Usurpation d'identité d'entreprise : marque, dirigeant, et
que faire

Cette page traite l'usurpation d'identité d'une entreprise : sa marque, son nom de domaine, ses dirigeants. Si c'est votre identité personnelle qui a été usurpée, papiers volés, compte bancaire ouvert à votre nom, profil détourné, la marche à suivre est ailleurs et elle est bien balisée : cybermalveillance.gouv.fr et le réseau France Victimes (116 006). Côté entreprise, le sujet bascule dans un tout autre monde : droit des marques, régime de responsabilité des hébergeurs, et une course de vitesse technique qui se joue en quelques jours.

Le 4 février 2024, la police de Hong Kong a décrit une fraude devenue depuis un cas d'école. Un employé du bureau local d'un groupe d'ingénierie britannique rejoint une visioconférence convoquée par son directeur financier, reconnaît plusieurs collègues à l'écran, et exécute quinze virements pour un total de 200 millions de dollars hongkongais, environ 25 millions de dollars. Il était le seul participant réel : tous les autres visages étaient des reconstitutions. Le groupe, Arup, a confirmé être la victime en mai 2024. Aucune vulnérabilité logicielle n'a été exploitée. Ce qui a été volé, ce sont des visages, une voix et un organigramme.

Usurpation d'identité d'entreprise : quatre choses sous un seul mot

Le terme est un fourre-tout, et cette confusion coûte cher parce que les quatre formes ne se détectent pas au même endroit et ne se traitent pas par les mêmes canaux. Une usurpation de marque se règle avec un hébergeur, une usurpation de domaine avec un registrar, une usurpation de dirigeant avec une procédure interne et un dépôt de plainte. Confondre les quatre, c'est écrire au mauvais interlocuteur pendant que la campagne tourne.

Ces quatre vecteurs partagent une propriété qui explique pourquoi la sécurité classique ne les voit pas : ils vivent hors de votre périmètre. Pas vos serveurs, pas votre code, pas votre annuaire. Un pare-feu impeccable et un EDR à jour ne diront jamais qu'un domaine voisin du vôtre vient d'obtenir un certificat TLS. C'est un problème de surface d'attaque externe, et il se traite avec les méthodes de la surface externe.

Usurpation d'identité de marque : le clone, le faux compte, le faux recruteur

La forme la plus visible est aussi la plus simple à monter. Un aspirateur de site récupère votre page de connexion en quelques secondes, un certificat gratuit lui colle un cadenas, et le clone est en ligne. La qualité du HTML compte peu dans l'affaire : ce qui rend une copie dangereuse, c'est le nom de domaine qui la porte et le canal qui y amène les visiteurs. D'où l'intérêt de lire ensemble la mécanique du typosquatting et du cybersquattage et celle du phishing : la première fabrique la crédibilité, la seconde la monétise.

Les faux comptes sociaux suivent la même logique avec un coût encore plus bas, puisqu'il n'y a même pas de domaine à acheter. Un compte au nom de l'entreprise, la photo de profil officielle, quelques publications copiées pour faire du volume, et le faux support client répond aux réclamations que vous recevez publiquement. La variante qui vise le recrutement sert d'entrée à des attaques bien plus lourdes. En juin 2020, ESET a documenté sous le nom Operation In(ter)ception une campagne où de faux recruteurs approchaient sur LinkedIn des salariés d'entreprises aérospatiales et militaires européennes en se présentant comme chargés de recrutement chez Collins Aerospace ou General Dynamics, avant de leur transmettre un descriptif de poste piégé. L'identité usurpée n'était pas la cible : elle était le laissez-passer.

