29.04.2025 - L’Office fédéral de la cybersécurité (OFCS) observe une vague de tentatives de fraude au PDG qui perdure. La semaine dernière, de nombreux cas ont été signalés à l’OFCS dans lesquels des cybercriminels se font passer pour des dirigeants de communes afin d’inciter des employé/e/s à acheter des cartes cadeaux ou à effectuer des virements. La rétrospective hebdomadaire examine le modus operandi des cybercriminels, explique pourquoi les communes sont particulièrement exposées et donne des conseils pour que les communes (et toutes les autres victimes potentielles) puissent se protéger.
En raison de leur structure publique et de la disponibilité des informations sur les sites municipaux, les communes constituent une cible attractive pour les tentatives de fraude au PDG. Ces dernières semaines, de nombreux cas de ce type ont été signalés à l’OFCS. Les méthodes utilisées par les escrocs sont décrites ci-après, en particulier les deux procédures consistant soit à exiger des cartes cadeaux, soit à insister pour obtenir un paiement direct.
Focus sur la fraude au PDG : cartes cadeaux et paiements directs
Dans le cadre d’une fraude au PDG, les cybercriminels se font généralement passer par courriel pour un dirigeant, par exemple un chef, un responsable de division ou même un président de commune ou un maire. L’objectif est de manipuler les membres du personnel et de les mettre sous pression pour qu’ils déclenchent des transactions financières en faveur des escrocs ou leur procurent des cartes cadeaux.
Une pratique observée actuellement par l’OFCS et apparemment répandue consiste à les inciter à acheter des cartes cadeaux en ligne (p. ex. auprès d’Apple, de Google Play ou de Steam). Les escrocs contactent les employé/e/s par courriel, par exemple en prétendant que leur supérieur est en réunion et a besoin de toute urgence de bons pour un cadeau ou une occasion professionnelle. Les victimes sont invitées à acheter les cartes cadeaux, dont la valeur s’élève souvent à plusieurs centaines de francs, et à transmettre immédiatement les codes de ces bons par courriel. Une fois les codes transmis, les escrocs les utilisent et l’argent est perdu.
Une autre méthode consiste à effectuer un virement bancaire direct sur un compte bancaire. Ici aussi, les employés sont invités par courriel, par exemple par le président de la commune, à effectuer un virement urgent, généralement vers des comptes étrangers. Souvent, les montants sont inférieurs au seuil d’autorisation interne qui aurait nécessité des contrôles supplémentaires.
Mode opératoire des pirates
La plupart des attaques se déroulent selon le schéma suivant :
1. Collecte d’informations préalables : les cybercriminels recueillent par exemple sur le site web ou sur les réseaux sociaux des informations accessibles au public sur la commune, sa structure et les personnes clés.
2. Prise de contact avec la victime : les victimes sont généralement contactées par courriel à partir d’une adresse falsifiée ou similaire à une adresse réelle, parfois à partir d’adresses de messagerie gratuite (p. ex. prénom.nom.commune@outlook.com).
3. Manipulation (ingénierie sociale) : les escrocs usurpent l’autorité, créent une pression temporelle (« urgent », « immédiat ») et insistent sur la confidentialité afin d’empêcher toute demande de précisions et tout contrôle interne.
4. Instruction : les escrocs donnent des instructions claires pour l’achat des cartes cadeaux, la transmission des codes ou le paiement à effectuer.
Recommandations
Si vous avez effectué un paiement, veuillez contacter immédiatement la banque par laquelle vous l’avez effectué. Le cas échéant, celle-ci a encore la possibilité de le bloquer. Nous vous recommandons également de contacter la police cantonale compétente pour votre lieu de domicile et de déposer plainte.
Mesures organisationnelles :
- Vérification : pour toute demande de paiement inhabituelle ou de carte cadeau par courriel, il est impératif de demander une confirmation au donneur d’ordre présumé via un canal distinct et connu (p. ex. appel téléphonique à un numéro interne connu, entretien personnel). Ne répondez jamais au courriel et n’utilisez pas les coordonnées qui y figurent.
- Processus : mettez en place des processus de validation des paiements clairement définis, incluant le principe du double contrôle, en particulier pour les transactions exceptionnelles. Veillez au strict respect de ces processus. Définissez clairement les règles en matière de compétences et les limites.
- Sensibilisation : formez régulièrement l’ensemble de votre personnel, en particulier les personnes qui travaillent dans le domaine financier et occupent des postes de cadre. Sensibilisez ces personnes aux dangers de la fraude au PDG, de l’hameçonnage et de l’ingénierie sociale.
- Gestion de l’information : faites preuve de réserve lors de la publication d’organigrammes internes détaillés et des coordonnées directes des employé/e/s du domaine financier.
Mesures techniques :
- Sécurité du courrier électronique : utilisez des filtres antispam et anti-hameçonnage robustes. L’OFCS recommande aux administrateurs de messagerie électronique de configurer des mécanismes de vérification de l’expéditeur (SPF, DKIM, DMARC). Paramétrez l’environnement de messagerie de manière à ce que les employé/e/s reçoivent des avertissements lorsque des courriels proviennent de l’extérieur.
- Authentification : utilisez si possible des mots de passe forts et l’authentification à deux facteurs (2FA).
Statistiques et chiffres actuels
Les annonces de la dernière semaine selon les catégories sont publiées sous:
Dernière modification 29.04.2025
