Pendant des années, les conseils pour reconnaître un courriel frauduleux étaient relativement simples : surveillez les fautes d’orthographe, les formulations étranges, les adresses suspectes et les demandes qui semblent sortir de l’ordinaire.
Ces réflexes demeurent utiles. Mais ils ne suffisent plus.
En septembre 2026, Microsoft Security Research a publié une analyse détaillée d’une vaste campagne de fraude financière qui illustre bien cette nouvelle réalité. Plus d’un million de courriels frauduleux ont été envoyés dans le cadre d’une opération où des cybercriminels se faisaient notamment passer pour des dirigeants d’entreprises. Leur objectif : convaincre des employés responsables des comptes fournisseurs d’effectuer des paiements de près de 50 000 $ US.
Le problème n’était pas simplement le volume de l’attaque. Les messages combinaient usurpation de dirigeants, fausses factures, faux échanges de courriels et personnalisation des informations afin de construire une histoire cohérente.
Microsoft a également observé plusieurs indicateurs compatibles avec l’utilisation de l’intelligence artificielle générative dans la création des modèles de courriels. L’entreprise demeure toutefois prudente : ces indices suggèrent une implication de l’IA, mais ne permettent pas à eux seuls de déterminer dans quelle mesure elle a généré le contenu de la campagne.
Bienvenue dans la nouvelle génération de la fraude au président.
La fraude au président n’est pas nouvelle. Ce qui change, c’est sa crédibilité
La fraude au président, souvent associée au Business Email Compromise (BEC), repose sur un principe étonnamment simple : exploiter la confiance et l’autorité.
Un employé reçoit une demande qui semble provenir du président, du directeur financier ou d’un autre gestionnaire. Il faut payer une facture rapidement, effectuer un virement ou modifier les coordonnées bancaires d’un fournisseur.
L’attaquant n’a pas nécessairement besoin de pirater le compte du dirigeant. Il peut utiliser une adresse ressemblante, modifier le nom affiché de l’expéditeur ou reproduire suffisamment bien les communications de l’entreprise pour créer l’illusion.
Ce qui devient préoccupant avec l’intelligence artificielle, c’est la facilité avec laquelle cette illusion peut être améliorée.
Un attaquant peut aujourd’hui produire rapidement des communications professionnelles cohérentes, adapter ses modèles et personnaliser ses messages pour différentes organisations.
Dans son analyse, Microsoft constate justement que l’adoption de l’IA permet aux acteurs malveillants d’améliorer leurs modèles de campagne et de construire des courriels davantage adaptés à leurs destinataires.
Autrement dit, « ce courriel semble mal écrit » devient une défense de moins en moins fiable.
Une fausse facture ne ressemble plus nécessairement à une fausse facture
La campagne observée par Microsoft donne une bonne idée du niveau de préparation auquel les entreprises doivent maintenant s’attendre.
Les fraudeurs ne se contentaient pas d’envoyer un message disant : « Payez cette facture ».
Ils construisaient un scénario.
Selon l’analyse de Microsoft, les fraudeurs combinaient plusieurs éléments : usurpation de membres de la direction, image de marque d’un fournisseur connu, facture fabriquée et faux échanges de courriels. Certains renseignements étaient même personnalisés en fonction de l’organisation ciblée.
Dans cette campagne, une facture détaillée imitant ServiceNow était notamment intégrée aux messages. Microsoft précise qu’il n’a trouvé aucune preuve indiquant que ServiceNow ou les autres organisations légitimes imitées avaient été compromises ou participaient à l’activité frauduleuse.
Leur identité était simplement utilisée pour rendre l’histoire crédible.
Les attaquants avaient également enregistré des domaines ressemblant à ceux d’organisations légitimes et construit de faux échanges entre dirigeants pour donner davantage de contexte à la demande de paiement.
Voilà une distinction importante pour les PME : un message peut sembler parfaitement authentique sans que le compte de votre président ou celui de votre fournisseur ait été piraté.
Le véritable problème : nous faisons encore confiance au contenu
Imaginez maintenant la situation dans une PME québécoise.
Il est 16 h 30. Une personne aux comptes payables reçoit une facture accompagnée d’un message du président. Le fournisseur est plausible, le montant n’a rien d’impossible et la facture semble professionnelle.
Le message indique que le paiement doit être traité rapidement.
Que fait l’employé?
Dans plusieurs organisations, la sécurité repose encore en grande partie sur son jugement.
C’est précisément là que le modèle doit évoluer.
La question ne devrait plus seulement être :
« Est-ce que ce courriel semble vrai? »
Elle devrait devenir :
« Notre processus permet-il d’effectuer cette transaction uniquement parce qu’un courriel semble vrai? »
Cette nuance change complètement la manière d’aborder la fraude au président.
