Fraude BEC ou fraude du PDG : comment cela fonctionne-t-il ?
Published on October 23, 2025
La fraude BEC (Business Email Compromise), également connue sous le nom de fraude du PDG, est une escroquerie dans laquelle un attaquant se fait passer pour une personne de confiance au sein de l’entreprise afin de convaincre quelqu’un — normalement du service administratif, financier ou de direction — d’effectuer un virement, de partager des informations sensibles ou de modifier des données bancaires.
Contrairement à d’autres attaques, il n’y a généralement pas de virus, de fichier suspect ni de lien étrange. L’arme principale est la tromperie : un courriel qui semble légitime, un ton convaincant et une situation d’urgence qui incite à agir sans trop réfléchir.
Comment agissent les attaquants
Une attaque BEC suit généralement ce schéma :
Ils étudient l’entreprise et ses personnes clés --> Ils analysent les rôles, les hiérarchies, les fournisseurs et les habitudes.
Ils se font passer pour une identité --> Ils peuvent créer un domaine presque identique au véritable ou même accéder à un compte légitime en volant des identifiants.
Ils créent un message crédible et urgent --> Le courriel demande généralement un virement, un changement de compte bancaire ou une action sensible « qui ne peut pas attendre ».
Ils cherchent à contourner les procédures internes --> Leur objectif est que la victime agisse seule, sans vérifier avec personne d’autre.
Une fois le paiement effectué, l’argent disparaît --> Normalement, il est détourné vers des comptes à l’étranger et transféré à plusieurs reprises pour en dissimuler la trace.
Signaux d'alerte habituels
Un courriel susceptible de faire partie d’une fraude BEC comporte généralement les éléments suivants :
- Des demandes urgentes qui contournent les processus et contrôles internes
- Des changements inattendus dans les comptes bancaires
- Des messages qui invoquent la confidentialité ou l’autorité
- Des erreurs subtiles dans l’adresse de l’expéditeur ou dans le domaine
- Des instructions qui ne sont pas habituellement communiquées par courriel
Si quelque chose vous semble étrange, c’est probablement le cas.
Comment protéger votre entreprise contre la fraude BEC
Pour éviter de tomber dans ce type d’escroquerie, il est nécessaire de combiner technologie, formation et procédures internes solides :
- Utiliser des solutions avancées de sécurité des emails (Microsoft Defender for Office 365, Google Workspace ATP, Proofpoint, Mimecast ou Barracuda)
- Configurer correctement SPF, DKIM et DMARC
- Former les employés et réaliser périodiquement des simulations de phishing
- Surveiller et enquêter sur les activités suspectes grâce à des outils SIEM et SOAR
- Vérifier toute instruction de paiement ou changement financier par un canal alternatif
- Appliquer une double validation des paiements afin qu’une seule personne ne puisse pas approuver une opération en entier
NEVERHACK : your cyber performance partner
La fraude BEC ne repose pas sur la vulnérabilité des systèmes, mais sur celle des personnes. C’est ce qui la rend à la fois si efficace et si dangereuse. La bonne nouvelle est qu’avec les outils adaptés, des procédures claires et une culture interne de méfiance saine envers les courriels, il est possible de réduire drastiquement ce risque.
Pour obtenir plus d’informations sur la mise en œuvre de solutions similaires dans votre organisation, n’hésitez pas à nous contacter !
Auteur : Adrián Jimeno Romano, Cybersecurity Consultant chez NEVERHACK