L'usurpation d'identité par e-mail professionnel (BEC) : de quoi s'agit-il et comment s'en prémunir ?
La fraude par usurpation de messagerie professionnelle (BEC) est l'une des cyberattaques les plus coûteuses auxquelles une entreprise puisse être confrontée, et l'une des moins bien comprises. Contrairement aux ransomwares, qui se manifestent de manière ostensible, la BEC opère en silence, souvent pendant des semaines, voire des mois, en exploitant la confiance plutôt que la technologie pour dérober de l'argent et des données.
Selon le rapport Kaseya « State of the MSP » de 2026, 44 % des prestataires de services gérés (MSP) indiquent qu’au moins 10 % de leurs clients ont été victimes d’une cyberattaque en 2025, et l’usurpation d’identité d’entreprise (BEC) figure systématiquement parmi les types d’attaques les plus courants et les plus coûteux à l’origine de ces incidents.
Le Centre de signalement des crimes sur Internet (IC3) du FBI classe régulièrement le BEC parmi les catégories de cybercriminalité les plus coûteuses. Le FBI a intitulé son avis sur le BEC « L'arnaque à 55 milliards de dollars », en référence aux pertes mondiales cumulées entre octobre 2013 et décembre 2023. En 2024, les plaintes liées au BEC ont entraîné 2,77 milliards de dollars de pertes ajustées rien qu’aux États-Unis, pour 21 442 incidents signalés. Cette attaque fonctionne parce qu’elle est d’une simplicité trompeuse : pas de logiciel malveillant, pas de chiffrement, pas d’exploit technique, juste un e-mail convaincant envoyé par une personne en qui vous avez confiance.
Prévenez les attaques de type BEC avant qu'elles ne vous coûtent cher
La solution « INKY » de Kaseya analyse chaque e-mail à la lumière des habitudes de communication de votre organisation, signalant ainsi les tentatives d'usurpation d'identité et les demandes anormales qui contournent les filtres traditionnels.
Découvrez le fonctionnement d'INKY
Qu'est-ce qu'une « attaque par usurpation d'adresse e-mail professionnelle » ?
Le BEC est une attaque frauduleuse dans laquelle un cybercriminel utilise un e-mail d'apparence légitime, provenant d'un compte piraté, d'un domaine usurpé ou d'un contact dont l'identité a été usurpée, afin de tromper une personne disposant d'une autorité en matière financière ou de gestion des données et de l'inciter à effectuer une action préjudiciable. Cette action consiste généralement en un paiement frauduleux, un transfert de données sensibles ou la divulgation d'identifiants permettant d'obtenir un accès supplémentaire.
Ce qui distingue le BEC du hameçonnage classique, ce sont le ciblage et l'objectif. Le hameçonnage de masse vise à collecter des identifiants à grande échelle. Le BEC, quant à lui, cible des personnes spécifiques au sein d'une organisation donnée et vise à générer un gain financier immédiat, généralement sous la forme d'un virement bancaire, de l'achat de cartes-cadeaux, du détournement de salaires ou de la modification des coordonnées bancaires.
Le BEC est parfois appelé « Email Account Compromise » (EAC) lorsque l'attaque implique la compromission effective d'un compte réel, plutôt qu'une usurpation d'adresse ou d'identité. Ces deux termes désignent la même catégorie de menaces et le même risque financier.
Comment fonctionnent les attaques de type BEC ?
Les attaques de type BEC suivent une approche structurée. Les pirates commencent par mener des recherches sur l'organisation ciblée, en identifiant les principaux responsables des services financiers, de la comptabilité, des ressources humaines et de la direction générale via LinkedIn, les sites web de l'entreprise et les réseaux sociaux. Ils cartographient ensuite les relations hiérarchiques : qui rend compte à qui, qui approuve les paiements, qui est habilité à modifier les détails des paiements.
