Votre entreprise n’intéresse peut-être personne en particulier ; elle se lit pourtant de l’extérieur, sans frapper. Voici ce qu’en disent la CNIL et Cybermalveillance.gouv.fr, et la quatrième fiche du trousseau : les clés que vous avez laissées sur la porte.
Jeudi, 11 h 15. Entretien d’embauche pour le poste d’assistant comptable. La candidate s’appelle Léa. Elle est en avance, aimable, et remarquablement préparée. Elle sait sur quel logiciel tourne votre comptabilité : votre annonce de l’an dernier le demandait. Elle connaît le nom de votre prestataire informatique, qui vous cite parmi ses références. Elle sait qui valide les virements, puisque la page « Notre équipe » le dit, photo comprise, et que vous étiez au salon professionnel la semaine dernière, puisque vous l’avez écrit. Elle a deviné la forme de vos adresses de messagerie, prénom point nom, en lisant celle du service commercial. Un registre public lui a donné le reste : la forme de la société, son numéro d’immatriculation, le nom de son dirigeant. — Je me suis renseignée, dit-elle, comme on s’excuse. Elle a bien fait. Vous l’embaucheriez volontiers. Mercredi dernier, nous vous demandions : « qu’est-ce qu’un inconnu peut apprendre de votre entreprise sans jamais en franchir la porte ? » Léa vient de répondre, et sa réponse tient en une ligne : de quoi se faire passer pour quelqu’un de chez vous.
Ce qui se passe vraiment
« Personne ne s’intéresse à nous. » La phrase est modeste, et c’est sa qualité. Elle est même à moitié vraie : personne, sans doute, ne s’est levé ce matin en pensant à votre entreprise. Mais personne n’a besoin de penser à vous pour vous lire. Léa a cherché par curiosité, pour un entretien ; la même lecture, faite par quelqu’un de moins bien intentionné, s’appelle un repérage. Ce qu’un inconnu voit de chez vous vient de trois endroits. Ce que vous publiez vous-même : le site, la page de l’équipe, les offres d’emploi, les photos du salon. Ce que d’autres publient sur vous : la page de références de votre prestataire, l’annonce d’un client content de vous avoir choisi, les registres publics. Et ce que vos installations disent d’elles-mêmes à qui sait les interroger : votre messagerie, votre site, votre nom de domaine. Ce troisième cercle a son mois, février ; nous nous en tenons ici aux deux premiers. Aucune de ces informations n’est secrète, et aucune n’est dangereuse seule. Le nom de la personne qui paie les factures n’a rien de confidentiel ; votre présence au salon non plus ; la forme de vos adresses encore moins. C’est l’assemblage qui travaille. Le nom de celle qui paie, plus l’absence du dirigeant, plus une adresse qui ressemble à la vôtre : il ne manque qu’un message pressant pour obtenir un virement. Ce scénario a un nom, la fraude au président, et les autorités qui le décrivent le font commencer exactement là où Léa a commencé. Nous avons fait l’exercice de Léa, depuis l’extérieur, sur 442 entreprises [3]. Sur 119 de leurs sites, on trouve à la fois au moins un nom et au moins une adresse électronique. Chaque fois que nous avons trouvé l’entreprise au registre public, soit 241 fois, celui-ci nommait ses dirigeants, à six exceptions près. Et 65 fois, il confirmait obligeamment une personne déjà nommée sur le site [3]. Il existe une autre lecture, plus courtoise et tout aussi attentive : celle de vos clients. Les notations automatiques existent, et un acheteur peut regarder votre façade avant même de vous envoyer son questionnaire. Ce qu’il y voit lui sert de première impression, et vous ne saurez pas toujours qu’il est passé. La bonne nouvelle est qu’il ne s’agit pas de disparaître. Une entreprise qui se cache ne vend rien, et votre vitrine est faite pour être vue. Il s’agit de savoir ce qui est visible, et de vérifier que rien de ce qui est visible ne suffit, à lui seul, à faire partir de l’argent. Cela tient sur une page, et la fiche de la semaine la prépare.
