Stop-ArnaquePrévention · Suisse
Se connecter

PME et indépendants : les arnaques à connaître

Chaque fiche suit la même structure : ce que c'est, comment elle se présente, les signaux d'alerte, et ce qu'il faut faire.

À retenir

Les fraudes visant les entreprises ne s'attaquent pas aux systèmes informatiques mais aux procédures de paiement. Elles exploitent la hiérarchie, l'urgence et l'absence de contrôle croisé. La parade n'est pas technique : c'est une règle écrite, connue de tous, qui impose une vérification par un second canal avant tout virement.

La cible n'est pas le système, c'est la procédure

Ces fraudes ne demandent aucune intrusion. Elles observent le fonctionnement d'une entreprise — qui paie, qui valide, qui est absent cette semaine — puis s'insèrent dans une opération parfaitement normale. Aucun antivirus ne les arrête, parce qu'il n'y a rien à détecter.

Une petite structure est particulièrement exposée : les rôles s'y cumulent, les décisions vont vite, et un ordre venu de la direction ne se discute pas.

Les trois formes les plus courantes

  • L'ordre venu de la direction : un message pressant, confidentiel, souvent pendant une absence, demandant un virement urgent et discret.
  • Le changement de coordonnées bancaires d'un fournisseur habituel, annoncé par e-mail ou par courrier, parfois après une véritable compromission de la boîte du fournisseur.
  • La fausse facture d'apparence ordinaire : un abonnement, une inscription à un annuaire, un renouvellement de nom de domaine, pour un montant qui passe sans validation.

La règle qui les bloque toutes

Tout changement de coordonnées bancaires, et tout virement au-delà d'un montant défini, est confirmé par un second canal — un appel sur le numéro déjà enregistré dans vos fiches, jamais celui indiqué dans le message. Cette règle est écrite, connue de chacun, et ne souffre aucune exception d'urgence.

Son efficacité vient d'un point précis : l'urgence et la confidentialité sont les deux outils de la fraude. Une règle qui ne cède ni à l'une ni à l'autre lui retire ses deux appuis.

Protéger la personne qui paie

La fraude au président repose sur la difficulté de contredire un supérieur. La contre-mesure est donc autant organisationnelle que technique : la direction doit dire explicitement, et à l'avance, qu'elle ne demandera jamais un virement en dehors de la procédure, et qu'appliquer la procédure ne sera jamais reproché.

Quelques mesures peu coûteuses

  • Double signature au-delà d'un seuil de montant, y compris pour les virements en ligne.
  • Coordonnées bancaires des fournisseurs conservées dans une fiche de référence, modifiables seulement après vérification téléphonique tracée.
  • Double authentification sur les boîtes e-mail : une boîte compromise est le point de départ de la plupart de ces fraudes.
  • Un point rapide en équipe après chaque tentative, réussie ou non. Ces fraudes reviennent, souvent avec la même mise en scène.

Si un virement est déjà parti

  • Appelez la banque immédiatement, avant toute autre démarche : un virement récent peut parfois encore être rappelé. Les premières heures sont décisives.
  • Déposez plainte à la police cantonale, avec les échanges, les factures et l'avis de débit.
  • Vérifiez si une boîte e-mail a été compromise, et changez les mots de passe concernés — la fraude s'appuie souvent sur un accès qui reste ouvert.
  • Prévenez le fournisseur concerné : s'il a été compromis, ses autres clients sont visés également.

Questions fréquentes

Le message venait vraiment de l'adresse de notre fournisseur. Comment est-ce possible ?
Sa boîte e-mail a probablement été compromise. L'échange est alors authentique, y compris l'historique de conversation, et seules les coordonnées bancaires ont été modifiées. C'est pourquoi la vérification téléphonique reste indispensable, même sur une adresse connue.
Notre assurance couvre-t-elle ce type de fraude ?
Cela dépend entièrement du contrat, et une garantie « cyber » ne couvre pas nécessairement une fraude au virement, puisqu'il n'y a pas d'intrusion informatique. C'est une question à poser à votre assureur avant l'incident, pas après.