Cet article se concentre volontairement sur un seul scénario précis de fraude par courriel : l'usurpation directe de l'identité du PDG ou du propriétaire d'une entreprise, à travers quatre études de cas détaillées et réalistes. Si vous cherchez un panorama complet de toutes les formes de fraude par courriel d'affaires — fraude au fournisseur, fraude à la paie, fraude à l'avocat — consultez plutôt notre guide complet sur la fraude BEC en PME. Ici, nous allons en profondeur sur un seul angle : ce qui se passe concrètement, minute par minute, lorsqu'un fraudeur se fait passer pour votre patron.
Contrairement à un article général sur les tactiques de phishing, celui-ci reconstitue quatre scénarios détaillés — inspirés de cas réels traités par des techniciens en cybersécurité auprès de PME québécoises, anonymisés et recomposés pour protéger l'identité des entreprises concernées — avec des montants précis, des chronologies minute par minute et, pour chacun, la leçon exacte qui aurait pu changer l'issue. Deux de ces cas se sont soldés par une perte financière réelle. Deux autres ont été évités de justesse grâce à un seul geste simple. La différence entre les deux camps n'a presque jamais été une question de compétence technique, mais de discipline organisationnelle.
Pourquoi un article dédié uniquement à l'usurpation du PDG ?
La fraude du président (CEO fraud) mérite un traitement à part parce qu'elle exploite un ressort psychologique très spécifique : l'autorité hiérarchique. Un employé qui reçoit une facture douteuse d'un fournisseur peut la questionner sans malaise. Le même employé qui reçoit un message urgent semblant provenir directement de son patron hésite beaucoup plus longtemps avant de le remettre en question — et c'est exactement sur cette hésitation que le fraudeur mise. Comprendre ce scénario en profondeur, à travers des cas concrets plutôt que des généralités, prépare mieux votre équipe qu'un survol théorique de toutes les fraudes possibles.
Qu'est-ce que l'usurpation d'identité du PDG exactement
L'usurpation d'identité du PDG désigne une attaque où un fraudeur se fait passer directement pour le président, le propriétaire ou un autre dirigeant de haut niveau d'une entreprise, dans le but précis de convaincre un employé d'exécuter un virement bancaire, un achat de cartes-cadeaux, ou une divulgation d'informations sensibles. Le canal utilisé varie : courriel avec un domaine sosie, courriel provenant d'un compte réellement compromis, texto envoyé à partir d'un numéro inconnu, message sur Teams ou Slack, et, phénomène en forte croissance depuis 2025-2026, appel vocal généré par intelligence artificielle imitant la voix réelle du dirigeant.
Ce qui distingue ce scénario des autres formes de fraude BEC, c'est la source d'autorité invoquée. Une fraude au fournisseur mise sur la confiance envers une relation d'affaires externe. Une fraude à la paie mise sur la routine administrative. L'usurpation du PDG, elle, mise directement sur le rapport hiérarchique interne — le réflexe naturel de ne pas questionner, retarder ou vérifier une demande qui semble venir du sommet de l'organisation. C'est précisément ce réflexe que les quatre cas suivants illustrent, dans un sens comme dans l'autre.
Pourquoi les fraudeurs ciblent spécifiquement les dirigeants de PME
Les propriétaires de petites et moyennes entreprises sont des cibles particulièrement attrayantes pour ce type de fraude, pour plusieurs raisons structurelles qui n'ont rien à voir avec un manque de prudence de leur part. D'abord, les dirigeants de PME sont souvent visibles publiquement — site web de l'entreprise, profil LinkedIn, articles dans la presse locale, publications sur les réseaux sociaux — ce qui rend la phase de recherche du fraudeur presque triviale. Un nom, un titre, un ton d'écriture habituel et parfois même un échantillon de voix publique suffisent à construire une usurpation crédible.
