Fraude BEC ou fraude de PDG : comment cela fonctionne-t-il ?
Published on October 23, 2025
La fraude BEC (Business Email Compromise), également connue sous le nom de fraude au PDG, est une escroquerie dans laquelle un attaquant se fait passer pour une personne de confiance au sein de l’entreprise afin de convaincre quelqu’un — généralement issu de l’administration, des finances ou de la direction — d’effectuer un virement, de partager des informations sensibles ou de modifier des données bancaires.
Contrairement à d’autres attaques, celle-ci n’implique généralement ni virus, ni fichier suspect, ni lien étrange. L’arme principale est la tromperie : un e-mail qui semble légitime, un ton convaincant et une situation d’urgence qui incite à agir sans trop réfléchir.
Comment agissent les attaquants
Une attaque BEC suit généralement ce schéma :
Ils étudient l’entreprise et ses personnes clés --> Ils analysent les rôles, les hiérarchies, les fournisseurs et les routines.
Ils usurpent une identité --> Ils peuvent créer un domaine presque identique à l’original ou même accéder à un compte légitime en volant des identifiants.
Ils élaborent un message crédible et urgent --> L’e-mail demande habituellement un virement, un changement de compte bancaire ou une action sensible qui « ne peut pas attendre ».
Ils cherchent à contourner les procédures internes --> Leur objectif est que la victime agisse seule, sans vérifier avec quelqu’un d’autre.
Une fois le paiement effectué, l’argent disparaît --> Normalement, ils détournent les fonds vers des comptes à l’étranger et les font circuler plusieurs fois pour en dissimuler la trace.
Signaux d’alerte courants
Un e-mail susceptible de faire partie d’une fraude BEC comporte généralement des éléments tels que :
- Des demandes urgentes qui contournent les processus et les contrôles établis
- Des changements inattendus dans les comptes bancaires
- Des messages sollicitant la confidentialité ou autorité
- Des erreurs subtiles dans l’adresse de l’expéditeur ou dans le domaine
- Des instructions qui ne sont pas habituellement communiquées par e-mail
Si quelque chose semble étrange, c’est probablement le cas.
Comment protéger votre entreprise contre la fraude BEC
Pour éviter de tomber dans ce type d’arnaques, il est essentiel de combiner une technologie avancée, une formation adéquate et des procédures internes robustes :
- Utiliser des solutions avancées de sécurité des e-mails (Microsoft Defender for Office 365, Google Workspace ATP, Proofpoint, Mimecast ou Barracuda).
- Configurer correctement SPF, DKIM et DMARC.
- Former les employés et organiser régulièrement des simulations de phishing.
- Surveiller et enquêter sur les activités suspectes grâce à des outils SIEM et SOAR.
- Vérifier toute commande de paiement ou modification financière via un canal alternatif.
- Mettre en place une double validation pour les paiements afin d’éviter qu’une seule personne puisse approuver une opération complète.
NEVERHACK : votre partenaire de performance cyber
La fraude BEC ne repose pas sur la pénétration des systèmes, mais sur l’exploitation des individus. C’est ce qui la rend à la fois efficace et extrêmement dangereuse. La bonne nouvelle est qu’avec les outils appropriés, des procédures claires et une culture interne fondée sur une méfiance saine à l’égard des e-mails, il est possible de réduire drastiquement ce risque.
Si vous souhaitez obtenir davantage d’informations sur la manière de mettre en œuvre des solutions similaires dans votre organisation, n’hésitez pas à nous contacter !
Auteur : Adrián Jimeno Romano, Consultant en Cybersécurité chez NEVERHACK