Fraude au CEO : comment repérer en 30 secondes un faux patron qui demande un virement urgent ?
Cinq signaux permettent de repérer un faux patron : l'urgence, le secret, une demande inhabituelle, un compte inconnu et un canal qu'on ne peut pas vérifier. Dès que deux se cumulent, on ne paie pas : on rappelle la personne sur le numéro qu'on connaît déjà, jamais sur celui du message. Une double signature pour les gros montants et une personne de référence désignée à l'avance ferment l'essentiel de la porte.
Le scénario en bref
Exemple, inventé pour illustrer. Un vendredi à 16 h 40, la responsable administrative d'un cabinet médical reçoit un mail du médecin titulaire. Il est en congrès, ne peut pas téléphoner et demande un virement de 38 000 euros « avant lundi » pour réserver un appareil d'imagerie. Dernière ligne : « Reste discrète, je ne veux pas inquiéter l'équipe. »
Le mail porte son nom, sa signature, ses tournures de phrase. Seule l'adresse diffère, d'une lettre. Dix minutes plus tard, un « conseiller juridique » appelle pour confirmer et presse le mouvement. Le compte bénéficiaire est à l'étranger.
C'est la fraude au CEO, qu'on appelle aussi fraude au président ou arnaque au faux patron. La bonne nouvelle : elle suit presque toujours le même scénario. Quand on sait quoi chercher, on la repère en moins d'une minute.
Comment l'arnaque est montée
La fédération des banques belges Febelfin décrit une préparation en plusieurs temps. Rien n'est improvisé :
- Le repérage. Les escrocs cherchent qui peut payer et comment les paiements sont validés. Ils appellent ou écrivent en se faisant passer pour un auditeur, un réviseur d'entreprise ou un service public.
- L'usurpation. Ils écrivent à la personne qui paie en se faisant passer pour le dirigeant : soit depuis sa vraie boîte mail, piratée, soit depuis une adresse presque identique, souvent à une lettre près.
- La mise en scène. Une grosse somme doit partir d'urgence et dans le plus grand secret. Parfois, un faux avocat ou un faux bureau de conseil « confirme » la demande.
- La disparition. L'argent arrive sur le compte d'une « mule », une personne qui prête son compte, puis repart très vite vers les comptes des fraudeurs.
Le prétexte est soigné. La banque KBC cite le rachat d'une entreprise ou un contrôle fiscal, avec un virement important à faire en secret et en urgence, la plupart du temps vers un compte à l'étranger. Si la personne hésite, l'escroc joue l'autorité ou la flatterie et cite des noms importants pour mettre la pression.
Pour mesurer l'ampleur, les chiffres les plus détaillés viennent des États-Unis. En 2024, le FBI a reçu 21 442 plaintes pour ce type de fraude par mail, pour environ 2,77 milliards de dollars de pertes déclarées (rapport IC3 2024). C'est la deuxième catégorie la plus coûteuse, derrière les arnaques à l'investissement.
Les 5 signaux à repérer en 30 secondes
Avant de toucher à l'application bancaire, relisez la demande avec cette grille. Elle reprend les signaux d'alerte décrits par Febelfin et par KBC.
| Signal | Ce que vous voyez | Ce que vous faites |
|---|---|---|
| 1. L'urgence | « Avant ce soir », « avant lundi », « c'est bloquant » | Ralentir : une vraie urgence supporte un appel de deux minutes |
| 2. Le secret | « Reste discret », « n'en parle à personne, même pas au comptable » | En parler, justement, à la personne de référence |
| 3. L'inhabituel | Un montant, un motif ou une procédure que vous n'avez jamais vus | Comparer avec les paiements habituels |
| 4. Le compte inconnu | Un nouveau bénéficiaire, souvent à l'étranger, ou un « nouveau numéro de compte » | Ne jamais payer un compte inconnu sur la foi d'un seul message |
| 5. Le canal invérifiable | Mail seulement, messagerie privée, « je suis en réunion, ne m'appelle pas » | Rappeler sur le numéro que vous connaissez déjà |
Un seul signal ne veut pas dire grand-chose : les vraies urgences existent. Mais dès que deux signaux se cumulent, la règle est simple : on s'arrête et on vérifie, sans exception, quel que soit le nom au bas du message.