Ensuite, contrairement aux grandes organisations où plusieurs couches d'approbation séparent une demande de virement de son exécution, une PME repose souvent sur un seul employé — une adjointe administrative, une contrôleuse, ou le conjoint du propriétaire — qui cumule à la fois l'accès aux comptes bancaires et l'autorité d'agir seul. Cette absence de séparation des tâches, combinée à une culture d'entreprise où la réactivité envers le patron est valorisée, crée exactement les conditions dans lesquelles la fraude du président prospère.
Le clonage vocal change la donne en 2026
Il ne suffit plus de se méfier uniquement des courriels. Des outils de clonage vocal par intelligence artificielle, entraînés à partir de quelques minutes d'enregistrement public d'un dirigeant, permettent désormais à un fraudeur de produire un appel téléphonique ou un message vocal étonnamment convaincant. Le cas 4 ci-dessous illustre concrètement ce nouveau vecteur, encore mal connu de plusieurs PME québécoises.
Tableau comparatif des signaux d'alerte selon le canal utilisé
Chaque canal d'usurpation — courriel, texto, message d'application, appel vocal — présente des signaux d'alerte légèrement différents. Ce tableau résume les indices les plus fiables à surveiller pour chacun, ainsi que la mesure de vérification à prioriser.
| Canal utilisé | Signal d'alerte principal | Piège fréquent | Vérification recommandée |
|---|---|---|---|
| Courriel (domaine sosie) | Adresse légèrement différente, souvent invisible sur mobile | Nom affiché identique au vrai dirigeant | Vérifier l'adresse complète, appeler au numéro connu |
| Courriel (compte compromis) | Ton légèrement différent, demande hors procédure | Adresse réellement authentique — aucune faute technique détectable | Appel obligatoire, sans exception, même si l'adresse semble juste |
| Texto / SMS | Numéro inconnu, urgence combinée à la confidentialité | Numéro de cellulaire facilement falsifiable ou nouveau | Rappeler au numéro déjà enregistré, jamais celui du texto |
| Message Teams/Slack | Compte externe ou invité récemment ajouté au canal | Interface familière qui abaisse la méfiance naturelle | Confirmer par un appel direct, pas par la même plateforme |
| Appel vocal cloné par IA | Léger décalage de rythme, phrases génériques, ligne parfois bruitée | Voix reconnaissable, ce qui désarme presque toute méfiance | Raccrocher et rappeler soi-même au numéro connu du dirigeant |
Checklist : protocole de vérification pour tout virement urgent demandé par le "PDG"
Voici la checklist exacte que nous recommandons d'afficher près de tout poste de travail traitant des paiements dans votre entreprise, peu importe sa taille.
Avant d'exécuter un virement demandé "par le PDG"
- Je n'exécute jamais un virement uniquement sur la base d'un courriel, d'un texto ou d'un message d'application, peu importe l'urgence apparente
- J'appelle systématiquement le dirigeant au numéro déjà enregistré dans mon répertoire, jamais celui inscrit dans le message reçu
- Si l'appel tombe sur une messagerie vocale suspecte ou un numéro qui semble différent, je n'utilise pas ce numéro pour confirmer
- Je considère la combinaison "urgence + confidentialité" comme un signal d'alerte automatique, pas comme une justification à l'inaction
- Je ne me fie jamais uniquement à une voix reconnue au téléphone sans rappeler moi-même le numéro connu, en raison du risque de clonage vocal
- Je refuse de contourner le processus d'approbation habituel même si le message insiste pour "faire une exception juste cette fois"
- J'implique un second responsable financier si le dirigeant concerné est réellement injoignable et que l'urgence semble anormale
- Je documente la vérification effectuée (heure, méthode, personne jointe) avant de procéder à tout virement
- Je sais que je ne serai jamais pénalisé pour avoir pris le temps de vérifier, même si la demande s'avère légitime
- En cas de doute persistant, je retarde le virement plutôt que de l'exécuter sous pression
Votre équipe saurait-elle reconnaître une fausse demande du PDG ?