L'accès initial peut se faire par le biais d'une attaque par hameçonnage compromettant un véritable compte de messagerie, ou par l'usurpation de domaine créant une adresse e-mail visuellement similaire à la véritable (par exemple, finance@c0mpany.com au lieu de finance@company.com). Une fois infiltrés dans un compte légitime, les attaquants surveillent souvent discrètement les e-mails pendant des semaines, afin d'étudier les habitudes de communication, les transactions en cours et le style d'écriture de la personne dont ils usurpent l'identité avant de lancer leur fraude.
L'attaque elle-même prend souvent la forme d'un simple e-mail envoyé au bon moment : « Veuillez mettre à jour les coordonnées bancaires pour la facture Smith comme suit » ou « Pouvez-vous effectuer de toute urgence un virement bancaire pour cette acquisition ? Je suis en réunion toute la journée. » La combinaison d'une autorité apparente, d'un sentiment d'urgence et d'un contexte précis rend la demande plausible. Le délai entre l'envoi de l'e-mail et la découverte de la fraude est souvent suffisant pour que les fonds soient transférés sans possibilité de les récupérer.
Les cinq scénarios du BEC
Le FBI distingue cinq principaux types d'attaques de type BEC :
La fraude au nom du PDG consiste à se faire passer pour un cadre supérieur afin de faire pression sur un employé pour qu'il effectue un virement frauduleux ou divulgue des informations sensibles. La demande est généralement formulée lorsque le cadre est en déplacement ou indisponible pour vérifier la véracité de celle-ci.
Le piratage de compte consiste en la prise de contrôle effective d'un compte de messagerie professionnel utilisé pour solliciter des paiements frauduleux auprès des fournisseurs ou des clients du titulaire dudit compte. Contrairement à l'usurpation d'identité, l'e-mail provient bel et bien du compte authentique.
Cette arnaque aux fausses factures consiste à se faire passer pour un vendeur ou un fournisseur et à demander le virement d'un paiement sur un nouveau compte bancaire, afin de détourner un paiement réel qui était attendu.
L'usurpation d'identité d'un avocat consiste à se faire passer pour un conseiller juridique afin d'exiger des informations confidentielles ou un paiement urgent liés à une affaire judiciaire en cours, en tirant parti de la relation d'autorité inhérente à la relation juridique.
Le vol de données vise les services des ressources humaines ou financiers afin d'obtenir les déclarations fiscales des salariés, des informations relatives à la paie ou des données à caractère personnel. Il s'agit souvent d'un prélude à d'autres fraudes ou à une usurpation d'identité, plutôt que d'un transfert financier immédiat.
Pourquoi le BEC est-il si difficile à détecter ?
Le BEC contourne la plupart des contrôles de sécurité traditionnels, car il repose sur l'ingénierie sociale plutôt que sur des logiciels malveillants. Les filtres de sécurité des e-mails ne signalent pas un message provenant d'un compte légitime qui a été piraté. Aucune pièce jointe ni aucun lien malveillant ne déclenche la protection des terminaux. D'un point de vue purement technique, cette communication ressemble à un e-mail professionnel tout à fait normal.
Le défi en matière de détection est d'ordre comportemental : il s'agit de reconnaître qu'une demande ne correspond pas au déroulement normal des processus métier, que le degré d'urgence est inhabituel ou qu'une modification d'ordre de paiement parvient par un canal atypique. Il s'agit là de jugements humains, et non techniques, ce qui explique pourquoi le BEC reste efficace même dans des environnements techniquement sophistiqués.
Le BEC optimisé par l'IA complique encore davantage la tâche. Les pirates utilisent désormais l'IA pour générer des messages qui reproduisent fidèlement le style d'écriture d'une personne, en s'appuyant sur le contexte réel tiré des échanges d'e-mails surveillés. Les indices qu'un lecteur attentif aurait pu repérer auparavant, comme des tournures légèrement inhabituelles ou un langage trop générique, sont de plus en plus rares dans les tentatives de BEC actuelles.
