Fraude au président (BEC)

La fraude au président, cas emblématique du business email compromise, est une escroquerie qui repose sur l'ingénierie sociale plutôt que sur la technique. L'attaquant usurpe, par courriel, l'identité d'un dirigeant, d'un fournisseur ou d'un partenaire de confiance, et persuade un employé d'effectuer un virement urgent et confidentiel vers un compte qu'il contrôle. Aucune intrusion informatique sophistiquée n'est nécessaire, l'arme est la manipulation, jouant sur l'autorité, l'urgence et la discrétion. C'est précisément cette simplicité qui la rend si répandue et si coûteuse, le préjudice mondial se chiffrant en milliards selon les autorités américaines. Pour l'assurance cyber, la fraude au président occupe une place ambiguë, car elle relève autant de la fraude financière que de la sécurité informatique. Elle fait fréquemment l'objet d'une sous-limite spécifique, voire d'une exclusion lorsque l'assureur estime qu'elle ressortit à une garantie de fraude distincte. La meilleure parade n'est pas technique mais organisationnelle, à savoir des procédures de double validation des virements et de vérification par un second canal, ce que les questionnaires de souscription contrôlent désormais avec attention. À ne pas confondre avec une intrusion : dans la fraude au président, c'est l'employé habilité qui ordonne lui-même le virement, et c'est ce qui la place entre la police cyber et la police fraude ; la fraude au faux fournisseur, qui fait changer un RIB, en est la cousine. Où le mot se lit : sous une garantie de fraude par ingénierie sociale (social engineering fraud), le plus souvent en sous-limite, ou dans une police fraude qui exige une perte causée par un tiers.