Chapitre 73 : Usurpation d'identité du PDG : quand le patron demande un virement urgent

Au cours des années d'exercice professionnel d'un avocat accompagnant des victimes d'escroqueries complexes, on peut observer de nombreux modèles, mais il semble qu'il n'y ait pas de scénario plus sophistiqué et humiliant que la "fraude au président" (CEO Fraud). Si les chapitres précédents traitaient de piratages technologiques ou de fraudes à la consommation, nous entrons ici dans l'arène de la psychologie organisationnelle. C'est le domaine où la hiérarchie de bureau, le respect de la hiérarchie et le désir de prouver son efficacité deviennent des armes entre les mains d'un escroc habile.

La fraude au président ne nécessite pas nécessairement un code de piratage sophistiqué. Elle repose sur une compréhension profonde de la nature humaine. Les escrocs ne "piratent" pas seulement l'ordinateur ; ils tentent de "pirater" l'esprit de l'employé. Ils exploitent la pression, l'urgence artificielle et l'autorité pour amener une personne à effectuer une action qui pourrait coûter à l'entreprise des sommes colossales. Dans les entretiens avec les directeurs financiers après un tel incident, la première phrase entendue est souvent : "Cela semblait si réel, je n'avais aucune raison de douter".

Le scénario suivant est un exemple pédagogique basé sur des modèles de fraude courants. Les personnages et les événements sont destinés à l'illustration uniquement.

Le matin où le ciel est tombé sur "Technologies du Futur"

Jeudi, 16h30. Dana, comptable chez "Technologies du Futur" – une entreprise de taille moyenne fabriquant des composants pour l'industrie automobile – commençait déjà à boucler sa semaine. Les bureaux commençaient à se vider et elle prévoyait de partir tôt. Dana est une employée consciencieuse et perspicace, qui connaît parfaitement les activités financières de l'entreprise.

Le son du "ding" d'un e-mail interrompit ses pensées. L'expéditeur : "Eitan - PDG". Eitan est le fondateur et le PDG de l'entreprise. Il séjournait cette semaine-là lors d'une conférence professionnelle en Allemagne.

Objet : Secret et urgent – acquisition stratégique.

"Dana", est-il écrit dans l'e-mail, "je suis en plein milieu d'une négociation très sensible ici en Allemagne. Nous sommes sur le point de conclure l'acquisition d'un brevet auprès d'une petite entreprise locale avant que nos concurrents ne mettent la main dessus. L'affaire doit rester sous une confidentialité absolue jusqu'à dimanche, même les vice-présidents ne sont pas au courant. J'ai besoin que tu effectues un virement urgent de 280 000 euros sur le compte de séquestre des avocats allemands. Cela doit partir aujourd'hui pour que la transaction ne capote pas. Ne m'appelle pas, je suis en réunions fermées avec leur conseil d'administration. Confirme-moi quand c'est fait."

Dana a hésité. D'un côté, Eitan ne lui avait jamais demandé une telle chose par e-mail. D'un autre côté, cela semblait correspondre à son style – concis et autoritaire. L'e-mail provenait d'une adresse qui semblait identique à la sienne, et les détails sur la conférence en Allemagne étaient exacts. Elle a voulu l'appeler, mais il avait écrit explicitement "ne m'appelle pas".

Elle a saisi les détails du compte allemand dans le système bancaire. La banque a demandé une confirmation. Elle a regardé à nouveau l'e-mail et a vu le logo familier de l'entreprise. Elle a cliqué sur "confirmer".

Dimanche matin, Eitan arrive au bureau. "Comment était l'Allemagne ?", demande Dana, "Tout s'est bien passé avec l'acquisition ?". Eitan la regarde avec un air confus. "Quelle acquisition, Dana ? La conférence était uniquement professionnelle".

À ce moment-là, la supercherie a été révélée. "Ce n'est pas mon e-mail", a-t-il dit. L'adresse était presque identique, mais il manquait une lettre. La signature était une capture d'écran. La somme d'argent avait disparu.

L'anatomie de la fraude : pourquoi cela fonctionne ?

L'analyse de tels cas montre une combinaison d'ingénierie sociale (Social Engineering) et de technologie simple. Parfois, les escrocs effectuent une collecte d'informations préliminaire : ils suivent les réseaux sociaux des dirigeants, apprennent les dates de leurs voyages, leur style d'écriture et achètent un domaine (adresse de site) presque identique à celui de l'entreprise. Une différence d'une lettre qu'un œil humain sous pression pourrait ne pas détecter.

L'élément critique est l'autorité et l'urgence. Les analyses psychologiques montrent que les êtres humains peuvent suspendre leur jugement critique lorsqu'ils reçoivent un ordre d'une personne perçue comme une autorité. Lorsqu'un PDG demande quelque chose d'"urgent et secret", l'employé peut se sentir complice du secret et craindre de décevoir ou de retarder une transaction importante.

Le moment choisi pour la fraude est souvent le jeudi après-midi ou les veilles de jours fériés. Ce sont des moments où la concentration diminue et où il y a une pression pour terminer les tâches. De plus, les virements internationaux durant le week-end peuvent donner aux escrocs un temps précieux avant que l'entreprise ne découvre la supercherie.

La responsabilité juridique : analyse des options

Lorsqu'un dommage financier est causé, la question de la responsabilité juridique se pose entre les parties concernées : l'entreprise, la banque et l'employé.

