Piratage de messagerie professionnelle
Business Email Compromise, ou BEC : une vraie boîte d’entreprise, prise pour détourner un paiement
Une adresse authentique, pas une imitation
Rien n’est contrefait : le message part du vrai compte, avec la signature et l’historique habituels, et franchit sans peine les contrôles comme DMARC, faits pour démasquer un domaine usurpé. C’est ce qui le sépare de la fraude au président, montée à partir d’informations publiques : ici, l’attaquant puise dans la correspondance elle-même. L’accès vient presque toujours d’un hameçonnage antérieur, un employé ayant saisi son mot de passe sur une fausse page de connexion.
Des semaines de lecture discrète
Une fois dans la boîte, l’intrus repère les commandes, les factures, les échéances. Il crée souvent une règle qui détourne ou masque certaines réponses, pour que le titulaire ne remarque rien. Quand un paiement approche, il écrit au client dans le fil existant : nouvelles coordonnées bancaires, motif plausible, ton familier. Le compte sert parfois aussi à piéger tout le carnet d’adresses, de proche en proche.
Une hausse continue en Suisse
L’Office fédéral de la cybersécurité recense 49 cas au second semestre 2024, 59 au premier semestre 2025 et 73 au second, dont une victime ayant perdu 1,5 million de francs. Il distingue explicitement ce piratage de l’arnaque au président, alors que le FBI range celle-ci parmi les variantes du BEC : d’une source à l’autre, les chiffres ne mesurent donc pas la même chose.
Ce qui le tient en échec
Une double authentification sur chaque compte de messagerie, de préférence par clé de sécurité ou passkey, que l’hameçonnage ne parvient pas à capturer ; une alerte dès qu’une règle de transfert apparaît ou qu’une connexion arrive d’un pays inattendu ; et, pour tout IBAN qui change, un appel au numéro que l’on connaissait déjà. Si l’intrusion est découverte : nouveau mot de passe, sessions fermées, règles supprimées, et partenaires prévenus, puisque leurs échanges ont été lus.
Mise à jour : 25 octobre 2026
