Arnaques par e-mail : pourquoi les petites entreprises sont visées et comment réagir
· 4 min
Les escrocs ne visent plus seulement les grands groupes. Une TPE a de l’argent en banque, peu de procédures et un patron pressé : la cible idéale. Et depuis que l’IA écrit leurs messages, les arnaques par e-mail n’ont plus les fautes qui les trahissaient.
La faute d’orthographe ne vous protégera plus
Pendant des années, le conseil tenait en une ligne : méfiez-vous des messages truffés de fautes. Ce repère est mort. Avec les outils d’IA grand public, un escroc rédige en quelques secondes un e-mail dans un français impeccable, au ton juste, imitant le style d’un fournisseur ou d’une banque. Le message piégé est parfois mieux écrit que le vrai.
L’IA permet aussi de personnaliser à grande échelle : votre nom, celui de votre entreprise, une référence à votre activité trouvée sur votre site ou vos réseaux. Un message qui cite votre dernier chantier ou votre boutique paraît légitime. Retenez le principe : la qualité d’un e-mail ne prouve plus rien. Seule la vérification compte.
Le faux fournisseur qui change de RIB
Le scénario le plus coûteux pour les petites entreprises est d’une simplicité désarmante. Vous recevez un message d’un fournisseur habituel : « suite à un changement bancaire, merci de régler nos prochaines factures sur ce nouveau compte ». Le logo est bon, la signature est bonne, le numéro de facture est parfois exact. Seul le RIB a changé, et il mène chez l’escroc.
Le paiement part, tout semble normal, et l’alerte n’arrive que des semaines plus tard, quand le vrai fournisseur réclame son argent. Les sommes en jeu atteignent facilement plusieurs milliers d’euros, parfois plusieurs dizaines de milliers. Règle absolue : aucun changement de RIB ne se valide sur la seule foi d’un e-mail. Jamais.
Le virement urgent demandé par le « patron »
Autre grand classique, la fraude au dirigeant. Votre comptable ou votre assistante reçoit un message signé de vous : « je suis en réunion, fais un virement de 12 400 € à ce bénéficiaire avant midi, c’est confidentiel ». Le ton presse, interdit d’en parler, flatte la personne choisie. Tout est fabriqué, jusqu’à l’adresse d’expédition qui ressemble à la vôtre à une lettre près.
L’urgence et le secret sont les deux armes de cette arnaque, et l’IA y ajoute désormais la voix : des messages vocaux imitant celle du dirigeant circulent déjà. La parade est organisationnelle : convenez en équipe qu’aucun virement inhabituel ne part sans confirmation de vive voix, en rappelant le dirigeant à son numéro habituel. Même si le message dit le contraire. Surtout s’il le dit.
Fausses mises à jour, faux colis, fausses factures
À côté de ces attaques ciblées, le tout-venant continue : un colis bloqué qui réclame 2 € de frais, un compte « suspendu » à réactiver, une mise à jour de sécurité à installer d’urgence, une facture en pièce jointe que vous n’attendiez pas. L’objectif est chaque fois le même : vous faire cliquer, saisir un mot de passe ou ouvrir un fichier piégé.
Le bon réflexe ne passe jamais par le lien du message. Votre banque vous alerte ? Ouvrez vous-même son application ou tapez son adresse. Un transporteur réclame des frais ? Vérifiez sur le site officiel avec votre numéro de suivi. Une facture inattendue ? Appelez le fournisseur. Trente secondes de détour qui désamorcent l’immense majorité des pièges.
Les réflexes à ancrer, pour vous et pour l’équipe
Tout tient en trois habitudes. Un : toute demande d’argent ou de changement bancaire se vérifie par un autre canal, un appel au numéro que vous connaissez déjà, jamais celui indiqué dans le message. Deux : on ne clique pas sur les liens des messages inattendus, on tape soi-même l’adresse. Trois : l’urgence est un signal d’alarme, pas une raison d’obéir.
Ajoutez deux protections qui ne coûtent presque rien : la double validation pour les virements au-delà d’un certain montant, proposée par la plupart des banques professionnelles, et la règle des deux personnes pour tout nouveau bénéficiaire. Un escroc peut tromper une personne pressée ; il en trompe rarement deux qui se parlent.
Parlez-en avant l’attaque, pas après
La sécurité d’une petite entreprise ne repose pas d’abord sur la technique, mais sur les conversations. Racontez ces scénarios à votre équipe, à votre comptable, à votre conjoint s’il gère les paiements. Une personne qui a déjà entendu parler du faux RIB le reconnaît en quelques secondes ; une personne qui le découvre en situation, sous pression, se fait piéger.
Et si le pire arrive, réagissez vite : appelez immédiatement votre banque pour tenter de bloquer le virement, changez les mots de passe concernés, déposez plainte et faites-vous guider par la plateforme officielle cybermalveillance.gouv.fr. La honte fait perdre des heures précieuses, et il n’y a pas de honte à avoir : ces attaques sont conçues par des professionnels, et elles trompent des dirigeants avertis tous les jours.