L'adresse presque identique
Regardez la partie après l'arobase, le nom de domaine : c'est l'adresse de l'entreprise sur internet. Un « rn » à la place d'un « m », un tiret en plus, un « .com » au lieu de votre extension habituelle : c'est souvent la seule trace visible. Febelfin conseille de toujours vérifier ce nom de domaine.
Mais si la vraie boîte mail du dirigeant a été piratée, l'adresse sera parfaite. C'est pour cela que le rappel compte plus que l'œil.
La règle d'or : ne pas répondre, rappeler
Toutes les sources officielles convergent vers le même geste : vérifier par un autre canal que celui du message. Febelfin recommande de rappeler le demandeur sur un numéro que vous connaissez. KBC ajoute : ne pas se fier à une demande par mail ou par téléphone, et appeler soi-même un numéro fixe connu.
- Le bon numéro : celui de votre carnet d'adresses ou de l'annuaire interne. Jamais celui écrit dans le mail ou dans la signature.
- Le bon moment : avant le paiement. Un virement parti est difficile à rattraper.
- La bonne question : « Tu m'as bien demandé un virement de 38 000 euros vers tel compte ? » Pas « C'est bien toi ? », à laquelle un imposteur répondra toujours oui.
- Si personne ne répond : on attend. Aucun dirigeant sérieux ne reprochera à quelqu'un d'avoir vérifié avant de payer.
La voix ou la vidéo du patron ne suffisent plus
Febelfin le signale noir sur blanc : de plus en plus, les fraudeurs utilisent l'intelligence artificielle pour imiter une voix ou une image, dans un appel, un message vocal ou une visioconférence. Son conseil : même si la demande semble authentique, vérifiez toujours par un canal connu.
Le FBI range d'ailleurs les numéros de téléphone et les applications de visioconférence parmi les canaux détournés pour ce type de fraude, pas seulement les mails (définitions du rapport IC3).
Retenez ceci : un appel entrant ne prouve rien, même si le bon numéro s'affiche. Febelfin rappelle que les escrocs peuvent « usurper » un numéro. C'est vous qui appelez, sur le numéro que vous avez déjà.
La vérification du nom du bénéficiaire : utile, pas suffisante
Un règlement européen (2024/886) impose désormais aux banques de la zone euro de comparer le nom que vous tapez avec le titulaire réel du compte (l'IBAN) avant un virement en euros. Febelfin détaille les réponses possibles :
- Le nom correspond : le virement peut partir.
- Il correspond presque : la banque affiche le nom enregistré, pour corriger une faute de frappe.
- Il ne correspond pas : vous recevez un avertissement.
- La vérification est impossible : la banque du bénéficiaire n'a pas répondu, par exemple pour un problème technique.
C'est une aide réelle contre les faux numéros de compte. Mais Febelfin le précise : vous restez responsable des virements que vous réalisez. Et si le faux patron vous donne le nom exact du titulaire du compte, celui de la mule, la vérification dira que tout correspond. Un avertissement doit vous arrêter. L'absence d'avertissement ne prouve rien. Attention : la vérification ne concerne que les virements en euros vers une banque de la zone euro. Pour un compte hors zone euro, ou un virement dans une autre devise, la banque ne vérifie rien.