Usurpation de domaine et spoofing d'expéditeur : ce que DMARC arrête vraiment

Le courriel a ceci de particulier que rien, dans le protocole d'origine, n'empêche d'écrire n'importe quoi dans le champ expéditeur. Trois enregistrements DNS corrigent ça. SPF déclare quels serveurs ont le droit d'émettre pour votre domaine, DKIM signe cryptographiquement les messages, et DMARC dit au destinataire quoi faire quand l'un ou l'autre échoue, tout en imposant que le domaine vérifié soit bien celui que l'utilisateur voit. La commande qui révèle l'état réel de votre domaine tient en trois lignes, et tout le monde peut la lancer contre vous.

# Ce que le monde entier peut lire de votre posture anti-usurpation
dig +short TXT votreboite.fr | grep -i 'v=spf1'
dig +short TXT _dmarc.votreboite.fr
dig +short TXT selector1._domainkey.votreboite.fr

# Reponse typique d'un domaine encore ouvert a l'usurpation :
# "v=spf1 include:_spf.google.com ~all"
#   -> ~all = softfail : le message non autorise est accepte, juste marque
# "v=DMARC1; p=none; rua=mailto:dmarc@votreboite.fr"
#   -> p=none = mode observation : aucun message frauduleux n'est bloque

# La cible, une fois SPF et DKIM alignes et les rapports agreges relus :
# "v=spf1 include:_spf.google.com -all"
# "v=DMARC1; p=reject; rua=mailto:dmarc@votreboite.fr; pct=100"

Un p=none laissé en place pendant deux ans n'est pas une politique, c'est un projet abandonné. Tant que DMARC n'est pas en p=reject, n'importe qui peut envoyer un message dont le champ Fromaffiche votre domaine, et une bonne partie des destinataires le verra arriver en boîte de réception. Le passage en rejet est la mesure la moins chère de toute cette page : quelques jours de lecture de rapports agrégés pour recenser vos émetteurs légitimes, puis un changement d'une ligne dans votre zone DNS.

Usurpation d'identité du dirigeant : du faux profil au deepfake

Usurper une société est une chose, usurper une personne en est une autre, plus efficace, parce qu'une décision d'entreprise se prend toujours face à quelqu'un. Le matériau nécessaire est intégralement public : nom du dirigeant, mandat et date de nomination dans les annonces légales et sur les registres du commerce, photo et style d'écriture sur les réseaux professionnels, agenda de déplacements dans les annonces de conférences, voix et visage dans la moindre interview vidéo. Trente secondes d'audio propre suffisent aujourd'hui aux modèles de synthèse vocale grand public pour produire un clone convaincant au téléphone. La reconnaissance de ce corpus est un travail d'OSINT classique, mené entièrement à distance et sans laisser de trace chez vous.

Le faux profil est l'outil de base. Il sert à établir un premier contact crédible, à collecter des informations internes auprès de salariés flattés d'être approchés par la direction, ou à donner de l'épaisseur à une conversation qui basculera plus tard sur un autre canal. Sa détection tient à l'historique plus qu'au contenu : un compte créé récemment, un réseau de relations composé presque exclusivement de vos propres salariés, une photo qui remonte par recherche d'image inversée vers un autre profil ou une banque d'images. Les plateformes suppriment massivement ces comptes, LinkedIn publie un rapport de transparence semestriel où les faux comptes bloqués se comptent en dizaines de millions, mais le signalement individuel reste votre affaire.

Le deepfake change l'échelle du problème sans en changer la nature. Chez Arup, le rendu n'avait même pas besoin d'être parfait : le dernier réflexe de vérification était déjà tombé, puisque le salarié voyait son directeur financier à l'écran et se croyait donc au bout du contrôle. Le levier reste celui, très ancien, de l'ingénierie sociale, avec un accessoire nouveau. La conséquence pratique est contre-intuitive : la seule parade robuste n'est pas de mieux regarder l'image, c'est de sortir du canal. Un rappel sur un numéro connu à l'avance, jamais sur celui indiqué dans la conversation en cours.

