Un mardi matin, votre comptable reçoit un mail de votre fournisseur habituel. Même adresse, même signature, même fil de discussion que la semaine dernière. Une seule chose change : le RIB. Le virement part. Ce scénario est devenu l’un des plus fréquents en France, et il ne commence pas par un virus.
« Comment sont-ils entrés ? »
C’est la première question que pose un dirigeant après un incident. Elle est légitime, et la réponse déroute souvent.
Souvent, personne n’a forcé de porte et personne n’a exploité une faille exotique. Quelqu’un s’est connecté à un compte professionnel avec un identifiant et un mot de passe valides, obtenus quelques semaines plus tôt par un mail d’hameçonnage ou récupérés dans une fuite de données chez un tiers.
À partir de là, l’attaquant ne fait rien d’anormal aux yeux du système. Il lit des mails. Il consulte un carnet d’adresses. Il attend. C’est précisément ce qui le rend difficile à détecter, et ce qui explique qu’un parc parfaitement équipé en antivirus puisse être touché.
Ce que disent les chiffres publiés en 2026
Le rapport d’activité 2025 de Cybermalveillance.gouv.fr, publié en mars 2026, donne le classement des demandes d’assistance des entreprises et associations françaises. Il mérite d’être lu dans l’ordre.
| Rang | Menace | Part des demandes d’assistance | Évolution sur un an |
|---|---|---|---|
| 1 | Piratage de compte | 21 % | + 52 % |
| 2 | Hameçonnage | 16 % | + 29 % |
| 3 | Fraude au virement | 13,5 % | + 93 % |
| 4 | Rançongiciel | 8,1 % | + 9 % |
| 5 | Violation de données | 6,6 % | + 40 % |
Source : Cybermalveillance.gouv.fr, rapport d’activité 2025. Il s’agit de parts des demandes d’assistance reçues par la plateforme, et non d’une répartition de l’ensemble des cyberattaques françaises.
Le rançongiciel reste la menace la plus destructrice quand elle frappe, personne ne le conteste. Mais il est passé au quatrième rang des demandes d’assistance. Devant lui, trois menaces qui forment en réalité une seule et même chaîne : on hameçonne un salarié, on récupère ses identifiants, on prend la main sur son compte, et on transforme cet accès en argent par un faux ordre de virement.
Cybermalveillance.gouv.fr fait d’ailleurs le lien explicitement : les piratages de compte sont présentés comme la conséquence directe des violations de données et des campagnes d’hameçonnage réussies. Autre indice dans le même rapport, les demandes d’assistance pour piratage informatique progressent de 112 %, et l’explication donnée est la même : un compte volé sert de porte d’entrée dans le système d’information.
De son côté, l’ANSSI décrit dans son Panorama de la cybermenace 2025 une année marquée par la multiplication des exfiltrations de données, avec 460 événements de sécurité qualifiés de possibles fuites. Le vol de données rapporte peu à l’attaquant, note l’agence, mais coûte cher à la victime.
Ces deux lectures convergent. La cybercriminalité qui touche une TPE ou une PME en 2026 est majoritairement une affaire d’identités volées, pas de logiciels malveillants spectaculaires.
Pourquoi l’antivirus ne voit rien
Un antivirus, et même une protection avancée de type EDR, surveille ce qui s’exécute sur une machine : un fichier suspect, un processus anormal, un chiffrement massif de documents. C’est efficace, et ce sont des protections nécessaires.
Le problème est ailleurs. Quand un attaquant se connecte à une boîte Microsoft 365 avec le bon mot de passe, aucun fichier ne s’exécute sur le poste. Il n’y a rien à détecter. Du point de vue du service de messagerie, c’est votre collaborateur qui travaille.
La séquence type se déroule en trois temps.
L’accès
Un mail imite une notification de service connu, une facture, une demande de signature. Le salarié saisit ses identifiants sur une fausse page. Ou bien ces identifiants circulaient déjà depuis des mois, issus d’un site tiers piraté sur lequel il avait réutilisé le même mot de passe.
