La fraude du PDG, connue aussi comme fraude du président ou arnaque par faux dirigeant d’entreprise, repose sur la technique d’hameçonnage ciblée dans laquelle un fraudeur se fait passer pour une personne digne de confiance afin de vous convaincre d’envoyer de l’argent ou de communiquer des renseignements financiers.
Les fraudeurs peuvent trouver des informations sur l’entreprise, ses dirigeants et leurs habitudes de diverses façons : consultation du site web et des médias sociaux, appels, faux sondages et courriels ciblés.
Les progrès de l’intelligence artificielle, du deep fake et du clonage vocal font en sorte qu’il est de plus en plus difficile de discerner le vrai du faux.
QUELLES EN SONT LES CAUSES?
D’importantes failles de sécurité sont présentes.
Ces fraudes ont souvent lieu dans un environnement où les outils de prévention, de détection et de surveillance de sécurité dont insuffisants.
Les systèmes de contrôle interne sont déficients.
Les contrôles internes pour assurer la sécurité des données de l’entreprise sont insuffisants ou inefficients, ce qui ouvre la porte aux fraudeurs.
Une absence de sensibilisation ciblée.
La méconnaissance des risques de fraude, des types d’attaques d’actualité et de leur fonctionnement laissent les employés vulnérables à prévenir ces fraudes.
LES SIGNES À SURVEILLER
Demandes de transactions financières.
- Pression vous poussant à agir rapidement ;
- Caractère confidentiel de la demande;
- Procédures anormales;
- Contact direct inhabituel avec un haut dirigeant.
Demandes d’information sensibles
- Directive de cliquer sur un lien menant à une page web ;
- Demande pour les identifiants d’un compte financier;
- Demandes de renseignements fiscaux.
Courriels inattendus.
- Demandes de paiement hors du cadre normal;
- Demandes de paiement de marchandises jamais commandées;
- Pièces jointes, liens suspects ou de source non fiable dans le courriel.
SCÉNARIOS DE FRAUDES
- Fraude du PDG. Un employé reçoit un courriel du président ou d’un haut dirigeant de l’entreprise qui lui explique qu’il a été choisi pour faire de toute urgence un virement de fonds vers un compte bancaire, souvent à l’étranger, pour une transaction confidentielle. Suivant ce courriel, un avocat l’appelle pour le guider avec des instructions du transfert de fonds.
- Faux courriel à partir d’un courriel compromis d’un employé. Le fraudeur se fait passer pour un employé et envoie un courriel demandant la modification de ses données pour le dépôt direct de sa paie dans un faux compte.
- Changement de compte d’un fournisseur. Le fraudeur utilise un compte courriel compromis d’un fournisseur pour demander de changer les modalités de paiement et de verser les futurs paiements dans un nouveau compte qui est frauduleux.
- Le technicien bancaire. Le fraudeur se présente comme un employé bancaire devant faire à un test de virement. Il assure que les transactions réalisées sont entièrement fictives mais donne des consignes précises pour effectuer un vrai transfert de fonds.
- Usurpation d’identité de clients bancaires. À l’aide d’un faux compte courriel d’un vrai client, le fraudeur demande d’effectuer un transfert urgent de fonds, souvent vers l’étranger.
- Fraude par carte-cadeau : Le fraudeur usurpe l’identité d’un haut dirigeant (par courriel ou SMS), demande à un employé d’acheter des cartes-cadeaux et de lui transmettre leurs codes.
COMMENT PEUT-ON PROTÉGER NOTRE ENTREPRISE?
- Effectuer de la sensibilisation et de la formation aux employés sur les bonnes pratiques de sécurité et en les informant des fraudes qui ciblent les entreprises.
- N’ouvrez jamais de courriels et ne cliquez jamais sur des pièces jointes ou des liens provenant d’une adresse inconnue, qui peuvent contenir des logiciels malveillants.
- Il ne faut pas se fier aux numéros de téléphone dans les courriels suspects : communiquez avec le demandeur par un autre moyen de communication pour confirmer que la demande est légitime.
- Bloquez les courriels provenant d’adresses inconnues pour réduire les risques d’hameçonnage.
- Utilisez une application d’authentification à deux facteurs pour les demandes de paiement.
- Utilisez un système de double signature autorisés et d’authentification multi-facteur pour les transferts bancaires.
- Ayez des politiques claires sur la quantité et le type d’information publiée sur les médias sociaux.
- Assurez-vous que vos systèmes d’exploitation et logiciels antivirus sont à jour pour tous vos appareils (ordinateurs, portables, cellulaires) et serveurs.
- La sécurité de tous vos systèmes devrait être évaluée de manière globale pour identifier si votre environnement est déjà à risque ou compromis. Des outils de cybersécurité existent pour vous protéger des tentatives de fraude.
- Évaluez l’efficacité de vos contrôles internes au niveau des accès aux systèmes, de la robustesse des mots de passe et des processus d’autorisation de transferts bancaires.
COMMENT RÉAGIR?
Une fraude du PDG (avec ou sans transfert de fonds) est un acte criminel.
- Signalez l’incident à votre personnel TI.
- Déposez une plainte auprès du service de police local.
- Signalez l’incident au Centre antifraude du Canada.
- Avisez votre institution financière.
- Si un transfert de fonds a été effectué, communiquez avec votre assureur.
Source d’information pour cet article :
La fraude du président – Gendarmerie Royale du Canada. https://www.rcmp-grc.gc.ca/fr/fraude-du-president