1. Responsabilité de la banque : devoir de diligence

Dans l'État d'Israël, les banques ont un devoir de diligence envers leurs clients. Dans une analyse juridique générale, lorsqu'une opération extrêmement inhabituelle est effectuée sur un compte – par exemple, un virement d'un montant élevé vers un compte à l'étranger qui n'était pas connu auparavant – on peut examiner si la banque aurait dû identifier des "signaux d'alerte".

Cependant, la bataille juridique contre la banque dans ces cas est complexe. La banque peut prétendre que le client a approuvé le virement de son plein gré, en utilisant des moyens d'identification valides. Pour examiner la possibilité d'engager la responsabilité de la banque, il faut vérifier s'il existait des circonstances suspectes que la banque a ignorées. L'analyse juridique de cas similaires montre que la banque a l'obligation d'intervenir lorsqu'il existe une crainte réelle de fraude, mais le seuil de preuve de négligence dans les cas d'approbation explicite est une question juridique lourde et le résultat dépend des circonstances de l'affaire.

2. Responsabilité de l'employé

Dans de nombreux cas, la question se pose de savoir s'il est possible d'engager la responsabilité de l'employé qui a effectué le virement. L'approche courante en droit du travail est la protection des employés contre les erreurs commises de bonne foi au cours du travail. Un employeur ne peut généralement pas déduire du salaire d'un employé des sommes d'argent pour négligence, à moins qu'il ne soit prouvé que l'employé a agi avec malveillance ou avec un manque de bonne foi extrême. Dans les cas de fraude où l'employé a été trompé, il est généralement perçu comme une victime supplémentaire de l'affaire.

La gestion avec la compagnie d'assurance

Au cours du traitement juridique de tels cas, les polices d'assurance de l'entreprise sont examinées, telles que l'assurance "responsabilité professionnelle" ou "risques cyber". Les compagnies d'assurance peuvent parfois prétendre qu'il s'agit d'une erreur humaine et non d'un incident cyber couvert par la police. Il existe des polices incluant une clause explicite de "Social Engineering Fraud". La capacité d'obtenir une indemnisation dépend fortement du libellé précis de la police et des circonstances technologiques de l'usurpation d'identité.

Que faire au moment de la découverte ? (actions possibles)

En cas de soupçon de fraude, chaque seconde peut être significative :

1. Contact avec la banque émettrice

Il est possible de demander une annulation (Recall) du virement. Si l'argent n'a pas encore traversé toute la chaîne des banques intermédiaires, il existe une certaine chance de l'arrêter.

2. Signalement aux autorités

Le dépôt d'une plainte à la police est une étape nécessaire pour les démarches auprès des banques et des compagnies d'assurance.

3. Contact avec la banque réceptrice à l'étranger

Dans certains cas, contacter directement le département de conformité de la banque réceptrice à l'étranger et signaler la fraude peut conduire au gel temporaire du compte.

4. Documentation

Il est important de conserver l'e-mail, ses en-têtes (Headers) et toute autre information numérique pouvant servir à l'enquête ou à la procédure judiciaire.

Mesures préventives recommandées

Pour réduire le risque d'être victime de ces fraudes, il est recommandé d'adopter des procédures claires dans l'organisation :

• Procédure de "confirmation vocale" : Établissement d'une règle selon laquelle tout virement dépassant un certain montant, ou tout changement de détails de compte, nécessite une vérification téléphonique par un appel en retour au numéro connu du demandeur.
• Double signature : Définition d'une exigence d'approbation par deux signataires autorisés différents pour tout virement bancaire.
• Marquage des e-mails externes : Configuration du système de courrier électronique pour alerter sur les e-mails provenant de l'extérieur de l'organisation.
• Formation et exercices : Sensibilisation des employés aux types de fraude et réalisation d'exercices périodiques.

Résumé et perspective juridique

L'escroquerie au président illustre comment la manipulation psychologique utilise la technologie pour obtenir des résultats criminels. Dans les procédures judiciaires dans ce domaine, la question de la "faute contributive" est souvent soulevée. Les tribunaux examinent si l'entreprise a fait preuve d'un niveau de diligence raisonnable et si les entités financières ont agi selon les normes attendues d'elles.

Dans de nombreux cas, la récupération totale des fonds est un défi significatif, en particulier dans les fraudes internationales. La meilleure défense est une combinaison de procédures organisationnelles strictes, d'une assurance adaptée et d'une vigilance constante. Dans le chapitre suivant, nous continuerons d'examiner l'arène commerciale et nous concentrerons sur d'autres menaces pesant sur les systèmes de messagerie et de paiement des entreprises.

Signaux d'alerte (Red Flags)

• Urgence extrême : Pression pour effectuer une action immédiatement.
• Demande de confidentialité : Instruction de ne pas partager avec d'autres entités dans l'entreprise.
• Dérogation à la procédure : Demande directe sautant la chaîne de commandement habituelle.
• Adresse e-mail avec une modification minime : Petits changements difficiles à remarquer dans l'adresse de l'expéditeur.
• Moment spécial : Demande survenant lorsque le gestionnaire est hors du bureau ou à l'étranger.

Que faire immédiatement ?

1. Arrêt du processus : Ne pas répondre à l'e-mail suspect.
2. Vérification vocale : Établissement d'un contact téléphonique proactif avec le gestionnaire au numéro connu.
3. Signalement interne : Mise à jour des services de sécurité, informatique et financiers de l'organisation.

Aspect juridique

Sur le plan juridique, il est possible d'examiner le devoir de diligence de l'établissement financier et la couverture d'assurance de l'entreprise. Dans certains cas, il est possible d'envisager une combinaison de procédures judiciaires contre la banque et contre la compagnie d'assurance afin d'épuiser les options de réparation du préjudice, conformément aux circonstances spécifiques du cas.