Fraude au président et usurpation d'identité : reconnaître un mail frauduleux dans Microsoft 365

Les attaques par email qui coûtent le plus cher aux PME et aux ETI ne transportent aucun virus. Elles transportent une demande plausible : « merci de mettre à jour le RIB sur cette facture », « lancez ce virement avant ce soir ». L'expéditeur ressemble à votre dirigeant ou à votre fournisseur habituel. En France, ce mode opératoire porte un nom : le FOVI, pour faux ordre de virement, plus connu sous l'appellation fraude au président.

Sans pièce jointe à analyser ni code malveillant à détecter, la défense repose entièrement sur la lecture des signaux d'identité. Voici ceux qui comptent.

Les trois variantes reconnues #

Cybermalveillance.gouv.fr et la gendarmerie décrivent trois scénarios récurrents :

• La fraude au président : l'attaquant se fait passer pour un dirigeant et impose un virement

urgent et confidentiel. La confidentialité sert à couper le salarié de ses collègues.

• La fraude au faux fournisseur : un prestataire connu annonce un changement de RIB, avec la

bonne charte et les bonnes références de facture.

• La fraude au faux salarié : un employé écrit au service paie pour changer son compte bancaire,

juste avant l'échéance du mois.

Trois habillages, un seul mécanisme : une identité empruntée, une demande financière, une raison de ne pas vérifier.

1. L'authentification : le domaine a-t-il vraiment envoyé ce message ? #

Tout expéditeur légitime publie des enregistrements qui permettent de vérifier l'origine du message :

• SPF : le serveur d'envoi est-il autorisé pour ce domaine ?
• DKIM : le message est-il signé cryptographiquement par le domaine ?
• DMARC : l'adresse « De : » visible correspond-elle au domaine authentifié ?

Un message qui échoue au contrôle DMARC en se présentant comme celui d'un partenaire est un signal fort. Le piège : ces résultats vivent dans des en-têtes que personne n'ouvre.

2. Nom d'affichage et domaines sosies #

Les attaquants savent que vous lisez le nom, pas l'adresse.

• Usurpation du nom d'affichage : le libellé indique « Jean Dupont, Directeur général », mais

l'adresse réelle est une boîte gratuite créée la veille.

• Domaines sosies : olyteck-secure.com au lieu de olyteck.com, un rn qui imite un m, un

caractère cyrillique identique à l'œil à une lettre latine.

• Adresse de réponse divergente : le message affiche l'adresse de votre collègue, mais la

réponse part vers une boîte contrôlée par l'attaquant. C'est la plus dangereuse : elle ne se voit qu'en répondant.

3. Le vocabulaire de la pression #

Le FOVI a un ton reconnaissable. Le schéma classique combine autorité, urgence et action financière : un nom qui impose, un délai court, une demande de paiement ou de RIB. S'y ajoutent une consigne de discrétion et un canal imposé.

Si un message associe « c'est la direction », « c'est pour aujourd'hui » et « il faut déplacer de l'argent ou des données », traitez-le comme coupable jusqu'à preuve du contraire, quelle que soit l'apparence de l'adresse.

4. Liens, QR codes et pages clonées #

Même sans pièce jointe, l'attaquant cherche souvent d'abord un mot de passe :

• Liens raccourcis ou redirigés qui masquent la destination réelle.
• QR codes insérés dans une image, technique appelée quishing, qui déporte le lien hors du texte

analysé par les filtres. Voir notre article sur le phishing par QR code dans Microsoft 365.

• Pages de connexion Microsoft 365 clonées, qui capturent mot de passe et code MFA en temps réel.

Une boîte compromise est rarement l'objectif final : elle sert à lire les fils de facturation, puis à envoyer la demande depuis une adresse authentique.

Rendre les signaux visibles aux non-experts #

Tout ce qui précède est détectable, mais réside dans des en-têtes que votre responsable financier n'ouvrira jamais. Les équipes qui résistent bien font deux choses :

1. Afficher le verdict dans la boîte de réception. Un bandeau en langage clair - « cet

expéditeur a échoué à l'authentification » - transforme un signal invisible en décision.

1. Rendre le signalement immédiat. En cas de doute, le chemin le plus sûr est un bouton qui

alerte la bonne personne, pas un transfert qui se perd.

Une base de travail réaliste #

• Appliquez SPF, DKIM et DMARC sur votre propre domaine, pour que vos partenaires puissent vous

faire confiance à leur tour.

• Formez les équipes au schéma autorité + urgence + argent, sur de vrais exemples internes.
• Affichez des bandeaux sur les mails externes et ceux qui imitent un contact connu.
• Imposez une règle écrite, sans exception hiérarchique : **tout changement de RIB se valide par

téléphone**, sur un numéro déjà connu.

• Anticipez la facturation électronique, qui va multiplier les échanges bancaires légitimes et donc

le bruit exploitable : voir notre article sur la fenêtre de fraude au faux RIB en 2026.

Comment Olyteck aborde le sujet #

Olyteck Guard ajoute des bandeaux d'avertissement en langage clair sur les messages entrants suspects de votre Microsoft 365, et score les tentatives de spoofing, d'usurpation et de FOVI. Nous stockons les signaux, jamais le contenu des messages. Aucune IA tierce n'intervient, et la plateforme est hébergée en UE, sous droit français.

Aucun outil n'arrête 100 % des messages, et tout éditeur honnête vous le dira. Mais rendre les signaux visibles transforme le « il avait l'air normal » en « le bandeau disait que l'authentification avait échoué » : c'est l'instant où une erreur coûteuse s'arrête.

FAQ #

Comment reconnaître un faux email du dirigeant ? #

Regardez l'adresse réelle de l'expéditeur et l'adresse de réponse, pas le nom affiché. Méfiez-vous de la combinaison autorité, urgence et confidentialité, surtout quand le message impose de ne traiter que par mail. Un dirigeant qui demande un virement exceptionnel accepte d'être rappelé sur son numéro habituel.

Que faire si le virement est déjà parti ? #

Contactez immédiatement votre banque pour demander un rappel des fonds : les premières heures sont déterminantes. Prévenez la direction et déposez plainte, en conservant les messages originaux avec leurs en-têtes. Vérifiez aussi si une boîte a été compromise, car la fraude suit souvent un accès non autorisé encore actif.

Le filtre anti-spam de Microsoft 365 suffit-il ? #

Il bloque le courrier indésirable de masse et les pièces jointes malveillantes connues, mais le FOVI ne ressemble pas à du spam. Un message court, bien écrit, sans lien ni pièce jointe, envoyé depuis une boîte compromise, ne présente aucun signal qu'un filtre classique recherche.