Arnaque au président : détecter le faux ordre de virement

Un mail du dirigeant arrive un vendredi à 17 h 40 : dossier confidentiel, virement à passer avant la clôture, surtout n’en parlez à personne. Quarante minutes plus tard, l’argent est parti vers un compte étranger. L’arnaque au président — que la police et les banques appellent FOVI, pour « faux ordre de virement » — ne repose sur aucune prouesse technique : elle exploite la hiérarchie, l’urgence et le secret, et vise en priorité les PME, dont le service comptable tient souvent en une ou deux personnes. Ce guide détaille la mécanique, les variantes, la double validation qui la neutralise et les réflexes à avoir dans les heures qui suivent. Quand l’usurpation passe par un mail, notre méthode pour vérifier un e-mail suspect en 60 secondes reste le premier filtre.

Arnaque au président, FOVI, fraude au virement : de quoi parle-t-on

Cybermalveillance.gouv.fr définit l’escroquerie aux faux ordres de virement (FOVI) comme une arnaque qui, « par persuasion, menaces ou pressions diverses, vise à amener la victime à réaliser un virement de fonds non planifié ». Quand le message se présente comme émanant du dirigeant et revêt un caractère « urgent et confidentiel », le dispositif national parle d’arnaque au Président. Le sigle FOVI couvre la famille complète — faux dirigeant, faux fournisseur, faux banquier, faux salarié — quand le terme BEC (Business Email Compromise) désigne les cas où la fraude s’appuie sur une boîte mail piratée.

La distinction n’est pas académique : elle détermine le régime juridique. Si le virement a été saisi et validé par une personne habilitée de l’entreprise — même trompée —, l’opération est juridiquement « autorisée » et les règles de remboursement du code monétaire et financier ne s’appliquent pas. Si l’ordre transmis à la banque est un faux, l’opération devient « non autorisée » et bascule dans un tout autre régime. Nous y revenons plus bas.

Pourquoi les PME et leurs services comptables sont la cible prioritaire

La gendarmerie nationale le formule sans détour : ces escroqueries « touchent non seulement les grandes entreprises, mais aussi les PME, les artisans et les collectivités territoriales ». Trois caractéristiques structurelles expliquent cette exposition.

Le circuit de décision est court. Là où un groupe fait passer un virement par un contrôleur, un valideur et un signataire, une PME de 25 salariés s’appuie sur une comptable qui a la main sur l’outil bancaire et un dirigeant qui valide au téléphone. Ce raccourci devient le point d’entrée de la fraude.

L’organigramme est public. Site vitrine, mentions légales, LinkedIn, annonces légales et Kbis livrent en quelques minutes le nom du gérant et celui de la responsable administrative et financière. C’est ce que Cybermalveillance.gouv.fr recommande de limiter : « veillez à limiter la publication d’informations permettant d’identifier et de contacter vos collaborateurs habilités ».

Le moment est choisi — la gendarmerie décrit un appel ou un mail « le plus souvent en soirée, pendant les vacances ou au milieu d’un pont, quand l’équipe comptabilité est réduite », des périodes où l’équipe est incomplète et le dirigeant en congé. Et la messagerie est souvent le maillon faible : la fraude fait fréquemment suite au piratage d’une boîte mail, l’attaquant lisant les échanges pendant des semaines avant de frapper. Un identifiant volé par une campagne de phishing classique suffit à ouvrir cette porte.

La mécanique de l’attaque, étape par étape

Une arnaque au président réussie n’est presque jamais un mail isolé, mais une séquence étalée sur plusieurs semaines dont l’envoi du faux ordre n’est que l’avant-dernier acte.

Phase 1 — La reconnaissance en amont

L’escroc constitue une fiche d’entreprise : dirigeant et style d’écriture, nom de la personne qui manipule les paiements, banque, fournisseurs, congés annoncés sur les réseaux, structure des adresses mail. Rien de tout cela n’est illégal : l’entreprise publie elle-même ces informations.

Phase 2 — L’usurpation du dirigeant

• Le domaine sosie : societe-martin.fr devient societe-rnartin.fr (rn au lieu de m) — invisible sur un écran de téléphone.
• Le spoofing d’expéditeur : le champ « De : » affiche la vraie adresse, mais les réponses partent vers une adresse pirate glissée dans le Reply-To.
• La boîte mail réellement compromise : le message part de la vraie adresse, depuis la vraie messagerie. Aucun contrôle d’en-tête ne le détecte : c’est la variante la plus dangereuse.

S’y ajoute le clonage vocal : quelques dizaines de secondes de voix publique suffisent à produire un appel synthétique convaincant, comme le détaille notre dossier sur l’arnaque deepfake au président.

Phase 3 — La pression, l’urgence et le secret

Le point le plus contre-intuitif : la demande de confidentialité est le signal d’alerte numéro un. Un dirigeant peut demander de la discrétion vis-à-vis de l’extérieur ; il ne demande jamais à un salarié de cacher une écriture comptable à son responsable.

