Compromission de messagerie professionnelle (BEC) : check-list de prévention pour les petites entreprises
On parle de compromission de messagerie professionnelle (BEC) lorsqu’un criminel pirate ou imite un vrai compte e-mail (un fournisseur, un client ou votre propre patron) pour demander un paiement ou un changement de coordonnées bancaires. L’IC3 du FBI a recensé 305 033 incidents et environ 55,5 milliards de dollars de pertes exposées dans le monde entre octobre 2013 et décembre 2023, et environ 3,05 milliards de dollars de pertes signalées liées au BEC pour la seule année 2025.
Déroulement d’une attaque BEC typique
Prise de contrôle du compte : la boîte mail d’un fournisseur ou d’un collègue est compromise par hameçonnage, et le criminel répond au sein d’un vrai fil de discussion.
Usurpation ou domaines ressemblants : l’e-mail semble venir d’une adresse connue, ou d’un domaine quasi identique (une lettre en plus, une autre extension).
La demande : « nos coordonnées bancaires ont changé », un virement urgent pour une affaire, ou une demande de données personnelles des salariés.
Signaux d’alerte
Un changement de coordonnées bancaires, surtout vers une nouvelle banque ou un nouveau pays
Urgence, secret ou « je suis en réunion, fais-le simplement »
Une adresse de réponse différente de l’expéditeur, ou un domaine à un caractère près
Une demande qui contourne vos étapes d’approbation habituelles
Check-list de prévention
Vérifiez chaque changement de RIB par un autre canal. Le FBI recommande d’utiliser des canaux secondaires pour vérifier les modifications de coordonnées : appelez un numéro issu de vos propres dossiers, jamais celui de l’e-mail.
Exigez une double validation pour les nouveaux bénéficiaires et les paiements au-delà d’un seuil.
Activez l’authentification multifacteur sur tous les comptes e-mail et utilisez des mots de passe uniques.
Configurez l’authentification des e-mails (SPF, DKIM et DMARC) sur votre domaine pour compliquer l’usurpation. La FTC explique comment dans son guide de cybersécurité pour petites entreprises.
Affichez l’adresse complète de l’expéditeur sur les ordinateurs et téléphones du personnel, et vérifiez-la caractère par caractère.
Surveillez les règles de transfert que vous n’avez pas créées ; les attaquants s’en servent pour masquer les réponses.
Formez les personnes qui paient les factures. Un rappel court et régulier de ces signaux est la « meilleure défense » selon la FTC.
Prévoyez un plan en cas d’incident : appelez votre banque pour demander un rappel des fonds, puis signalez immédiatement à l’IC3 (États-Unis), à Action Fraud (Royaume-Uni) ou à la police. Le FBI insiste : chaque minute compte.
Avant de payer une demande reçue par e-mail, collez l’adresse de l’expéditeur, le site ou la facture dans PayOrScam. Il vérifie l’âge du domaine, les orthographes ressemblantes, les enregistrements de messagerie, le registre des sociétés et les coordonnées bancaires, avec une source pour chaque constat. Passez ensuite l’appel de confirmation.