La compromission de la messagerie professionnelle (BEC) est une catégorie distincte de criminalité financière, et non une simple variante de l’hameçonnage ciblant les cadres dirigeants. L’hameçonnage réussit en incitant une personne à cliquer sur un élément sur lequel elle ne devrait pas cliquer. La compromission de la messagerie professionnelle fonctionne sans tout cet attirail : l’attaque entière repose sur un e-mail soigneusement documenté demandant à une personne ciblée d’effectuer une action tout à fait plausible dans le cadre d’une journée de travail ordinaire. Les incidents les plus importants peuvent atteindre des montants à six chiffres en un seul virement, et le temps que quiconque s’en aperçoive, les fonds ont généralement déjà quitté le pays.
Aucun des signaux qu’un filtre anti-hameçonnage ou un employé bien formé chercherait habituellement à repérer n’est détecté. C’est ce qui distingue la compromission de la messagerie professionnelle de l’hameçonnage ordinaire, et c’est la raison pour laquelle la sensibilisation générale à l’hameçonnage ne suffit pas à l’arrêter. Nous allons vous montrer comment repérer la compromission de la messagerie professionnelle et protéger votre organisation.
Qu’est-ce que la compromission de la messagerie professionnelle ?
La compromission de la messagerie professionnelle est une attaque ciblée dans laquelle un cybercriminel usurpe l’identité d’une personne de confiance de la cible, généralement un cadre dirigeant, un fournisseur ou un collègue, et demande un virement bancaire, une modification des coordonnées bancaires ou des identifiants sensibles.
En général, aucun logiciel malveillant(nouvelle fenêtre) ni lien suspect n’est utilisé. Ce qui change, c’est la méthode employée pour usurper l’identité de l’expéditeur, et les attaquants disposent de plus d’options qu’on ne le pense généralement :
- Domaines similaires : l’attaquant enregistre un domaine presque identique au véritable domaine, en remplaçant une lettre ou en ajoutant un trait d’union, et compte sur le fait que personne ne lira l’adresse avec attention.
- Usurpation du nom d’affichage : le nom d’affichage de l’expéditeur est configuré pour correspondre à la personne de confiance — « John Smith » — tandis que la véritable adresse n’a aucun rapport. De nombreux clients de messagerie mobiles n’affichent par défaut que le nom d’affichage, si bien que la véritable adresse n’apparaît jamais à l’écran.
- Usurpation d’en-tête : le protocole SMTP qui achemine les e-mails ne vérifie pas l’en-tête « De » par lui-même, ce qui permet à un attaquant d’envoyer un message prétendant provenir de la véritable adresse sans jamais en avoir le contrôle. La remise du message dans la boîte de réception dépend alors des vérifications d’authentification du domaine du destinataire.
- Manipulation de l’adresse de réponse : l’adresse d’expédition visible paraît légitime, mais une adresse de réponse différente est configurée, de sorte que dès que la cible clique sur « Répondre », la conversation est discrètement redirigée vers l’attaquant.
- Compromission de compte : l’attaquant accède à un compte de messagerie authentique et envoie la demande directement depuis celui-ci.
La dernière de ces méthodes, la compromission de compte, est la plus difficile à détecter, car l’e-mail ne présente techniquement aucune anomalie. Il provient de la véritable adresse, sur le véritable domaine de messagerie personnalisé, et peut même s’inscrire dans la continuité d’un fil de discussion que la cible a déjà vu.
Comment fonctionne la compromission de la messagerie professionnelle
Les attaques par compromission de la messagerie professionnelle sont minutieusement préparées et non improvisées, et c’est dans cette phase de préparation que réside l’essentiel des efforts du cybercriminel.
Recherche
Tout commence par une phase de reconnaissance : les profils LinkedIn révèlent qui occupe quel poste et qui rend compte à qui, les communiqués de presse de l’entreprise annoncent des fusions, des levées de fonds ou de nouveaux partenariats avec des fournisseurs, et une réponse automatique d’absence peut fournir à l’attaquant l’information dont il a le plus besoin : la confirmation que le cadre dirigeant est actuellement injoignable.