Phase 4 — L’exécution, puis la dispersion

Le compte destinataire — souvent une « mule » recrutée par petite annonce, ou une société écran à l’étranger — est vidé très vite : retraits, virements en cascade, conversion en cryptoactifs. D’où l’insistance de la gendarmerie : « chaque seconde passée diminue drastiquement les chances de récupérer votre argent ». Et l’escroc enchaîne souvent : dans l’affaire jugée par la Cour de cassation le 2 octobre 2024 (chambre commerciale, n° 23-13.282), sept ordres ont été passés par la comptable d’une SAS vers Hong Kong, pour 2 121 903,81 € en onze jours.

Les variantes du FOVI qui coûtent le plus cher aux PME

La variante « changement de RIB » est la plus rentable pour l’escroc : elle détourne des paiements légitimes, sur des factures réelles, parfois pendant des mois avant que le vrai fournisseur ne s’étonne d’un impayé. C’est aussi la plus difficile à contester, puisque l’entreprise a voulu payer.

Les signaux d’alerte à faire connaître au service comptable

Aucun de ces signaux n’est une preuve à lui seul. Deux ou trois réunis dans la même demande imposent l’arrêt immédiat et la vérification.

• Le secret imposé — « n’en parlez à personne », « ne passez pas par la procédure habituelle ».
• L’urgence courte — avant ce soir, avant la clôture, sous deux heures.
• Le timing — vendredi soir, veille de pont, congés, absence connue du dirigeant.
• L’émetteur injoignable — en avion, en réunion, joignable uniquement par écrit.
• Le canal détourné — passage au SMS ou à WhatsApp, avec un nouveau numéro « provisoire ».
• Le bénéficiaire inhabituel — pays sans lien avec l’activité, IBAN étranger.
• Le contournement du circuit — demande adressée à l’exécutant en court-circuitant son responsable.
• La flatterie ou la menace — « je sais que je peux compter sur vous », ou « cette lenteur nous coûte cher ».

Votre entreprise résisterait-elle ? Testez votre procédure en 1 minute

La procédure de double validation à mettre en place

Cybermalveillance.gouv.fr et la gendarmerie emploient la même formule : une « procédure de vérification et de validation hiérarchique interne non dérogeable ». Le mot important est le dernier : une procédure à laquelle le dirigeant peut déroger par un simple message ne protège de rien, puisque c’est exactement ce que l’escroc imite.

1. Fixer un seuil et l’écrireAu-delà d’un montant défini, ou pour tout nouveau bénéficiaire, deux validations distinctes sont obligatoires — dans une note interne signée, pas dans une habitude orale.
2. Séparer saisie et validationCelui qui saisit le virement ne doit pas être celui qui le valide. Tous les outils bancaires professionnels proposent ce paramétrage : encore faut-il l’activer.
3. Imposer le contre-appel sur numéro connuNouveau bénéficiaire, changement de RIB, urgence, confidentialité : chacun de ces cas déclenche un rappel sur le numéro de l’annuaire interne, jamais sur celui fourni par le message. Si la personne est injoignable, le virement attend.
4. Traiter le changement de RIB comme un acte à partFormulaire dédié, contre-appel auprès d’un interlocuteur connu, conservation de la preuve, et si possible un premier paiement de faible montant confirmé.
5. Paramétrer plafonds et délais côté banquePlafond quotidien, délai de carence de 24 à 48 h sur tout nouveau bénéficiaire, alerte au dirigeant au-delà d’un montant : ces réglages coûtent zéro euro.
6. Donner explicitement le droit de dire nonLe dirigeant doit écrire à son équipe : « si vous bloquez un de mes virements parce que la procédure n’a pas été suivie, vous avez raison ». Sans cette phrase, la procédure cède devant la hiérarchie.
7. Tester la procédure une fois par anLimitez la publication des coordonnées des collaborateurs habilités aux paiements, puis testez : un exercice à blanc, fausse demande urgente envoyée avec l’accord du dirigeant, révèle en une heure ce qu’aucun document ne montre. La sensibilisation régulière des équipes vaut mieux qu’un diaporama annuel oublié.

La vérification du bénéficiaire (VoP) depuis le 9 octobre 2025 : utile, pas suffisante

Depuis le 9 octobre 2025, en application du règlement européen sur les virements instantanés, tous les prestataires de services de paiement de la zone SEPA doivent proposer la vérification du bénéficiaire (Verification of Payee, ou contrôle IBAN-nom) : avant validation, la banque compare gratuitement le nom saisi et le titulaire réel du compte lié à l’IBAN, puis affiche une correspondance exacte, approchante ou nulle.

Le virement est parti : les quatre premières heures

L’ordre des actions n’est pas indifférent. Commencer par le dépôt de plainte est une erreur de séquence : pendant ce temps, le compte destinataire se vide. La priorité absolue est bancaire.

