La fraude au président, aussi appelée FOVI (Faux Ordre de Virement International) ou CEO fraud, consiste à usurper l'identité d'un dirigeant pour ordonner un virement urgent et confidentiel. Une seule entreprise piégée peut perdre des centaines de milliers d'euros en quelques heures. Voici comment fonctionne cette escroquerie, les signaux qui doivent alerter, et les barrières concrètes à mettre en place.
Pour aller plus loin sur les fraudes voisines : nos guides sur l'arnaque au faux RIB, la détection des fausses factures fournisseurs, la prévention de la fraude au virement et le repérage d'un faux Kbis détaillent des mécanismes que les fraudeurs combinent souvent avec la fraude au président.
Qu'est-ce que la fraude au président (FOVI) ?
L'escroc se fait passer pour le PDG, le directeur financier ou un dirigeant de l'entreprise. Il contacte un collaborateur du service comptable ou trésorerie — souvent par e-mail, parfois par téléphone — et lui demande d'exécuter en urgence un virement exceptionnel, confidentiel et inhabituel, sous prétexte d'une acquisition secrète, d'un contrôle fiscal ou d'une opération sensible. La cible, mise sous pression et flattée d'être choisie, contourne les procédures habituelles.
La fraude au président appartient à la famille plus large des fraudes aux faux ordres de virement, qui inclut aussi la fraude au faux fournisseur (changement frauduleux de RIB) et la fraude au faux technicien bancaire. En France, ces escroqueries représentent chaque année des pertes considérables pour les entreprises de toute taille, et leur signalement relève notamment de la plateforme THESEE et des services de police judiciaire spécialisés.
Le phénomène n'épargne pas les PME : longtemps réservées aux grands groupes, ces attaques visent désormais des structures plus modestes, souvent moins armées en procédures internes, et donc plus vulnérables.
Comment se déroule une attaque type
1. Le repérage
L'attaquant collecte des informations publiques : organigramme sur le site institutionnel, profils des dirigeants sur les réseaux professionnels, communiqués de presse, périodes d'absence (salons, congés annoncés). Il identifie qui peut déclencher un virement et à qui s'adresser pour maximiser ses chances.
2. L'usurpation
Il crée une adresse e-mail très ressemblante (spoofing de l'adresse réelle ou domaine sosie, par exemple une lettre remplacée ou une extension différente), imite la signature et le ton du dirigeant. Avec l'IA, les imitations de style, de voix au téléphone, voire de visage en visioconférence (deepfake) sont désormais accessibles et rendent la supercherie nettement plus crédible.
3. La pression
Le message invoque l'urgence absolue, la confidentialité (« n'en parlez à personne ») et l'autorité. Le collaborateur est incité à agir vite, à rompre la chaîne de validation et à ne pas vérifier par un autre canal. La manipulation psychologique — ingénierie sociale — est au cœur de l'escroquerie.
4. L'exécution et le blanchiment
Les fonds sont transférés vers un compte « mule », souvent à l'étranger, puis rapidement dispersés sur d'autres comptes ou convertis. Passé un délai très court, la récupération des sommes devient quasi impossible.
Les signaux d'alerte (red flags)
- Urgence + confidentialité : la combinaison « c'est très urgent » et « restez discret » est la signature de la fraude.
- Demande inhabituelle : un dirigeant qui sollicite directement un virement, en dehors du circuit normal, alors que ce n'est pas dans ses habitudes.
- Coordonnées bancaires nouvelles : IBAN inconnu, compte à l'étranger, bénéficiaire différent du fournisseur habituel.
- Adresse e-mail légèrement modifiée : domaine sosie, extension différente, réponse redirigée vers une autre adresse.
- Pression psychologique : flatterie, menace voilée, interdiction de vérifier auprès de tiers.
- Canal inhabituel : passage par SMS, messagerie personnelle ou appel d'un numéro inconnu se réclamant du dirigeant.
Comment prévenir la fraude au président
Mettre en place le principe des quatre yeux
Aucun virement significatif ne doit pouvoir être exécuté par une seule personne. Exigez une double validation (deux signataires) au-delà d'un seuil défini, et des plafonds par utilisateur dans l'outil bancaire. La séparation des tâches (celui qui saisit n'est pas celui qui valide) est une barrière structurelle.
Imposer la vérification par un second canal
Toute demande de virement exceptionnelle doit être confirmée par un canal différent de celui de la demande : si la demande arrive par e-mail, on rappelle le dirigeant sur un numéro connu à l'avance (jamais celui indiqué dans le message). C'est la barrière la plus efficace, car elle casse le scénario de l'attaquant qui ne contrôle qu'un seul canal.
Verrouiller les changements de RIB fournisseur
Tout changement de coordonnées bancaires d'un fournisseur doit déclencher une contre-vérification auprès d'un contact connu, et non aux coordonnées figurant dans l'e-mail de demande de changement. Documentez la procédure et conservez la trace de l'appel de vérification.
