Fraude au président et phishing : comprendre, se protéger et s'assurer

En 2024, le phishing reste la première cybermenace en France avec 1,9 million de consultations d'articles dédiés et 64 000 demandes d'assistance sur la plateforme Cybermalveillance.gouv.fr [1]. Dans le même temps, la fraude au président représente un préjudice estimé à 500 millions d'euros par an dans l'Hexagone, et les fraudes au virement ont bondi de +603 % selon les données 2024 [2]. Ces deux menaces, intimement liées, ciblent aussi bien les grandes entreprises que les PME et les collectivités. Comment fonctionnent-elles ? Comment s'en prémunir et réagir efficacement ? Quelle couverture assurantielle privilégier ? Ce guide expert fait le point. Pour aller plus loin sur l'ensemble des cyber-risques auxquels sont exposées les entreprises, consultez notre guide complet sur les cyber-risques.

Fraude au président et phishing : de quoi parle-t-on exactement ?

La fraude au président, aussi appelée FOVI (Faux Ordres de Virement Internationaux), est une technique d'ingénierie sociale où un escroc usurpe l'identité d'un dirigeant (PDG, directeur financier) pour convaincre un collaborateur habilité d'effectuer un virement urgent et confidentiel vers un compte frauduleux, le plus souvent domicilié à l'étranger [3]. L'attaque repose sur trois leviers psychologiques : l'urgence, la confidentialité et l'autorité hiérarchique. Exemple marquant : en décembre 2021, un promoteur immobilier parisien a perdu 33 millions d'euros après qu'un faux PDG a envoyé des ordres de virement à la responsable comptable.

Le phishing (ou hameçonnage) désigne l'envoi de messages frauduleux (e-mails, SMS, appels) imitant des organismes légitimes (banques, administrations, fournisseurs) pour soutirer des identifiants, mots de passe ou données bancaires [4]. Il constitue la première menace pour tous les publics en France : 34 % des demandes d'assistance des particuliers concernent le phishing [2]. En 2024, 1,9 million de consultations sur Cybermalveillance.gouv.fr concernaient l'hameçonnage, confirmant son statut de menace numéro 1.

Le lien entre ces deux menaces est direct : le phishing est souvent le vecteur d'entrée qui précède la fraude au président. Un e-mail de phishing ciblé permet aux escrocs de récupérer des accès à la messagerie interne, puis de lancer l'attaque FOVI en toute connaissance de l'organigramme.

Les principales variantes à connaître

• Spear phishing : message personnalisé visant une personne ou une entreprise précise.
• Vishing : hameçonnage par appel téléphonique vocal.
• Smishing : hameçonnage par SMS.
• Quishing : hameçonnage via QR code.
• Whaling : ciblage spécifique des dirigeants (les "gros poissons").
• Fraude au faux fournisseur : l'escroc se fait passer pour un fournisseur et demande un changement de RIB.
• Fraude au faux support technique : troisième menace pour les entreprises selon Cybermalveillance.gouv.fr en 2024.

Chiffres clés : l'ampleur réelle de la fraude au président et du phishing en France

Les statistiques récentes confirment l'urgence d'agir face à ces menaces :

• 37 % des entreprises françaises ont été touchées par la fraude au président au moins une fois en 2023 [3].
• La fraude au président représente un préjudice estimé à 500 millions d'euros par an dans l'Hexagone, et les fraudes au virement ont bondi de +603 % selon les données 2024 [2].
• 1,9 million de consultations sur Cybermalveillance.gouv.fr concernaient l'hameçonnage en 2024, confirmant son statut de menace numéro 1 en France [1].
• Plus de 23 millions de tentatives de phishing ont été bloquées en France en 2024, soit +6 % par rapport à 2023 (Kaspersky).
• Le phishing représente 38 % des demandes d'assistance des particuliers et 21,2 % pour les entreprises sur Cybermalveillance.gouv.fr [1].
• 61 % des entreprises françaises ont subi des conséquences commerciales (baisse de production, retards) après une attaque par phishing.
• Les attaques BEC (Business Email Compromise) ciblant des dirigeants ont augmenté de 17 % entre 2021 et 2023.
• 74 % des vols de données à l'échelle mondiale passent par le phishing.