Nos techniciens certifiés IT Cares évaluent vos procédures de vérification, configurent l'authentification de votre domaine courriel et forment votre équipe à reconnaître l'usurpation d'identité dirigeante. Audit initial dès 119,99 $.
Études de cas : quatre incidents réels d'usurpation du PDG en PME québécoises
Les scénarios suivants constituent le cœur de cet article. Chacun est composé et anonymisé à partir de dossiers typiques traités par des techniciens en cybersécurité au Québec, mais les mécaniques, les montants et les chronologies reflètent fidèlement ce qui se produit réellement sur le terrain. Deux entreprises ont perdu des sommes importantes. Deux autres ont évité le pire de justesse — la différence tient presque entièrement au protocole de vérification, ou à son absence.
Cas 1 — Cabinet comptable Léger & Associés, Sherbrooke
Montant visé : 85 000 $ · Vecteur : courriel avec domaine sosie
Un mardi matin à 8h47, la contrôleuse financière du cabinet reçoit un courriel signé du nom du président associé, alors censé être en formation professionnelle hors ville toute la journée. Le message demande un virement de 85 000 $ vers un « compte d'acquisition temporaire » lié à un projet de fusion avec un petit cabinet régional, en précisant que « l'affaire doit rester confidentielle jusqu'à l'annonce officielle » et que le président ne pourra « probablement pas répondre au téléphone avant la fin de la journée ». L'adresse courriel utilisée était presque identique à la vraie — un « m » remplacé par « rn », une différence invisible à l'écran d'un ordinateur portable. La contrôleuse, formée trois mois plus tôt lors d'une session sur la fraude du président, a néanmoins composé le numéro de cellulaire personnel du président déjà enregistré dans le répertoire de l'entreprise. Il a répondu en dix minutes, confirmant qu'il n'avait jamais envoyé un tel message et qu'aucune acquisition n'était en cours. Le cabinet a signalé l'incident au Centre antifraude du Canada le jour même et a immédiatement configuré une politique DMARC stricte pour réduire le risque de domaines sosies futurs.
Ce qui a fait la différence : une formation récente combinée à un répertoire de numéros vérifiés déjà en place — la contrôleuse n'a eu à chercher aucune information, elle a simplement suivi une procédure déjà mémorisée.
Cas 2 — Groupe immobilier Val-des-Monts, Gatineau
Montant perdu : 310 000 $ · Vecteur : compte courriel réellement compromis
Cette entreprise de développement immobilier commercial était en pleine finalisation de l'achat d'un terrain destiné à un projet résidentiel. Le compte courriel du propriétaire — véritablement compromis plusieurs semaines auparavant par un vol de mot de passe réutilisé sur un autre service, sans authentification à deux facteurs activée — a été utilisé par le fraudeur pour surveiller silencieusement les échanges réels concernant la transaction pendant près de trois semaines avant d'agir. Le jour de la clôture prévue, un courriel envoyé depuis le compte authentique du propriétaire, avec un ton et des références parfaitement cohérents avec les échanges précédents, a informé la directrice des opérations d'un « changement de dernière minute des coordonnées bancaires du vendeur » pour le virement final de 310 000 $. Aucun signal visuel n'aurait pu trahir la fraude : l'adresse était la bonne, le style d'écriture correspondait, et le contexte de la transaction rendait la demande parfaitement plausible. Sans protocole formel de vérification téléphonique en place à l'époque, le virement a été exécuté le jour même. La fraude n'a été découverte que deux jours plus tard, lorsque le véritable vendeur a appelé pour s'informer du retard du paiement. Malgré un signalement rapide à l'institution financière, seulement 40 000 $ ont pu être récupérés — le reste ayant transité par plusieurs comptes intermédiaires à l'étranger en quelques heures à peine.
Ce qui a fait la différence : l'absence totale de vérification par un second canal indépendant, combinée à l'absence d'authentification à deux facteurs sur le compte courriel du propriétaire, qui a permis la compromission initiale des semaines avant la fraude elle-même.
