Qu'est-ce que l'usurpation d'identité par e-mail professionnel (BEC) ?

L'« Business Email Compromise » (BEC) ne passe pas par le piratage. Un pirate se fait passer pour une personne en qui vos employés ont déjà confiance — un PDG, un fournisseur, un partenaire connu — et formule une demande qui semble banale : un virement bancaire urgent, la mise à jour des coordonnées bancaires, une facture en attente de validation. Pas de logiciel malveillant, pas d'alerte, juste un e-mail convaincant qui ressemble à un message professionnel tout à fait normal. Le Internet Crime Complaint Center classe le BEC parmi les cybercrimes les plus coûteux financièrement, avec un coût moyen d’une attaque s'élevant désormais à plusieurs millions. Voici exactement comment ces attaques fonctionnent.

Comment fonctionne l'usurpation d'identité par e-mail professionnel ?

Lors d'une attaque de type « Business Email Compromise », un individu se fait passer pour un collègue ou un partenaire de confiance et persuade la victime d'effectuer une action, par exemple de lui accorder un accès, de lui envoyer de l'argent ou de lui communiquer certaines informations. Pour parvenir à leurs fins, les pirates ont généralement recours au phishing, à de faux e-mails prétendument envoyés par le patron, à de fausses factures et à des e-mails qui semblent provenir d'une personne de confiance. Même si les gens sont désormais plus sensibilisés à ces attaques, les cybercriminels continuent de trouver des moyens de les piéger. 

Par exemple, un groupe de hackers russes appelé Cosmic Lynx a mené des attaques sophistiquées de type « Business Email Compromise » (BEC) à l’aide d’e-mails de hameçonnage très bien rédigés, ce qui les rend difficiles à détecter. Ces cybercriminels profitent également du télétravail en envoyant des e-mails qui semblent provenir d’outils populaires utilisés pour la collaboration, dans le but de voler des mots de passe.

Des rapports émanant du FBI et d'autres sources, telles que Verizon, indiquent que les attaques de type « Business Email Compromise » (BEC) sont de plus en plus fréquentes. La principale raison pour laquelle ces attaques aboutissent réside dans la stratégie mise en œuvre, et non dans des astuces techniques. Les auteurs de ces attaques suivent généralement une série d'étapes pour mener à bien leurs escroqueries :

1. Reconnaissance : Les attaquants effectuent des recherches sur l'organisation ciblée, en recueillant les noms des dirigeants, les relations avec les fournisseurs, les projets en cours et les coordonnées de l'équipe financière à partir de LinkedIn, des sites web de l'entreprise et des bases de données publiques.
2. Préparation du domaine ou du compte : Ils enregistrent des domaines similaires, usurpent des noms d'affichage ou compromettent une boîte mail légitime pour s'en servir comme vecteur d'attaque.
3. Lancer une attaque : Ils envoient des e-mails en utilisant des domaines usurpés ou similaires, ainsi que de faux noms d'expéditeur.
4. Ingénierie sociale : Les pirates se font passer pour des responsables dignes de confiance, créant un sentiment d'urgence pour solliciter des virements bancaires ou le partage de données.
5. Gains financiers : La dernière étape au cours de laquelle se produisent le vol financier ou la violation de données.
6. Dissimulation : Les pirates peuvent configurer des règles dans la boîte de réception pour supprimer les preuves, rediriger les réponses ou transférer rapidement des fonds afin d'empêcher toute récupération.

Pourquoi les attaques de type BEC sont-elles si difficiles à détecter ?

Les e-mails de type BEC ne contiennent généralement pas de logiciels malveillants. Ils ne comportent ni pièce jointe ni lien apparent. Ils misent plutôt sur l'autorité, l'urgence et la confiance pour vous piéger. C'est pourquoi les filtres anti-spam ne détectent pas souvent les e-mails de type BEC. Ces e-mails sont insidieux. C'est pourquoi il est essentiel de savoir qui en est l'expéditeur, d'apprendre aux utilisateurs à repérer les signes avant-coureurs et de disposer d'un système efficace pour vérifier l'authenticité de l'e-mail. Les e-mails de type BEC sont sournois. 

