28 août 2026

On s'est fait arnaquer : les premières 24 heures

J'ai beaucoup écrit ici sur la façon de voir venir ces choses : la visioconférence qui n'était pas lui, la voix clonée du fournisseur, l'e-mail impeccable sans la moindre faute. Ce qui manque, c'est la partie dont personne ne veut avoir besoin et dont beaucoup finissent par avoir besoin : ce que vous faites une fois que vous réalisez que c'est déjà arrivé.

Et ici, la différence ne tient pas à la sophistication de l'arnaque. Elle tient à l'horloge. L'argent d'un virement peut être bloqué tant qu'il est en transit ; quelques heures plus tard, il a généralement sauté sur un second compte et la trace devient très difficile à suivre.

D'abord : comment on s'en aperçoit

Ces choses arrivent rarement avec une étiquette. Les signaux habituels que quelque chose a mal tourné :

• Un fournisseur de longue date réclame une facture que vous avez déjà payée. Ou vous avez payé sur un nouveau numéro de compte reçu par e-mail ou par messagerie.
• Un client dit avoir payé et rien n'est arrivé.
• Quelqu'un de l'équipe ne peut plus accéder à sa messagerie ou à un système, ou voit des sessions actives qu'il ne reconnaît pas.
• Des règles de messagerie apparaissent qui déplacent ou suppriment des messages toutes seules — un signe classique d'accès non autorisé.
• La banque signale un mouvement que personne ne reconnaît.

Si vous en voyez un, n'attendez pas d'être sûr. Agissez comme si c'était réel ; vous pourrez toujours lever l'alerte ensuite.

Heure 0 à 1 : arrêter l'hémorragie

• Appelez la banque, ne lui écrivez pas. Demandez explicitement l'arrêt ou le rappel du virement. Pour un virement international, le terme à utiliser est rappel SWIFT. Notez l'heure de l'appel et le nom de votre interlocuteur.
• Changez les mots de passe depuis un autre appareil, pas celui que vous soupçonnez d'être compromis. Commencez par la messagerie : qui contrôle la boîte mail peut réinitialiser tout le reste.
• Fermez toutes les sessions ouvertes. Tout fournisseur de messagerie propose « se déconnecter de tous les appareils ». Profitez-en pour activer l'authentification à deux facteurs partout où elle ne l'est pas.
• Prévenez l'équipe par un canal autre que celui qui peut être compromis. Si la messagerie est touchée, téléphonez.

Heure 1 à 4 : préserver les preuves

L'instinct est de supprimer l'e-mail de l'arnaque par pure colère. Ne le faites pas : c'est votre preuve.

Faites des captures d'écran avec la date visible, et conservez les messages originaux sans les transférer — le transfert supprime des en-têtes techniques que les enquêteurs utilisent. Notez dans un seul document le compte de destination, les montants, les dates et heures, les numéros de téléphone, et qui a autorisé chaque étape. Puis vérifiez s'il y a d'autres paiements en attente vers le même compte, et arrêtez-les.

Heure 4 à 24 : déclarer et communiquer

• Déposez plainte. Dans bien des cas, la banque ne traitera pas une réclamation sérieuse sans numéro de plainte.
• Appelez la ligne d'assistance cybersécurité de votre pays. En Espagne, c'est l'INCIBE au 017 — gratuit, ouvert aux entreprises, avec les étapes techniques concrètes pour votre cas. La plupart des pays de l'UE ont un équivalent.
• Confirmez la réclamation à la banque par écrit, même si vous avez déjà parlé par téléphone. Qu'il en reste une trace.
• Prévenez le vrai fournisseur ou client. Si c'est vous qui avez été usurpé, d'autres personnes de votre carnet d'adresses reçoivent le même e-mail en ce moment.
• Si des données personnelles sont concernées — clients, salariés — le RGPD vous donne 72 heures pour notifier votre autorité de contrôle. C'est court, et le délai court à partir du moment où vous en prenez connaissance, pas de la fin de votre enquête.

Un cas concret

Un cabinet comptable de Terrassa a reçu un e-mail de son fournisseur informatique avec un changement de coordonnées bancaires et une facture de 8 400 €. L'e-mail était impeccable : même signature, même ton, même fil de conversation. Ils ont payé un jeudi à 10 h.

À 10 h 40, l'assistante administrative a appelé le fournisseur pour autre chose, et le sujet est venu. Appel immédiat à la banque : 5 900 € qui n'avaient pas encore bougé ont été bloqués. Le reste était perdu. Quarante minutes valaient presque six mille euros.

Quatre choses à ne pas faire

• Ne répondez pas à l'escroc, ni pour confirmer quoi que ce soit ni pour menacer. Tout ce que vous confirmez, c'est que le compte est actif.
• Ne payez personne qui promet de « récupérer » l'argent. C'est la deuxième arnaque, souvent menée par les mêmes personnes.
• Ne le cachez pas à l'équipe. Une arnaque dont on ne parle pas se répète sur la personne du bureau d'à côté.
• Ne vous arrêtez pas au pansement. S'ils sont entrés une fois, trouvez par où.

Et la semaine suivante

Deux mesures simples évitent la grande majorité de ces cas. Premièrement : aucun changement de coordonnées bancaires n'est jamais accepté par e-mail — il est vérifié en appelant le numéro que vous aviez déjà, jamais celui du message. Deuxièmement : l'authentification à deux facteurs sur la messagerie et sur tout ce qui fait bouger de l'argent.

Aucune des deux n'est un projet technologique. Les deux sont une règle dont quelqu'un doit être responsable, et c'est la partie qui, d'ordinaire, ne se fait pas.

Cet article est une information générale, pas un conseil juridique. Les voies de déclaration et les autorités de contrôle varient selon le pays ; celles citées ici sont espagnoles. Pour une décision précise ayant des conséquences juridiques, consultez un juriste.