Comment se déroule une attaque : les 5 étapes de la fraude au président

Comprendre le déroulement précis d'une attaque permet de mieux l'identifier et l'anticiper. Voici les cinq phases classiques :

1. Reconnaissance : l'escroc collecte des informations sur l'entreprise via LinkedIn, le site web, les réseaux sociaux, voire après un phishing préalable. Signal d'alerte : des demandes inhabituelles d'informations internes.
2. Prise de contact : appel ou e-mail usurpant l'identité du dirigeant, depuis une adresse e-mail légèrement différente de l'originale (par exemple, un ".co" au lieu de ".com"). Signal d'alerte : vérifier systématiquement l'adresse de l'expéditeur.
3. Mise en condition : l'escroc invoque une opération confidentielle urgente, interdit d'en parler à quiconque et exerce une pression hiérarchique. Signal d'alerte : toute demande de contournement des procédures habituelles.
4. Exécution du virement : le collaborateur, sous pression temporelle, effectue le virement vers un IBAN étranger. Signal d'alerte : un virement non planifié vers un compte inconnu.
5. Disparition : les fonds sont immédiatement transférés vers d'autres comptes, rendant le recouvrement très difficile [5].

En 2023, l'interpellation de 8 personnes liées à 40 virements frauduleux a révélé un préjudice de 38 millions d'euros [6]. Les PME, qui représentent désormais 40 % des cibles d'attaques (contre 25 % en 2020), sont particulièrement exposées.

Comment se protéger : les mesures préventives essentielles

Pour les entreprises (fraude au président)

• Double validation obligatoire pour tout virement au-delà d'un seuil défini en interne.
• Rappel systématique sur un numéro connu et vérifié pour confirmer toute demande urgente de virement.
• Authentification multi-facteurs (MFA/2FA) sur la messagerie professionnelle, l'ERP et la banque en ligne.
• Campagnes de phishing simulé trimestrielles pour former et tester les équipes [4].
• Limiter les informations publiées sur l'organigramme et les responsables financiers (site web, LinkedIn).
• Déployer des filtres anti-phishing sur la messagerie et formaliser des procédures internes écrites pour les virements exceptionnels [3].
• Ne jamais agir sous la pression de l'urgence ou de la confidentialité imposée.
• Mettre en place des procédures de validation multi-niveaux pour tout changement de coordonnées bancaires.

Pour tous (phishing et sécurité globale)

• Vérifier l'URL avant de cliquer (protocole HTTPS, nom de domaine exact) [4].
• Ne jamais ouvrir les pièces jointes d'expéditeurs inconnus.
• Utiliser un gestionnaire de mots de passe et activer le 2FA sur tous les comptes sensibles.
• Signaler les tentatives via Signal Spam (e-mails) ou le 33700 (SMS) [4].
• Mettre à jour régulièrement les logiciels et antivirus.

Les 5 mesures prioritaires de l'ANSSI

1. Renforcer l'authentification sur les systèmes d'information.
2. Accroître la supervision de sécurité.
3. Réaliser des sauvegardes hors-ligne des données et applications critiques.
4. Établir une liste des services numériques critiques.
5. Disposer d'un dispositif de gestion de crise adapté à une cyberattaque.

Que faire si vous êtes victime ? Les bons réflexes dans les 24 heures

Dans l'heure

• Contacter immédiatement votre banque pour tenter de bloquer ou rappeler le virement (fournir l'IBAN destinataire, le montant et la date) [7].
• Rassembler toutes les preuves : e-mails, captures d'écran, ordres de virement, enregistrements d'appels, relevés bancaires.
• Modifier les mots de passe compromis et faire opposition si nécessaire.

Dans les 24 heures

• Déposer plainte au commissariat, en gendarmerie ou en ligne sur pre-plainte-en-ligne.gouv.fr [7]. Ce dépôt est obligatoire pour toute indemnisation par une assurance cyber (loi LOPMI).
• Contacter France Victimes au 116 006 (gratuit, 7j/7).
• Signaler l'attaque sur Pharos (internet-signalement.gouv.fr), Signal Spam et Cybermalveillance.gouv.fr.
• Déclarer le sinistre à votre assureur cyber sans délai.
• Alerter vos partenaires bancaires et renforcer immédiatement les mesures de sécurité.