Le BEC peut contourner les filtres de sécurité classiques pour les raisons suivantes :

• Contenu en texte brut : de nombreux e-mails de type BEC ne contiennent ni liens malveillants, ni pièces jointes, ni scripts, mais simplement une demande d'apparence tout à fait normale.
• Identités d'expéditeurs d'apparence légitime : les pirates usurpent les noms d'affichage, utilisent des domaines similaires ou envoient des messages à partir de boîtes mail réellement piratées.
• Langage commercial courant : les demandes sont formulées comme des procédures courantes (validation de factures, mise à jour des fiches de paie, virements bancaires), ce qui les rend difficiles à distinguer des communications légitimes.
• Relations de confiance : les pirates effectuent des recherches préalables sur leurs cibles, en faisant référence à de véritables collègues, fournisseurs ou projets en cours afin de paraître crédibles.
• Comptes piratés : lorsqu'un pirate utilise une boîte de réception réellement piratée, le message passe tous les contrôles d'authentification, car il provient d'une boîte mail réelle et autorisée.

Qui sont généralement les cibles des attaques de type BEC ?

Les attaques de type BEC ne se limitent pas aux grandes entreprises. Toute organisation qui effectue ou reçoit des paiements, gère la paie ou entretient des relations avec des fournisseurs constitue une cible potentielle. Les associations à but non lucratif sont exposées à des risques similaires via les dons frauduleux et les attaques par « carding » qui compromettent la confiance des donateurs et les systèmes de paiement. Les attaquants ciblent les postes dont les titulaires ont le pouvoir d'effectuer des virements, d'approuver des demandes ou d'accéder à des données sensibles :

Types courants d'attaques BEC

Selon les recommandations de l'IC3 du FBI et de la CISA, les catégories de BEC les plus courantes et les plus préjudiciables sur le plan financier qui touchent aujourd'hui les entreprises sont les suivantes :

Deux d'entre elles sont souvent sous-estimées. La fraude à la facture fournisseur reproduit souvent exactement la manière dont un véritable fournisseur envoie une facture, ce qui explique précisément pourquoi elle échappe à un examen rapide. Les escroqueries liées aux voyages et aux réservations s’appuient sur cette même confiance : un e-mail faisant référence à une brochure de voyage ou à un changement d’itinéraire qui semble suffisamment banal pour qu’un voyageur d’affaires régulier clique sans y réfléchir à deux fois.

Techniques courantes utilisées par les pirates dans le cadre des attaques de type BEC

Voici comment les attaques de type BEC sont menées sur le plan technique :

• Compte de messagerie ou site web usurpé : Le pirate usurpe une adresse e-mail ou un site web qui semble légitime, en recourant parfois au typosquatting ou à des domaines ressemblants. Il envoie depuis ce compte des e-mails de hameçonnage demandant des informations financières ou des virements bancaires. Les protocoles DMARC, SPF et DKIM contribuent à empêcher les attaquants d’usurper directement votre domaine. Cependant, les attaques de type BEC peuvent également impliquer des comptes compromis, des domaines similaires ou l’usurpation du nom d’affichage ; l’authentification des e-mails doit donc être associée à une formation des utilisateurs, à l’authentification multifactorielle (MFA), à la vérification des fournisseurs et à la surveillance des menaces.
• Usurpation du nom d'affichage : L'attaquant utilise un nom d'affichage d'apparence légitime (par exemple, « Nom du PDG ») mais achemine l'e-mail depuis un domaine différent. Les destinataires ne voient souvent que le nom d'affichage dans leur boîte de réception, et non l'adresse d'envoi réelle.
• Détournement de fils de discussion par e-mail : Après avoir piraté un compte, les pirates s'immiscent dans des fils de discussion existants pour donner plus de crédibilité à leurs demandes frauduleuses. Les destinataires font confiance au message, car celui-ci s'inscrit dans une conversation authentique et en cours.
• E-mails de « spear phishing » : Les e-mails de spear phishing sont des e-mails très ciblés, envoyés directement à des employés spécifiques, souvent des membres des services financiers ou des ressources humaines. Ils se font passer pour des communications internes provenant d’un collaborateur de l’entreprise et comportent des objets tels que « virement bancaire urgent » ou « facture urgente ».
• Utilisation de logiciels malveillants : Les pirates peuvent installer des logiciels malveillants sur l'ordinateur d'une victime via des liens ou des pièces jointes malveillants. Ils utilisent ces logiciels pour enregistrer les frappes au clavier, réaliser des captures d'écran ou obtenir un accès permanent au système.