Choix de la cible
L’attaquant passe ensuite à la sélection de la cible. Tous les employés ne sont pas utiles dans le cadre d’une tentative de compromission de messagerie professionnelle ; la cible doit disposer du pouvoir d’effectuer des virements ou de modifier des coordonnées de paiement, ce qui restreint généralement le champ aux services financiers, à la comptabilité fournisseurs, aux RH ou à la paie.
Début de l’usurpation d’identité
Une fois la cible et un scénario plausible choisis, l’usurpation d’identité commence, soit par le biais d’un domaine similaire usurpé, soit via une boîte de réception réellement compromise, en reproduisant fidèlement le ton, la signature et le niveau de formalité de l’expéditeur légitime.
Prise de contact
L’attaquant entre en contact avec un collaborateur de l’entreprise en formulant une demande urgente. Il peut s’agir d’une acquisition devant être finalisée le jour même, d’un auditeur réclamant des chiffres immédiatement ou d’un collègue en difficulté qui ne parvient pas à joindre qui que ce soit par téléphone.
Généralement, la demande porte sur un virement bancaire, une modification de coordonnées bancaires ou la transmission d’identifiants de connexion, présentée comme une procédure normale à exécuter sans poser de questions.
Quatre scénarios fréquents de compromission de la messagerie professionnelle
Voici quelques-unes des tactiques de compromission de la messagerie professionnelle les plus fréquemment utilisées par les attaquants.
La fraude au président
Un e-mail semble provenir du PDG, du directeur général ou d’un autre dirigeant, demandant à un membre de l’équipe financière d’effectuer un paiement urgent, souvent confidentiel. Le statut hiérarchique apparent de l’expéditeur joue un rôle déterminant, car peu d’employés osent remettre en question une demande émanant de la direction.
La fraude à la facture
Un fournisseur avec lequel l’entreprise collabore déjà semble signaler un changement de coordonnées bancaires, généralement au moment même où une véritable facture arrive à échéance. Comme il existe une relation commerciale authentique et un paiement légitime en attente, ce cas de figure est souvent le plus difficile à repérer pour l’équipe financière, et il est à l’origine de certaines des pertes financières les plus lourdes enregistrées par les entreprises.
Le détournement de salaire
Un e-mail usurpant l’identité d’un employé, ou parfois du service RH lui-même, demande au service de paie de mettre à jour ses coordonnées bancaires avant le prochain versement des salaires. La demande est suffisamment anodine et courante pour ne susciter aucune méfiance, ce qui explique son efficacité.
Usurpation d’identité du support informatique
Un message prétendant provenir du service informatique interne ou d’un centre d’assistance invite un employé à confirmer un mot de passe ou à valider une invite de connexion avant une mise à jour système. Contrairement aux trois autres scénarios, celui-ci ne vise pas directement de l’argent, mais cherche à dérober des identifiants facilitant la mise en œuvre de toutes les autres formes de compromission de la messagerie professionnelle.
Le coût réel de la compromission de la messagerie professionnelle
Les pertes liées à la compromission de la messagerie professionnelle sont comptabilisées différemment de la fraude classique par carte bancaire, ce qui explique en partie pourquoi l’ampleur du problème est facilement sous-estimée. L’Internet Crime Complaint Center du FBI a recensé 2,77 milliards de dollars(nouvelle fenêtre) de pertes dues à la compromission de la messagerie professionnelle pour 21 442 incidents signalés en 2024, et son décompte global estime le préjudice mondial à plus de 55 milliards de dollars(nouvelle fenêtre) au cours de la dernière décennie. Cependant, les moyennes masquent la réalité du phénomène. Les affaires les plus médiatisées montrent l’ampleur des sommes qu’un seul e-mail bien conçu peut détourner.
Entre 2013 et 2015, un escroc lituanien a soutiré à Facebook et Google un montant combiné de 121 millions de dollars(nouvelle fenêtre) à l’aide de fausses factures émanant d’une société usurpant l’identité de Quanta Computer, un fournisseur de matériel informatique avec lequel les deux entreprises travaillaient réellement. Les factures correspondant à une relation commerciale existante, les équipes comptables les ont réglées sans interruption pendant deux ans.