Le faux fournisseur et le changement de RIB

Quatrième famille, la plus rentable et la moins spectaculaire. Un tiers se fait passer pour un prestataire que vous payez déjà et annonce de nouvelles coordonnées bancaires, souvent en reprenant une facture réelle et un fil de discussion existant, ce qui suppose qu'une boîte mail a fuité quelque part. La variante qui usurpe le dirigeant plutôt que le fournisseur porte le nom d'arnaque au président, et le détail de la chaîne d'attaque, les marqueurs de reconnaissance, le régime de remboursement bancaire et les contrôles qui la coupent y sont traités en entier.

La version la plus dangereuse de ce scénario ne repose sur aucune usurpation : l'attaquant écrit depuis la vraie boîte mail du vrai fournisseur, parce qu'il en a les identifiants. Aucun domaine voisin, aucun défaut d'alignement DMARC, aucun indice technique dans l'en-tête. C'est le point de contact direct entre ce sujet et celui des fuites de secrets et de credentials : un mot de passe exposé transforme une usurpation en simple connexion, et aucun contrôle sur l'expéditeur ne la détectera. Comment ce mot de passe atterrit chez le fraudeur, et pourquoi il est souvent rejoué à la chaîne sur d'autres services, relève du credential stuffing.

Comment détecter une usurpation d'identité avant vos clients

La préparation d'une usurpation laisse des traces publiques, et elles arrivent dans un ordre à peu près constant. Entre l'enregistrement du domaine et le premier message envoyé à vos clients, il s'écoule généralement plusieurs jours. Toute la question est de savoir si quelqu'un regarde pendant ce temps-là.

Les registres de Certificate Transparency sont le capteur le plus rentable de la liste, parce qu'ils sont exhaustifs par construction : une autorité de certification qui n'y publie pas voit ses certificats rejetés par les navigateurs. Surveiller les chaînes proches de votre marque dans ces journaux revient à lire par-dessus l'épaule de l'attaquant pendant qu'il s'équipe. La méthode, ses requêtes et ses limites sont détaillées dans Certificate Transparency et shadow IT, et la génération des variantes de noms à surveiller relève des mêmes outils que pour le typosquatting.

Trois autres sources se branchent au même endroit. Les dépôts de marque, d'abord : les demandes d'enregistrement sont publiées au BOPI pour la France et au bulletin de l'EUIPO pour l'Union, et vous disposez de deux mois à compter de la publication pour former opposition devant l'INPI, trois mois devant l'EUIPO. Ce délai est bref et ne se rattrape pas : sans surveillance, il passe. Les places de marché et les plateformes sociales, ensuite, où une recherche périodique de votre nom exact révèle les faux comptes et les fausses boutiques. Les forums et canaux fermés, enfin, où se revendent les accès et les kits de phishing prêts à l'emploi pour une marque donnée. Et gardez en tête que la matière première de tout ceci, organigrammes, adresses, formats de facture, provient souvent d'une fuite de données antérieure, la vôtre ou celle d'un partenaire.

Que faire en cas d'usurpation d'identité : l'ordre des opérations

L'erreur la plus fréquente consiste à envoyer le signalement en premier, par réflexe d'urgence, et à découvrir le lendemain que le site a disparu sans qu'il en reste autre chose qu'une capture d'écran floue. La preuve se constitue avant l'action.

Figer la preuve

Conservez le code source complet de la page frauduleuse et pas seulement son rendu, les en-têtes intégraux des messages reçus et pas des captures de la fenêtre de messagerie, les enregistrements DNS et le WHOIS du domaine au moment des faits, le certificat TLS et son entrée dans les journaux de transparence. Pour un préjudice sérieux, un constat établi par un commissaire de justice, selon la méthodologie de la norme AFNOR NF Z67-147 propre aux constats sur internet, a une valeur probatoire qu'une capture personnelle n'aura jamais. Il se commande en quelques heures.

