Comment éviter la fraude externe ? Explications sur les principales fraudes et analyse des comportements à avoir pour s’en prémunir.
Les dernières statistiques publiées par l'assureur Euler Hermes et la DFCG ont de quoi inquiéter : en 2016, 8 entreprises sur 10 ont été victimes d'une tentative de fraude et 1 sur 5 d'une fraude avérée. Dans cette dernière situation, précise l'étude, 10 % des entreprises attaquées auraient subi une perte supérieure à 100 K€. Un niveau de risque sans précédent causé par trois grands types de fraude que nous vous invitons à découvrir pour mieux vous en prémunir et pour adopter le bon comportement si elles venaient à vous toucher.
LA FRAUDE AU PRÉSIDENT
Responsable administrative d'une PME spécialisée dans le mobilier professionnel, Annie consulte ses courriels un jour de juillet 2015. L'un d'entre eux, estampillé « confidentiel », émane du président de l'entreprise et enjoint d'effectuer un virement urgent sur un compte étranger afin de mener à bien le rachat d'un concurrent asiatique. Plus tard, un prétendu avocat l'appelle: « C'est une opération urgente. Vous ne voulez pas mettre en péril l'entreprise, n'est-ce pas? ». Annie ordonne alors 7 virements pour un montant total de 1,6 million d'euros avant que la fraude ne soit découverte. Privée de trésorerie, cette entreprise des Deux-Sèvres employant 42 salariés a été placée en liquidation judiciaire en janvier 2016.
COMMENT SE PROTÉGER ?
La fraude au président est un cas typique d'abus de confiance. Elle s'appuie sur la connaissance que les fraudeurs ont de l'entreprise cible, sur la mise en place d'un scénario crédible et sur leur capacité à contrôler psychologiquement la personne qui, malgré elle, va devenir leur complice. Pour limiter ce risque de fraude, il faut :
- assurer la confidentialité des organigrammes (a minima en extraire le nom et les coordonnées des responsables financiers et comptables);
- limiter la communication de l’entreprise autour de ses partenariats et de ses grands projets;
- sensibiliser les salariés en leur présentant la mécanique de cette fraude;
- rappeler aux salariés qu'ils doivent systématiquement mettre en place une procédure de validation (par exemple, contacter directement le dirigeant, un cadre, votre conseil habituel) quand la demande est insolite et/ou portée par un interlocuteur inconnu faisant preuve d'insistance (flatterie, intimidation) ;
- mettre en place un protocole de double signature pour tout virement supérieur à 1 000 €.
COMMENT RÉAGIR ?
Si le virement vient d'être effectué, il n'est peut-être pas trop tard. Les banques disposent, en effet, d'une possibilité de rappel des fonds durant les premières heures qui suivent l'ordre. Sans attendre, il faut :
- alerter sa banque (y compris en dehors des heures d'ouverture, via leur numéro d'urgence) ;
- saisir les autorités (la police dispose de services spécialisés).
LES CYBER-FRAUDES
Employé comme dessinateur dans un cabinet d'architecte, Jacques vient de recevoir un courriel qui ne lui est pas destiné. À première vue, il émane d'un fournisseur et contient une facture en pièce jointe. Avant de l'adresser au service comptable, Jacques, par curiosité, ouvre la facture. Quelques minutes plus tard, il remarque que son ordinateur est devenu très lent, puis un message apparaît sur son écran lui indiquant que toutes ses données sont désormais cryptées et qu'il devra payer une rançon de 1 bitcoin (autour de 6 000 €) pour les récupérer. Jacques éteint, puis rallume son ordinateur plusieurs fois. Au bout d'une vingtaine de minutes, il entend ses collègues s'agiter dans les couloirs. Tous les ordinateurs du cabinet sont désormais bloqués. Toutes les tentatives pour décrypter les données échoueront. Le formatage et la réinstallation de toutes les machines seront nécessaires. L'opération durera 2 jours et mobilisera une dizaine de techniciens extérieurs.
COMMENT SE PROTÉGER ?
Le phishing (tentative d'extorsion de mot de passe ou de coordonnées bancaires via des mails ou des interfaces Web imitant ceux d'une banque, d'un fournisseur ou d'une administration) et les rançongiciels (logiciels cryptant les données et réclamant une rançon pour les libérer) se répandent comme tous les logiciels malveillants.
Dès lors, il convient :
- de mettre à jour les antivirus et systèmes d'exploitation;
- de ne jamais ouvrir les pièces jointes des courriels douteux (inhabituels, expéditeurs inconnus, style impersonnel, texte mal traduit... ) ;
- d'effectuer une sauvegarde quotidienne des données stockées sur des supports déconnectés du réseau.
COMMENT RÉAGIR ?
Dès qu'une machine est touchée, immédiatement il faut :
- la déconnecter du réseau ;
- alerter les services techniques (internes ou externes à l’entreprise) ;
- porter plainte.
Et il ne faut jamais payer la rançon.
LA FRAUDE AU FAUX FOURNISSEUR
Alain travaille au service comptable d’un laboratoire d'analyses médicales. Un jour, il reçoit un courrier à en-tête d'un de ses fournisseurs l'informant d'un changement de coordonnées bancaires.
Le courrier est signé par le directeur financier du fournisseur, M. Dumas. Une personne qu'Alain connaît. Sans attendre, il modifie les-coordonnées bancaires. Au cours des six mois suivants, Alain met en paiement trois factures pour un total de 28 500 €. Un jour, M. Dumas appelle Alain, car il n'a pas été payé. Ensemble, ils découvrent la fraude.
COMMENT SE PROTÉGER ?
En cas de demande de changement de coordonnées bancaires d'un fournisseur, notamment si le nouveau compte est à l'étranger, il faut :
- contacter directement le fournisseur en question sans utiliser les coordonnées présentées dans le courriel ou le courrier papier pour lui demander confirmation ;
- mettre en place un système de double validation pour tout changement de ce type.
COMMENT RÉAGIR ?
Si un virement vient d'être effectué, sans attendre, il faut:
- alerter sa banque pour bloquer le paiement;
- saisir les autorités ;
- prévenir le fournisseur.
AUTRES SCÉNARIOS
L'imagination des fraudeurs est sans limite. Certains se font passer pour des banquiers et, sous couvert d'un changement technique, demandent à leur client d'effectuer des tests de virement sur un compte « spécial » ; d'autres prennent l'identité d’un client, passent une commande, se font livrer les marchandises dans un local insolite, puis disparaissent dans la nature.
SE MOBILISER
Rester en alerte
La fraude est un risque permanent et en constante mutation. Sensibiliser ses collaborateurs dans le cadre d'une simple formation n'est donc pas suffisant. Il faut régulièrement battre le rappel en évoquant les nouveaux risques, les enjeux et la conduite à tenir. Idéalement un collaborateur ou un partenaire extérieur doit prendre en charge cette mission de veille et d'alerte.
Prendre une assurance
Il est possible de s’assurer contre la fraude. Toutefois, le montant des primes demandées dépendant du niveau de protection (technique, comportemental) atteint par l’entreprise, cette démarche doit venir en complément d'une série d’actions préventives déjà menées.
Cybermalveillance.gouv.fr
La plate-forme gouvernementale cybermalveillance.gouv.fr permet d'identifier, dans toutes les régions de France, des prestataires spécialisés dans la cybersécurité.
Assistance