La discrétion
L’attaquant crée une règle de transfert automatique dans la boîte mail, souvent nommée avec un simple point ou un espace pour passer inaperçue. Elle copie certains messages vers une adresse externe, ou les déplace directement dans un dossier peu consulté. Résultat : il lit la correspondance sans que le titulaire remarque quoi que ce soit. Cette phase d’observation dure parfois plusieurs semaines.
La monétisation
L’attaquant connaît maintenant vos fournisseurs, vos échéances, votre façon d’écrire. Il attend une facture réelle, répond dans le fil de discussion existant, et annonce un changement de coordonnées bancaires. Le mail est crédible parce qu’il est authentique : il part vraiment du compte de votre interlocuteur ou du vôtre.
C’est ce qui explique la progression de 93 % des demandes d’assistance pour fraude au virement. Ce n’est pas une nouvelle technique, c’est le débouché naturel d’un compte compromis.
Cinq signes qu’un compte est déjà compromis
Ces vérifications prennent quelques minutes et ne demandent aucune compétence technique particulière.
- Une règle de transfert ou de déplacement que personne n’a créée. Dans Outlook ou dans la console Microsoft 365, la liste des règles d’une boîte mail devrait être courte et compréhensible. Une règle sans nom, ou nommée d’un caractère unique, est un signal fort.
- Des connexions depuis des lieux inhabituels. L’historique de connexion d’un compte professionnel est consultable. Une session ouverte depuis un pays où vous n’avez pas d’activité mérite une réaction immédiate.
- Des correspondants qui signalent un message étrange. Un client qui vous appelle parce qu’il a reçu une demande bizarre de votre part est souvent le premier détecteur. Ne classez pas l’appel comme une fausse alerte.
- Des messages absents de la boîte d’envoi. L’attaquant supprime ses propres envois. Si un destinataire vous cite un mail dont vous n’avez pas la trace, prenez-le au sérieux.
- Des demandes d’authentification multifacteur non sollicitées. Recevoir plusieurs notifications de validation sans avoir tenté de se connecter signifie que quelqu’un dispose déjà du mot de passe et essaie de vous faire valider sa connexion par lassitude.
Les 60 premières minutes
Si le doute est sérieux, l’ordre des gestes compte plus que la vitesse.
- Changer le mot de passe du compte concerné, et révoquer les sessions actives. Un changement de mot de passe seul ne déconnecte pas toujours l’intrus.
- Activer l’authentification multifacteur sur ce compte s’il ne l’était pas.
- Supprimer les règles de transfert et de déplacement non légitimes, et vérifier les délégations d’accès à la boîte.
- Prévenir les interlocuteurs sensibles par téléphone, pas par mail : comptabilité, banque, fournisseurs avec lesquels un virement est en cours.
- Vérifier les autres comptes utilisant le même mot de passe. C’est presque toujours là que se trouve la deuxième victime.
- Conserver les traces avant de nettoyer : journaux de connexion, copies des messages frauduleux. Ils serviront au dépôt de plainte et à l’analyse.
- Documenter et notifier si nécessaire. Si des données personnelles ont pu être consultées, une violation de données doit en principe être notifiée à la CNIL sous 72 heures. Le point mérite d’être tranché rapidement avec votre prestataire ou votre conseil.
Un virement frauduleux déjà parti n’est pas toujours perdu. Prévenir la banque dans les heures qui suivent laisse une chance de rappel des fonds. Passé quelques jours, elle est faible.
Sept mesures, du gratuit au structurant
L’écart entre une entreprise exposée et une entreprise correctement protégée ne se joue pas sur le budget. Il se joue sur quelques réglages et une habitude de vérification.
| Mesure | Effort | Ce que ça bloque |
|---|---|---|
| Authentification multifacteur sur tous les comptes professionnels | Faible, inclus dans Microsoft 365 | La quasi-totalité des piratages de compte par mot de passe volé |
| Audit et contrôle des règles de transfert automatique | Faible | La phase d’observation silencieuse |
| Gestionnaire de mots de passe pour toute l’équipe | Faible | La réutilisation du même mot de passe partout |
| Procédure écrite de validation des changements de RIB | Nul, c’est de l’organisation | La fraude au virement |
| SPF, DKIM et DMARC sur votre nom de domaine | Moyen, technique | L’usurpation de votre identité auprès de vos clients |
| Sauvegarde dédiée de la messagerie Microsoft 365 | Moyen | La perte définitive de mails supprimés par l’attaquant |
| Protection EDR et supervision du parc | Structurant | La suite de l’attaque, quand elle passe sur les postes |
Deux points méritent d’être développés, parce qu’ils sont systématiquement sous-estimés.