Ce que dit le texte
Pas de Journal officiel cette semaine non plus. Deux autorités ont décrit, chacune de son côté, comment un inconnu passe de la lecture à l’escroquerie, et ce qui l’en empêche. Ni l’une ni l’autre ne vous demande d’acheter quoi que ce soit.
La CNIL, sur la fraude au président. Dans une fiche publiée le 9 avril 2021, la CNIL décrit cette fraude, qu’elle nomme faux ordre de virement international, en trois temps [1]. D’abord une phase d’analyse : le secteur, les clients et les fournisseurs d’une entreprise se trouvent en ligne avec peu de recherche, et « les informations de recrutement ou les organigrammes, souvent disponibles en ligne » montrent qui fait quoi et comment se prend une décision [1]. Ensuite, un nom de domaine qui ressemble au vôtre à un caractère près. Enfin, un courriel précis et pressant, souvent au nom d’un dirigeant, qui demande un règlement, un changement de coordonnées bancaires ou le paiement d’une fausse facture [1]. La CNIL précise que l’attaque peut concerner toute entreprise, quels que soient sa taille et son secteur [1]. La modestie n’y change rien.
Ses recommandations tiennent davantage à des habitudes qu’à des outils : vérifier le nom de domaine d’un message reçu ; confirmer une demande de paiement en appelant un contact connu, par téléphone ou en personne, et jamais aux coordonnées données dans le message ; écrire les procédures, les adapter quand l’organisation change, et les rappeler régulièrement [1].
Cybermalveillance.gouv.fr, sur les faux ordres de virement. Sa fiche réflexe consacrée à cette escroquerie, réalisée en partenariat avec le ministère de l’Intérieur et l’ANSSI, la décrit comme une usurpation d’identité, celle d’un dirigeant, d’un fournisseur ou d’un salarié, menée par téléphone, par message, ou les deux, et touchant tous les types d’organisation [2]. Parmi ses mesures préventives figure une règle qui répond exactement à Léa : « limiter la publication d’informations » qui permettent d’identifier et de contacter les personnes habilitées à demander un virement ou à modifier des coordonnées bancaires [2]. La même fiche demande une procédure interne de vérification et de validation hiérarchique, sans dérogation possible, pour tout virement imprévu et tout changement de coordonnées bancaires [2].
Ce qui n’est pas exigé. Aucune de ces deux sources ne demande de fermer votre site, de retirer la page de l’équipe ou de vous rendre introuvable. Cybermalveillance demande de limiter, non de supprimer, et vise une catégorie précise de personnes : celles qui peuvent faire partir de l’argent [2]. Pour l’essentiel, la défense qu’elles décrivent ne s’achète pas : un appel au bon numéro, et une règle écrite que tout le monde connaît [1] [2].
La Méthode : L’Ours, la Voiture et l’Accident
Un mot sur le nom. On dit L’Ours, la Voiture et l’Accident parce que c’est ainsi qu’on le retient ; on l’applique dans l’autre sens, parce que c’est ainsi qu’il fonctionne. La Voiture d’abord — on ne priorise pas ce que l’on ne connaît pas. L’Ours ensuite. L’Accident, lui, ne se pratique pas : il arrive.
La Voiture
Pour conduire, vous n’avez pas besoin d’être ingénieur automobile ou garagiste. Mais pour la conduire, il vous faut une formation, un permis, être en bonne santé, une voiture en bon état, et quelques informations à propos de votre destination. Cela suffit à aller de A à B sans difficulté. La Voiture embarque deux étapes :
Connaître vos dix principaux risques — pour vous, votre entreprise, votre système d’information, vos équipes et vos tiers. Ici, le premier risque n’est pas d’être attaqué parce que vous êtes connu. C’est que l’on se serve de ce que vous montrez pour parler à votre place : un virement demandé au nom du dirigeant, de nouvelles coordonnées bancaires au nom d’un fournisseur. Le deuxième est plus discret : être jugé, par un client ou un acheteur, sur une façade que personne, chez vous, n’a jamais regardée.
Savoir ce que vous avez. On ne protège pas ce que l’on ne connaît pas. Sur ce sujet, savoir ce que vous avez, c’est savoir ce que l’on voit de vous. Faites une fois l’exercice de Léa, vous-même : le nom de l’entreprise dans un moteur de recherche, votre site page par page, vos offres d’emploi encore en ligne, ce que votre prestataire et vos clients disent de vous. Notez ce que vous trouvez, sans rien corriger encore.