La meilleure défense n’est pas de transformer vos employés en détectives
La sensibilisation à la cybersécurité demeure essentielle. Mais demander aux employés de distinguer systématiquement un vrai message d’un faux devient de plus en plus difficile lorsque les fraudeurs disposent d’outils capables d’améliorer la qualité et la personnalisation de leurs communications.
Il faut donc ajouter des mécanismes qui ne dépendent pas uniquement de la capacité humaine à détecter la fraude.
Par exemple, un changement de coordonnées bancaires d’un fournisseur devrait déclencher une validation par un canal indépendant.
Et « indépendant » est le mot important.
Il ne faut pas appeler le numéro indiqué dans le courriel suspect. L’employé devrait utiliser les coordonnées déjà présentes dans les dossiers de l’entreprise ou communiquer avec une personne connue chez le fournisseur.
Les transactions importantes peuvent également exiger une seconde approbation. Une demande inhabituelle provenant d’un dirigeant peut être confirmée par téléphone ou par un autre canal établi à l’avance.
Le but n’est pas de ralentir toutes les opérations.
Il s’agit de déterminer quelles actions présentent suffisamment de risques pour justifier quelques minutes supplémentaires de validation.
La protection du courriel peut aider, mais elle ne remplace pas le processus
Les procédures internes constituent une ligne de défense essentielle, mais elles ne devraient pas travailler seules. La protection du courriel doit elle aussi avoir évolué pour faire face à des attaques qui ne reposent plus nécessairement sur une pièce jointe infectée ou un lien manifestement malveillant.
Les solutions modernes de protection du courriel peuvent analyser davantage que le contenu brut d’un message. Selon les technologies utilisées, elles peuvent notamment détecter des tentatives d’usurpation d’identité, des domaines ressemblant à ceux d’entreprises légitimes, des anomalies dans les habitudes de communication ou encore des messages présentant les caractéristiques d’une fraude financière.
Cette analyse contextuelle devient particulièrement importante dans le cas de la fraude au président. Un courriel peut ne contenir aucun virus, aucune pièce jointe dangereuse et même aucun lien. Le message lui-même constitue l’attaque.
L’authentification des courriels demeure également importante. Des mécanismes comme SPF, DKIM et DMARC, lorsqu’ils sont correctement configurés, contribuent à empêcher certaines formes d’usurpation de domaine et permettent aux systèmes de messagerie de mieux déterminer si un message est autorisé à être envoyé au nom d’une organisation.
Mais même une excellente protection du courriel ne peut pas éliminer toutes les possibilités de fraude.
Un attaquant peut utiliser un domaine nouvellement enregistré ressemblant au vôtre, compromettre le compte d’un tiers ou simplement construire un scénario suffisamment crédible pour ne pas déclencher les mécanismes de détection.
C’est pourquoi la cybersécurité et les contrôles administratifs doivent se compléter.
La technologie doit tenter d’arrêter le faux courriel. Le processus doit empêcher la fraude de réussir si le courriel passe quand même.
Cette approche en couches permet également d’éviter de faire reposer toute la responsabilité sur l’employé qui reçoit le message.
Trois questions que chaque PME devrait poser cette semaine
Il n’est pas nécessaire de lancer un projet de cybersécurité de six mois pour commencer à réduire ce risque.
Réunissez plutôt les responsables des finances, de la direction et des TI et posez trois questions :
- Que faisons-nous lorsqu’un fournisseur demande de modifier ses coordonnées bancaires?
- À partir de quel montant une transaction exige-t-elle une deuxième approbation?
- Comment un employé peut-il confirmer une demande inhabituelle d’un dirigeant sans utiliser les coordonnées contenues dans le message reçu?
Si les réponses varient selon la personne interrogée, votre problème n’est peut-être pas technologique.
Vous avez probablement un problème de processus.
Et c’est exactement ce que recherchent les fraudeurs : une situation où l’urgence, l’autorité et une communication crédible suffisent à contourner les contrôles habituels.
Avec l’IA, il faut déplacer la ligne de défense
L’intelligence artificielle n’a pas inventé la fraude au président.
Elle peut toutefois aider les fraudeurs à améliorer leurs modèles et à produire des campagnes plus adaptées aux personnes qu’ils ciblent.
La réponse ne consiste donc pas à demander aux employés de devenir encore meilleurs pour deviner si un courriel est authentique.
Elle consiste à construire des processus dans lesquels une fraude peut sembler parfaitement crédible et tout de même échouer.
C’est probablement le changement de perspective le plus important.
Si vous avez reconnu certaines faiblesses dans vos procédures ou dans la protection de vos courriels, les spécialistes de Mon Technicien peuvent vous aider à y voir plus clair. Notre équipe accompagne les PME du Québec afin de renforcer leur cybersécurité, la protection de leurs communications et leurs pratiques internes pour réduire les risques avant qu’un simple courriel ne devienne une coûteuse erreur.
