Fausse facture par e-mail :
cinq signes

Il y a deux méthodes courantes, et il vaut mieux connaître les deux. Dans la première, quelqu'un s'est introduit dans la boîte mail de votre fournisseur, généralement avec un mot de passe volé, et y lit les vraies conversations : il sait ce que vous lui achetez, quand vous le payez et à quoi ressemblent ses factures. Il lui suffit alors de prendre une facture authentique, de changer le numéro de compte et de l'envoyer depuis l'adresse même du fournisseur, parfois en répondant dans le fil d'e-mails que vous aviez déjà. Dans la seconde, la boîte compromise est la vôtre, ou celle de quelqu'un de votre bureau, et l'attaquant intercepte la bonne facture avant que vous ne la voyiez. Dans les deux cas, le document est authentique à une donnée près, c'est pourquoi examiner le logo, la mise en page ou la signature ne sert à rien. Ce qui trahit la fraude ne se trouve pas dans le PDF, mais dans la demande de changement de compte.

Pas forcément, et c'est le point qui prête le plus à confusion. Une adresse correcte prouve seulement que le message est parti de cette boîte, pas qu'il a été écrit par la personne que vous connaissez. Si le compte de messagerie du fournisseur a été compromis, le faux message partira exactement de sa véritable adresse, avec sa signature, son ton et même l'historique des échanges en dessous. L'inverse arrive aussi : parfois, l'adresse ressemble beaucoup à la vraie sans l'être, avec une lettre modifiée, un tiret en plus ou une extension différente, et sur un téléphone c'est difficile à voir d'un coup d'œil. L'adresse est donc un indice utile quand elle ne correspond pas, mais pas une garantie quand elle correspond. Pour un changement de coordonnées bancaires, la seule confirmation valable est un appel que vous passez vous-même à un numéro que vous aviez déjà, sans utiliser aucun numéro figurant dans cet e-mail.

C'est un en-tête de l'e-mail qui indique à quelle adresse partira votre réponse lorsque vous cliquez sur « Répondre ». Normalement, il correspond à l'expéditeur et personne n'y prête attention, mais il peut être configuré pour pointer vers une autre adresse. Dans cette fraude, il sert à faire croire que le message vient du fournisseur alors que, lorsque vous répondez pour demander si le changement de banque est exact, votre question arrive chez l'attaquant, qui vous répondra évidemment que oui. Pour le voir, dans la plupart des logiciels de messagerie, il suffit de cliquer sur « Répondre » et de regarder quelle adresse apparaît dans le champ du destinataire avant d'écrire quoi que ce soit, ou d'ouvrir les détails du message. Si l'adresse de réponse n'est pas celle du fournisseur, inutile de chercher plus loin : c'est une fraude. Et même si elle correspond, ne répondez pas à cet e-mail pour vérifier le changement. Une vérification faite par le même canal que la demande ne vérifie rien ; appelez par téléphone.

L'IBAN a une structure lisible sans être expert. Les deux premières lettres indiquent le pays où le compte est ouvert : ES pour l'Espagne, FR pour la France ; un fournisseur espagnol de longue date qui demande soudain à être payé sur un compte commençant par d'autres lettres mérite un appel avant tout paiement. Pour les comptes espagnols, après les deux lettres et les deux chiffres de contrôle viennent quatre chiffres qui identifient la banque ; si l'e-mail annonce un passage vers une banque précise et que ce code correspond à une autre, cela ne colle pas non plus. Par ailleurs, de plus en plus de banques affichent, lors de la préparation du virement, un avertissement indiquant si le nom du bénéficiaire correspond au titulaire du compte. Si cet avertissement signale une non-concordance, arrêtez-vous. Aucune de ces vérifications ne remplace l'appel : un attaquant soigneux peut utiliser un compte espagnol. Elles servent à détecter les cas grossiers, pas à valider tout le reste.