Ce qu'il faut mettre en place cette semaine
Ces mesures viennent des recommandations de Febelfin. Aucune ne demande de budget, seulement une décision.
| Mesure | Pourquoi | Ce que ça demande |
|---|---|---|
| Double signature au-delà d'un montant fixé | La deuxième personne n'est pas prise dans l'histoire et repère plus facilement l'anomalie | Un appel à votre banque |
| Une personne de référence, autre que le dirigeant | Toute demande urgente ou confidentielle lui est soumise ; personne à l'extérieur ne sait qui elle est | Une décision et une note interne |
| Chacun son accès bancaire | Ne jamais confier sa carte et ses codes à un collègue : la double signature deviendrait une signature unique | Une demande à la banque |
| Une procédure de paiement écrite | Paiements imprévus et changements de numéro de compte passent toujours par la même vérification | Une page A4, relue avec l'équipe |
| Une connexion renforcée sur la messagerie | Un code en plus du mot de passe complique le piratage de la vraie boîte du dirigeant | Une demi-journée avec votre informaticien |
| La discrétion sur qui paie | Les escrocs repèrent d'abord qui peut payer et comment | Ne rien répondre aux inconnus sur ce sujet |
La banque KBC conseille d'ailleurs de ne pas répondre aux questions d'inconnus sur l'identité des personnes qui effectuent les paiements : c'est souvent la première étape du repérage.
Dans un cabinet de santé
Le titulaire est souvent en consultation, au bloc ou en garde : l'excuse « je ne peux pas te parler » paraît normale. Et la personne qui gère les paiements est parfois seule à l'accueil, sans collègue à qui demander.
Convenez d'une règle à l'avance, par écrit : aucun virement inhabituel sans une confirmation de vive voix du titulaire, sur son numéro habituel, même s'il faut attendre la fin des consultations. Le titulaire s'engage, de son côté, à ne jamais contourner cette règle lui-même.
Si le virement est déjà parti
Chaque heure compte. Febelfin le rappelle : plus vous prévenez votre banque tôt, plus vous avez de chances de récupérer l'argent.
- Appeler la banque immédiatement, par son numéro dédié à la fraude, joignable 24 heures sur 24. Elle contactera la banque du bénéficiaire pour tenter de bloquer le virement ou le compte.
- Porter plainte auprès de la police, comme le recommande Febelfin.
- Prévenir votre informaticien si la boîte mail du dirigeant a pu être piratée : les mots de passe doivent être changés, car les fraudeurs ont probablement eu accès à beaucoup d'informations.
- Garder toutes les traces : les mails (sans les supprimer), les numéros de téléphone, les ordres de virement.
Enfin, ne cherchez pas de coupable dans l'équipe. Une personne piégée qui le dit tout de suite fait gagner les heures qui comptent. Celle qui a peur d'être sanctionnée se tait, et l'argent a le temps de disparaître.
Questions fréquentes
Qu'est-ce que la fraude au CEO ?
C'est une arnaque où un escroc se fait passer pour le dirigeant de l'entreprise, ou pour une personne de confiance, afin de pousser un collaborateur à faire un virement urgent et confidentiel. L'argent part sur le compte d'une « mule », puis vers les comptes des fraudeurs. On l'appelle aussi fraude au président ou arnaque au faux patron.
Comment vérifier une demande de virement urgente de mon patron ?
Rappelez-le vous-même sur le numéro que vous connaissez déjà, jamais sur celui indiqué dans le message. Posez une question précise sur le montant et le compte. S'il est injoignable, attendez : une vraie demande survit à quelques heures de délai.
La vérification du nom du bénéficiaire suffit-elle à me protéger ?
Non. Elle signale quand le nom tapé ne correspond pas au titulaire du compte, ce qui aide contre les faux numéros de compte. Mais si l'escroc vous donne le nom exact du titulaire du compte qu'il utilise, tout correspondra. Et vous restez responsable des virements que vous réalisez.
Que faire si nous avons déjà payé un faux patron ?
Appelez immédiatement votre banque, par son numéro fraude joignable 24 heures sur 24, pour tenter de bloquer le virement. Portez plainte auprès de la police, faites changer les mots de passe si la boîte mail du dirigeant a pu être piratée et gardez toutes les traces.
Une petite entreprise ou un cabinet médical est-il vraiment visé ?
Oui. Febelfin le dit : toute entreprise peut être victime de fraude. Une petite structure, où une seule personne gère les paiements et où le dirigeant est souvent injoignable, est même une cible commode. Une double signature et une règle de rappel suffisent à fermer l'essentiel de la porte.