La fraude au PDG en 2026 : mode opératoire, exemples et mesures de prévention

Points clés à retenir

• La fraude au PDG est une forme d’attaque par compromission d’e-mail professionnel (BEC pour Business Email Compromise). Les attaquants se font passer pour des chefs d’entreprise pour inciter des salariés à transférer de l’argent, à modifier des coordonnées bancaires ou à partager des données sensibles.
• L’IA a fait disparaître les signaux d’alerte habituels. Les fautes de grammaire, les voix robots et les vidéos de mauvaise qualité ont laissé place à des textes impeccables, des voix clonées et des deepfakes vidéo convaincants.
• La meilleure défense est d’avoir un processus de vérification qui ne repose pas sur la détection du faux. Vérifiez chaque demande de paiement ou de changement de coordonnées bancaires via un second canal sûr.
• La sécurité des e-mails ajoute une protection supplémentaire qui intercepte ce que les procédures et les formations peuvent laisser passer. Elle permet de signaler les demandes suspectes avant même qu’un collaborateur n’y donne suite.

Qu’est-ce que la fraude au PDG ?

La fraude au PDG consiste, pour des attaquants, à usurper l’identité d’un PDG ou d’un cadre dirigeant afin de persuader un salarié d’envoyer de l’argent, de modifier des coordonnées bancaires ou de partager des données sensibles.

Voici un scénario typique : un salarié du service compta reçoit une demande urgente de paiement de la part du PDG, suivie d’un appel de confirmation. Pas de lien, pas de logiciel malveillant, juste une demande convaincante. Voilà comment cette arnaque passe entre les mailles du filet et trompe des personnes pourtant compétentes.

L’ampleur du phénomène est considérable. Le rapport 2025 du FBI sur la cybercriminalité fait état de 24 768 plaintes pour compromission d’e-mails et d’environ 3,05 milliards de dollars de pertes. Parmi lesquelles plus de 30 millions de dollars sont liés à des attaques impliquant l’IA.

Fraude au PDG, whaling et BEC

Vous avez sans doute déjà entendu parler de fraude au PDG, de compromission d’e-mail professionnel (BEC) et de whaling. Quelle est la différence ?

1. Compromission d’e-mail professionnel (BEC) : ce terme générique désigne l’usurpation d’identité de dirigeants, de fournisseurs et d’avocats, et cible tout collaborateur ayant la main sur les paiements. Objectif : voler de l’argent, détourner des paiements ou divulguer des données sensibles de l’entreprise.
2. Fraude au PDG : usurpation de l’identité d’un dirigeant. Cible la compta, les RH et les assistants de direction. Objectif : un virement bancaire, l’achat de cartes cadeaux ou l’accès à des données salariales.
3. Whaling : une forme de spear phishing (phishing ciblé) dans laquelle l'attaquant peut se faire passer pour n'importe qui, mais où la cible est un cadre supérieur. Objectif : obtenir des identifiants ou provoquer des virements importants.
4. Compromission d’e-mail fournisseur (VEC pour Vendor Email Compromise) : usurpation de l’identité d’un fournisseur connu pour cibler la compta fournisseurs. Objectif : modifier les coordonnées bancaires figurant sur une vraie facture.

Comment fonctionne une attaque de fraude au PDG

La plupart des attaques se déroulent selon les cinq étapes suivantes, quel que soit le canal utilisé.

1. Repérage : les attaquants reconstituent l’organigramme pour identifier qui valide les paiements dans l’entreprise. Ils collectent ensuite des informations sur ceux qui gèrent les déplacements des dirigeants et repèrent les fournisseurs grâce à LinkedIn, aux communiqués de presse et aux fuites de données. Plus vous exposez de données en ligne, plus ils ont de matière pour créer un piège efficace. D’où l’intérêt de réduire votre empreinte numérique.
2. Mise en place : les attaquants enregistrent un nom de domaine très ressemblant, usurpent un nom d’affichage ou prennent le contrôle de la boîte mail d’un dirigeant ou d’un fournisseur.
3. La demande : ils envoient une demande urgente et confidentielle, souvent au moment où le dirigeant est en déplacement ou en période de clôture des paies.
4. Pression : si la victime hésite, l’attaquant relance par téléphone avec une voix clonée, par WhatsApp ou par appel vidéo pour lui mettre davantage la pression.
5. Encaissement : une fois le paiement effectué, les fonds transitent rapidement par des comptes de passeurs, souvent à l’étranger, ce qui complique leur récupération.

Cinq évolutions de la fraude au PDG en 2026

À l’instar des pièges de phishing classiques, les tentatives de fraude au PDG, autrefois repérables avec des fautes d’orthographe, des formulations maladroites ou des éléments de contexte approximatifs, ne présentent plus ces signaux d'alerte. En voici les raisons :

1. L’IA rédige des e-mails parfaits

Fini les fautes d'orthographe et les tournures maladroites. L’IA imite le ton d’un dirigeant à partir de ses interviews, de ses publications et d’e-mails ayant fuité. Les attaquants peuvent ainsi envoyer des milliers de variantes personnalisées, pour passer à travers les filtres. C’est du spear phishing à l’échelle industrielle.

