Fraude au président : l’authentification forte ne suffit plus

Tribune de démonstration. L’autrice, l’entreprise et les situations décrites sont fictives.

Pendant des années, la réponse du secteur financier à la fraude au virement a tenu en deux mots : authentification forte. Un code reçu sur le téléphone, une validation dans l’application, une empreinte digitale. Ces mécanismes ont fait leurs preuves contre le vol d’identifiants. Ils sont presque sans effet contre la nouvelle génération de fraudes, qui ne vole rien : elle convainc.

Le maillon visé n’est plus le mot de passe

Le scénario est désormais classique. Une comptable reçoit un appel du directeur financier. La voix est la sienne, le ton aussi, et il évoque un dossier réel, connu de quelques personnes. Une acquisition confidentielle impose un virement rapide vers un compte étranger. Elle se connecte, valide l’opération sur son téléphone, et l’authentification forte fonctionne exactement comme prévu. Elle certifie que c’est bien elle qui donne l’ordre. Elle ne certifie pas que l’ordre est légitime.

Dans notre entreprise, nous avons recensé en un an quatre tentatives de ce type visant nos clients professionnels. Deux reposaient sur un clone vocal, une sur une courte vidéo synthétique diffusée en visioconférence avec la caméra « défaillante » au bout de vingt secondes.

Vérifier l’intention, pas l’appareil

La réponse n’est pas technologique en premier lieu. Elle tient dans des procédures que les entreprises jugent souvent lourdes : double validation par une personne distincte pour tout virement inhabituel, rappel systématique sur un numéro connu et non sur celui fourni dans l’échange, délai de carence pour les nouveaux bénéficiaires au-delà d’un seuil.

Côté prestataires de paiement, nous pouvons aider en signalant les opérations atypiques au moment de la validation plutôt qu’après, en affichant clairement le nom du titulaire réel du compte bénéficiaire, et en proposant aux entreprises des plafonds paramétrables par collaborateur.

Une question de responsabilité

Reste la question qui fâche. Lorsqu’un virement est authentifié correctement mais obtenu par manipulation, qui supporte la perte ? La jurisprudence protège de mieux en mieux les particuliers. Les entreprises, elles, restent souvent seules face au préjudice. Tant que cette répartition ne sera pas clarifiée, les incitations à investir dans la prévention resteront mal alignées, et les fraudeurs continueront de viser le maillon le plus rentable : la confiance.