivants, Alain met en paiement 3 factures pour un total de 700 000 €. Un jour, M. Dumas appelle Alain car il n’a pas été payé. Ensemble, ils découvrent la fraude.

Comment se protéger ?

En cas de demande de changement de coordonnées bancaires d’un fournisseur, notamment si le nouveau compte est à l’étranger, il faut :
- contacter directement le fournisseur en question sans utiliser les coordonnées présentées dans le courriel ou le courrier papier ;
- mettre en place un système de double validation pour tout changement de ce type.

Comment réagir ?

Si un virement vient d’être effectué, sans attendre, il faut :
- alerter sa banque pour bloquer le paiement ;
- saisir les autorités ;
- prévenir le fournisseur.

À noter : il est possible de s’assurer contre la fraude. Toutefois, le montant des primes demandées dépendant du niveau de protection (technique, comportemental) atteint par l’entreprise, cette démarche doit venir en complément d’une série d’actions préventives déjà menées.

Autres scénarios possibles

La fraude en entreprise peut prendre d’autres formes.

L’imagination des fraudeurs est sans limite. Certains se font passer pour des banquiers et, sous couvert d’un changement technique, demandent à leur client d’effectuer des tests de virement sur un compte « spécial » ; d’autres prennent l’identité d’un client, passent une commande, se font livrer les marchandises dans un local insolite, puis disparaissent dans la nature.

Notre conseil : la fraude est un risque permanent et en constante mutation. Elle ne peut être contenue par les entreprises qu’au prix de la sensibilisation de tous leurs collaborateurs. Mais sensibiliser ces derniers dans le cadre d’une simple formation n’est pas suffisant. Il faut régulièrement battre le rappel en évoquant les nouveaux risques, les enjeux et la conduite à tenir. Idéalement, un collaborateur ou un partenaire extérieur à l’entreprise doit prendre en charge cette mission de veille et d’alerte.

© Les Echos Publishing - 2017