E-mails d'hameçonnage : un message « nous avons changé de compte bancaire » coûte en moyenne 123 000 dollars à l'entreprise piégée, 6 mesures pour l'éviter

L'e-mail d'hameçonnage le plus coûteux ne contient ni virus ni lien étrange : un fournisseur connu annonce un nouveau compte bancaire et demande de régler la prochaine facture sur le nouvel IBAN. Dans le rapport 2025 du FBI sur la cybercriminalité, cette fraude, dite compromission de messagerie d'entreprise, a donné lieu à 24 768 plaintes et 3 046 598 558 dollars de pertes, soit environ 123 000 dollars par plainte, près de 461 000 riyals saoudiens. La parade ne coûte presque rien : ne modifiez jamais les coordonnées bancaires d'un bénéficiaire sur la foi d'un e-mail. Confirmez par téléphone, au numéro déjà enregistré chez vous, et exigez la validation d'une deuxième personne. (Voir aussi notre article sur le piratage de Binance et les contrôles d'approbation des virements.)

À quoi ressemble un e-mail d'hameçonnage en 2026

L'ancien conseil consistait à repérer les fautes d'orthographe. Il ne fonctionne plus. Le rapport du FBI indique que les outils de conversation génèrent rapidement des e-mails au ton officiel qui imitent le dirigeant ou d'autres responsables, et que le clonage de voix peut servir à demander un virement. En 2025, le FBI a reçu plus de 22 000 plaintes mentionnant l'intelligence artificielle, pour des pertes de plus de 893 millions de dollars, et les entreprises ont déclaré plus de 30 millions de dollars perdus dans des compromissions de messagerie faisant appel à l'IA.

Jugez donc la demande, pas la qualité de la rédaction. Les signaux d'alerte qui restent valables :

• Un changement de coordonnées bancaires, surtout juste avant un paiement important.
• L'urgence et le secret : « payez aujourd'hui », « je suis en réunion, n'appelez pas », « restez discret ».
• Une adresse d'expéditeur presque correcte : une lettre changée dans le domaine, ou une messagerie gratuite à la place du domaine de l'entreprise.
• Une demande qui contourne la procédure habituelle : un responsable qui demande directement au comptable un virement hors du système.

Les chiffres derrière le problème

Le centre de plaintes pour la cybercriminalité du FBI (IC3) a reçu 1 008 597 plaintes en 2025, pour des pertes déclarées de 20,877 milliards de dollars, en hausse de 26 % par rapport à 2024. L'hameçonnage et l'usurpation ont généré à eux seuls 191 561 plaintes. Les plaintes pour compromission de messagerie d'entreprise sont passées de 21 442 en 2024 à 24 768 en 2025. Ce sont des plaintes déposées aux États-Unis, pas des chiffres saoudiens, mais la méthode est la même partout : le fraudeur ne pirate pas votre banque, il convainc votre propre salarié d'envoyer l'argent.

Le même rapport contient la leçon la plus utile pour toute équipe financière : la rapidité. Quand les victimes ont signalé vite, l'équipe de récupération des avoirs du FBI a travaillé avec les banques pour geler les fonds. Sur 3 900 incidents en 2025, elle a gelé 679 013 183 dollars, soit un taux de réussite de 58 %. Le conseil du FBI est clair : chaque minute compte, contactez immédiatement votre banque et demandez le rappel du virement.

6 mesures qui protègent votre entreprise

1. Un contre-appel pour tout changement de coordonnées bancaires. Toute demande de modification du compte d'un fournisseur, d'un salarié ou d'un partenaire est confirmée par téléphone, au numéro déjà enregistré chez vous, jamais à celui de l'e-mail. Écrivez-le comme une règle, pour que personne ne soit gêné de vérifier.
2. Deux personnes pour tout nouveau bénéficiaire. Une personne saisit le nouvel IBAN, une autre le valide, depuis un autre appareil. Demandez à votre banque d'activer ce fonctionnement sur son portail entreprises.
3. L'authentification multifacteur sur la messagerie. Le modèle de norme de protection de la messagerie de l'Autorité nationale de cybersécurité saoudienne (NCA) exige l'authentification multifacteur pour la messagerie web et les applications mobiles, ainsi que pour les administrateurs de messagerie. La plupart des compromissions commencent par un mot de passe de messagerie volé.
4. SPF, DKIM et DMARC sur votre domaine. Le même modèle de la NCA exige ces trois enregistrements, pour que les autres serveurs puissent rejeter les e-mails qui usurpent votre domaine. Ils protègent vos clients et fournisseurs contre de faux e-mails à votre nom.
5. Le filtrage et un bandeau « expéditeur externe ». Le modèle de la NCA exige de bloquer les messages entrants contenant des liens malveillants ou des tentatives d'hameçonnage, et de mettre en quarantaine les messages à risque moyen. Ajoutez un bandeau visible sur chaque e-mail venant de l'extérieur.
6. Un plan de réaction d'une page. Si l'argent est parti : appelez immédiatement la banque pour demander le rappel, changez le mot de passe de la messagerie, cherchez dans la boîte les règles de transfert que vous n'avez pas créées, et prévenez le fournisseur dont le nom a été utilisé.

Ce qu'il faut apprendre à vos équipes en 15 minutes

Inutile d'organiser une longue formation. Enseignez trois réflexes : vérifier l'adresse complète de l'expéditeur, ne jamais exécuter une demande de paiement arrivée uniquement par e-mail, et signaler un message suspect au lieu de le supprimer. Envoyez ensuite un e-mail de test inoffensif une fois par trimestre et discutez des résultats sans chercher de coupable. Une équipe qui signale vite vaut mieux qu'une équipe qui croit ne jamais cliquer.

Le regard d'Origami

Pour nous, l'hameçonnage est un problème de procédure avant d'être un problème technique. Les filtres laisseront toujours passer quelques messages, et l'IA rend les faux e-mails plus convaincants chaque mois. Ce qui ne change pas, c'est la règle inscrite dans vos systèmes : un changement de coordonnées bancaires doit être impossible sans vérification et sans seconde validation. Quand nous développons des systèmes sur mesure de comptabilité, d'achats ou de paiement, nous intégrons cette règle au système lui-même, avec un journal de chaque modification des données des bénéficiaires, pour qu'elle ne dépende de la mémoire de personne. Pour un audit de votre messagerie et de vos circuits de validation des paiements, contactez-nous ou découvrez nos services.