Notifier l'hébergeur

C'est la voie la plus rapide, et de loin. Un hébergeur bénéficie d'un régime de responsabilité allégé posé par la LCEN du 21 juin 2004 et aujourd'hui articulé avec le règlement européen sur les services numériques (règlement (UE) 2022/2065, dit DSA), pleinement applicable depuis le 17 février 2024 : il n'est pas responsable des contenus qu'il stocke tant qu'il en ignore le caractère illicite, mais il doit agir promptement dès qu'il en a connaissance effective. Votre notification sert précisément à créer cette connaissance, ce qui explique son formalisme : l'article 16 du DSA énumère ce qu'un signalement doit contenir pour être recevable.

Objet : Notification de contenu illicite - https://votreboite-securite.com/login

1. LOCALISATION EXACTE
   URL(s) : https://votreboite-securite.com/login
   Adresse IP et date/heure de constatation, en heure de Paris.

2. EXPLICATION MOTIVEE DU CARACTERE ILLICITE
   Reproduction a l'identique de la page de connexion de votreboite.fr,
   marque verbale et figurative VOTREBOITE deposee a l'INPI sous le
   n° 4XXXXXX, classes 9 et 42.
   - contrefacon de marque : art. L.716-4 du code de la propriete intellectuelle
   - escroquerie / collecte frauduleuse d'identifiants : art. 313-1 du code penal
   - concurrence deloyale et parasitisme : art. 1240 du code civil

3. IDENTITE DU NOTIFIANT
   Raison sociale, SIREN, siege social, qualite du signataire,
   adresse electronique de contact.

4. DECLARATION DE BONNE FOI
   Je declare de bonne foi que les informations et allegations
   contenues dans la presente notification sont exactes et completes.

Pieces jointes : constat, captures horodatees, extrait INPI, WHOIS.

L'hébergeur s'identifie par le WHOIS de l'adresse IP du site, pas par celui du domaine, et son adresse de signalement est presque toujours abuse@. Envoyez en parallèle le même dossier au registrar du nom de domaine : depuis les amendements ICANN sur l'abus DNS entrés en vigueur en avril 2024, registrars et registres sont tenus de prendre des mesures promptes et raisonnables face à un signalement documenté de phishing. Et pendant que ces canaux traitent, coupez le trafic : déclaration de l'URL à Phishing Initiative et à Google Safe Browsing, signalement sur la plateforme PHAROS, et pour une campagne par SMS, transfert au 33700.

Récupérer le nom de domaine

Faire tomber la page et récupérer le nom sont deux objectifs distincts. Pour un .fr, la procédure SYRELI de l'AFNIC, fondée sur l'article L.45-2 du code des postes et des communications électroniques, tranche en environ deux mois. Pour un .com ou tout autre gTLD, c'est l'UDRP, administrée notamment par le centre d'arbitrage de l'OMPI, avec trois conditions cumulatives à démontrer et un ordre de grandeur de 1 500 dollars. Le détail des deux procédures, leurs conditions et leurs délais, est développé dans l'article sur le cybersquattage et ses recours.

Le volet pénal : articles 226-4-1 et 313-1 du code pénal

L'article 226-4-1 du code pénal, introduit par la loi du 14 mars 2011, punit d'un an d'emprisonnement et de 15 000 euros d'amende le fait d'usurper l'identité d'un tiers ou de faire usage de données permettant de l'identifier, en vue de troubler sa tranquillité ou celle d'autrui, ou de porter atteinte à son honneur ou à sa considération. Le second alinéa précise que les mêmes peines s'appliquent lorsque les faits sont commis sur un réseau de communication au public en ligne. C'est le texte qui vise le plus directement le faux profil d'un dirigeant, puisque celui-ci est une personne physique parfaitement identifiée.

