CEO Fraud : comment des instructions falsifiées parviennent à la comptabilité

La préparation utilise ce qui est de toute façon accessible : le schéma de nommage des adresses e-mail, les compétences tirées des mentions légales, les données du registre du commerce, les communiqués de presse relatifs à des acquisitions ainsi que les absences visibles sur les réseaux sociaux. Le moment est choisi délibérément — vendredi après-midi, période de vacances, transactions en cours.

Sur le plan technique, un nom de domaine similaire ou un champ de réponse manipulé suffit souvent. Dans les cas plus graves, une boîte aux lettres est réellement compromise ; on s’insère alors dans de véritables conversations, ce qui rend la détection considérablement plus difficile.

La plupart des préjudices ne naissent pas de l’absence de règles, mais du fait qu’elles peuvent être contournées dans le cas d’exception. Un principe du double regard qui disparaît en cas d’urgence ne protège précisément pas lorsqu’on en a besoin. Sont efficaces les règles sans cas d’exception : un rappel vers un numéro enregistré pour toute modification de coordonnées bancaires, indépendamment du montant et de l’expéditeur.

Pour l’appréciation d’un sinistre, il est en outre pertinent de savoir si ces processus étaient documentés. Tant pour la couverture d’assurance que pour d’éventuelles prétentions, ce qui compte est ce qui était prévu en interne et s’il a été respecté.

Sont critiques en termes de temps le rappel via sa propre banque et l’information de la banque destinataire. En parallèle, les en-têtes de courriel devraient être exportés à l’original, les accès à la boîte concernée examinés et la chaîne interne de validation documentée. Selon les faits, une plainte pénale, des droits à l’information à l’égard des banques et l’examen de la couverture d’assurance peuvent entrer en considération.