Des escrocs se font passer pour le directeur ou le président Prévenir les arnaques aux faux ordres de virement

Mercredi, 17 heures, veille de jour férié. L'icône de messagerie de Dominique, au service compta, clignote : un courriel de son patron, avec une adresse personnelle. « Nous réalisons actuellement une opération financière concernant un rachat de société, qui doit rester strictement confidentielle pour le moment. Connaissant votre professionnalisme, je vous ai choisi pour gérer cette affaire. Notre consultant, le cabinet Leypinier va vous contacter pour vous donner les instructions concernant le virement... » Suit un mail du cabinet, avec les coordonnées bancaires d'un compte en Chine...

Si ce récit est fictif, de nombreuses entreprises ont été approchées par des individus se faisant passer pour le directeur ou le président. Ces escroqueries aux faux ordres de virement, aussi appelées fraudes « au faux patron », sont en recrudescence. Le cabinet PwC, dans son étude mondiale 2014 sur la fraude en entreprise, indique que la fraude « au président » représente 10 % des fraudes rapportées en France. Et les sommes peuvent être conséquentes : début 2014, une filiale de Géant Vert dans le Sud-Ouest a perdu 17 M€.

De quelques milliers à plusieurs millions d'euros

Stéphane Mortier, au ministère de l'Intérieur, chiffre 248 affaires en 2012 pour un préjudice moyen d'environ 1 M€, et 160 affaires en 2013 pour près de 4 M€. Et il s'agit seulement de cas ayant fait l'objet d'un dépôt de plainte. Outre le président ou le directeur, les escrocs peuvent aussi se présenter comme un employé de la banque, prétextant par exemple une opération de maintenance pour la mise en place de la norme SEPA (nouveau paiement européen). Les salariés peuvent être contactés par mail ou par téléphone, certains déguisant leur voix. Ces arnaques peuvent concerner tout type d'entreprise et en premier lieu, celle ayant une activité à l'international. « Ce qui est nouveau, c'est que jusqu'à maintenant le négoce agricole était peu connu, analyse Natacha Alaux, directrice du pôle entreprise à la FNA. On interagit avec des acteurs internationaux, sur les marchés à terme : il y a un terreau fertile, et les entreprises ne sont pas forcément organisées en interne. »

Ces escroqueries utilisent la technique de l'ingénierie sociale, que Stéphane Mortier définit comme « l'ensemble des techniques visant à obtenir des informations pour réaliser un acte frauduleux ». La Direction centrale du renseignement intérieur (DCRI) précise que cette phase « permet à l'escroc, ainsi documenté, de pouvoir se faire passer pour un membre de votre cercle le jour où il sollicitera le virement bancaire ». Mais comment la personne contactée peut-elle ainsi se laisser abuser ? « Cela peut paraître surprenant mais cela fonctionne, indique Stéphane Mortier. La personne est bien choisie, en fonction de son importance dans la hiérarchie. Des promesses lui sont faites, elle n'ose pas s'opposer. Et souvent l'appel est confirmé par mail, ou par un avocat d'affaires. Il y a toute une mise en scène. »

Une fois l'arnaque réussie, difficile de récupérer l'argent, et il faut gérer les dommages collatéraux : suspicion entre employés, relations avec la banque... « Il peut y avoir des problèmes au niveau des équipes, la personne qui a fait le virement n'ayant pas forcément eu de directives », explique Natacha Alaux. Et les banques, qu'en disent-elles ? « C'est un sujet sur lequel nous ne souhaitons pas communiquer car cela donnerait des clés pour contourner le système », répond Bertrand Schaefer à la Fédération nationale du Crédit Agricole, assurant qu'« il existe des procédures de contrôle dans les banques ». Selon sa responsabilité, une indemnisation peut être possible.

Discrétion et urgence évoquées, prenez garde

Alors que faire ? Une fois piégé, il faut réagir au plus vite et contacter sa banque. Et il faut porter plainte (voir l'interview de Stéphane Mortier). En amont, des procédures internes doivent être mises en place : « Contre-appel sur une ligne fixe, vérification que l'e-mail provient bien de la société (attention au nom de domaine), double signature requise au-delà d'un certain montant, etc. », indique la DCRI. Sans oublier de sensibiliser les équipes financières et comptables, assitants, secrétaires... « Les notions de discrétion et d'urgence prétextées doivent impérativement éveiller votre suspicion », conclut la DCRI.

Marion Coisne