Les fraudes par usurpation d’identité par e-mail se sont affinées. Les messages ne comportent plus forcément de fautes grossières, et les cybercriminels savent reproduire le ton d’un dirigeant, d’un fournisseur ou d’un collaborateur. Avec l’essor des outils d’intelligence artificielle, quelques informations publiques suffisent parfois à créer une demande de virement, une fausse facture ou une sollicitation urgente très convaincante. Pour une entreprise, sécuriser les échanges électroniques suppose donc d’associer technologie, procédures internes et vigilance humaine.
Les fraudes par e-mail ciblent désormais les habitudes de l’entreprise
L’usurpation d’identité consiste à se faire passer pour une personne ou une organisation légitime afin d’obtenir de l’argent, des données ou un accès à un système informatique. Les fraudeurs exploitent les relations de confiance déjà établies entre l’entreprise et ses interlocuteurs.
La fraude au président reste l’un des scénarios les plus connus. Un salarié reçoit un e-mail semblant provenir de la direction, souvent avec une demande confidentielle et urgente de transfert bancaire. D’autres campagnes visent les équipes comptables en imitant un fournisseur qui annonce un changement de coordonnées bancaires.
Les attaques actuelles reposent aussi sur le détournement de conversations réelles. Après avoir compromis une boîte mail, un pirate peut lire les échanges, répondre au bon moment et insérer ses propres coordonnées de paiement. Le message arrive alors dans un fil de discussion existant, avec les noms, les références et le contexte attendus.
Les deepfakes vocaux renforcent ce risque. Un appel qui semble venir d’un responsable peut accompagner l’e-mail frauduleux et pousser un collaborateur à agir sans procéder aux vérifications habituelles.
L’authentification du domaine réduit les risques d’usurpation
La sécurité d’un e-mail professionnel commence par la protection du nom de domaine. Sans mécanisme d’authentification, un fraudeur peut facilement envoyer des messages en affichant une adresse ressemblant à celle de votre entreprise.
SPF, DKIM et DMARC doivent être configurés ensemble
Trois protocoles forment la base de l’authentification des e-mails:
- SPF autorise certains serveurs à envoyer des messages au nom de votre domaine;
- DKIM ajoute une signature cryptographique permettant de vérifier l’intégrité du message;
- DMARC définit la politique à appliquer lorsqu’un e-mail échoue aux contrôles SPF ou DKIM, et permet de recevoir des rapports.
Une configuration DMARC progressive est souvent préférable. Vous pouvez commencer par surveiller les rapports, identifier les services légitimes qui envoient des e-mails pour votre compte, puis appliquer une mise en quarantaine et, enfin, un rejet des messages non conformes.
Cette démarche limite l’envoi de faux messages depuis votre propre domaine, tout en révélant les plateformes, outils marketing ou prestataires dont la configuration doit être corrigée.
Les domaines ressemblants doivent être surveillés
Les escrocs enregistrent fréquemment des domaines très proches de celui d’une entreprise: une lettre remplacée, un tiret ajouté ou une extension différente. Par exemple, entreprise-fr.com peut être confondu avec entreprises-fr.com dans une lecture rapide.
Surveillez les enregistrements de domaines proches de votre marque et mettez en place des alertes lorsque votre nom est utilisé dans des campagnes suspectes. Pour les structures exposées, l’achat préventif de certaines variantes peut aussi réduire les opportunités d’imitation.
Les demandes sensibles doivent suivre une procédure indépendante
Aucun filtre antispam ne bloque toutes les fraudes. Lorsqu’un e-mail demande un paiement, une modification de RIB, la transmission de documents confidentiels ou la création d’un accès informatique, la réponse ne doit jamais reposer sur le seul contenu du message.
La vérification par un second canal constitue une protection efficace. Si un fournisseur annonce de nouvelles coordonnées bancaires, appelez-le au numéro enregistré dans votre annuaire interne ou sur un contrat existant, pas au numéro mentionné dans l’e-mail reçu. Si la direction demande un virement exceptionnel, utilisez un circuit d’approbation distinct et joignez le responsable sur un canal connu.
