Fraude au PDG : Les méthodes d'attaque sophistiquées continuent à menacer les PME

Auteur : ncsc.admin.ch Source : ncsc.admin.ch

Résumé

La fraude au PDG reste l'une des méthodes de fraude les plus courantes en Suisse et a augmenté de 35 % en 2025 par rapport à 2024 (de 719 à 971 cas). Les cybercriminels utilisent délibérément la manipulation psychologique, les faux courriels, l'intelligence artificielle et même les appels audio Deepfake pour tromper les services financiers. Le BACS documente continuellement les nouvelles variantes et recommande des mesures de protection techniques et organisationnelles, en particulier le principe du quatre yeux et la vérification par plusieurs canaux.

Personnes

• Personnes touchées : Collaborateurs des services financiers des PME, associations et communes

Thèmes

• Cybercriminalité et méthodes de fraude
• Intelligence artificielle dans les abus
• Sécurité des entreprises
• Prévention et gestion des risques

Résumé détaillé

Situation initiale et évolution

La fraude au PDG compte parmi les méthodes de fraude les plus déclarées auprès du BACS (centre de signalement des délits de fraude). Les chiffres sont préoccupants : de 2024 à 2025, le nombre de signalements a augmenté de 252 cas (de 719 à 971), soit une augmentation d'environ 35 %. Les auteurs affinent continuellement leurs méthodes et ne se fient plus seulement au phishing par courriel massif, mais combinent plusieurs tactiques de manipulation psychologiques et techniques.

Méthodologie : préparation ciblée

Contrairement aux attaques de phishing envoyées en masse, les fraudeurs préparent systématiquement la fraude au PDG :

• Recherche dans les sources publiques : Ils analysent les profils LinkedIn, les sites web des entreprises et les entrées du registre du commerce
• Identification des cibles : Les entreprises qui publient les données des employés et les structures organisationnelles en ligne sont particulièrement exposées
• Cartographie hiérarchique : Les fraudeurs identifient qui a accès aux comptes en comptabilité et qui a le pouvoir de décision

Scénario d'attaque classique

La procédure type suit un schéma éprouvé :

1. Adresse d'expéditeur falsifiée : Le courriel semble provenir du PDG ; souvent avec des fautes de frappe mineures dans le domaine (appelé « Typosquatting »)
2. Pression psychologique : Scénarios construits avec pression temporelle
   • Paiement urgent à des fournisseurs étrangers
   • Achat immédiat de cartes-cadeaux ou de bons d'achat
3. Formulations manipulatrices : « Je compte sur votre discrétion », « Exécutez immédiatement » – visent à contourner les vérifications et les protocoles de sécurité

Variantes nouvelles et préoccupantes

Intelligence artificielle (IA) :

• Les outils d'IA imitent le style d'écriture du vrai supérieur (formules de salutation, tournures de phrase)
• Appels audio Deepfake : Imitations de voix d'une authenticité trompeuse du chef
• Messages vocaux via WhatsApp ou téléphone
• Conférences vidéo manipulées (encore en phase de test)

Particulièrement préoccupant : un cas dans le canton de Schwytz a entraîné des dommages de plusieurs millions de francs.

Abus du nom d'avocats :

• Les auteurs utilisent les noms de véritables cabinets d'avocats domiciliés en Suisse
• Scénario : « Un avocat XY vous a-t-il contacté ? » – Crédibilité par des tiers
• Sous le couvert de confidentialité, un virement international est exigé

Points clés

• Nombre de cas en hausse : Augmentation de 35 % à 971 cas déclarés en 2025
• Attaques multi-canaux : La fraude au PDG n'est pas limitée au courriel, mais s'effectue aussi via WhatsApp, téléphone et Deepfakes
• L'IA comme facteur de changement : Les messages vocaux et l'imitation du style d'écriture deviennent de plus en plus professionnels
• Travail de préparation ciblé : Les fraudeurs recherchent systématiquement les structures de l'entreprise
• Composante psychologique : Autorité + pression temporelle = taux de réussite plus élevé
• Groupe vulnérable : Les services financiers et la comptabilité sont les cibles principales

Parties prenantes et personnes touchées

Bénéficiaires : Cybercriminels organisés (opérant parfois à l'international)

Opportunités et risques

Pertinence pour les décideurs

Mesures immédiates :

1. Introduire le principe du quatre yeux pour tous les paiements et les modifications de données de base
2. Configurer le marquage EXTERNAL sur le serveur de courrier électronique
3. Vérification par un deuxième canal : Pour les paiements urgents, rappeler le PDG sous un numéro connu
4. Ne pas contourner les processus de sécurité – même sur instruction du chef

Surveillance stratégique :

• Établir un point de signalement interne pour les demandes suspectes
• Effectuer des formations régulières pour les rôles critiques
• Surveiller LinkedIn et les données organisationnelles publiques
• Échanger avec le BACS et les réseaux professionnels

Assurance qualité et vérification des faits

• [x] Déclarations centrales et chiffres vérifiés
• [x] Référence source à la publication officielle du BACS présente
• [x] Exemple de cas (canton de Schwytz) documenté
• [ ] Recherche web pour les développements actuels en matière d'IA effectuée (recommandé)
• [x] Aucun biais détecté – objectif et axé sur les avertissements

Recherche complémentaire

1. Statistiques officielles du BACS – Chiffres et tendances actuels : https://www.ncsc.admin.ch/ncsc/de/home/aktuell/im-fokus/2026/wochenrueckblick_4.html

2. Rapport SWI sur la fraude Deepfake – Étude de cas canton de Schwytz (dommages de plusieurs millions)

3. Rapport de cybersécurité 2025 – Analyse des tendances des méthodes de fraude assistées par l'IA

Références bibliographiques

Source primaire :
Aperçu hebdomadaire semaine 4 (27.01.2026) – Centre national de signalement des fraudes (BACS)
https://www.ncsc.admin.ch/ncsc/de/home/aktuell/im-fokus/2026/wochenrueckblick_4.html

Sources complémentaires :

1. Statistiques globales du BACS 2025 (interne)
2. Exemple de cas canton de Schwytz – Fraude audio Deepfake (dommages de plusieurs millions)
3. Abus de l'IA dans la cybercriminalité – Rapport de tendance

Statut de vérification : ✓ Faits vérifiés le 27.01.2026

Ce texte a été créé avec l'aide de Claude.
Responsabilité éditoriale : clarus.news | Vérification des faits : 27.01.2026