Chapitre 33 : Le partenaire transparent — Usurpation d'identité d'un employé ou d'un propriétaire d'entreprise face aux fournisseurs

Dans le monde moderne des affaires, la confiance est la monnaie d'échange la plus importante. Elle est l'huile dans les rouages du commerce international comme national. Lorsque nous envoyons un bon de commande à un fournisseur avec lequel nous travaillons depuis longtemps, ou lorsque nous recevons une facture d'un prestataire régulier, nous ne nous arrêtons pas à chaque fois pour vérifier la carte d'identité de l'expéditeur. Nous nous fions à l'adresse e-mail connue, au style d'écriture et à l'historique commun. Mais c'est précisément là, au sein de l'espace de confort des « affaires habituelles », que guette l'une des menaces les plus sophistiquées et destructrices de l'ère numérique : la fraude BEC (Business Email Compromise), centrée sur l'usurpation d'identité au sein de la chaîne d'approvisionnement.

Il ne s'agit pas d'un énième virus qui verrouille l'ordinateur et exige une rançon en Bitcoin. Il s'agit d'un art de l'ingénierie sociale, combinant collecte de renseignements précise, patience de chasseur et capacité de falsification virtuose. Dans ce chapitre, nous analyserons le mécanisme par lequel les escrocs s'infiltrent dans les relations les plus sensibles de l'entreprise, nous comprendrons les conséquences juridiques complexes de la question de « qui est responsable quand l'argent disparaît en chemin », et nous esquisserons les lignes de défense que chaque propriétaire d'entreprise et directeur financier doit connaître.

Le scénario suivant est un exemple pédagogique basé sur des modèles de fraude courants. Les personnages et les événements ne sont destinés qu'à l'illustration.

La tempête silencieuse de la société « Techno-Logistique »

Amir était fier de l'entreprise qu'il avait fondée. « Techno-Logistique » était stable et fournissait des composants électroniques complexes à des usines de production en Israël, en s'appuyant sur un réseau de fournisseurs étroit à Taïwan et en Allemagne. Le cœur battant de la relation avec les fournisseurs était Dana, la responsable des achats, qui travaillait depuis des années avec « Hans », le directeur commercial de leur principal fournisseur allemand.

Tout a commencé un mardi ordinaire en octobre. Dana a reçu un e-mail de Hans. « Chère Dana », était-il écrit dans son anglais poli habituel, « nous procédons à une procédure d'audit comptable annuel et avons modifié les coordonnées bancaires pour la réception des paiements en devises étrangères dans un souci d'efficacité. Veuillez trouver ci-jointe la facture pour la dernière livraison (numéro 8892-G) avec les nouvelles coordonnées bancaires à Francfort. Merci d'en accuser réception ».

Dana n'a rien soupçonné. L'adresse e-mail semblait identique à celle de Hans. Le logo de la société allemande figurait en haut de la facture, et les détails concernant l'envoi – la quantité de composants, le prix unitaire et la date de livraison – étaient incroyablement précis. Elle a transmis la confirmation de paiement à Amir, qui l'a signée numériquement, et l'argent – 120 000 euros – a été envoyé sur le nouveau compte.

Dix jours ont passé. Le téléphone dans le bureau d'Amir a sonné. C'était Hans d'Allemagne. « Amir, mon ami, qu'en est-il du paiement pour la livraison 8892 ? Nous sommes déjà une semaine après la date d'échéance, et mon système bloque les nouvelles livraisons ».

« Que veux-tu dire ? » a demandé Amir avec un sentiment d'angoisse. « Nous vous avons payé il y a dix jours. Dana a reçu un e-mail de ta part avec les nouvelles coordonnées bancaires à Francfort ».

Un silence s'est installé à l'autre bout du fil. « Amir », a dit Hans d'une voix basse, « je n'ai jamais envoyé un tel e-mail. Et nous n'avons pas changé de compte bancaire depuis dix ans. Et notre banque se trouve à Munich, pas à Francfort ».

À cet instant, la terre sous les pieds d'Amir a tremblé. Il a compris qu'ils avaient été victimes d'une escroquerie. L'attaque avait commencé des mois auparavant. Des pirates informatiques avaient piraté la boîte e-mail et attendu. Ils lisaient silencieusement chaque correspondance, apprenaient le style de langage, connaissaient les noms des acteurs et suivaient le calendrier des livraisons. Ils attendaient le moment où une facture suffisamment importante sortirait pour justifier le « gros coup », et suffisamment petite pour ne pas éveiller de questions inhabituelles au sein du département de conformité de la Banque Leumi.

