Chapitre 74 : L'ombre dans la boîte de réception : Escroquerie à la facture et compromission de courrier professionnel (BEC)

Au fil des ans, en accompagnant des entreprises, des sociétés et des organisations, il apparaît que le champ de bataille moderne ne se situe pas seulement entre les murs des tribunaux, ni même dans la concurrence commerciale féroce de la rue. Il se trouve dans la boîte de réception des courriels. Dans les chapitres précédents, nous avons traité des escroqueries visant directement les sommets de la hiérarchie — l'arnaque au président — ou la modification des coordonnées d'un fournisseur au niveau technique. Mais le présent chapitre traite d'une menace sophistiquée, combinant une intrusion technologique silencieuse et de l'ingénierie sociale : la compromission de courrier professionnel (Business Email Compromise - BEC) et l'escroquerie à la fausse facture.

C'est un monde où le criminel ne se contente pas d'usurper une identité ; il devient un « locataire » occulte au sein de l'organisation. Il lit les correspondances, étudie le style rédactionnel, comprend la structure organisationnelle et attend le moment opportun où une somme importante d'argent doit être transférée pour la dévier vers son propre compte. Dans ce livre, « Êtes-vous tombé dans le piège ? », l'objectif est de dévoiler ce mécanisme non seulement pour alerter, mais pour présenter les outils juridiques et pratiques permettant de faire face à l'événement dès le lendemain.

Le scénario suivant est un exemple pédagogique basé sur des modèles d'escroquerie courants. Les personnages et les événements sont destinés uniquement à l'illustration.

Le calme avant la tempête : scénario pédagogique concernant la société 'Yessodot Eitanim'

Rina (nom fictif) était comptable dans une entreprise de construction de taille moyenne spécialisée dans les infrastructures. Elle était considérée comme une employée minutieuse connaissant personnellement tous les fournisseurs de l'entreprise.

Un mardi, en début d'après-midi, Rina a reçu un courriel semblant provenir du principal fournisseur de l'entreprise. Le courriel s'inscrivait dans la continuité directe d'une chaîne de correspondances concernant un projet d'infrastructure actif. « Salut Rina », indiquait le courriel, « ci-jointe la facture mise à jour pour la dernière livraison d'acier. Veuillez noter qu'en raison d'un audit comptable interne chez nous, nous avons temporairement changé le compte du bénéficiaire pour celui de notre filiale. Vous trouverez ci-joint une attestation bancaire officielle. Merci, Gilead. »

Rina a ouvert le fichier joint. La facture semblait parfaitement conforme : le logo du fournisseur, la bonne adresse et le détail précis des marchandises fournies. Même le numéro de commande interne de l'entreprise y figurait. Elle a également vu l'attestation bancaire — un document semblant être un justificatif officiel confirmant les coordonnées du nouveau compte. Le courriel a été envoyé depuis une adresse qui semblait identique à celle utilisée pour leurs échanges au cours des dernières années.

Elle a saisi les détails dans le système bancaire de la Banque Hapoalim. Une somme importante a été transférée vers le nouveau compte. Rina a envoyé un courriel de réponse confirmant le virement et a reçu une réponse quasi immédiate la remerciant pour sa diligence.

Deux semaines plus tard, lors d'un appel téléphonique de routine avec le fournisseur, il s'est avéré que celui-ci n'avait jamais demandé de changement de coordonnées bancaires et n'avait pas reçu le paiement. Un examen approfondi du courriel envoyé deux semaines auparavant a révélé une modification infime du nom de domaine de l'expéditeur — un changement d'un seul caractère ayant transformé l'adresse en celle d'un imposteur. Les hackers « étaient » sur la ligne, lisaient les correspondances et savaient exactement quand envoyer la fausse facture.

Dans ce type de scénario, l'argent est généralement retiré quelques minutes après le transfert et transite par une série de comptes écrans, ce qui rend son recouvrement immédiat très difficile sans une intervention rapide.

L'anatomie du piratage : comment s'infiltrent-ils dans le courrier professionnel ?

Pour comprendre comment une telle fraude se produit, il est important de comprendre que les organisations criminelles technologiques opèrent de manière méthodique. La fraude BEC se divise généralement en quatre étapes :

1. Étape de collecte et d'intrusion (Infiltration)

Les attaquants choisissent une cible — généralement une entreprise effectuant des virements bancaires de montants élevés. L'intrusion initiale s'effectue le plus souvent par « hameçonnage » ou via l'achat de mots de passe ayant fuité. Une fois qu'ils ont accès à une boîte de réception au sein de l'organisation (ou chez le fournisseur), ils peuvent rester dissimulés à des fins de collecte d'informations.

2. Étape d'apprentissage et de surveillance (Monitoring)

C'est une étape où l'attaquant peut configurer des « règles de routage » dans la boîte mail compromise. Les courriels contenant certains mots-clés sont transférés automatiquement à l'attaquant, qui étudie les contrats, les calendriers et le style de communication entre les parties.