L’Ours
Si un ours vous poursuit, vous n’avez pas besoin de courir vite. Vous avez besoin de ne pas être le dernier. L’Ours embarque deux étapes :
Prioriser. Tout n’a pas la même importance et tout ne mérite pas la même protection. Ici, une information visible compte si elle aide quelqu’un à se faire passer pour vous auprès de ceux qui paient : qui valide les virements, qui les exécute, quand le dirigeant est absent, comment se forment vos adresses. Le reste, vos produits, vos références, vos photos de salon, est votre vitrine. Et puisqu’il est question d’ours : personne ne vous demande d’être l’entreprise la plus discrète de la région. Il suffit d’être moins facile à imiter que la voisine.
Réduire. Si vous ne l’utilisez pas, ou si vous ne savez pas ce que c’est, vous n’en avez probablement pas besoin. Ici, réduire, c’est retirer ce qui ne sert plus : l’offre d’emploi pourvue depuis longtemps, la page de l’équipe où figure encore quelqu’un qui est parti, comme Bernard, peut-être, chez Nathalie. Et pour ce qui doit rester visible, réduire, c’est changer l’usage plutôt que la page : le nom de la comptable peut rester en ligne, pourvu que personne ne paie jamais sur la seule foi d’un courriel.
L’Accident
L’accident n’embarque pas d’étape. L’accident, c’est de la réaction. Pour cela, on s’y prépare avant. On s’y est préparé avant, sans le savoir, en sachant ce que l’on avait et en sachant ce qui comptait. Jeudi, 11 h 15, n’a rien coûté ; il vous a même rapporté une candidate. Le même repérage, fait par quelqu’un d’autre, se termine un vendredi soir par un message pressant au nom du dirigeant, adressé à la personne dont la photo est en ligne. Ce soir-là, rien ne s’improvise. Ce qui compte a été écrit avant : une règle connue de tous, qui dit qu’on rappelle au numéro que l’on connaît, et qu’aucun virement imprévu ne part sur la foi d’un message. C’est ce que la fiche de la semaine vous fait écrire.
L’outil de la semaine
Le Trousseau — n° 4 : les clés sur la porte Quatrième et dernière fiche du trousseau d’octobre. Les trois premières regardaient la maison de l’intérieur ; celle-ci la regarde depuis le trottoir d’en face. Elle se suffit à elle-même ; une seule de ses lignes renvoie à la première fiche du trousseau. Une ligne par chose que l’on voit de vous sans entrer. Cinq colonnes. Remplissez-la devant un écran, avec la personne qui tient le site et celle qui valide les paiements. Comptez une heure.
Au-dessus du tableau, écrivez une fois : le nom de l’entreprise tel qu’on le tape dans un moteur de recherche, l’adresse du site, et la date à laquelle vous avez rempli la fiche.
| Ce que l’on voit de dehors | Où on le voit | Qui le tient chez nous | Ce que cela dit de nous | Vérifié le |
|---|---|---|---|---|
| Qui valide les virements | Page « Notre équipe » du site, photo et fonction | La direction | À qui écrire pour obtenir un paiement | |
| Le logiciel de comptabilité | Offre d’emploi de l’an dernier, toujours en ligne | Les ressources humaines | De quoi rendre crédible un message qui parle de nos comptes | |
| Le nom de notre prestataire informatique | Sa page de références (publiée par lui) | À demander au prestataire | Au nom de qui un inconnu pourrait nous appeler | |
| Les absences du dirigeant (salons, déplacements) | ||||
| La forme de nos adresses de messagerie | ||||
| Ceux qui sont partis et figurent encore en ligne — voir Trousseau n° 1 | ||||
| Ce que les registres publics disent de nous | ||||
Comment la remplir. Ce que l’on voit de dehors — une information, telle qu’un inconnu la lirait : un nom, une fonction, un outil, une date. Pas ce que vous avez voulu dire : ce que l’on peut en déduire. Où on le voit — l’endroit exact : la page, l’annonce, le profil, le registre. Si c’est quelqu’un d’autre qui le publie, notez qui. Le jour où vous voudrez corriger, c’est à lui qu’il faudra écrire. Qui le tient chez nous — un prénom, comme toujours dans cette série : la personne qui peut modifier la page ou demander qu’on la modifie. S’il n’y en a pas, c’est déjà une réponse. Ce que cela dit de nous — une phrase, du point de vue de l’inconnu. Si cette phrase contient les mots virement, paiement ou coordonnées bancaires, la ligne est prioritaire : c’est exactement ce que Cybermalveillance demande de limiter [2]. Vérifié le — la date à laquelle quelqu’un a regardé, pour de vrai, et pas de mémoire. Elle reste vide sur les lignes d’exemple : à vous de regarder. La règle. Une ligne prioritaire ne reste pas sans réponse. Ou l’information se retire, ou une règle s’écrit : aucun virement imprévu, aucun changement de coordonnées bancaires sans rappel au numéro que vous connaissiez déjà [1] [2]. Souvent, les deux. Et la règle vaut pour tout le monde, dirigeant compris : c’est en son nom que l’on vous écrira.