Cas 3 — Fondation Jeunesse Trois-Rivières (OBNL)
Montant perdu : 2 800 $ sur trois tentatives · Vecteur : texto et message Teams
Dans cet organisme à but non lucratif de taille modeste, la directrice générale a reçu un texto d'un numéro inconnu, signé du nom du président du conseil d'administration, demandant l'achat urgent de cartes-cadeaux d'une valeur totale de 1 000 $ « pour remercier discrètement des bénévoles avant l'assemblée annuelle de ce soir », avec l'instruction explicite de photographier les codes des cartes et de les envoyer par texto une fois l'achat effectué. N'ayant jamais reçu ce type de demande auparavant et prise par le rythme de sa journée, la directrice a procédé sans vérification. Le même scénario s'est répété deux fois sur les semaines suivantes — une fois par texto, une fois par un message envoyé sur Teams depuis un compte externe ajouté récemment au canal de l'organisme — pour un total de 2 800 $ en cartes-cadeaux jamais remboursées. La fraude n'a été découverte que lorsque le vrai président du conseil, lors d'une réunion en personne, a mentionné en passant ne jamais avoir demandé de cartes-cadeaux. L'organisme a depuis instauré une règle stricte : aucun achat de carte-cadeau ou instrument prépayé ne peut être effectué sur simple demande par texto ou message, sans exception, peu importe l'urgence invoquée.
Ce qui a fait la différence : l'absence de politique couvrant spécifiquement les demandes de cartes-cadeaux, une catégorie souvent négligée parce qu'elle vise des employés qui n'ont pas nécessairement accès aux comptes bancaires de l'organisation.
Cas 4 — Construction Lanaudière-Nord, Joliette
Montant visé : 46 500 $ · Vecteur : appel vocal cloné par intelligence artificielle
Ce cas, survenu au printemps 2026, illustre un vecteur encore peu connu de plusieurs PME québécoises. Le comptable de cette entreprise de construction a reçu un appel téléphonique — provenant d'un numéro masqué, mais avec une voix étonnamment fidèle à celle du propriétaire, probablement reconstituée à partir d'entrevues vidéo publiées sur les réseaux sociaux de l'entreprise — demandant un virement urgent de 46 500 $ pour « sécuriser un lot de matériaux avant une hausse de prix annoncée le lendemain ». La voix hésitait légèrement par moments et la ligne présentait un bruit de fond inhabituel, mais rien d'assez flagrant pour éveiller les soupçons dans l'instant. Fidèle au protocole mis en place après une session de sensibilisation sur les fraudes émergentes, le comptable a répondu qu'il devait « confirmer par la procédure habituelle » et a raccroché pour composer lui-même le numéro de cellulaire du propriétaire déjà enregistré — et non celui affiché lors de l'appel entrant. Le véritable propriétaire, qui se trouvait en réunion de chantier au moment de l'appel frauduleux, a confirmé n'avoir jamais demandé un tel virement. L'entreprise a signalé l'incident et sensibilisé l'ensemble de son personnel financier à cette tactique émergente.
Ce qui a fait la différence : une règle simple et non négociable — raccrocher et rappeler soi-même au numéro connu, peu importe à quel point la voix entendue semblait authentique.
Ce que ces quatre cas révèlent, mis côte à côte
En comparant ces quatre incidents, plusieurs constantes se dégagent, indépendamment du canal utilisé ou du secteur d'activité de l'entreprise touchée. D'abord, dans les deux cas où la fraude a été interceptée, la vérification par un second canal n'a jamais été une improvisation de dernière minute — elle découlait directement d'une procédure déjà connue et mémorisée par l'employé concerné, souvent enseignée lors d'une formation récente. Dans les deux cas où une perte réelle est survenue, aucune procédure formelle équivalente n'existait au moment de l'incident, ou elle ne couvrait pas la catégorie spécifique de demande reçue — les cartes-cadeaux dans un cas, l'absence totale de politique de vérification dans l'autre.
