BEC et fraude au virement

Le Business Email Compromise (BEC) est une catégorie d'attaque dans laquelle un acteur malveillant usurpe ou compromet le compte de courriel d'un dirigeant, d'un fournisseur ou d'un partenaire pour envoyer des instructions frauduleuses, généralement un ordre de virement vers un compte contrôlé par l'attaquant. En France, on parle de Faux Ordre de Virement (FOVI) lorsque la fraude vise spécifiquement les équipes financières d'une entreprise en se faisant passer pour un dirigeant ou un fournisseur. Le BEC se distingue du phishing ordinaire par l'absence d'exploit technique visible : l'attaquant mise sur la crédibilité de l'identité usurpée et l'urgence de la demande pour contourner les contrôles habituels. Les techniques incluent l'usurpation d'en-tête (spoofing) sans compromission réelle du compte, la compromission effective du compte de messagerie, et de plus en plus le deepfake vocal ou vidéo pour simuler une conversation avec le dirigeant. Pour l'assurance, la qualification du sinistre BEC est délicate car elle se situe à la frontière de la garantie cyber (compromission informatique) et de la garantie fraude classique (manipulation sans intrusion). Les deux garanties peuvent coexister dans un contrat mais avec des définitions et des sous-limites différentes, d'où l'importance d'une lecture attentive des conditions particulières.

Un directeur administratif et financier d'une ETI reçoit un courriel apparemment envoyé par son PDG, lui demandant en urgence de virer 480 000 euros pour finaliser une acquisition confidentielle. Le virement est exécuté. L'analyse révèle que le courriel provenait d'un domaine sosie, sans compromission du compte du PDG. La garantie fraude cyber couvre l'acte, mais avec une sous-limite de 200 000 euros qui laisse 280 000 euros à la charge de l'assuré.

BEC, Business Email Compromise, FOVI, faux ordre de virement, fraude au virement