Arnaque au président : comment l'attaquant prépare le coup, et ce
qui l'arrête

En mars 2018, la filiale néerlandaise de Pathé a viré 19,2 millions d'euros à des escrocs qui se faisaient passer pour la direction du groupe à Paris. Le prétexte tenait en une phrase : une acquisition confidentielle à Dubaï, à financer vite, à ne surtout pas ébruiter en interne. Plusieurs virements ont été exécutés avant que quiconque ne décroche son téléphone pour vérifier. La direction générale et la direction financière de la filiale ont été démises de leurs fonctions, et le licenciement contesté devant la justice néerlandaise a été jugé fondé en 2020. Aucun logiciel malveillant n'est intervenu dans cette affaire.

L'arnaque au président, aussi appelée fraude au président, escroquerie au faux dirigeant ou plus largement FOVI (faux ordre de virement), est l'une des fraudes les plus rentables pour un attaquant qui sait lire un organigramme. Lerapport IC3 2024 du FBI recense 21 442 signalements de Business Email Compromise pour plus de 2,77 milliards de dollars de pertes déclarées sur la seule année, et une alerte publiée par le même service en septembre 2024 chiffre le cumul à 55,49 milliards de dollars entre octobre 2013 et décembre 2023. On la prend ici par le côté offensif, dans l'ordre où l'attaquant travaille.

Arnaque au président : la définition, et ce qu'elle n'est pas

L'arnaque au président consiste à usurper l'identité d'un dirigeant pour obtenir d'un salarié habilité un virement vers un compte contrôlé par l'attaquant. La technique porte le nom de son inventeur présumé, le Français Gilbert Chikli, qui a industrialisé le procédé au milieu des années 2000 en appelant directement des employés de banques et de grandes entreprises. Condamné par le tribunal correctionnel de Paris en 2015 à sept ans de prison et un million d'euros d'amende, il a ensuite été extradé d'Ukraine vers la France, puis condamné en 2020 à onze ans de prison dans le dossier du faux ministre, la variante qui usurpait Jean-Yves Le Drian pour soutirer des fonds à de riches particuliers.

Ce n'est pas du piratage informatique, et c'est ce qui la rend difficile à arrêter. Il n'y a rien à corriger dans un code source, aucun correctif de sécurité à déployer, aucune alerte d'antivirus à traiter. L'attaque emprunte le chemin normal d'une demande hiérarchique et se termine par une opération bancaire régulière. Ce que l'attaquant exploite, c'est l'écart entre la procédure écrite et ce que les gens font vraiment quand le patron a l'air pressé.

Sous le terme FOVI cohabitent quatre scénarios qui partagent la même mécanique et se distinguent par l'identité usurpée :

• Le faux dirigeant : le scénario canonique. Un mail du président ou du directeur général ordonne un virement lié à une opération confidentielle, rachat, litige, contrôle fiscal. La confidentialité invoquée sert surtout à couper la victime de ses collègues.
• Le faux fournisseur : un courrier annonce un changement de coordonnées bancaires sur des factures parfaitement réelles. C'est la variante la plus discrète, parce que la somme et le bénéficiaire attendus sont légitimes : seul l'IBAN a changé.
• Le faux avocat : un cabinet mandaté pour une opération sensible demande une provision, souvent en relais crédible du scénario précédent. Le statut d'auxiliaire de justice fait office de caution morale.
• Le faux technicien de la banque : un appel demande de valider un virement de test pour vérifier une mise à jour de l'outil de paiement. La cible n'est plus la comptabilité mais la personne qui détient le dispositif de signature électronique.

Ce que l'attaquant sait de vous avant d'écrire la première ligne

Un FOVI crédible demande quelques heures de préparation, pas plus, et cette préparation se fait intégralement en source ouverte. Il faut trois choses : savoir qui peut ordonner un virement, savoir qui l'exécute, et savoir quand le premier sera injoignable. Tout est public.

Ce travail de collecte porte un nom, et il constitue la première phase de n'importe quel test d'intrusion sérieux : c'est de l'OSINT, le renseignement en sources ouvertes. Sur une PME, l'exercice prend moins d'une matinée. La convention d'adresses mail se déduit d'un seul contact publié ; la chaîne hiérarchique se lit sur les profils publics ; et l'absence du dirigeant est parfois annoncée par le dirigeant lui-même, la veille, dans un post enthousiaste.