En 2016, le fournisseur aéronautique autrichien FACC a été la cible d’un e-mail usurpant l’identité de son PDG de l’époque, qui demandait un virement d’environ 50 millions d’euros(nouvelle fenêtre) dans le cadre d’un prétendu projet d’acquisition — précisément le prétexte évoqué au début de cet article. L’entreprise a pu bloquer une partie du virement après avoir découvert la fraude, mais le reste n’a jamais été récupéré.
Ces affaires illustrent une forme de cybercriminalité qui se distingue nettement des statistiques habituelles de l’hameçonnage. L’hameçonnage se mesure en volume : des millions d’e-mails quasi identiques, dont la grande majorité est interceptée par un filtre avant même d’être vue.
La compromission de la messagerie professionnelle se mesure en incidents ciblés, chacun étant conçu autour d’une seule cible et d’un seul paiement, et chacun pouvant causer plus de dégâts en un seul après-midi qu’un millier d’e-mails d’hameçonnage bloqués.
Toute organisation ayant déjà effectué un virement bancaire ou modifié les coordonnées bancaires d’un fournisseur devrait considérer cela comme un risque financier bien réel et signaler tout incident suspect à son centre national de signalement des fraudes, l’IC3 du FBI aux États-Unis, Action Fraud au Royaume-Uni ou les organismes équivalents dans d’autres pays.
Les mesures de contrôle réellement efficaces contre la compromission de la messagerie professionnelle
Puisque la compromission de la messagerie professionnelle contourne les signaux d’alerte techniques sur lesquels repose la formation à l’hameçonnage, les contrôles permettant de la stopper sont également différents. La sensibilisation est utile, mais les défenses réellement solides sont d’ordre procédural et technique, et ne reposent pas seulement sur une lecture plus attentive des e-mails par les employés.
La double autorisation
La double autorisation pour tout paiement supérieur à un certain seuil doit être obligatoire, et non une simple précaution appliquée occasionnellement. L’approbation d’une seule personne ne devrait jamais suffire pour transférer une somme d’argent importante, peu importe le statut de l’émetteur de la demande ou son degré d’urgence apparent.
La vérification par rappel téléphonique
La vérification par rappel téléphonique comble les failles qu’un simple e-mail ne peut combler. Toute demande de modification de coordonnées bancaires ou de déblocage d’un paiement doit être confirmée par téléphone, à l’aide d’un numéro déjà enregistré dans vos fichiers et jamais de celui fourni dans l’e-mail, car un numéro transmis par l’attaquant vous mettrait directement en relation avec lui.
Réexaminer les procédures d’approbation des paiements
L’examen régulier des procédures d’approbation des paiements contribue également à réduire durablement le risque de compromission de la messagerie professionnelle. Au fur et à mesure qu’une entreprise se développe, des exceptions temporaires et des raccourcis informels s’intègrent souvent dans les opérations quotidiennes sans que personne ne remette en cause leur pertinence. Réexaminer les personnes autorisées à valider les paiements, la manière dont les modifications de coordonnées bancaires sont approuvées et les transactions nécessitant une vérification supplémentaire permet de s’assurer que les contrôles financiers restent adaptés au niveau de risque actuel de l’organisation. Même les procédures les mieux conçues perdent de leur efficacité si elles ne sont pas réévaluées à mesure que l’entreprise évolue.
L’authentification des e-mails
L’authentification technique des e-mails est un élément clé de la sécurité des e-mails et joue ici un rôle capital, bien plus que pour la plupart des attaques d’hameçonnage classiques, car la compromission de la messagerie professionnelle repose fréquemment sur l’usurpation du domaine propre de l’organisation pour se faire passer pour ses dirigeants.
Le protocole DMARC, associé à SPF et DKIM, indique aux serveurs de messagerie récepteurs la marche à suivre pour les messages qui échouent à l’authentification avec votre domaine, ce qui complique considérablement la tâche d’un attaquant souhaitant envoyer un e-mail semblant provenir de votre propre PDG.