Cinq minutes, lundi matin
Trois gestes. Seul, sans budget, sans réunion.
Cherchez-vous. Le nom de l’entreprise dans un moteur de recherche, puis le vôtre. Lisez la première page de résultats comme Léa l’a lue, et notez sur la fiche ce qui vous surprend.
Ouvrez la page de l’équipe et vos offres d’emploi en ligne. Retirez ce qui n’a plus lieu d’être : une personne partie, un poste pourvu. Pour le reste, regardez seulement qui valide les paiements, et si cela se voit.
Écrivez la règle. Une phrase, envoyée à ceux qui paient : « Aucun virement imprévu, aucun changement de coordonnées bancaires sans rappel au numéro que nous connaissons déjà. » Signez-la : elle vaut aussi pour vous.
Le trousseau, au complet. Le 7 octobre, nous quittions les textes pour la maison. En quatre mercredis, quatre fiches : les clés à rendre quand quelqu’un s’en va, le double que personne n’avait essayé, les clés confiées au prestataire, et celles qui restent sur la porte. Les trois ressorts annoncés le 30 septembre ont eu chacun leur semaine — la gentillesse, l’habitude, la commodité — et la modestie a fermé la marche.
Aucune de ces fiches ne demandait d’acheter quoi que ce soit, et aucune ne parlait de technique. Toutes posaient la même question : qui détient les clés, et le sait-on ? La dernière est aussi notre métier : Digi-Score, l’analyse que nous menons depuis l’extérieur, sans accès à vos systèmes et sans test intrusif, regarde votre entreprise comme Léa l’a regardée. Le troisième cercle, celui de votre nom de domaine et de votre messagerie, a rendez-vous en février.
Rangez les quatre fiches ensemble. Un trousseau ne sert qu’entier.
Mercredi prochain
Mercredi prochain, novembre commence, et la maison change d’heure. Plus ce qui la fragilise sans bruit : le matin où elle s’arrête. La connexion coupée, la messagerie muette, le prestataire injoignable, et tout le monde devant son écran, poliment, en attendant que quelqu’un sache. Une question d’ici là : si, un lundi à 8 h 12, plus rien ne s’ouvrait, qui appelleriez-vous en premier — et à quel numéro, puisqu’il était dans votre messagerie ?
Références
- CNIL, « Le faux ordre de virement international ou « fraude au président » », 9 avril 2021 — phase d’analyse de l’environnement de l’entreprise, variantes de l’attaque, prévention (vérification du nom de domaine, rappel d’un contact connu, procédures écrites).
- Cybermalveillance.gouv.fr, en partenariat avec le ministère de l’Intérieur et l’ANSSI, fiche réflexe « L’escroquerie aux faux ordres de virement (FOVI) », version V230417 — but recherché, mesures préventives (publication d’informations, procédure de vérification et de validation).
- The Digital Gentlemen, analyse Digi-Score de 442 entreprises (taille connue pour 225 : 188 PME, 24 ETI, 13 GE), 27 et 28 octobre 2026.
Situation arrêtée au 28 octobre 2026.