3. Création du « domaine double » (The Doppelgänger)

L'attaquant crée un domaine qui semble presque identique à l'original. Le changement d'un caractère ou une extension différente peut ne pas éveiller de soupçons pour un œil non averti ou en période de forte charge de travail. Dans certains cas, des techniques plus avancées sont utilisées pour envoyer un courriel semblant provenir de la véritable adresse.

4. Le moment de l'« arnaque » (The Execution)

L'attaquant « détourne » la chaîne de correspondance au moment où une facture est censée être réglée. La combinaison de la connaissance des détails de la transaction et d'une falsification graphique de haute qualité augmente les chances de succès de la fraude.

Aspect juridique : options d'examen de la responsabilité

Lorsqu'un tel cas arrive à l'examen juridique, la question de la responsabilité se pose entre les parties impliquées : l'entreprise victime, le fournisseur, la banque émettrice et la banque réceptrice. L'analyse juridique se concentre généralement sur le droit de la responsabilité civile, le droit des contrats et la loi sur les services de paiement.

Loi sur les services de paiement, 5779-2019

Cette loi définit la répartition de la responsabilité entre le client et le prestataire de services de paiement, comme les plateformes financières internationales telles que Wise, en cas de « transaction non autorisée ». Dans les cas de BEC, une difficulté juridique surgit parfois car c'est le client lui-même qui a effectué l'autorisation. Par conséquent, l'examen du cas se concentrera sur la question de savoir si l'autorisation a été obtenue par fraude dans des circonstances qui auraient dû éveiller les soupçons du prestataire de services de paiement.

Responsabilité du prestataire de services de paiement (la banque)

Dans certains cas, il est possible d'examiner si la banque a manqué à son obligation de vigilance envers le client. Les tribunaux peuvent vérifier s'il existait des « signaux d'alerte » qu'une institution financière comme la Banque Leumi aurait dû identifier, tels qu'un virement inhabituel vers un nouveau compte ou une incohérence manifeste. La possibilité d'engager la responsabilité dépend des circonstances spécifiques et de la question de savoir s'il existait un soupçon réel de fraude qui aurait pu être évité.

Le conflit entre l'entreprise et le fournisseur

Une autre question complexe est celle de savoir qui porte la responsabilité du piratage lui-même. Si le courrier a été piraté du côté du fournisseur, l'argument pourrait être avancé qu'il n'a pas pris de mesures de précaution suffisantes. À l'inverse, le fournisseur pourrait invoquer une négligence de l'entreprise qui n'a pas vérifié les coordonnées bancaires. Les tribunaux examinent dans ces cas laquelle des parties était la « mieux placée pour éviter le dommage » et pourraient déterminer une répartition de la responsabilité basée sur une « faute contributive ».

Stratégies de défense et gestion des risques

Au cours des années d'exercice professionnel d'un avocat spécialisé dans ce domaine, il apparaît que la prévention est l'outil le plus efficace. Il est possible de réduire le risque de fraudes BEC en adoptant des protocoles clairs :

Vérification multicanal (Out-of-Band Verification)

Il est recommandé d'établir une procédure selon laquelle il ne faut pas se fier au courriel comme seule source pour modifier des détails de paiement. En cas de demande de modification de compte bancaire, il faut procéder à une vérification téléphonique auprès d'une personne connue au numéro officiel du fournisseur.

Authentification à deux facteurs (MFA/2FA)

L'activation de l'authentification à deux facteurs sur tous les comptes de messagerie professionnels est une étape de base et indispensable. Une entreprise n'appliquant pas ces protections pourrait être considérée comme n'ayant pas pris de mesures de précaution raisonnables.

Éducation des employés

Des formations périodiques visant à accroître la sensibilisation parmi les employés des services financiers peuvent aider à identifier les signes avant-coureurs, tels que des modifications mineures de domaine ou des formulations suspectes.

Assurance cybernétique et aspects contractuels

Il est possible d'envisager la souscription de polices d'assurance couvrant les incidents cybernétiques et l'ingénierie sociale. De plus, il est recommandé d'insérer dans les contrats des fournisseurs des clauses régissant la manière dont les modifications des détails de paiement seront effectuées.

Synthèse de l'analyse juridique

Le droit israélien s'adapte à l'ère numérique, et les exigences en matière de niveau de vigilance des banques et des entreprises augmentent. Alors qu'il était auparavant difficile d'engager la responsabilité des organismes financiers, il est aujourd'hui possible d'examiner leur responsabilité en fonction de leur capacité à identifier les anomalies dans les systèmes de paiement.

Les chances de récupération des fonds ou d'obtention d'une indemnisation dépendent des circonstances du cas, du degré de négligence des parties et de la rapidité de réaction après la découverte de la fraude. Des questions telles que l'origine de l'intrusion, les procédures d'identification du client à la banque réceptrice et le respect des normes de sécurité de base seront décisives lorsque le tribunal examinera la répartition de la responsabilité.

En conclusion, la fraude BEC exploite la confiance et le désir d'efficacité dans le monde des affaires. Parfois, la démarche la plus appropriée consiste à s'arrêter, vérifier et procéder à une authentification humaine simple avant de cliquer sur le bouton de transfert.