Un mail bien tourné peut vider une trésorerie plus vite qu’un cambriolage. Le Business Email Compromise (BEC), ou fraude au paiement par usurpation de messagerie, n’a rien d’un spam maladroit. C’est une opération structurée, pensée pour prendre la main sur des boîtes mail, fabriquer des demandes de virement crédibles et faire sortir l’argent via des intermédiaires. Dans une analyse relayée par BleepingComputer, la société Flare détaille la mécanique observée sur les forums clandestins.
Points clés
- 3,04 milliards de dollars de pertes déclarées en 2025 pour 24 768 plaintes, selon le FBI IC3
- Le BEC s’appuie sur des comptes mail déjà compromis et contourne les filtres antispam classiques
- Les forums underground servent de place de marché : accès initiaux, accompagnement, encaissement
- Parade clé : vérification hors bande et double validation de tout changement de coordonnées bancaires
Une arnaque qui démarre bien avant le mail
Le BEC ne se résume pas à une signature falsifiée. Les attaquants partent souvent de comptes déjà compromis, puis mènent un vrai travail de reconnaissance financière : repérer les cibles rentables, les fournisseurs habituels et les fenêtres où un virement passe sans éveiller les soupçons. Les discussions citées par Flare décrivent tout un écosystème où s’échangent des accès, des services de préparation, des conseils de fraude et des relais pour encaisser les fonds.
Le tableau est déjà bien connu des autorités américaines. Dans son dernier bilan annuel, le FBI classe le BEC parmi les fraudes les plus coûteuses du Net, avec 3,04 milliards de dollars de pertes déclarées en 2025 pour 24 768 plaintes. Soit un ticket moyen de près de 123 000 dollars par dossier.
Pourquoi les défenses classiques calent
Le BEC contourne les protections pensées pour le phishing de masse. Un message peut venir d’une vraie boîte mail piratée, reprendre le ton d’un dirigeant et s’insérer dans un échange déjà en cours. Les filtres antispam laissent passer la requête, surtout déguisée en relance de facture, en mise à jour de coordonnées bancaires ou en urgence de clôture comptable.
Les parades efficaces relèvent du processus plus que de la technique : vérification hors bande des changements de coordonnées bancaires, double validation pour les virements sensibles, surveillance des règles de transfert dans les messageries, authentification multifacteur sur les comptes à privilèges. Les contrôles de domaine SPF, DKIM et DMARC restent utiles, mais ils ne bloquent ni un compte légitime déjà piraté ni une demande frauduleuse partie d’une adresse bien réelle.
Ce que les équipes finance et IT doivent surveiller
Les signaux exploitables se nichent rarement dans le contenu du mail. Ils sont dans le contexte autour du message :
- demande soudaine de changement de coordonnées bancaires ;
- pression temporelle inhabituelle sur un paiement ;
- réponse en décalage avec les habitudes d’un fournisseur ;
- création de règles de redirection dans une boîte mail ;
- connexion depuis un nouvel emplacement ou un nouvel appareil sur un compte financier.
Sur les forums décrits par Flare, ces opérations se vendent comme des produits : accès initiaux, accompagnement, monétisation. On est loin de la fraude improvisée. C’est une chaîne où plusieurs profils interviennent avant qu’un virement ne parte au mauvais endroit.
La règle d’or tient en une phrase : ne jamais valider une instruction de paiement sur la seule foi d’un e-mail, même signé d’un cadre, d’un fournisseur ou d’un partenaire de confiance.