La procédure RIB ne coûte rien et évite l’essentiel. La règle tient en une phrase : tout changement de coordonnées bancaires est confirmé par téléphone, sur un numéro que vous possédiez déjà, jamais sur celui indiqué dans le mail. Ajoutez une double validation interne au-delà d’un certain montant. C’est la mesure la plus rentable de cette liste.
Microsoft 365 n’est pas une sauvegarde. Beaucoup de dirigeants pensent que leurs mails sont conservés indéfiniment par Microsoft. La corbeille a une durée de rétention limitée, et un attaquant qui vide une boîte peut rendre la reconstitution impossible. Une sauvegarde tierce de la messagerie est un complément, pas un doublon.
Et si c’était déjà arrivé sans que vous le sachiez ?
C’est la question inconfortable. Un compte compromis qui n’a pas encore servi ne produit aucun symptôme. Les vérifications décrites plus haut peuvent être faites en interne, et nous vous encourageons à les mener dès aujourd’hui sur les boîtes les plus exposées : direction, comptabilité, achats.
Si vous préférez un regard extérieur, GAÏA INFORMATIQUE propose un diagnostic cybersécurité de 30 minutes, sans engagement, adossé aux recommandations de l’ANSSI. Nous passons en revue vos accès, votre messagerie, vos sauvegardes et vos postes, et nous vous remettons un état des lieux lisible, sans jargon. Nous accompagnons depuis plus de vingt ans des TPE, PME, collectivités et associations à Bolbec, au Havre, à Lillebonne, à Fécamp, à Yvetot et plus largement en Seine-Maritime.
Pour aller plus loin, découvrez notre approche de la cybersécurité pour les TPE et PME et notre Offre 360.
Questions fréquentes
Une petite entreprise intéresse-t-elle vraiment les attaquants ?
La question n’est pas de savoir si vous êtes une cible désignée. La plupart de ces attaques sont automatisées et opportunistes : les identifiants volés sont testés en masse, et l’attaquant regarde ensuite ce qu’il a récolté. Une TPE de cinq personnes qui émet des virements fournisseurs est une cible parfaitement rentable.
L’authentification multifacteur est-elle vraiment nécessaire ?
C’est la mesure qui offre le meilleur rapport entre l’effort demandé et le risque évité. Un mot de passe volé devient inutilisable sans le second facteur. Elle n’est pas infaillible, notamment face aux techniques de validation par lassitude évoquées plus haut, mais elle élimine l’immense majorité des tentatives.
Mon antivirus ne suffit-il pas ?
Il reste nécessaire. Il ne traite simplement pas ce type d’attaque, puisque aucun logiciel malveillant n’est installé. Protection des postes et protection des identités sont deux sujets distincts et complémentaires.
Combien de temps un attaquant reste-t-il dans une boîte mail avant d’agir ?
Cela varie de quelques heures à plusieurs semaines. Les fraudes au virement les plus abouties supposent une période d’observation, le temps de comprendre qui paie qui, à quelle échéance et avec quelles formulations.
Faut-il déclarer un piratage de compte ?
Le dépôt de plainte est recommandé dans tous les cas. Si des données personnelles ont pu être consultées ou exfiltrées, la notification à la CNIL sous 72 heures s’impose en principe. En cas de doute, faites qualifier l’incident rapidement plutôt que d’attendre.
Par où commencer quand on n’a aucune compétence technique en interne ?
Par trois actions dans cet ordre : activer l’authentification multifacteur sur les comptes de direction et de comptabilité, écrire la procédure de validation des changements de RIB, vérifier les règles de transfert des boîtes mail. Les trois peuvent être menées cette semaine.
Sources
- Cybermalveillance.gouv.fr, rapport d’activité 2025 et analyse « Quelles sont les principales cybermalveillances visant les professionnels en 2025 ? », publiée le 6 mai 2026.
- ANSSI, Panorama de la cybermenace 2025, publié le 11 mars 2026.