Trois façons de faire arriver le mail

Une fois le scénario écrit, reste le problème technique : faire apparaître le message dans la boîte de réception, avec le nom du dirigeant, sans déclencher d'alerte. Trois voies, par ordre croissant de dangerosité pour la victime.

Voie 1 : usurper directement votre domaine

Un mail transporte deux identités distinctes, et c'est toute la faiblesse du protocole SMTP. L'enveloppe (MAIL FROM) sert au routage et aux rapports d'erreur ; l'en-tête From: est celui que votre logiciel de messagerie affiche. Rien, dans le protocole lui-même, n'oblige les deux à correspondre.

# Session SMTP simplifiée depuis un serveur quelconque
MAIL FROM:<bounce@serveur-loue-a-l-heure.xyz>   <-- enveloppe, invisible du lecteur
RCPT TO:<compta@votre-entreprise.fr>
DATA
From: "Jean Dupont, President" <j.dupont@votre-entreprise.fr>   <-- ce qui s'affiche
Reply-To: j.dupont.direction@protonmail.com                     <-- ou part la reponse
Subject: Confidentiel - operation en cours

Cette usurpation ne fonctionne que si votre domaine ne se défend pas. SPF déclare les serveurs autorisés à écrire en votre nom, DKIM signe cryptographiquement vos messages sortants, et DMARC dit aux serveurs distants quoi faire d'un message qui échoue aux deux. Sans politique DMARC en rejet, n'importe qui peut présenter votre adresse de direction dans le champ From:. Le socle est détaillé dans notre pilier sur le phishing et l'hameçonnage ; le point qui compte ici, c'est que la publication d'un DMARC en p=reject ferme cette première voie.

Voie 2 : acheter un domaine qui vous ressemble

Un domaine correctement verrouillé pousse l'attaquant vers un nom voisin qu'il contrôle vraiment, et sur lequel il peut publier ses propres SPF et DKIM. Techniquement, tout est en règle : le message est authentifié, il vient juste d'un domaine qui n'est pas le vôtre. Reste à ce que personne ne le remarque, et l'œil humain est mauvais à cet exercice.

domaine legitime :  votre-entreprise.fr

  votre-entreprlse.fr        substitution i -> l (police sans empattement)
  votre-entrepnse.fr         rn lu comme m, ou nse pour mse
  votre-entreprise.com       meme nom, autre extension
  votre-entreprise-sa.fr     ajout d'un qualificatif credible
  votreentreprise.fr         suppression du tiret
  votre-entreprise.fr.co     l'extension devient un sous-domaine
  xn--votre-entrprise-...    homoglyphe unicode (e cyrillique)

Cette technique est du typosquatting appliqué à la fraude au virement. Elle laisse pourtant une trace exploitable : pour envoyer un mail depuis ce nom, l'attaquant doit publier un enregistrement MX, et pour héberger une page de connexion crédible, il demande un certificat TLS. Les deux sont publics. Un certificat émis pour votre-entreprlse.fr apparaît dans les journaux de Certificate Transparency dans les minutes qui suivent son émission, souvent plusieurs jours avant le premier mail.

Voie 3 : entrer dans un vrai fil de discussion

La version la plus dangereuse ne fabrique rien du tout. L'attaquant compromet une boîte mail réelle, celle d'un fournisseur, d'un cabinet comptable ou d'un salarié, puis répond à une conversation existante. Le fil est authentique, les échanges précédents sont cités, le domaine est le bon, et l'authentification passe tous les contrôles, puisque le message est légitime. Ce détournement de fil de discussion ne se distingue plus techniquement d'un mail normal.

Cette compromission initiale provient en général d'un identifiant réutilisé et retrouvé dans une fuite, sujet couvert par notre article sur les mots de passe compromis et par le pilier sur les fuites de secrets et credentials exposés. Une boîte détournée se trahit rarement par un message bizarre. Le marqueur habituel est une règle de transfert automatique créée récemment, qui déplace en silence tout message contenant les mots facture, virement ou IBAN vers un dossier que le titulaire ne regarde jamais. Cette règle est visible dans les journaux d'audit de la messagerie, à condition de les consulter.