Cadre juridique : remboursement et sanctions

Important : le remboursement par la banque n'est pas automatique. En cas de négligence grave du client (absence de vérification élémentaire), la banque peut refuser le remboursement [7]. Les articles L.133-18 et L.133-19 du Code monétaire et financier imposent à la banque de rembourser les opérations non autorisées, sauf si elle démontre une faute grave de la victime. La jurisprudence récente renforce cette protection : le Tribunal judiciaire de Paris (15/03/2023) a condamné une banque à rembourser 12 500 €, et la Cour d'appel de Versailles (07/02/2024) a rejeté la défense d'une banque malgré un SMS de confirmation, la manipulation ayant été prouvée. Cependant, un recours reste possible si la banque a exécuté des virements présentant des anomalies manifestes.

Sur le plan pénal, la fraude au président relève de l'escroquerie (article 313-1 du Code pénal), passible de 5 ans d'emprisonnement et 375 000 € d'amende [7]. L'usurpation d'identité constitue une infraction spécifique. La victime peut se constituer partie civile pour suivre l'enquête.

L'assurance cyber : quelle couverture face à la fraude au président et au phishing ?

La responsabilité civile professionnelle (RC Pro) seule ne couvre généralement pas les pertes financières internes liées à une fraude par ingénierie sociale. Une assurance cyber dédiée est indispensable pour se protéger efficacement [8].

Les garanties clés d'un contrat cyber

• Pertes financières directes (fraude, social engineering, cyber-détournement de fonds).
• Frais de restauration des systèmes informatiques et reconstitution des données.
• Pertes d'exploitation (chiffre d'affaires perdu pendant l'interruption).
• Assistance 24/7 (experts IT, juristes, communication de crise).
• Frais CNIL/RGPD (notification aux personnes concernées).
• Frais juridiques et de défense.
• Gestion de crise (conseil en communication, plateforme téléphonique).
• Usurpation d'identité et responsabilité civile (données).

Comparaison des offres du marché

Source : données internes AssurancesLabs, analyse des contrats cyber du marché français.

Prérequis d'éligibilité courants : sauvegardes mensuelles, authentification à deux facteurs (2FA) activée, mises à jour régulières des systèmes. Rappelons que la loi LOPMI impose un dépôt de plainte préalable pour toute indemnisation cyber.

Recommandation : pour une PME, un plafond minimum de 1 million d'euros est conseillé en 2026, compte tenu de l'augmentation constante des préjudices. Soyez vigilant sur les exclusions : la plupart des contrats excluent les sinistres résultant d'une négligence grave ou de l'absence de mesures de sécurité de base (pas de MFA, mots de passe faibles, etc.).

Conclusion

La fraude au président et le phishing représentent des menaces majeures et en forte croissance pour les entreprises et les particuliers en France. La prévention repose sur trois piliers : la sensibilisation des équipes, la mise en place de procédures de contrôle rigoureuses (double validation, MFA, campagnes de phishing simulé) et la souscription d'une assurance cyber adaptée. Face à la sophistication croissante des attaques (deepfakes, IA générative), la vigilance doit être permanente.

AssurancesLabs accompagne les particuliers et les professionnels pour comprendre, comparer et choisir les meilleures couvertures cyber du marché français. Nos guides complets et nos comparatifs vous aident à prendre des décisions éclairées, en toute transparence.

Références

1. Cybermalveillance.gouv.fr, Rapport d'activité 2024, tendances de la menace cyber en France
2. Cybermalveillance.gouv.fr, Fraude au virement bancaire (FOVI) ou au faux ordre de virement
3. Préfecture du Morbihan, L'arnaque au président ou escroquerie aux FOVI
4. Cybermalveillance.gouv.fr, Que faire en cas de phishing ou hameçonnage ?
5. Generali, Arnaque au président : nos conseils pour protéger votre entreprise
6. LeMagIT, Arnaque au président : la menace silencieuse
7. Service-Public.fr, Escroquerie
8. Chesneau, Assurance Cyber et Fraude : des risques distincts en relation