Comment prévenir les attaques par usurpation d'identité par e-mail professionnel

Une attaque de type BEC qui aboutit peut rapidement coûter très cher, entre les pertes directes, les frais de remise en état et l'atteinte à la réputation qui s'ensuit. Les mesures de contrôle ci-dessous couvrent trois aspects : l'authentification technique, les processus et les personnes.

1. Protégez votre domaine avec DMARC, SPF et DKIM

SPF, DKIM et DMARC constituent les mesures de sécurité fondamentales dans ce domaine. SPF quels serveurs de messagerie sont autorisés à envoyer des e-mails au nom de votre domaine. Le protocole DKIM ajoute une signature numérique permettant aux destinataires de vérifier qu’un message n’a pas été altéré. Le protocole DMARC s’appuie sur ces deux protocoles : il permet aux propriétaires de domaine de définir la manière dont les destinataires doivent traiter les e-mails dont l’authentification a échoué, tout en offrant une visibilité sur l’identité de ceux qui envoient réellement des e-mails au nom du domaine.

Pour mettre fin aux attaques BEC basées sur l'usurpation de domaine, il faut mettre en œuvre DMARC de manière contraignante, et non se contenter d'une simple surveillance :

• p=none : Surveille le trafic sans affecter la transmission. N'offre aucune protection réelle contre les attaques BEC.
• p =quarantine: Envoie les e-mails suspects vers le dossier « spam » ou « courrier indésirable ».
• p=refuser: Bloque systématiquement les messages dont l'authentification échoue, ce qui constitue la protection la plus efficace contre l'usurpation directe de domaine.

Mise en œuvre de DMARC implique de publier dans votre DNS des enregistrements SPF, DKIM et DMARC correctement formatés. Cela permet de lutter efficacement contre l’usurpation directe de domaine, mais ne détecte pas les boîtes mail compromises ni les domaines similaires ; considérez donc cette mesure comme fondamentale, mais non exhaustive.

Le vrai travail ne consiste pas à publier un enregistrement DMARC une seule fois. Il s’agit de savoir quels services envoient des messages en votre nom, quels messages échouent, et à quel moment il est possible de passer en toute sécurité de « p=none » à « enforcement ». Une surveillance régulière via les rapports DMARC est ce qui permet réellement de prendre cette décision, et des plateformes comme PowerDMARC transforment le XML brut en informations exploitables par une équipe.

2. Protections anti-hameçonnage

Utiliser des logiciels anti-phishing et des passerelles de sécurité pour le courrier électronique qui analysent les courriels entrants à la recherche de liens malveillants, de pièces jointes et de signes d'ingénierie sociale afin de bloquer les menaces avant qu'elles n'atteignent les utilisateurs.

3. Séparation des tâches et protocoles de paiement

Veillez à ce que les opérations critiques, en particulier les transactions financières telles que les virements bancaires, ne soient pas effectuées par une seule et même personne. Mettez en place des protocoles stricts pour la validation des paiements, exigeant plusieurs autorisations ainsi qu’une confirmation secondaire hors canal (par exemple, un appel téléphonique ou une vérification en personne) pour les demandes, notamment celles qui sont urgentes ou qui impliquent des modifications des informations de paiement.

4. Étiquetage des courriels externes

Configurez votre système de messagerie de manière à ce que les courriels provenant de l'extérieur de votre organisation soient clairement identifiés. Cela permet aux employés d'identifier rapidement les messages potentiellement suspects qui tentent d'usurper l'identité d'expéditeurs internes.

5. Examiner attentivement les adresses électroniques et les détails

Formez vos collaborateurs à examiner attentivement l'adresse e-mail de l'expéditeur afin de repérer d'éventuelles différences subtiles, des cas de « typosquatting » ou des domaines similaires. Vérifiez que l'adresse « Répondre à » correspond bien à l'adresse « De ». Méfiez-vous des e-mails invoquant l'urgence ou la confidentialité.