Dans de telles situations, le recours à un conseil juridique est fait dans un sentiment d'urgence. Il est possible d'examiner la responsabilité de la banque et les options juridiques pour récupérer les fonds, mais il est important de comprendre que la réalité juridique et bancaire est complexe et nécessite une analyse approfondie des circonstances.

Anatomie d'une fraude : comment ils s'infiltrent dans la relation

Pour comprendre l'aspect juridique, nous devons d'abord comprendre la mécanique de l'escroquerie. Contrairement à de simples piratages technologiques, il s'agit ici de l'utilisation d'une identité commerciale existante pour effectuer des opérations apparemment autorisées. L'attaquant ne vole pas l'argent directement sur le compte en piratant un mot de passe, mais il persuade le titulaire du compte d'envoyer l'argent de son plein gré à la mauvaise adresse.

Il existe trois méthodes principales par lesquelles cette usurpation est effectuée face aux fournisseurs :

1. Prise de contrôle totale d'une boîte e-mail (Account Takeover)

L'attaquant obtient un accès complet à l'e-mail d'un employé de l'entreprise ou chez le fournisseur, souvent par le biais de l'hameçonnage. À partir de ce moment, il suit l'activité et définit des règles de transfert automatique (Forwarding rules) afin que chaque e-mail pertinent soit transféré vers une boîte externe sous son contrôle. Lorsqu'il envoie la fausse demande de paiement, elle peut provenir du serveur réel, ce qui crée une présentation tout à fait crédible pour la partie destinataire.

2. Falsification d'adresse (Look-alike Domains)

L'attaquant enregistre un domaine qui est presque identique au domaine original, avec la modification d'un seul caractère ou d'une seule lettre. L'œil humain, particulièrement sous la pression du travail, a tendance à ne pas remarquer le léger changement. Il crée un profil utilisateur avec le nom et l'image du contact connu, et entame la conversation.

3. « L'homme au milieu » (Man-in-the-Middle) dans sa version humaine

L'escroc réussit à s'immiscer dans la chaîne de correspondance et envoie des e-mails aux deux parties en se faisant passer pour l'autre. Il gère le dialogue entre elles comme un « filtre », intercepte les factures, modifie les coordonnées bancaires et les renvoie au client payeur.

La scène juridique : qui porte la responsabilité quand l'argent disparaît ?

Lorsqu'un tel événement se produit, une analyse juridique est requise pour trancher entre deux parties apparemment innocentes : le fournisseur qui n'a pas reçu son argent, et le client qui a payé le montant total – mais au mauvais destinataire.

L'analyse juridique examine les questions de responsabilité et de négligence. En droit des contrats et en droit de la responsabilité civile, on examine le concept de « celui qui évite le dommage à moindre coût ». En d'autres termes, laquelle des deux parties aurait pu, avec un effort raisonnable et des mesures de prévention simples, éviter que le cas ne se produise ?

Responsabilité du client (le payeur)

On peut examiner si le client avait l'obligation de vérifier les détails et s'il y avait des « signaux d'alerte ». Un changement soudain des coordonnées bancaires, surtout si le compte se trouve dans un autre pays, peut être considéré comme un signal d'alarme. Si une entreprise effectue un virement sans vérifier le changement via un canal de communication distinct et vérifié, son niveau de négligence peut être examiné en fonction des circonstances.

Responsabilité du fournisseur (usurpé)

À l'inverse, on peut examiner si le piratage a eu lieu sur les serveurs du fournisseur et si son niveau de sécurité était approprié. S'il s'avère que le fournisseur n'a pas pris de mesures de précaution de base qui ont permis la création de la présentation trompeuse, une responsabilité peut être engagée de son côté.

La question de « l'agence apparente »

Dans certains cas, la doctrine de « l'agence apparente » est examinée – est-ce qu'une partie a créé une apparence selon laquelle une certaine personne est son agent. Cependant, les tribunaux font preuve d'une grande prudence dans l'application de cette doctrine aux cybercrimes, car il n'y a généralement pas de volonté réelle du propriétaire de l'entreprise d'habiliter le pirate.

Responsabilité des banques

Lors de l'examen de la responsabilité de la Banque Hapoalim et d'autres institutions financières, il faut distinguer la banque émettrice de la banque réceptrice. La loi sur les services de paiement réglemente certains de ces aspects, mais dans les virements bancaires que le client a lui-même autorisés, la banque émettrice peut arguer qu'elle a agi selon une instruction explicite. La responsabilité peut survenir s'il est prouvé que la banque a ignoré ses obligations professionnelles ou les procédures bancaires normales lors de l'examen du compte récepteur.

La danse triangulaire : l'attaquant, la victime et le partenaire commercial

Dans la représentation juridique dans des dossiers de ce type, le défi est souvent stratégique. En général, les deux entreprises souhaitent poursuivre la coopération commerciale entre elles, et des procédures judiciaires prolongées pourraient assombrir la relation.