Comment se protéger contre les attaques de type BEC
Authentification des e-mails. Les politiques DMARC, DKIM et SPF empêchent l'usurpation de domaine. Une politique DMARC configurée pour rejeter les e-mails empêche les attaquants d'envoyer des e-mails semblant provenir de votre domaine. Cela permet de contrer le vecteur d'usurpation d'identité, mais pas celui de la compromission de compte, d'où la nécessité de mettre en place des contrôles à plusieurs niveaux.
Sécurité des e-mails basée sur l'IA. Des solutions telles qu'Inky, intégrées à Kaseya 365 User, utilisent l'IA pour analyser les schémas de communication par e-mail et signaler les anomalies : messages provenant de nouveaux expéditeurs se présentant comme des dirigeants, demandes s'écartant des schémas de communication habituels, ou caractéristiques correspondant à des profils BEC connus. Contrairement aux filtres basés sur les signatures, l'analyse comportementale détecte les demandes inhabituelles dans leur contexte, même lorsqu'elles proviennent de sources apparemment légitimes.
Contrôles des processus pour les transactions financières. La mesure de protection la plus efficace contre la fraude aux paiements liée au BEC réside dans un contrôle humain du processus : une vérification « hors bande » par téléphone vers un numéro connu, et non vers celui indiqué dans l’e-mail suspect, avant d’exécuter toute modification d’instruction de paiement ou tout virement bancaire d’un montant important. Aucune autorisation par e-mail uniquement n’est autorisée pour les transactions financières dépassant un seuil défini.
Formation des employés. Le personnel des services financiers et les assistants de direction, qui constituent les principales cibles des attaques de type BEC, ont besoin d’une formation spécifique sur les scénarios de BEC et les procédures de vérification à suivre lorsqu’ils reçoivent des demandes de paiement inhabituelles. Les formations générales de sensibilisation au hameçonnage ne couvrent pas les stratégies spécifiques aux attaques de type BEC utilisées par les cybercriminels.
Surveillance du dark web. Les identifiants compromis permettant le piratage de comptes (BEC) apparaissent souvent sur les forums du Dark Web avant que les attaquants ne les utilisent. Dark Web ID, disponible via Kaseya, surveille en permanence les identifiants de votre domaine et émet une alerte précoce permettant de réinitialiser les mots de passe avant que les comptes ne soient piratés.
Authentification à plusieurs facteurs (MFA) sur tous les comptes de messagerie. Pour mener une attaque BEC par prise de contrôle de compte, il faut avoir accès au compte piraté. L'authentification à plusieurs facteurs empêche le vol d'identifiants de permettre cet accès. Même si un pirate parvient à obtenir le mot de passe par hameçonnage ou par « credential stuffing », il ne peut pas se connecter sans le deuxième facteur d'authentification.
Découvrez comment un utilisateur d'Kaseya 365 lutte contre le BEC grâce à la sécurité des e-mails basée sur l'IA et à la surveillance du dark web.
Points clés à retenir
- La cybercriminalité d'entreprise (BEC) figure parmi les catégories de cybercriminalité les plus coûteuses en termes de pertes financières totales, causant chaque année des milliards de dommages liés à la fraude plutôt qu'à des failles techniques. Le montant cumulé recensé par le FBI entre 2013 et 2023 s'élève à 55 milliards de dollars.
- Le BEC contourne les contrôles de sécurité techniques, car il utilise des comptes de confiance ou des usurpations d'identité convaincantes plutôt que des logiciels malveillants ou des pièces jointes malveillantes.
- Les mesures de protection les plus efficaces associent des contrôles techniques (DMARC, sécurité des e-mails basée sur l'IA, authentification multifactorielle) à des contrôles de processus (vérification hors bande pour les transactions financières) et à une formation ciblée des collaborateurs.
- L'IA rend les attaques de type BEC plus difficiles à détecter en générant des usurpations d'identité parfaitement adaptées au contexte. La détection repose de plus en plus sur la reconnaissance des anomalies comportementales plutôt que sur l'analyse du contenu.