On lit souvent l'inverse, alors autant le poser franchement : la rédaction de l'article vise "un tiers", notion dont l'application aux personnes morales n'est pas la plus établie du contentieux publié. Quand la victime est la société elle-même et non son dirigeant, les qualifications qui portent le mieux sont ailleurs. L'article 313-1 du code pénal définit l'escroquerie comme le fait de tromper une personne physique ou morale par l'usage d'un faux nom ou d'une fausse qualité, ou par des manœuvres frauduleuses, et de la déterminer ainsi à remettre des fonds ou à fournir un service : cinq ans d'emprisonnement et 375 000 euros d'amende, dix ans et un million d'euros en bande organisée. S'y ajoutent, si votre marque est déposée, l'action en contrefaçon de l'article L.716-4 du code de la propriété intellectuelle, et la concurrence déloyale ou le parasitisme sur le fondement de l'article 1240 du code civil.

Sur la forme, une entreprise dépose plainte auprès d'un service de police ou de gendarmerie, ou par courrier au procureur de la République du tribunal judiciaire compétent. Attention à une confusion fréquente : le dispositif de plainte en ligne Thésée, dédié aux escroqueries commises sur internet, ne reçoit que les plaintes de particuliers. Une personne morale n'y a pas accès et doit passer par la voie classique.

Ce qui se met en place avant l'incident

Presque tous ces leviers dépendent de décisions prises avant l'attaque. Sans marque déposée, votre notification à l'hébergeur perd son argument le plus solide et l'UDRP vous est fermée. Sans DMARC en rejet, l'attaquant n'a même pas besoin d'acheter un domaine. Sans liste de contacts abuse préparée et sans modèle de notification prêt, vous perdez la première journée à chercher à qui écrire, et c'est précisément la journée qui compte.

Le dépôt défensif des variantes évidentes de votre nom, les extensions principales et les deux ou trois fautes de frappe les plus probables, coûte quelques dizaines d'euros par an et par domaine. Il ne couvre pas l'espace combinatoire complet et n'en a pas l'ambition : il élimine les squats paresseux et laisse à la surveillance continue les cas qui la méritent. Ajoutez-y une procédure de rappel hors bande pour tout virement au-delà d'un seuil et pour tout changement de coordonnées bancaires, écrite, signée, connue de trois personnes, y compris et surtout quand la demande vient d'en haut. C'est le contrôle qui aurait arrêté la fraude d'Arup, et il ne coûte rien d'autre qu'une réunion.

Questions fréquentes sur l'usurpation d'identité d'entreprise

À retenir

• L'usurpation d'identité d'entreprise recouvre quatre vecteurs qui n'ont pas le même interlocuteur : la marque (hébergeur), le domaine (registrar), le dirigeant (plateforme et parquet), le fournisseur (votre banque, immédiatement).
• DMARC en p=reject ferme l'usurpation de votre propre domaine et rien d'autre. Un domaine voisin correctement configuré passe toutes les vérifications d'authentification : il faut le détecter, pas le filtrer.
• La préparation laisse des traces publiques dans un ordre stable : dépôt du domaine, certificat visible en Certificate Transparency, MX actif, clone en ligne, puis campagne. La fenêtre utile se compte en jours.
• On fige la preuve avant de signaler. Code source, en-têtes complets, WHOIS, certificat, et un constat de commissaire de justice quand le préjudice le justifie.
• Le retrait passe par une notification motivée à l'hébergeur au format de l'article 16 du DSA, doublée du registrar et des listes de blocage. La récupération du nom relève de SYRELI pour un .fr, de l'UDRP pour un gTLD.
• Au pénal, 226-4-1 vise l'usurpation d'identité, 313-1 l'escroquerie quand elle a fait sortir de l'argent, et l'article L.716-4 du code de la propriété intellectuelle la contrefaçon de marque. Thésée est réservé aux particuliers.

Combien de noms de domaine imitent le vôtre à cette heure, combien ont déjà un certificat valide, combien ont un MX prêt à recevoir les réponses de vos clients. Ces trois questions ont une réponse mesurable, et c'est ce que surveille en continu notre plateforme de gestion de surface d'attaque externe. La quatrième, celle qui décide du reste, n'a pas de tableau de bord : elle demande à qui, chez vous, incombe d'écrire la notification à l'hébergeur le jour où il faudra le faire en trois heures. Un humain répond sur la page contact.