Ensuite, le degré de sophistication technique du fraudeur n'a pas déterminé l'issue. Le cas le plus techniquement avancé — le compte réellement compromis du cas 2, sans aucune faute détectable dans le courriel lui-même — s'est soldé par la perte la plus lourde, précisément parce qu'aucune procédure humaine ne venait compenser l'absence de signal technique. À l'inverse, un appel vocal cloné par IA, une tactique nettement plus sophistiquée que le simple texto du cas 3, a été déjoué en quelques secondes grâce à un réflexe aussi simple que raccrocher et rappeler. Cette observation confirme ce que répètent les enquêteurs spécialisés en fraude financière : la sophistication technologique de l'attaque compte beaucoup moins que la discipline organisationnelle de la victime potentielle.
Protocole de vérification étape par étape, applicable dès aujourd'hui
Définir les catégories de demandes qui déclenchent automatiquement une vérification
Tout virement urgent, tout achat de cartes-cadeaux ou d'instruments prépayés, et toute demande combinant urgence et confidentialité doivent systématiquement déclencher le protocole, peu importe l'identité apparente de l'expéditeur ou le canal utilisé.
Maintenir un répertoire de numéros vérifiés, séparé de toute information reçue par courriel ou texto
Ce répertoire doit être constitué en personne ou par un moyen déjà validé au préalable — jamais à partir des coordonnées fournies dans le message suspect lui-même, qui peuvent mener directement à un complice du fraudeur.
Toujours raccrocher et rappeler soi-même, même lors d'un appel vocal
Face à un appel entrant, même avec une voix reconnaissable, la règle demeure : raccrocher et composer soi-même le numéro déjà enregistré. Cette étape unique neutralise autant les domaines sosies que le clonage vocal par intelligence artificielle.
Documenter chaque vérification effectuée
Notez la date, l'heure, la méthode et le résultat de chaque appel de vérification dans le dossier de la transaction concernée, créant ainsi une traçabilité utile en cas d'enquête et un rappel constant de la discipline attendue.
Impliquer un second responsable en cas de doute persistant
Si le dirigeant concerné demeure injoignable et que l'urgence semble anormale, n'exécutez jamais seul un virement sur la seule base d'un message non confirmé — impliquez un second responsable financier ou reportez la transaction, quitte à assumer un léger retard.
La règle en une phrase
Si une demande de virement, d'achat de carte-cadeau ou de changement de coordonnées bancaires semble provenir de votre patron par courriel, texto, message ou appel — raccrochez, ignorez le numéro ou l'adresse du message, et rappelez vous-même au numéro déjà connu avant d'agir. Cette seule habitude aurait empêché la totalité des pertes financières décrites dans cet article.
Combien coûte la prévention face à l'usurpation d'identité du PDG
Comme le montrent les quatre cas ci-dessus, l'écart entre le coût d'une prévention adéquate et celui d'une fraude réussie est considérable. Voici des fourchettes budgétaires réalistes pour une PME québécoise en 2026.
Formation ciblée sur l'usurpation d'identité dirigeante
Une session de formation d'une à deux heures, spécifiquement centrée sur les scénarios d'usurpation du PDG (plutôt qu'une formation générique sur le phishing), incluant des exemples réels et la mise en pratique du protocole de vérification, coûte généralement entre 300 $ et 900 $ pour une petite équipe de comptabilité ou d'administration, selon le nombre d'employés et le niveau de personnalisation.
Configuration de l'authentification DMARC/SPF/DKIM du domaine courriel
Cette mesure technique, qui réduit le risque de domaines sosies visant précisément votre organisation, représente un projet ponctuel de 300 $ à 800 $ réalisé par un fournisseur informatique, suivi d'un léger suivi périodique. Elle ne remplace jamais la vérification humaine, mais elle en constitue un complément technique judicieux.