Le message : pourquoi il fonctionne sur des gens compétents

Les victimes d'arnaque au président ne sont ni négligentes ni naïves. Elles sont placées dans une situation où vérifier coûte socialement plus cher que de s'exécuter. Le message est construit pour ça.

De   : Jean Dupont <j.dupont@votre-entreprlse.fr>   <-- (1) domaine voisin
Reply-To : direction.jd@proton.me                   <-- (2) reponse detournee
A    : marie.leroy@votre-entreprise.fr              <-- (3) destinataire unique
Objet: Confidentiel

  Marie,

  Je suis en deplacement et peu joignable aujourd'hui.   <-- (4) verification bloquee
  Nous finalisons une operation de croissance externe.
  Le closing impose un premier versement avant 16h.      <-- (5) urgence datee

  Merci de ne pas en parler en interne, y compris a
  la direction financiere, tant que rien n'est signe.    <-- (6) isolement

  Je te transmets le RIB par SMS dans la minute.

  Jean Dupont
  President

Six leviers, et aucun n'est technique. Le domaine voisin passe la lecture en diagonale. Le Reply-To divergent capte la réponse sans que le vrai dirigeant ne voie jamais rien. Le destinataire unique évite qu'un collègue en copie pose la question qui tue. L'indisponibilité annoncée, souvent vraie, rend l'appel de contrôle inutile aux yeux de la victime. L'échéance chiffrée interdit de dormir dessus. Et la consigne de confidentialité, la pièce maîtresse, transforme le fait de suivre la procédure en acte de désobéissance.

Le passage du RIB par SMS pèse lourd, lui aussi. Il fait sortir la partie la plus incriminante du système de messagerie de l'entreprise, donc du périmètre de la passerelle anti-spam, de l'archivage légal et des journaux d'audit. Quand l'enquête interne démarrera, il ne restera de cette étape qu'une capture d'écran sur un téléphone personnel.

Pourquoi les contrôles bancaires ne rattrapent rien

C'est le point que les dirigeants découvrent au pire moment : la banque n'a rien fait de fautif, et n'a en général rien à rembourser. Le régime de remboursement du code monétaire et financier protège les opérations non autorisées, celles qu'un tiers déclenche à l'insu du client. Ici, l'ordre a été saisi et signé par une personne habilitée de l'entreprise, avec ses propres moyens d'authentification. Du point de vue du système de paiement, l'opération est régulière. La responsabilité de la banque ne peut être recherchée que sur le terrain du devoir de vigilance, en démontrant une anomalie apparente qu'elle aurait dû relever, ce qui s'apprécie au cas par cas et se plaide longtemps.

La fenêtre de récupération s'est en plus resserrée. Le règlement (UE) 2024/886 impose aux prestataires de la zone euro de recevoir les virements instantanés depuis le 9 janvier 2025, et de les émettre depuis le 9 octobre 2025. Un virement qui prenait un jour ouvré, et qu'on pouvait parfois bloquer le lendemain matin, est désormais crédité en une dizaine de secondes et irrévocable.

Le même règlement impose depuis le 9 octobre 2025 un service de vérification du bénéficiaire, qui compare le nom saisi par le donneur d'ordre avec celui rattaché à l'IBAN et signale une discordance. C'est un vrai progrès contre le faux changement de RIB. Mais c'est un contrôle de cohérence, pas un contrôle de légitimité : il ne dit rien d'un compte ouvert au nom exact du fournisseur usurpé, d'une société écran homonyme, ou d'un compte mule dont le titulaire correspond à ce que le mail annonçait. Et il ne se déclenche pas quand le bénéficiaire indiqué est bien celui que la victime croit payer.

Il reste le rappel des fonds, qui n'est pas un droit mais une demande de coopération entre banques. Le FBI a formalisé le sien sous le nom de Financial Fraud Kill Chain, opéré par une équipe dédiée qui tente de geler les fonds à l'arrivée. Son taux de succès dépend d'une seule variable : le délai de signalement. Passé quelques heures, les fonds ont été éclatés sur plusieurs comptes de passage et le dossier devient une affaire de justice internationale, pas de récupération.

Ce qui coupe la chaîne

Trois contrôles, et ils ne se remplacent pas les uns les autres. Le premier neutralise le résultat de l'attaque, les deux suivants en compliquent l'exécution et donnent du délai de détection.

