Pour les équipes financières et quiconque s'apprête à régler une facture
Avant de payer, vérifiez le domaine.
Une facture ou un e-mail « nouvelles coordonnées bancaires » qui semble légèrement suspect mérite une minute de vérification. Collez le domaine, indiquez le fournisseur dont il prétend provenir, et voyez s'il est bien ce qu'il paraît être.
Les résultats d'analyse et l'application sont en anglais pour le moment.
La fraude au détournement de paiement consiste à modifier un seul détail sur une facture d'apparence authentique, généralement le compte bancaire, en misant sur la pression de payer à temps. Le message provient souvent d'un domaine qui ressemble suffisamment à celui de votre fournisseur pour tromper un coup d'œil. Cette page explique comment vérifier avant de payer, et que faire en cas de problème.
Comment la fraude est montée
Elle commence généralement discrètement, soit par une boîte aux lettres compromise quelque part dans une vraie conversation, soit par un domaine sosie enregistré pour en imiter un. Le message qui finit par demander un paiement est souvent exact à tous les autres égards (bonne référence, bon montant, bon ton), car il s'agit soit d'un véritable fil d'échanges, soit d'une copie soignée. Seules les coordonnées bancaires ont changé.
- Un fil d'échanges existant est plus convaincant qu'une prise de contact à froid
- Le domaine d'envoi peut différer du vrai par un détail qui résiste à un coup d'œil rapide
- L'urgence est l'indice le plus souvent présent, et le plus souvent ignoré
Ce qu'il faut vérifier avant de payer
Vérifier le domaine d'où provient un message permet d'établir s'il est bien ce qu'il paraît être. Cela ne peut pas vous dire si une demande de paiement donnée est authentique : pour cela, il existe une seule étape fiable, et elle n'a pas changé.
- Vérifiez le domaine d'envoi, pas seulement le nom affiché : le nom se falsifie très facilement
- Appelez le fournisseur à un numéro que vous possédez déjà, jamais à un numéro figurant dans le message
- Considérez tout changement de coordonnées bancaires comme non vérifié tant qu'il n'a pas été confirmé de vive voix
- Méfiez-vous lorsqu'un changement s'accompagne d'une pression pour payer rapidement
Si un paiement est déjà parti
La rapidité compte plus que la certitude. Contactez immédiatement votre banque et demandez-lui de tenter un rappel des fonds : ils sont parfois récupérables dans les premières heures, rarement au-delà. Signalez ensuite la fraude, et conservez l'e-mail d'origine au lieu de le supprimer.
- Appelez d'abord votre banque : les tentatives de rappel sont urgentes
- Signalez-le à Action Fraud au Royaume-Uni
- Conservez le message d'origine intact : il contient la preuve de sa provenance
- Prévenez le vrai fournisseur, dont la boîte aux lettres ou la marque est peut-être celle qui est détournée
Questions fréquentes
›L'e-mail provenait de la vraie adresse de notre fournisseur. Peut-il quand même s'agir d'une fraude ?
Oui. Si sa boîte aux lettres a été compromise, le message provient réellement de lui et toutes les vérifications techniques seront concluantes. C'est précisément pourquoi la vérification par téléphone des changements de coordonnées bancaires, à un numéro que vous possédez déjà, est le contrôle qui compte.
›Un bon résultat pour le domaine signifie-t-il que la facture peut être payée sans risque ?
Non. Cela signifie que le domaine semble être ce qu'il prétend être. Il est impossible de savoir si une demande précise est légitime. Dès lors que de l'argent est en jeu, vérifiez directement auprès du fournisseur.
›Et si le domaine est un sosie ?
Ne répondez pas, ne payez pas et n'utilisez aucune coordonnée figurant dans le message. Contactez le vrai fournisseur avec des coordonnées que vous possédez déjà et prévenez-le que sa marque est usurpée, car ses autres clients reçoivent probablement le même message.
Indicatif uniquement. La vérification d'un domaine évalue des signaux externes concernant ce domaine. Elle ne peut pas déterminer si une facture ou une demande de paiement donnée est authentique, et elle ne remplace pas la vérification des changements directement auprès du fournisseur.
Également utile : que faire face à un faux domaine.