Audit des procédures de vérification et de paiement
Un audit ciblé de vos procédures actuelles — qui a l'autorité d'exécuter un virement, quelles catégories de demandes exigent une vérification, où se trouvent les angles morts comme les cartes-cadeaux — s'inscrit généralement entre quelques centaines et quelques milliers de dollars selon la complexité de l'organisation. Chez IT Cares, une évaluation initiale est proposée à partir de 119,99 $.
Comparaison avec le coût d'une fraude réussie
Le cas 2 de cet article, à lui seul, représente une perte nette de 270 000 $ non récupérés — soit largement plus que le coût cumulé de toutes les mesures de prévention décrites ci-dessus, réparties sur plusieurs années d'activité. Cette comparaison, simple mais souvent négligée, justifie à elle seule l'investissement dans la prévention auprès d'une direction qui perçoit encore la cybersécurité comme une dépense optionnelle.
Ressources gouvernementales à connaître au Québec et au Canada
- Le Centre antifraude du Canada (antifraudcentre-centreantifraude.ca) recueille les signalements d'usurpation d'identité et de fraude financière, incluant les cas de fraude du président, et publie des alertes régulières sur les tactiques observées à travers le pays.
- La Banque de développement du Canada (bdc.ca) propose des ressources gratuites de prévention de la fraude financière spécifiquement conçues pour les propriétaires de PME.
- La Commission d'accès à l'information du Québec (cai.gouv.qc.ca) doit être avisée, en vertu de la Loi 25, lorsqu'un incident de fraude entraîne également la compromission de renseignements personnels de clients ou d'employés.
Usurpation du PDG vs fraude BEC générale vs fraude au fournisseur
Il est utile de bien situer cet article dans l'ensemble des ressources IT Cares sur la fraude par courriel d'affaires. Notre guide complet sur la fraude BEC en PME couvre l'ensemble des scénarios — fraude du président, fraude au fournisseur, fraude à la paie, fraude à l'avocat — avec une vue d'ensemble des mesures techniques comme DMARC/SPF/DKIM et un protocole général de vérification par double canal. Cet article-ci s'y ajoute comme un approfondissement volontairement étroit sur un seul de ces scénarios, celui qui exploite directement l'autorité du dirigeant, avec des cas concrets détaillés plutôt qu'un survol de plusieurs tactiques à la fois.
Si votre préoccupation principale concerne plutôt les fausses factures et les changements de coordonnées bancaires de fournisseurs — un scénario distinct qui cible la relation d'affaires externe plutôt que l'autorité interne du dirigeant — consultez notre article dédié sur la fraude au fournisseur et aux fausses factures, qui traite ce scénario avec le même niveau de détail.
Ne laissez pas un faux message de votre "patron" coûter des dizaines de milliers de dollars à votre PME
IT Cares accompagne les PME québécoises dans la mise en place d'un protocole anti-fraude complet contre l'usurpation d'identité dirigeante : configuration DMARC/SPF/DKIM, formation ciblée de votre équipe, audit de vos procédures de virement et support continu en cybersécurité d'entreprise.
Questions fréquentes — Usurpation d'identité du PDG
L'usurpation d'identité du PDG, aussi appelée fraude du président ou CEO fraud, est une forme précise de fraude par courriel où un attaquant se fait passer directement pour le propriétaire, le président ou un dirigeant de haut niveau d'une entreprise — par courriel, texto, message Teams/Slack ou même par un appel vocal cloné par intelligence artificielle — dans le seul but de convaincre un employé d'exécuter un virement urgent, un achat de cartes-cadeaux ou une divulgation de renseignements sensibles, en s'appuyant sur l'autorité perçue du dirigeant plutôt que sur une faille technique quelconque.