2. Les deepfakes audio et vidéo confortent la prise de décision

La fraude au PDG par deepfake commence généralement par un e-mail ou un message sur une messagerie instantanée. Un appel vocal, généré par IA (vishing) reproduisant sa voix, ou un appel vidéo truqué, dissipe les doutes de la victime en s’appuyant sur des détails concrets pour créer un sentiment de légitimité.

3. Les attaques passent d’un canal à l’autre

Les demandes commencent souvent par e-mail ou sur WhatsApp, puis basculent sur SMS, sur Teams ou sur Zoom, où les contrôles et les mesures de protection sont moindres. Le smishing (phishing par SMS) et les applications de messagerie instantanée servent souvent de passerelle pour attirer la victime vers un environnement moins sécurisé.

4. Ce sont de vrais comptes, plus des noms de domaines ressemblants

De plus en plus d’attaques proviennent de boîtes mail piratées de dirigeants ou de fournisseurs. Par conséquent, les contrôles SPF, DKIM et DMARC sont validés. Les attaquants ajoutent souvent des règles cachées dans la boîte de réception pour lire les réponses et empêcher le véritable propriétaire de voir les alertes. Les solutions de protection des e-mails basées sur l'IA, telles que Slash, peuvent aider à détecter ces attaques de plus en plus sophistiquées.

5. Faux avocats et transactions bidon

Dans des affaires récentes, on voit apparaître un deuxième intervenant, souvent un avocat ou un consultant externe, ainsi qu’un accord de confidentialité pour donner vraiment confiance. Grâce au clonage vocal, il est très peu coûteux d’intégrer ce deuxième intervenant.

4 exemples récents de fraude au PDG et un cas classique

Ces exemples de fraude au PDG, survenus entre 2015 et 2025, illustrent la complexité des cas les plus récents et la rapidité avec laquelle ce type d’arnaque a évolué.

Exemple n° 1 : Entreprise multinationale (Singapour)

Date : mars 2025

Ce qui s’est passé : un responsable financier d’une multinationale (que l’on ne citera pas ici) a reçu un message sur WhatsApp de la part d’une personne se faisant passer pour le DAF. Après avoir discuté avec un faux avocat et participé à une réunion Zoom avec des deepfakes de dirigeants, dont le PDG, la victime a transféré près de 500 000 dollars. Heureusement, les polices de Singapour et de Hong Kong ont retrouvé et bloqué les fonds en quelques jours.

Résultat : près de 500 000 dollars ont été intégralement récupérés

Exemple n° 2 : Ferrari (Italie)

Date : juillet 2024

Ce qui s’est passé : un cadre de Ferrari a reçu un message WhatsApp d’une personne se faisant passer pour le PDG Benedetto Vigna, d’un numéro inconnu, au sujet d’une transaction confidentielle et très sensible. Lorsque le faux Vigna l’a ensuite appelé pour en discuter, le cadre a remarqué une intonation bizarre. Il a alors posé une question que seul le vrai Vigna aurait pu connaître : quel livre venait-il de lui conseiller ? Incapable de répondre, l’escroc a raccroché.

Résultat : tentative échouée

Exemple n° 3 : WPP (Royaume-Uni)

Date : mai 2024

Ce qui s’est passé : le Guardian a rapporté que l’identité de Mark Read, PDG de WPP, avait été usurpée lors d’une tentative sophistiquée de deepfake sur un appel sur Teams. Les criminels se sont fait passer pour Mark Read à l’aide d’un faux compte WhatsApp, d’un clone vocal et d’une vidéo YouTube. Ils ont tenté de convaincre un dirigeant de l’agence de créer une nouvelle activité et de leur transmettre de l’argent et des données personnelles.

Résultat : tentative échouée

Exemple n° 4 : Arup (Hong Kong)

Date : janvier 2024

Ce qui s’est passé : un employé du service compta d’Arup a participé à une visio au cours de laquelle il pensait échanger avec son directeur financier et d’autres collègues au sujet d’une transaction sensible. En réalité, tous les participants étaient des deepfakes vidéo sophistiqués.

Résultat : environ 25 millions de dollars perdus

Exemple n° 5 : Ubiquiti Networks (États-Unis)

Date : juin 2015

Ce qui s’est passé : des escrocs se sont fait passer pour des employés d’Ubiquiti Networks et ont envoyé de fausses demandes de paiement au service compta. La filiale de l'entreprise à Hong Kong a ainsi viré 46,7 millions de dollars vers des comptes à l’étranger détenus par des tiers. Ubiquiti a récupéré environ 15 millions de dollars et cherchait encore à récupérer les 31,7 millions restants.