Appelez votre banque immédiatement, pas demain ni après avoir tout vérifié. Expliquez que vous avez effectué un virement vers un compte frauduleux et demandez qu'elle tente de le bloquer ou d'en demander le retour auprès de la banque destinataire. Moins il s'est écoulé de temps, plus il y a de chances que l'argent soit encore sur ce compte ; avec les virements instantanés, la marge est très courte et rien ne garantit de le récupérer, mais sans cet appel rapide, les chances chutent fortement. Ensuite, déposez plainte auprès de la Policía Nacional ou de la Guardia Civil, ou des Mossos d'Esquadra si vous êtes en Catalogne, avec l'e-mail, la facture et le justificatif du virement : la banque la demande généralement pour donner suite. Prévenez aussi le fournisseur par téléphone, car sa messagerie est probablement compromise et il a son propre problème à régler. Et si vous avez besoin de conseils sur les démarches, le 017 de l'INCIBE répond gratuitement et en toute confidentialité aux questions de cybersécurité.

Non, au contraire : conservez-le tel quel. Ce message est la preuve principale pour la plainte et pour ce que la banque vous demandera, et ce qui compte n'est pas seulement le texte visible, mais aussi les en-têtes techniques, qui montrent par quels serveurs il a réellement été envoyé et vers quelle adresse partaient les réponses. Si vous le supprimez, ou si vous le transférez puis effacez l'original, une partie de ces informations est perdue. Le mieux est de le laisser dans la boîte de réception, sans y répondre ni ouvrir d'autres pièces jointes, et si vous voulez l'isoler, de le déplacer dans un dossier à part. Il est également inutile de répondre à l'attaquant pour lui faire des reproches ou tenter de récupérer l'argent : cela ne fait que confirmer que votre adresse est active et que quelqu'un lit les messages. Conservez aussi le PDF de la facture, le justificatif du virement et tout autre e-mail du même fil. Avec tout cela réuni, la personne qui examinera le dossier pourra reconstituer ce qui s'est passé et d'où.

C'est possible, et il faut l'écarter. Si l'attaquant a lu votre messagerie, il connaît vos fournisseurs, vos clients et vos délais de paiement, et il peut reproduire l'arnaque vers l'extérieur en envoyant à vos clients des factures à votre nom avec un autre compte. Les signes typiques sont des règles de messagerie que personne n'a créées, par exemple une règle qui transfère les messages vers une adresse externe ou qui déplace dans un dossier caché tout ce qui contient le mot « facture », des connexions depuis des lieux inhabituels ou des messages envoyés que personne ne se souvient d'avoir écrits. La première chose à faire est de changer le mot de passe de ce compte depuis un ordinateur sain et d'activer la validation en deux étapes si elle ne l'était pas ; la seconde, de vérifier ces règles et les sessions ouvertes. Si votre entreprise dépend de la messagerie pour facturer, faites-la examiner en profondeur par quelqu'un disposant d'un accès administrateur. C'est l'une des vérifications que nous effectuons dans le cadre du dépannage informatique pour les entreprises.

Avec une procédure courte et écrite, qui ne dépende pas du « bon œil » de quelqu'un. Premièrement : aucun changement de compte bancaire d'un fournisseur n'est validé par e-mail ; on appelle le contact habituel, au numéro qui figurait déjà dans la fiche du fournisseur, et on note qui a confirmé et quand. Deuxièmement : l'ajout ou la modification d'un IBAN est approuvé par deux personnes, l'une qui le saisit et l'autre qui le vérifie, de sorte qu'un seul e-mail bien fait ne suffit pas à faire bouger de l'argent. Troisièmement : toute urgence liée à un paiement vers un nouveau compte est une raison d'aller plus lentement, pas plus vite. Et quatrièmement : la messagerie de l'entreprise avec validation en deux étapes sur tous les comptes, ce qui empêche l'arnaque de partir de votre propre boîte. Ce n'est pas une technologie coûteuse, c'est une habitude. Cela prend deux minutes par changement et coupe court à la fraude exactement là où elle fonctionne.