Fausses factures envoyées au nom de votre entreprise : comment fonctionne la compromission de messagerie

La fraude aux fausses factures est une forme de compromission de messagerie professionnelle (business email compromise, BEC) : un criminel envoie à votre client une facture, ou un avis de « changement de coordonnées bancaires », qui semble venir de votre entreprise. Le client paie, l'argent part sur un compte contrôlé par le criminel, et les deux parties s'en aperçoivent des semaines plus tard, quand votre vraie facture reste impayée.

L'Internet Crime Complaint Center du FBI définit le BEC comme une escroquerie visant les entreprises qui travaillent avec des fournisseurs ou effectuent régulièrement des virements, menée en compromettant des comptes de messagerie ou d'autres canaux de communication par ingénierie sociale ou intrusion informatique (IC3 2025 Internet Crime Report). Le même rapport recense 24 768 plaintes pour BEC en 2025, avec des pertes déclarées de 3 046 598 558 $.

La plupart de ces schémas ne nécessitent aucune intrusion technique. Ils reposent sur une adresse d'expéditeur convaincante, une histoire crédible et un processus de paiement qui fait confiance à l'e-mail.

Comment l'escroquerie est montée

Une attaque typique par fausse facture suit quelques étapes :

1. La recherche. Le criminel découvre qui sont vos clients, qui envoie vos factures et à quoi elles ressemblent. Sites web, communiqués de presse, offres d'emploi et anciennes factures transférées de boîte en boîte, tout y contribue.
2. Une identité d'expéditeur. Soit une adresse From falsifiée sur votre vrai domaine, soit un domaine similaire comme examp1e.com ou example-billing.com, soit une vraie boîte dont il a pris le contrôle avec un mot de passe volé.
3. Le message. Une note courte et banale : « Veuillez noter nos nouvelles coordonnées bancaires pour ce paiement et les suivants. » Souvent, il répond à un vrai fil de discussion pour paraître familier.
4. Le paiement. Le client met à jour la fiche fournisseur et paie. L'urgence (« le compte sera fermé vendredi ») réduit les chances que quelqu'un appelle pour vérifier.

Sur le papier, la victime est votre client, mais les dégâts retombent aussi sur vous : une facture impayée, une conversation difficile et un client qui se demande désormais si votre messagerie est sûre.

3 façons d'utiliser votre nom

Adresse From falsifiée sur votre propre domaine. C'est possible quand vos enregistrements SPF, DKIM et DMARC sont absents ou permissifs. Une politique DMARC p=none demande aux destinataires de distribuer malgré tout les messages en échec. Notre guide SPF, DKIM et DMARC explique comment fermer cette porte.

Les domaines similaires. Un domaine à une lettre du vôtre, ou avec un mot en plus, passe tous les contrôles d'authentification parce que le criminel en est propriétaire et configure correctement les enregistrements. Plus de détails dans domaines similaires et typosquatting.

Une vraie boîte compromise. Si le mot de passe d'un collaborateur a fuité et que le compte n'a pas d'authentification multifacteur, le criminel peut lire les vrais fils, créer des règles de transfert et envoyer depuis l'adresse authentique. C'est la variante la plus difficile à repérer.

Les signaux d'alerte à partager avec vos clients

• Une demande de changement de coordonnées bancaires envoyée uniquement par e-mail.
• Un nouveau compte dans un autre pays ou au nom d'une autre entité que votre entreprise.
• Une pression pour payer vite ou garder le changement confidentiel.
• Une adresse d'expéditeur qui ressemble presque, mais pas exactement, à votre domaine.
• Une adresse de réponse différente de l'adresse From.

Le conseil du FBI est direct : vérifiez toute demande de modification des informations de compte par un second canal, et contrôlez que les liens et les adresses d'expéditeur appartiennent vraiment à l'entreprise dont ils se réclament (annonce de service public de l'IC3, septembre 2024).

Comment évaluer votre propre exposition

Vous pouvez passer en revue le volet messagerie en quelques minutes :

dig +short TXT _dmarc.yourcompany.com
dig +short TXT yourcompany.com | grep spf1

Cherchez une politique DMARC p=quarantine ou p=reject et un enregistrement SPF se terminant par ~all ou -all. Cherchez ensuite les domaines enregistrés qui ressemblent au vôtre : lettres inversées, tirets ajoutés, autres extensions comme .co ou .net. Vérifiez si ces domaines ont des enregistrements MX, ce qui signifie qu'ils peuvent recevoir (et généralement envoyer) des e-mails :

dig +short MX examp1e.com

Enfin, passez en revue vos boîtes à la recherche de règles de transfert vers des adresses externes et assurez-vous que chaque compte utilise l'authentification multifacteur.

Les contrôles qui l'arrêtent

Côté messagerie :

• Appliquez DMARC (p=quarantine ou p=reject) pour que les messages falsifiés au nom de votre domaine soient refusés.
• Verrouillez les domaines qui n'envoient jamais d'e-mails avec v=spf1 -all et p=reject.
• Exigez l'authentification multifacteur sur chaque boîte.
• Déclenchez une alerte pour toute nouvelle règle de transfert et toute connexion depuis un lieu inhabituel.

Côté paiement :

• Indiquez par écrit à vos clients que vos coordonnées bancaires ne changeront jamais par simple e-mail.
• Affichez vos coordonnées bancaires sur votre site web ou votre portail client, pour que vos clients puissent les vérifier.
• En interne, confirmez tout changement de coordonnées bancaires d'un fournisseur par téléphone, avec un numéro que vous avez déjà dans vos dossiers, jamais celui de l'e-mail.

Si c'est déjà arrivé

Le FBI insiste : le temps compte. Contactez immédiatement la banque qui a émis le paiement et demandez un rappel des fonds, puis déposez une plainte sur ic3.gov quel que soit le montant (IC3 PSA I-091124-PSA). Informez par écrit le client concerné, réinitialisez les mots de passe de toute boîte potentiellement impliquée et vérifiez les règles de transfert.

La place de Datahorses

Datahorses surveille ce qu'un attaquant peut utiliser pour se faire passer pour vous : les domaines similaires nouvellement enregistrés et leur capacité à envoyer des e-mails, vos enregistrements SPF, DKIM et DMARC, et les signes de fausses pages de connexion. Quand quelque chose apparaît, une personne l'examine et vous recevez des étapes concrètes, comme décrit dans ce qui se passe quand nous trouvons quelque chose. Nous le faisons depuis l'extérieur et n'avons besoin d'aucun accès. Le risque voisin des messages qui usurpent l'identité de vos dirigeants est traité dans fraude au président et usurpation d'identité de dirigeants.