1. La double validation hors bande, avec droit de dire non

C'est le seul contrôle qui fonctionne même quand tout le reste a échoué, y compris dans le cas d'une boîte mail réellement compromise. Le principe tient en une règle : toute demande de virement au-delà d'un seuil défini, et tout changement de coordonnées bancaires quel que soit le montant, se confirme par un second canal, choisi par celui qui exécute et pas par celui qui demande.

• Le numéro vient de l'annuaire interne, jamais de la signature du message ni du fil de discussion. C'est tout l'intérêt du hors bande : si le canal est compromis, le rappel qu'il propose l'est aussi.
• Le contrôle ne se délègue pas au demandeur. Un attaquant qui répond "appelle-moi sur mon nouveau portable" vient de transformer votre procédure de contrôle en étape de son scénario.
• Aucune dérogation, y compris pour le président. Une procédure qui admet des exceptions hiérarchiques ne protège de rien, puisque le scénario entier consiste à invoquer cette exception. Le dirigeant doit accepter par écrit d'être rappelé lui aussi, et le dire à ses équipes.
• Refuser ne doit rien coûter au salarié. Si le comptable estime qu'un appel de vérification lui vaudra une remarque, il ne le passera pas. Ce point se règle en comité de direction, et c'est souvent celui qui manque.
• La procédure se teste. Un exercice sur dossier, une fois par an, où l'on déroule une demande fictive de bout en bout, révèle en une heure les seuils jamais appliqués et les intérimaires que personne n'a formés.

2. Le verrouillage de votre authentification e-mail

Publier SPF, DKIM et une politique DMARC en rejet ferme la voie la plus simple, et c'est un chantier de quelques heures. La politique DMARC ne sert que si elle est effectivement en p=reject : une politique en p=none observe et ne bloque rien.

; SPF : liste fermee des serveurs autorises, -all et non ~all
votre-entreprise.fr.        TXT  "v=spf1 include:_spf.google.com -all"

; DMARC : rejet, meme politique pour les sous-domaines, rapports agreges
_dmarc.votre-entreprise.fr. TXT  "v=DMARC1; p=reject; sp=reject; adkim=s; aspf=s; rua=mailto:dmarc@votre-entreprise.fr"

# verifier ce que le monde voit reellement de votre domaine
dig +short TXT votre-entreprise.fr | grep spf1
dig +short TXT _dmarc.votre-entreprise.fr

# et sur le domaine de vos principaux fournisseurs : leur p=none est votre risque
dig +short TXT _dmarc.fournisseur-critique.fr

Trois compléments font la différence en pratique. Une bannière visuelle sur les mails externes, posée par la passerelle, casse net l'illusion d'un message interne. La surveillance des règles de transfert automatique dans les journaux d'audit détecte la boîte compromise avant qu'elle ne serve. Et un MFA résistant au phishing, clés FIDO2 ou passkeys, sur les comptes de la direction et de la comptabilité, empêche la compromission qui rend la voie 3 possible.

3. La surveillance des domaines ressemblants

Un attaquant privé de spoofing achète un nom voisin. Cet achat est un événement observable, et c'est votre meilleur délai d'avance : entre l'enregistrement du domaine et le premier mail, il s'écoule souvent plusieurs jours, le temps de configurer la messagerie et de crédibiliser le nom.

• Les permutations de votre marque se génèrent systématiquement : substitutions de caractères, extensions alternatives, ajout de mots comme secure, group, invoice ou paiement. La liste se surveille en continu contre les enregistrements récents.
• Un certificat TLS émis sur l'un de ces noms apparaît publiquement dans les journaux de Certificate Transparency. C'est le signal le plus rapide, et il est gratuit.
• Un enregistrement MX posé sur un domaine ressemblant est le signal le plus grave : personne ne configure un serveur de messagerie sur un nom acheté par hasard. À ce stade, la campagne est imminente.
• La mise en vente de vos identifiants sur des places de marché clandestines précède souvent le détournement de fil de discussion, ce qui relève de la surveillance du dark web.

Ce travail se fait à la main sur un domaine et deux marques ; il ne tient plus dès qu'on additionne les filiales, les noms de produits et les extensions. C'est le rôle d'une plateforme de gestion de la surface d'attaque externe, qui surveille en continu les enregistrements de typosquatting visant votre marque et remonte l'alerte au moment de l'émission du certificat, pas au moment du virement.