Pour les virements, définissez des seuils et une séparation des rôles. La personne qui saisit l’ordre ne devrait pas être seule à le valider. Une procédure écrite peut prévoir une validation renforcée pour les nouveaux bénéficiaires, les paiements internationaux ou les montants inhabituels.
Ces règles doivent s’appliquer même lorsqu’un message semble provenir d’un dirigeant. L’urgence, la confidentialité excessive et la pression hiérarchique figurent parmi les leviers les plus utilisés par les fraudeurs.
Les comptes de messagerie doivent être protégés au-delà du mot de passe
Un mot de passe robuste reste utile, mais il ne suffit plus face aux pages de connexion frauduleuses et aux vols de cookies de session. Activez l’authentification multifacteur sur toutes les boîtes professionnelles, en priorité pour les administrateurs, la direction, la finance et les ressources humaines.
Les clés de sécurité physiques ou les méthodes résistantes au phishing offrent une protection supérieure aux codes reçus par SMS. Lorsqu’elles sont disponibles dans votre environnement de messagerie, privilégiez-les pour les comptes les plus sensibles.
Limitez également les accès:
- supprimez sans délai les comptes des salariés partants;
- contrôlez les délégations de boîtes mail et les règles de transfert automatique;
- examinez les applications tierces ayant accès à la messagerie;
- appliquez le principe du moindre privilège aux administrateurs;
- conservez des journaux de connexion et d’activité.
Un pirate qui obtient l’accès à une boîte mail crée souvent une règle discrète pour transférer certains messages vers une adresse externe ou masquer les réponses de victimes. La détection régulière de ces règles est donc nécessaire.
La sensibilisation doit reproduire les situations réelles
Les équipes repèrent mieux une fraude lorsqu’elles connaissent les indices concrets: adresse de réponse différente, demande inhabituelle, lien raccourci, pièce jointe inattendue, changement soudain d’IBAN ou formulation destinée à créer une pression.
Organisez des sessions courtes et récurrentes plutôt qu’une formation unique. Des simulations de phishing, menées avec pédagogie, aident à mesurer les réflexes sans culpabiliser les collaborateurs. Chaque signalement doit recevoir une réponse rapide afin de maintenir la confiance dans le dispositif.
Créez une adresse ou un bouton de signalement simple, par exemple « Signalement phishing ». Le service informatique ou le prestataire de cybersécurité pourra analyser le message, bloquer les domaines malveillants et avertir les personnes potentiellement ciblées.
Une réponse rapide limite les conséquences d’une compromission
Lorsqu’un e-mail suspect a été ouvert ou qu’une action a été réalisée, chaque minute compte. Le collaborateur doit savoir qui prévenir et quelles informations transmettre: copie du message, heure de réception, liens ouverts, pièces jointes téléchargées et actions effectuées.
En cas de compte compromis, changez les identifiants, révoquez les sessions actives, vérifiez les règles de messagerie, analysez les connexions et prévenez les contacts concernés. Si un virement frauduleux a été exécuté, contactez immédiatement la banque afin de tenter un rappel des fonds.
Pour retenir l’essentiel:
- authentifiez votre domaine avec SPF, DKIM et DMARC;
- imposez une validation externe pour tout changement bancaire ou paiement atypique;
- protégez les comptes avec une authentification multifacteur robuste;
- surveillez les règles de transfert, les accès tiers et les connexions anormales;
- formez régulièrement les équipes et simplifiez le signalement des messages suspects;
- préparez un protocole d’incident connu de tous.
Renforcer durablement la confiance dans vos échanges professionnels
La sécurité des e-mails professionnels repose sur plusieurs barrières complémentaires. Les protections techniques réduisent les tentatives d’usurpation, les procédures empêchent qu’un message isolé déclenche une décision coûteuse, et les collaborateurs deviennent capables de détecter puis signaler les anomalies. En combinant ces pratiques, votre entreprise réduit fortement son exposition aux fraudes les plus sophistiquées.