Une culture de sécurité ouverte
Rien de tout cela ne fonctionne sans une culture d’entreprise adaptée : il doit toujours être acceptable de marquer une pause et de vérifier une demande, peu importe qui semble en être l’émetteur. Les employés qui craignent de paraître peu coopératifs ou méfiants envers un supérieur hiérarchique sont précisément ceux que ciblent les tentatives de compromission de la messagerie professionnelle, et cette crainte ne disparaît que lorsque la direction rappelle clairement et régulièrement que la vérification d’une demande inhabituelle est un comportement attendu et non un acte de déloyauté.
Comment repérer les signaux d’alerte d’une tentative de compromission de la messagerie professionnelle
La compromission de la messagerie professionnelle s’accompagne rarement de signaux d’alerte techniques évidents. L’e-mail peut provenir d’une adresse familière, faire référence à un projet réel et adopter un ton conforme aux échanges habituels. C’est pourquoi le contexte de la demande est souvent bien plus révélateur que l’e-mail lui-même.
Plusieurs schémas reviennent fréquemment lors des enquêtes sur les compromissions de messagerie professionnelle. Une demande qui contourne les procédures normales d’approbation doit toujours éveiller les soupçons. Il en va de même pour des consignes inhabituelles de confidentialité autour d’un paiement, la modification des coordonnées bancaires d’un fournisseur peu avant l’échéance d’une facture ou des demandes reçues alors qu’un dirigeant est en déplacement et difficile à joindre. Les attaquants exploitent délibérément des situations où les employés sont moins susceptibles de vérifier la demande par un autre canal.
De légères variations dans le style de communication peuvent également constituer des indices. Un dirigeant qui délègue habituellement les validations financières peut soudainement demander un paiement en personne. Un fournisseur qui échange d’ordinaire par l’intermédiaire d’un responsable de compte peut envoyer des instructions bancaires depuis une autre adresse. Aucun de ces signes ne prouve à lui seul une attaque, mais ils doivent inciter à une vérification supplémentaire avant tout transfert de fonds ou modification de coordonnées bancaires.
La démarche la plus sûre consiste à traiter les demandes financières inhabituelles comme des exceptions aux procédures habituelles plutôt que comme des urgences à régler dans l’immédiat. Un simple appel téléphonique à un numéro vérifié ou une confirmation via un canal de communication interne officiel peut éviter une perte financière dont la récupération prendrait des semaines ou des mois.
En quoi les identifiants facilitent-ils la compromission de la messagerie professionnelle ?
Toutes les tentatives de compromission de messagerie professionnelle ne reposent pas sur un nom de domaine similaire usurpé. Parfois, elles débutent par un compte de messagerie réellement compromis, auquel l’attaquant s’est connecté à l’aide d’un mot de passe déjà divulgué lors d’une fuite antérieure.
Une fois à l’intérieur, les attaquants n’ont plus rien besoin d’imiter. Ils peuvent lire les anciens fils de discussion, reproduire le ton et la mise en page à l’identique, et envoyer la demande frauduleuse depuis une adresse qui valide tous les contrôles d’authentification, puisqu’il s’agit bel et bien du véritable compte de l’expéditeur.
C’est ici que la rigueur en matière de mots de passe et la prévention des compromissions de messagerie professionnelle se rejoignent. L’Observatoire des fuites de données de Proton surveille la fréquence à laquelle les identifiants d’entreprise apparaissent dans des bases de données criminelles, bien avant que quiconque au sein de l’organisation concernée ne s’en rende compte, et la compromission de compte est précisément la conséquence directe de ces données exposées.
Une messagerie professionnelle sécurisée, des mots de passe uniques pour chaque compte et l’authentification multifacteur (MFA) garantissent qu’un mot de passe divulgué lors d’une fuite de données ne pourra pas être réutilisé pour accéder à une boîte de réception et lancer une tentative de compromission de messagerie depuis l’intérieur.
Un gestionnaire de mots de passe pour les entreprises tel que Proton Pass for Business permet d’appliquer facilement cette exigence à l’échelle de toute l’organisation, au lieu de compter sur la capacité de chaque employé à ne pas réutiliser ses mots de passe. Lorsque les identifiants sont générés et stockés correctement, les vulnérabilités face aux fuites de données et aux piratages de compte sont considérablement réduites.
Protégez vos comptes professionnels contre la compromission grâce à un gestionnaire de mots de passe professionnel sécurisé.