Former et sensibiliser les équipes
Les services comptables et de trésorerie doivent être formés à reconnaître ces scénarios et explicitement autorisés à dire non à un dirigeant tant que la procédure n'est pas respectée. La légitimité de poser des questions doit venir de la direction elle-même. Des exercices de simulation (faux e-mails de test) ancrent les bons réflexes.
Réagir vite en cas de virement frauduleux
Contactez immédiatement votre banque pour tenter de bloquer ou rappeler le virement, déposez plainte (via THESEE pour les escroqueries en ligne éligibles) et conservez tous les éléments (e-mails, en-têtes techniques, IBAN, échanges). Prévenez votre direction et, le cas échéant, votre assureur si vous disposez d'une garantie fraude. Chaque heure compte.
Renforcer la posture technique
Au-delà des procédures, quelques mesures techniques réduisent la surface d'attaque : authentification renforcée des e-mails (protocoles d'authentification de domaine), affichage d'un bandeau pour les e-mails externes, filtrage des domaines sosies, et politique de mots de passe et d'authentification multifacteur pour les accès bancaires. Aucune de ces mesures n'est suffisante seule : c'est la combinaison de barrières humaines, organisationnelles et techniques qui protège l'entreprise.
Les variantes à connaître
La fraude au président n'est qu'un visage d'une famille d'escroqueries qui se renouvelle constamment. Connaître les variantes aide les équipes à ne pas se laisser surprendre par un scénario inattendu :
- Fraude au faux fournisseur : l'escroc se fait passer pour un fournisseur connu et annonce un changement de coordonnées bancaires, détournant les paiements à venir.
- Fraude au faux technicien bancaire : l'attaquant prétend appartenir au service anti-fraude de la banque et incite la victime à valider une opération « de sécurité » qui est en réalité le virement frauduleux.
- Fraude au changement de RIB sur facture : une facture légitime est interceptée et modifiée, seul l'IBAN étant remplacé.
- Fraude au faux avocat ou faux commissaire : l'escroc invoque une opération juridique confidentielle pour justifier l'urgence et le secret.
Toutes reposent sur le même ressort : créer un sentiment d'urgence et de légitimité pour contourner les contrôles. La parade reste identique dans tous les cas : ralentir, vérifier par un canal indépendant et respecter la procédure.
Un scénario type, désamorcé
Une comptable reçoit un e-mail semblant venir du dirigeant, en déplacement à l'étranger, demandant un virement urgent vers un nouveau fournisseur pour « sécuriser une acquisition confidentielle ». Le ton est pressant, le secret exigé. Plutôt que d'exécuter, la comptable applique la procédure : elle rappelle le dirigeant sur son numéro habituel (et non celui de l'e-mail), qui confirme n'avoir rien demandé. L'e-mail provenait d'un domaine sosie. La barrière du second canal a suffi à éviter la perte. C'est exactement ce réflexe qu'il faut ancrer dans les équipes.
Le rôle de la due diligence bénéficiaire
La fraude au président s'appuie souvent sur un compte bénéficiaire opaque (société récente, étrangère, à l'historique inexistant). Vérifier le bénéficiaire d'un nouveau virement — existence réelle, ancienneté, bénéficiaire effectif, présence sur des listes de sanctions — ajoute une couche de protection. RiskSonnar permet ce contrôle du destinataire d'un paiement à partir de registres officiels et de bases de sanctions ; il ne se substitue pas aux procédures internes de double validation et de vérification par second canal, qui restent la première ligne de défense.
Questions fréquentes
Quelle différence entre fraude au président et FOVI ?
FOVI (Faux Ordre de Virement International) est le terme générique désignant les escroqueries aux faux ordres de virement. La fraude au président en est la variante la plus connue : l'escroc usurpe l'identité d'un dirigeant. D'autres variantes existent, comme la fraude au faux fournisseur (changement frauduleux de RIB) ou au faux technicien bancaire.
Que faire immédiatement après un virement frauduleux ?
Contactez sans délai votre banque pour demander le blocage ou le rappel des fonds, car les premières heures sont décisives. Déposez plainte (la plateforme THESEE permet le signalement en ligne de certaines escroqueries) et conservez tous les éléments : e-mails, en-têtes, IBAN, échanges. Prévenez également votre direction et, si des données personnelles ont été compromises, évaluez une notification à la CNIL.
Les deepfakes rendent-ils la fraude plus dangereuse ?
Oui. L'IA permet désormais d'imiter la voix et l'image d'un dirigeant en visioconférence, ce qui renforce la crédibilité de la demande. La parade ne change pas : ne jamais valider un virement sur la seule base d'un échange — aussi convaincant soit-il — sans confirmation par un canal de contact connu et indépendant.
Quel montant est concerné par la double validation ?
Il n'existe pas de seuil légal unique : chaque entreprise définit le sien dans sa procédure interne. Beaucoup imposent une double signature au-delà d'un montant modéré et une vérification par second canal pour tout virement exceptionnel, quel que soit le montant. L'essentiel est que la règle soit écrite, connue et non contournable, même à la demande d'un dirigeant.