6. Sensibilisez vos employés

La meilleure défense contre les attaques de type BEC réside dans la formation et la sensibilisation des collaborateurs. Ceux-ci doivent comprendre la menace que représente le BEC, son mode de fonctionnement, les tactiques couramment utilisées (sens de l’urgence, usurpation d’autorité) et la manière dont ils peuvent être pris pour cible. Mettez en place des tests de phishing simulés afin d’évaluer leur niveau de sensibilisation et encouragez les collaborateurs à signaler immédiatement tout e-mail suspect, sans crainte de représailles.

7. Activer l'authentification multifactorielle (MFA)

Mettez en place l'authentification à plusieurs facteurs (MFA) pour tous les comptes de messagerie et autres systèmes critiques. La MFA ajoute un niveau de sécurité supplémentaire au-delà du mot de passe, ce qui réduit considérablement le risque de piratage d'un compte, même en cas de vol des identifiants.

8. Interdire le transfert automatique des courriels

Désactivez le transfert automatique des e-mails vers des adresses externes. Les pirates peuvent exploiter cette fonctionnalité pour surveiller discrètement les communications ou rediriger des informations sensibles après avoir piraté un compte.

9. Mise en œuvre de protocoles de sécurité supplémentaires

Envisagez de renforcer la sécurité de vos e-mails grâce à :

• MTA-STS (Mail Transfer Agent Strict Transport Security) : MTA-STS et TLS-RPT n’empêchent pas l’ingénierie sociale, mais ils contribuent à protéger les e-mails légitimes en transit et fournissent des rapports sur les problèmes de livraison TLS. Les services MTA-STS et TLS-RPT hébergés par PowerDMARC éliminent la nécessité de gérer un serveur de politiques HTTPS distinct.
• BIMI (Brand Indicators for Message Identification) : Le BIMI permet aux destinataires de reconnaître visuellement les e-mails de marque authentifiés dans les boîtes de réception compatibles. Il doit être considéré comme un niveau de confiance et de visibilité, et non comme une solution autonome de protection contre le BEC. Le BIMI nécessite la mise en œuvre de DMARC. L'assistance BIMI et VMC de PowerDMARC simplifie la mise en œuvre tout au long du processus complet de gestion des certificats et d'hébergement.
• GestionSPF : SPF automatisée SPF par PowerDMARC aide les entreprises à contourner la limite SPF lorsqu’elles intègrent des outils SaaS, des plateformes marketing et des expéditeurs tiers. Cela réduit les tâches manuelles liées au DNS et contribue à prévenir les échecs de livraison liés à l’authentification.

10. Signaler la fraude

Si vous soupçonnez d'être victime d'une arnaque de type BEC ou si vous en êtes victime, signalez-le immédiatement aux autorités compétentes (comme le IC3 du FBI aux États-Unis) et à vos établissements financiers. Ces signalements aident les forces de l'ordre à traquer ces crimes et, éventuellement, à récupérer les fonds.

Comment PowerDMARC contribue à prévenir l'usurpation de domaine dans les attaques de type BEC

PowerDMARC réduit le risque lié au BEC en indiquant précisément aux équipes de sécurité qui envoie des e-mails au nom de leur domaine. Plus besoin de fouiller dans des fichiers XML bruts : un tableau de bord centralisé répertorie en un seul endroit les expéditeurs légitimes, les échecs d'authentification et les sources non autorisées.

La plateforme prend en charge les protocoles DMARC, SPF, DKIM, BIMI, MTA-STSet la gestion TLS-RPT en un seul et même endroit. Cela permet aux organisations de s'orienter en toute sécurité vers la mise en œuvre de DMARC, tout en évitant les limitesSPF grâce à SPF automatisée SPF , de renforcer la sécurité de la couche de transport grâce aux services hébergés MTA-STS et TLS-RPT, et d’améliorer la confiance envers la marque grâce à l’assistance BIMI et VMC.

Pour les entreprises et les MSP qui gèrent plusieurs domaines, PowerDMARC prend également en charge le regroupement de domaines, les droits d'accès basés sur les rôles, la surveillance centralisée et une assistance mondiale réactive, aidant ainsi les équipes à garder le contrôle sans ajouter de complexité.

Commencez un essai gratuit de 15 jours pour combler les failles d'authentification et mettre fin à l'usurpation de domaine avant qu'elle ne vous coûte cher.

Foire aux questions

Que signifie l'acronyme BEC ?