Par conséquent, dans de nombreux cas, l'analyse juridique conduit à une gestion des risques et à un partage des dommages. Un examen du niveau de négligence des deux parties peut conduire à des solutions de compromis et de partage de la responsabilité entre elles.

Le scénario suivant est un exemple pédagogique basé sur des modèles de fraude courants.

Dans un scénario pédagogique basé sur des cas similaires, une entreprise a payé à un fournisseur un montant significatif sur un compte bancaire appartenant à des escrocs. Après examen, il s'est avéré que bien que le piratage ait eu lieu chez le fournisseur, l'e-mail falsifié contenait des signes suspects qui auraient dû attirer l'attention du payeur. Dans de tels cas, dans le cadre de la gestion des risques, les parties peuvent parvenir à un compromis équilibrant la responsabilité des deux parties et permettant la poursuite de l'activité commerciale.

Défense multicouche : prévenir la prochaine escroquerie

Au cours des années de travail professionnel, il apparaît que la solution la plus efficace combine des procédures humaines avec des outils numériques.

Vérification hors canal (Out-of-Band Verification)

C'est une règle d'or professionnelle. Il ne faut pas approuver un changement de détails de paiement sur la seule base d'une confirmation par e-mail. Dans tout cas de changement de coordonnées bancaires, une vérification téléphonique doit être effectuée auprès d'une partie connue, en utilisant des numéros de téléphone vérifiés qui n'apparaissent pas dans l'e-mail suspect lui-même.

Protection technologique des boîtes e-mail

L'utilisation d'une authentification à deux facteurs (MFA) est une étape essentielle pour prévenir les piratages. De même, il est recommandé de mettre en œuvre des protocoles de sécurité avancés qui aident les serveurs de messagerie à identifier les messages falsifiés.

Éducation des employés

Les employés des départements financiers et des achats doivent suivre des formations pour identifier les modèles de fraude et développer une saine méfiance. Une culture organisationnelle qui encourage la double vérification et le questionnement est un outil de défense significatif.

Accords contractuels

Il est recommandé d'inclure dans les contrats avec les fournisseurs des clauses définissant à l'avance les canaux de communication autorisés pour le changement des coordonnées de paiement et la répartition de la responsabilité en cas de cyberincident.

Signaux d'alerte (Red Flags)

• Urgence inhabituelle : Pression temporelle exercée pour empêcher une vérification approfondie.
• Changement des coordonnées bancaires : Diverses excuses telles que « audit comptable » ou « problèmes techniques » exigeant un transfert vers un nouveau compte.
• Léger changement dans l'adresse e-mail : Extension différente ou lettre manquante dans l'adresse de l'expéditeur.
• Langage et style : Changement dans le ton de l'adresse ou fautes de grammaire inhabituelles.
• Demande de garder le secret : Instruction de ne pas impliquer d'autres parties dans la correspondance.

Que faire immédiatement lorsque l'escroquerie est découverte ?

1. Arrêt immédiat : Appel urgent à la banque émettrice pour demander l'arrêt du virement (Recall).
2. Signalement à la banque réceptrice : Tentative de localiser la banque réceptrice et de signaler une suspicion de fraude afin de geler les fonds.
3. Plainte à la police : Dépôt d'une plainte officielle auprès de la brigade de cybercriminalité pour documenter l'événement.
4. Documentation et conservation des preuves : Conservation de toute la correspondance et des informations techniques associées (Headers).
5. Vérification des systèmes : Exécution d'un contrôle de sécurité complet sur les ordinateurs de l'entreprise pour s'assurer qu'il n'y a pas d'accès actif d'un acteur hostile.

Aspect juridique pour conclure

Dans les cas d'usurpation face aux fournisseurs, l'analyse juridique se concentre souvent sur l'examen de la « faute contractuelle ». Les tribunaux peuvent attendre des entreprises qu'elles fassent preuve d'un niveau de prudence conforme aux risques numériques connus.

Il est important de comprendre qu'il est possible d'examiner les options pour récupérer des fonds, et que les chances dépendent des circonstances spécifiques de chaque cas. S'il est possible de prouver qu'une partie a manqué à son devoir de diligence, une voie juridique peut s'ouvrir pour demander une indemnisation ou un partage des dommages.

Dans ce scénario pédagogique, le résultat peut être complexe. Après un examen juridique des preuves, il pourrait être prouvé que la banque réceptrice a ignoré les alertes, ce qui pourrait conduire à un accord de compromis significatif. Au fil des années, le cabinet a rencontré des cas variés qui enseignent que dans le monde numérique, « confiance et vérification » sont une stratégie indispensable pour maintenir la stabilité de l'entreprise.