Si le virement est déjà parti

L'ordre des gestes compte davantage que leur exhaustivité, parce que le premier a une valeur qui décroît d'heure en heure.

• Appeler la banque immédiatement, au téléphone, pour demander le rappel des fonds. Pas un mail, pas un formulaire : un appel. Puis confirmer par écrit.
• Geler ce qui reste : les virements programmés, les échéances à venir vers le même bénéficiaire, et les accès de la personne dont la boîte est soupçonnée d'être compromise.
• Conserver les preuves techniques : les messages originaux avec leurs en-têtes complets, exportés au format source, et les journaux de connexion de la messagerie. Une capture d'écran ne contient ni les en-têtes d'authentification ni les adresses IP.
• Déposer plainte et signaler l'incident auprès du dispositif public Cybermalveillance.gouv.fr, qui oriente vers les prestataires d'assistance référencés.
• Chercher la compromission : règles de transfert automatique créées récemment, connexions depuis des adresses inhabituelles, applications tierces autorisées sur le compte. Un FOVI réussi est souvent le symptôme d'un accès qui dure depuis des semaines.
• Prévenir l'assureur sans attendre, les garanties fraude imposant des délais de déclaration courts, et documenter la chronologie tant que les souvenirs sont frais.

Ce que ce risque a de particulier pour une PME

Les montants médiatisés viennent de grands groupes, mais la mécanique ne demande aucune taille minimale, et les PME cumulent trois facteurs aggravants. La chaîne de décision est courte, donc un seul mail atteint directement la personne qui exécute. Les fonctions sont mutualisées : la même personne saisit et valide, ce qui supprime le contrôle croisé qu'un grand groupe obtient sans y penser. Et la trésorerie n'absorbe pas le choc : là où un groupe encaisse une perte, une PME peut y laisser sa capacité à payer ses salaires. L'affaire autrichienne FACC, en 2016, illustre la brutalité de la sanction jusqu'au sommet : environ 50 millions d'euros détournés, et le directeur général limogé dans la foulée.

La bonne nouvelle, c'est que le contrôle le plus efficace est aussi le moins cher. Une procédure de rappel hors bande écrite sur une page, signée par la direction et connue de trois personnes, coûte une réunion. Le verrouillage DMARC coûte une demi-journée. Ces deux mesures neutralisent la grande majorité des scénarios décrits ici, bien avant tout achat d'outil.

Questions fréquentes sur l'arnaque au président

À retenir

• L'arnaque au président est une escroquerie par usurpation d'identité : elle se termine par une opération bancaire régulière, ce qui explique qu'aucun outil de sécurité ne la bloque en aval.
• La préparation est intégralement publique : registre du commerce, LinkedIn, mentions légales et agenda annoncé du dirigeant suffisent à écrire un scénario crédible en une matinée.
• Trois vecteurs, par difficulté croissante : usurpation directe du domaine quand DMARC est absent, domaine ressemblant acheté pour l'occasion, ou détournement d'un vrai fil de discussion depuis une boîte compromise.
• La banque ne rattrapera pas l'erreur : l'ordre est autorisé, le virement instantané est généralisé dans la zone euro depuis le 9 octobre 2025, et la vérification du bénéficiaire contrôle la cohérence nom-IBAN, pas la légitimité de la demande.
• Le contrôle qui coupe la chaîne est organisationnel : double validation hors bande sur un numéro connu à l'avance, sans dérogation hiérarchique, et sans risque social pour celui qui refuse.
• Les deux contrôles techniques qui donnent du délai : DMARC en rejet sur votre domaine, et surveillance des domaines ressemblants via les journaux de certificats et les enregistrements MX, visibles souvent plusieurs jours avant le premier mail.

Le catalogue own2pwn s'arrête au pentest web, en boîte noire ou en boîte blanche, et au volet technique de l'audit NIS2 : pas de campagne de social engineering ici, autant le dire. En revanche, la partie purement observable de cette attaque, les domaines qui imitent votre marque, les certificats émis à votre nom, les services exposés qui servent de porte d'entrée, se surveille en continu avec notre plateforme EASM. Si vous voulez juste faire relire votre procédure de virement par quelqu'un qui a passé du temps de l'autre côté, la page contact suffit.