La fraude BEC (Business Email Compromise) est la catégorie large qui englobe plusieurs scénarios distincts : fraude du président, fraude au fournisseur, fraude à la paie et fraude à l'avocat notamment. L'usurpation d'identité du PDG est l'un de ces scénarios spécifiques, celui où l'attaquant cible directement l'autorité et la confiance accordée à un dirigeant précis plutôt que la relation d'affaires avec un tiers externe comme un fournisseur. Les deux catégories de fraude se protègent par le même principe de vérification par double canal, mais les signaux d'alerte, le ton des messages et les employés typiquement ciblés diffèrent sensiblement d'un scénario à l'autre.
Oui, et cette tactique est en croissance rapide depuis 2025-2026. Des outils de clonage vocal par intelligence artificielle, entraînés à partir de quelques minutes seulement d'enregistrement public d'un dirigeant (entrevue, vidéo YouTube, balado, conférence enregistrée), permettent aujourd'hui à un fraudeur de reproduire une voix suffisamment convaincante pour tromper un employé lors d'un appel téléphonique ou d'un message vocal urgent. C'est pourquoi la vérification par double canal ne doit plus se limiter à distinguer un vrai courriel d'un faux, mais doit aussi couvrir les appels et messages vocaux, en rappelant systématiquement au numéro déjà connu plutôt qu'en se fiant à la voix entendue.
L'identité du dirigeant porte un poids hiérarchique unique : peu d'employés osent remettre en question ou retarder une demande qui semble provenir directement du propriétaire ou du président de l'entreprise, particulièrement dans les PME où la culture organisationnelle valorise la réactivité envers la direction. Ce déséquilibre de pouvoir, combiné à une pression d'urgence et de confidentialité, crée les conditions psychologiques idéales pour contourner le jugement normal d'un employé autrement prudent.
Contactez immédiatement le service de fraude de votre institution financière pour demander un rappel ou un blocage du virement — chaque minute compte. Signalez ensuite l'incident au Centre antifraude du Canada, conservez tous les courriels, textos ou messages vocaux liés à la fraude sans rien supprimer, et faites vérifier par votre fournisseur informatique si le compte courriel du dirigeant a réellement été compromis. Informez également le dirigeant concerné le plus rapidement possible, sans attribuer de blâme à l'employé, puisque la rapidité de réaction collective détermine largement les chances de récupération des fonds.
Oui, souvent davantage qu'une grande organisation. Dans une PME de moins de 15 employés, il n'est pas rare qu'une seule personne — souvent une adjointe administrative ou une contrôleuse — ait à la fois accès aux comptes bancaires et l'autorité d'exécuter un virement sans validation additionnelle. Cette absence de séparation des tâches, combinée au fait que le propriétaire est souvent visible publiquement (site web, réseaux sociaux, médias locaux), rend la recherche préalable du fraudeur particulièrement facile et l'usurpation d'autant plus crédible.
Dans la quasi-totalité des cas de fraude du président documentés, un simple appel téléphonique au numéro déjà connu et vérifié du dirigeant — jamais celui inscrit dans le message suspect lui-même — aurait suffi à démasquer la fraude avant l'exécution du virement. Ce geste, qui ne coûte rien et prend rarement plus de deux minutes, demeure la mesure de protection la plus fiable contre l'usurpation d'identité du PDG, peu importe le canal utilisé par le fraudeur.
Commentaires (3)
L'histoire de l'appel vocal cloné m'a glacé le sang. On en avait entendu parler mais je pensais que c'était encore rare. On a instauré la règle "je raccroche et je rappelle" dès le lendemain de la lecture de cet article.
Notre OBNL a vécu presque exactement le cas des cartes-cadeaux décrit ici. On n'avait jamais pensé que ce genre de demande méritait une vérification aussi stricte qu'un virement bancaire. Leçon apprise.
Le cas du compte réellement compromis est terrifiant parce qu'il n'y a littéralement rien à voir dans le courriel. Ça confirme qu'il faut vérifier par téléphone même quand tout semble parfaitement normal.
Laisser un commentaire