1. Appeler la banque et demander le retour des fondsImmédiatement, en demandant l’ouverture d’une demande de retour de fonds (recall), confirmée par écrit dans la foulée avec date, montant, compte débité et IBAN destinataire. Cybermalveillance.gouv.fr place cette démarche avant toute autre.
2. Geler tous les flux vers le RIB frauduleuxIdentifiez les virements exécutés, en instance ou programmés vers ces coordonnées, bloquez l’IBAN dans le logiciel comptable et l’espace bancaire, et prévenez l’expert-comptable s’il exécute les paiements.
3. Figer les preuvesExportez les mails complets avec leurs en-têtes techniques — pas de simples captures d’écran —, conservez SMS, numéros appelants, factures et ordres de virement. Ne supprimez rien.
4. Vérifier si une messagerie a été compromiseChangez le mot de passe, activez la double authentification, révoquez les sessions actives et contrôlez les règles de redirection créées dans la boîte — un classique qui masque les échanges à l’utilisateur légitime.
5. Déposer plainte au commissariat ou en gendarmerieUne entreprise ne peut pas utiliser THESEE, réservé aux particuliers majeurs : la plainte se dépose au commissariat, en gendarmerie ou par écrit auprès du procureur de la République. Le récépissé est réclamé par la banque et l’assureur.
6. Se faire assister et déclarer le sinistreCybermalveillance.gouv.fr propose un parcours d’assistance, des prestataires référencés et le guichet en ligne 17Cyber. Déclarez le sinistre : savoir ce que couvre réellement une cyberassurance PME se règle avant l’incident, pas après.
7. Corriger la faille organisationnelle, par écritIdentifiez les failles qui ont permis l’escroquerie et corrigez-les : cette trace évite la récidive et démontre votre diligence face à la banque comme à l’assureur.

Le recall bancaire : ce qu’il est, ce qu’il ne garantit pas

Le recall est la procédure interbancaire par laquelle la banque du donneur d’ordre demande à celle du bénéficiaire de restituer les fonds. La banque destinataire dispose de dix jours ouvrés pour répondre, après avoir contacté son client et vérifié la disponibilité des fonds.

Un virement SEPA exécuté est irrévocable : le recall n’est pas un droit au remboursement mais une demande de restitution volontaire, que le titulaire du compte peut refuser — ce qu’un escroc fait toujours. Le facteur décisif reste le délai, le compte de la mule étant vidé dans les heures qui suivent. La banque a néanmoins une obligation de moyens : saisie d’une demande de recall, elle doit l’engager sans délai et rendre compte de ses diligences. Conservez l’horodatage de chacun de vos appels.

Qui supporte la perte ? La responsabilité de la banque devant les tribunaux

Si le virement a été saisi et validé par une personne habilitée, même trompée, l’opération est juridiquement autorisée : les articles L. 133-18 et suivants du code monétaire et financier ne s’appliquent pas, et l’entreprise ne peut agir que sur le terrain de la responsabilité contractuelle de droit commun (article 1231-1 du code civil), en démontrant que la banque a manqué à son devoir de vigilance face à une anomalie apparente. Si l’ordre transmis est un faux émis sans habilitation, l’opération est non autorisée et le régime protecteur du code monétaire et financier s’applique.

Méfiez-vous des articles promettant un remboursement automatique. En 2026, la Cour de cassation a resserré son raisonnement en faveur des entreprises victimes — le régime spécial des opérations non autorisées prime sur le droit commun des contrats — sans poser de principe de remboursement systématique. La banque conserve ses exceptions, notamment la fraude ou la négligence grave du client.

Deux délais enfin. La contestation d’une opération non autorisée doit intervenir « sans tarder » et au plus tard treize mois après le débit (article L. 133-24 du code monétaire et financier), sous peine de forclusion. Et l’auteur identifié encourt cinq ans d’emprisonnement et 375 000 € d’amende pour escroquerie (article 313-1 du code pénal), la tentative étant punie des mêmes peines (article 313-3), auxquels s’ajoute l’accès frauduleux à un système de traitement automatisé de données (article 323-1) si une messagerie a été piratée.

Le salarié qui a validé le virement est-il responsable ?

La réponse juridique est claire : non, sauf faute lourde. Selon une jurisprudence constante de la Cour de cassation, la responsabilité pécuniaire d’un salarié envers son employeur suppose une faute commise avec intention de nuire — principe que la chambre sociale a encore rappelé fermement dans un arrêt du 6 mai 2025. La charge de la preuve pèse sur l’employeur et le doute profite au salarié. Une comptable trompée par un faux mail du dirigeant a été manipulée, pas complice : l’employeur ne peut ni lui réclamer les sommes détournées, ni les prélever sur son salaire.

S’ajoute une évidence managériale : le salarié n’est pas la cause de la fraude, il en est le dernier maillon. La cause est en amont — absence de double validation, information publiée en excès, messagerie sans second facteur, culture où l’on ne dit pas non au patron. Sanctionner l’exécutant sans corriger le circuit garantit la récidive et détruit la remontée d’alerte. Financièrement, la perte se cumule avec des coûts indirects que détaille notre analyse du coût réel d’une cyberattaque pour une PME.

FAQ — Arnaque au président et faux ordre de virement

Pour aller plus loin : le guide complet du phishing et de l’hameçonnage, la fiche réflexe FOVI de Cybermalveillance.gouv.fr, ou votre diagnostic cybersécurité offert — 30 minutes pour vérifier si vos circuits de paiement tiendraient face à un faux ordre de virement.