L'acronyme BEC désigne le « Business Email Compromise », une forme de fraude par e-mail ciblée dans laquelle des cybercriminels se font passer pour des dirigeants, des fournisseurs ou des partenaires commerciaux de confiance afin d'inciter les employés à effectuer des virements bancaires, à communiquer leurs identifiants ou à divulguer des données sensibles.

Quel est un exemple d'attaque de type BEC ?

Un cas courant : un pirate usurpe l'adresse e-mail du PDG et envoie un message urgent au directeur financier pour lui demander d'effectuer un virement bancaire confidentiel avant la fin de la journée. Le message arrive alors que le véritable PDG est en déplacement, ce qui accentue la pression temporelle et incite le directeur financier à contourner la procédure d'approbation habituelle. En l'absence d'une étape de vérification distincte, le directeur financier risque de finir par envoyer l'argent directement au pirate.

Quelle est la différence entre le BEC et le phishing ?

Le phishing cible généralement un large public à l'aide de liens ou de pièces jointes malveillantes destinées à voler des identifiants ou à installer des logiciels malveillants. Le BEC est quant à lui plus ciblé. Il vise des personnes spécifiques au sein d'une organisation, s'appuie sur l'ingénierie sociale et l'usurpation d'identité plutôt que sur des logiciels malveillants, et cherche à manipuler des processus métier réels tels que les paiements, la paie ou les demandes de données. Comme le BEC ne contient souvent aucune charge utile malveillante, les filtres traditionnels ont tendance à ne pas le détecter.

Pourquoi les e-mails de type BEC sont-ils difficiles à détecter ?

En général, ils ne contiennent ni logiciel malveillant, ni lien malveillant, ni pièce jointe suspecte. Le langage utilisé est celui d’une communication professionnelle normale, fait référence à des personnes et à des projets réels, et provient souvent de domaines ou de noms d’affichage qui ressemblent fortement à ceux d’expéditeurs légitimes. Lorsque le pirate utilise un compte réellement piraté, le message passe tous les contrôles techniques d’authentification.

Le protocole DMARC permet-il de bloquer toutes les attaques de type « Business Email Compromise » ?

Non. Le protocole DMARC empêche l'usurpation directe de domaine, l'un des vecteurs les plus courants du BEC, mais le BEC peut également impliquer des comptes piratés, des domaines similaires et l'usurpation de nom d'affichage, autant de menaces que le protocole DMARC ne peut à lui seul détecter. Pour une protection efficace, il convient de l'associer à l'authentification multifactorielle (MFA), à la formation des employés, à la vérification des paiements et à une surveillance continue des menaces.

Quelle politique DMARC est la plus efficace pour se protéger contre le BEC ?

Une politique « p=reject » offre la protection la plus efficace contre les expéditeurs non autorisés qui usurpent directement votre domaine. Les organisations doivent adopter cette politique progressivement : commencez par « p=none » pour surveiller le trafic, passez ensuite àquarantine, puis à « p=reject », une fois que toutes les sources d'envoi légitimes ont été identifiées et authentifiées.

Que dois-je faire si je reçois un e-mail qui semble être une attaque de type BEC ?

Ne répondez pas et ne donnez pas suite à cette demande. Vérifiez-la par un autre canal fiable, comme un numéro de téléphone que vous connaissez. Signalez immédiatement cet e-mail à votre service informatique ou à votre équipe de sécurité, et conservez l'intégralité du message et des en-têtes à titre de preuve. Si un paiement a déjà été effectué, contactez immédiatement votre banque pour tenter de le faire annuler.

• À propos de
• Derniers messages

Ahona Rudra

Expert en sécurité des domaines et des e-mails chez PowerDMARC

Ahona est la responsable du marketing chez PowerDMARC, avec plus de 5 ans d'expérience dans l'écriture sur des sujets de cybersécurité, spécialisée dans la sécurité des domaines et des courriels. Ahona est titulaire d'un diplôme de troisième cycle en journalisme et communication, solidifiant sa carrière dans le secteur de la sécurité depuis 2019.

Derniers messages de Ahona Rudra (voir tous)

• Sécurité des fax : guide complet pour protéger les documents sensibles en 2026 - 30 juillet 2026
• Qu'est-ce qu'un service de filtrage des e-mails ? - 29 juillet 2026
• L'usurpation d'adresse e-mail : de quoi s'agit-il et comment s'en prémunir ? - 29 juillet 2026