The Spark Team
E-mail. Intelligent. Concentré.
Un e-mail rapide et multiplateforme conçu pour filtrer le bruit.
Définition
💡Compromission de la messagerie professionnelle : une arnaque où quelqu'un se fait passer pour une personne en qui vous avez confiance (votre PDG, un fournisseur, voire votre propre compte compromis) pour vous convaincre de virer de l'argent ou de divulguer des données sensibles. Aucun logiciel malveillant, aucune pièce jointe suspecte. Juste un e-mail très convaincant. La BEC n'est pas une attaque de piratage au sens traditionnel. C'est une escroquerie, menée entièrement via votre boîte de réception, et c'est l'une des catégories de cybercriminalité les plus coûteuses qui existent aujourd'hui.
Pourquoi la compromission de la messagerie professionnelle coûte si cher
Un mardi après-midi, un e-mail arrive de la part de votre PDG. Urgent, un peu sec, vous demandant de virer des fonds vers un nouveau compte fournisseur avant la fin de la journée. Le remettriez-vous en question, ou le feriez-vous simplement ?
C'est cette (réaction très humaine) que la BEC exploite. L'Internet Crime Complaint Center du FBI a enregistré 21 442 plaintes pour BEC en 2024, totalisant 2 770 151 146 $ de pertes déclarées, selon le rapport annuel 2025 de l'IC3. Une seule catégorie d'arnaque, près de 3 milliards de dollars.
La BEC fonctionne si bien parce qu'elle ne repose pas sur le contournement de votre logiciel de sécurité. Elle repose sur le fait de vous atteindre, vous, au moment précis où vous êtes occupé, distrait ou désireux d'aider. Aucun rançongiciel, aucun virus, rien que votre antivirus signalerait un jour. Mais une demande faite au bon moment qui ressemble exactement à celle de quelqu'un à qui vous feriez normalement confiance sans hésiter ? Ça marche plus souvent que personne n'aime l'admettre.
Les clients de messagerie comme Spark peuvent intercepter une partie de tout ça avant que ça ne vous parvienne.
Gatekeeper filtre les messages provenant d'expéditeurs auxquels vous n'avez jamais écrit auparavant, ce qui aide, puisque de nombreuses tentatives de BEC proviennent d'une adresse imitatrice que vous n'avez véritablement jamais vue. Il n'interceptera cependant pas tous les cas. Certaines des attaques BEC les plus dommageables proviennent d'un compte légitimement piraté, un compte qui vous a déjà écrit de nombreuses fois auparavant.
Types de compromission de la messagerie professionnelle
Vous avez ici une poignée de schémas courants, et ce ne sont pas tous la même menace.
La fraude au PDG (parfois classée sous whaling) est la version classique : une demande urgente, prétendument émanant d'un dirigeant, généralement au sujet d'argent et devant habituellement être traitée rapidement. FACC, un fournisseur aérospatial autrichien, a perdu environ 56 millions de dollars de cette façon en 2016 après qu'un employé a viré des fonds sur des instructions qui semblaient exactement provenir du PDG. Le PDG et le directeur financier ont tous deux été licenciés par la suite.
La compromission de messagerie de fournisseur remplace le dirigeant par un fournisseur. Une facture semble tout à fait normale, bon numéro de compte, bon format, sauf que les coordonnées bancaires ont été discrètement modifiées. Vous ne le découvrez qu'une fois que le vrai fournisseur appelle pour demander où est passé son paiement.
Le piratage de compte est la version la plus effrayante, car il n'y a aucune usurpation à repérer. L'attaquant se trouve à l'intérieur d'une véritable boîte aux lettres compromise, lisant les fils de discussion réels et attendant qu'une véritable facture soit remplacée. Rien dans l'adresse de l'expéditeur ne semble incorrect. Et c'est exactement le problème : elle n'est pas incorrecte.
Le détournement de paie cible les RH plutôt que la finance : une fausse demande d'un « employé » pour mettre à jour les coordonnées de virement, réacheminant discrètement le salaire de quelqu'un.
Comment se protéger contre la BEC
Les habitudes de filtrage et de signalement font une grande différence, et les bases se ressemblent partout où vous consultez votre courrier.
Dans Gmail :
- Ouvrez le message, cliquez sur le menu à trois points à côté de Répondre, puis sélectionnez Signaler comme hameçonnage
- Activez la validation en 2 étapes dans les paramètres de sécurité de votre compte Google, car un compte détourné est souvent le point de départ de nombreuses attaques BEC
Dans Outlook :
- Sélectionnez le message, puis Signaler, puis Signaler comme hameçonnage
- Sur mobile, appuyez sur le menu à trois points, puis Signaler comme courrier indésirable, puis Hameçonnage
Dans Spark :
- Configurez Gatekeeper pour filtrer les nouveaux expéditeurs avant qu'ils n'atterrissent dans votre boîte de réception, plutôt que d'accepter tout le monde automatiquement - Bloquez tout le domaine de l'expéditeur avec
- Commande+Option+Maj+B sur Mac, ou Ctrl+Alt+Maj+B sur Windows (ouvre le Centre de commande, puis tapez « Bloquer »)
Rien de tout cela ne remplace la seule habitude qui arrête vraiment net la BEC : vérifier les grosses demandes par un second canal. Un appel téléphonique vers un numéro connu. Pas une réponse à l'e-mail lui-même.
Bonnes pratiques contre la BEC
Vérifiez par téléphone, toujours, pour tout ce qui implique de l'argent ou des modifications de compte. Si le « PDG » est vraiment pressé, il prendra votre appel.
Configurez DMARC si vous gérez un domaine professionnel. Un enregistrement DMARC indique aux serveurs de réception ce qu'ils doivent faire lorsque quelqu'un tente d'usurper votre domaine, fermant ainsi l'une des voies d'entrée les plus faciles de la BEC.
Ne cédez pas à l'urgence. Les escrocs fabriquent la pression temporelle exprès. Une vraie urgence peut attendre cinq minutes pour un rappel.
Exigez une seconde approbation pour les virements dépassant un certain montant, peu importe qui le demande. Une politique ennuyeuse. Aussi la meilleure défense contre une erreur à 56 millions de dollars.
Surveillez les domaines quasi identiques, comme company-billing.com au lieu de company.com. C'est une différence d'une seule lettre qui coûte des millions aux gens chaque année.