1. À propos de la fraude BEC
Le Business Email Compromise, abrégé BEC, est une fraude qui exploite la confiance accordée à un courriel professionnel. Le fraudeur peut usurper l'identité d'un dirigeant ou d'un fournisseur, ou prendre le contrôle de sa véritable boîte mail. Il cherche à faire exécuter une action, par exemple un virement, un changement de coordonnées bancaires ou l'envoi de données confidentielles.
Dans un hameçonnage visant le vol d'identifiants, le message invite souvent à ouvrir une fausse page de connexion. Dans une fraude BEC, une simple demande adressée au service comptable peut suffire à détourner un paiement. L'hameçonnage peut aussi servir d'étape préalable à la compromission de la messagerie.
2. Comment fonctionne la fraude BEC ?
- Usurpation de l'expéditeur. Le fraudeur reprend le nom affiché d'un fournisseur, utilise un domaine ressemblant au sien ou falsifie l'adresse visible dans le champ From.
- Compromission d'un compte légitime. Le fraudeur utilise la véritable boîte du fournisseur. Il peut lire un échange sur une facture en cours et répondre dans le même fil au moment du règlement.
- Manipulation du processus de paiement. Le fraudeur formule une demande familière et modifie un détail décisif, comme le compte destinataire du virement. L'urgence ou la confidentialité servent parfois à écarter les vérifications habituelles.
Exemple. Le service comptable attend la facture n° 184 d'un fournisseur. Il reçoit un message qui cite cette facture et demande de verser le montant sur un nouveau compte. Si la modification est acceptée sans vérification, le paiement peut être détourné alors que la facture réelle reste impayée.
3. Comment reconnaître un courriel suspect ?
- Demande inhabituelle. Un nouvel IBAN, un paiement hors procédure ou l'envoi d'un fichier de paie doivent déclencher une vérification.
- Pression. Le message exige un paiement immédiat, demande de garder le secret ou pousse à contourner une étape de validation.
- Adresse incohérente. Affichez l'adresse complète de l'expéditeur et comparez son domaine à celui enregistré dans votre annuaire. Examinez aussi le champ Reply-To, qui indique l'adresse vers laquelle votre réponse sera dirigée. Un écart est un indice à vérifier.
Un courriel bien rédigé, envoyé depuis l'adresse habituelle et inséré dans un fil connu peut provenir d'un compte compromis. En cas de changement de coordonnées bancaires, appelez le fournisseur à un numéro déjà vérifié, par exemple celui enregistré dans sa fiche. Confirmez la demande par ce canal avant de modifier le bénéficiaire ou d'autoriser le paiement.
4. Analyser un courriel fictif avec Python
Ce script utilise la bibliothèque standard de Python pour lire les champs From et Reply-To d'un courriel fictif. Il extrait le domaine de chaque adresse, le compare au domaine attendu du fournisseur et affiche une alerte en cas d'écart. L'exercice illustre un contrôle qui aide à orienter la vérification manuelle.
1 2 3 4 5 6 7 8 9 10 11 12 13 | from email import policy from email.parser import Parser courriel = """From: Comptabilité fournisseur <factures@fournisseurr.example> Reply-To: Suivi paiement <paiement@suivi-paiement.example> Subject: Facture 184 Merci d'utiliser nos nouvelles coordonnées bancaires. """ message = Parser(policy=policy.default).parsestr(courriel) domaine_attendu = "fournisseur.example" for champ in ("From", "Reply-To"): adresse = message[champ].addresses[0] if adresse.domain.lower() != domaine_attendu: print(f"Alerte {champ} : {adresse.domain}") |
Sortie obtenue
1 2 | Alerte From : fournisseurr.example Alerte Reply-To : suivi-paiement.example |
Le domaine de l'expéditeur comporte un r supplémentaire. Le domaine du champ Reply-To dirige les réponses vers une autre organisation apparente. Ce script pédagogique suppose la présence d'une adresse par champ. Même lorsque les deux domaines correspondent à celui attendu, la demande de paiement doit suivre la procédure de vérification interne.
5. Prévenir la fraude et réagir à un incident
Prévention
- Encadrez les paiements. Vérifiez tout changement de coordonnées bancaires par un canal indépendant, consignez la confirmation et prévoyez une validation par une seconde personne.
- Protégez les comptes. Activez l'authentification multifacteur (MFA) et surveillez les connexions inhabituelles ainsi que les nouvelles règles de transfert automatique.
- Protégez le domaine de messagerie. Configurez SPF, DKIM et DMARC pour réduire l'usurpation de votre domaine. Un domaine ressemblant peut disposer de sa propre configuration valide et un compte légitime compromis peut continuer à envoyer des messages authentifiés.
Réaction
- Si le paiement est en attente, suspendez-le. Si le virement est déjà parti, contactez immédiatement la banque pour demander un rappel des fonds.
- Alertez le service comptable et l'équipe informatique. Conservez le courriel original avec ses en-têtes, les références du virement et la chronologie des faits. Signalez l'incident aux autorités compétentes selon votre situation.
- Si une boîte interne est compromise, faites révoquer les sessions actives, réinitialiser les accès et examiner les règles de transfert, les délégations et les journaux de connexion. Si la boîte appartient à un fournisseur, alertez-le par un canal vérifié.
Pour approfondir, consultez les fiches Business Email Compromise du FBI et Business Email Compromise de l'IC3.
6. À retenir
Une fraude BEC exploite une relation de confiance pour détourner un paiement ou obtenir des informations. Confirmez tout changement de coordonnées bancaires par un canal indépendant avant de valider le paiement. Si un virement frauduleux est déjà parti, contactez immédiatement votre banque.
Auteur : Younes Derfoufi
Lieu de travail : CRMEF OUJDA
Site Web : www.tresfacile.net
Chaîne YouTube : https://www.youtube.com/user/InformatiquesFacile
Me contacter : https://www.tresfacile.net/me-contacter/