Résultat : 46,7 millions de dollars perdus, environ 15 millions récupérés

Dans ces cinq exemples de fraudes au PDG, la créativité et l’ingéniosité des escrocs semblent sans limites. Et même si la chance nous sourit parfois, comme avec ce cadre de Ferrari qui a eu l’esprit vif, on ne peut pas compter sur elle pour assurer notre sécurité.

Qui est concerné par les attaques de fraude au PDG ?

Les cybercriminels ciblent les personnes au sein des organisations qui sont en mesure d’agir rapidement, qui ont la main sur les fonds et n'ont pas l'habitude de remettre en question les demandes émanant de leur hiérarchie.

1. Finance et compta fournisseurs

• Pourquoi ? Ils peuvent facilement transférer des fonds.
• Demande type : un virement bancaire urgent ou la modification des coordonnées bancaires d’un fournisseur.

2. RH et paie

• Pourquoi ? Ils détiennent les données personnelles et salariales.
• Demande type : des documents fiscaux de salariés ou changement de RIB pour le versement des salaires.

3. Assistants de direction

• Pourquoi ? Ils agissent au nom des cadres supérieurs et connaissent leur emploi du temps.
• Demande type : des cartes cadeaux, l’accès à un agenda ou le transfert d’e-mails.

4. IT

• Pourquoi ? Ils contrôlent les accès.
• Demande type : réinitialisations de mot de passe, création de nouveaux comptes ou modification de MFA.

5. Nouveaux arrivants

• Pourquoi ? Ils ne connaissent pas encore les procédures habituelles.
• Demande type : n’importe quel « petit service » demandé au nom d’un supérieur hiérarchique.

Checklist 2026 des signaux d’alerte de fraude au PDG

La fraude au PDG évolue sans cesse, tout comme les signaux qui pourraient vous prévenir d’une attaque. Voici les points clés à surveiller en 2026 :

1. Urgence et discrétion : « Gardons ça entre nous jusqu’à l’annonce officielle. »
2. Une demande de passer sur WhatsApp, sur un numéro personnel ou sur un nouveau lien de visio.
3. Le dirigeant est « en déplacement » ou « en réunion » et impossible à joindre par les moyens habituels.
4. De nouvelles coordonnées bancaires ou un paiement hors du cadre habituel.
5. Un avocat ou un consultant externe avec qui vous n’avez jamais travaillé, ou un accord de confidentialité sorti de nulle part.
6. Au téléphone : réticence à répondre à des questions personnelles ou pauses inhabituelles.
7. Une adresse de réponse différente de celle de l’expéditeur, ou un nom de domaine comportant une lettre différente.

Comment prévenir la fraude au PDG : process, humain et technologie

Puisque les fraudes sont devenues presque impossibles à détecter, lutter contre les attaques de fraude au PDG repose sur des procédures strictes, des collaborateurs formés et des technologies avancées.

Process : protocole de confirmation des paiements

• Vérifiez chaque demande de paiement, de changement de coordonnées bancaires ou de demande de données via un second canal connu, jamais celui par lequel la demande est arrivée.
• Rappelez à un numéro déjà enregistré, pas à celui indiqué dans le message.
• Mettez-vous d’accord sur une question de sécurité ou un mot de passe avec vos cadres supérieurs.
• Exigez une double validation au-delà d'un montant défini, ainsi qu'un délai d'attente pour la création ou la modification des coordonnées bancaires d'un fournisseur.
• Rédigez un document d'une page regroupant les directives que le service compta pourra suivre.

Personnel : formation et culture d’entreprise

• Demandez à vos cadres supérieurs de mener une campagne de sensibilisation à la fraude au PDG, en rappelant aux équipes qu’il est essentiel de vérifier les détails, même si cela ralentit l’activité.
• Formez les équipes les plus exposées (mentionnées ci-dessus) aux nouvelles techniques d'attaque en 2026 : e-mails irréprochables, voix clonées, appels deepfake et usurpations d’identité sur plusieurs canaux.
• Faites en sorte que le signalement soit rapide et sans reproche, et remerciez les collaborateurs ayant donné de fausses alertes.
• Réalisez des simulations réalistes d’usurpation d’identité de cadres dirigeants et de fournisseurs, suivies immédiatement d’une courte leçon. Notre guide sur la formation au phishing des collaborateurs vous explique comment faire.

Technologie : les bases

• Appliquez les protocoles SPF, DKIM et DMARC pour empêcher l’usurpation de votre propre nom de domaine.
• Utilisez une MFA efficace contre le phishing (clés de sécurité ou passkeys) pour compliquer le piratage de compte.
• Configurez des alertes en cas de modification des règles de transfert d’e-mails sur les boîtes mail et de connexions inhabituelles.
• Limitez la visibilité publique des agendas des dirigeants et des informations sur l’équipe compta. Commencez par votre empreinte numérique.

Un autre moyen de défense essentiel ? Organisez des simulations de phishing qui donnent de vrais résultats. Consultez notre checklist gratuite pour découvrir comment faire.

Le rôle de la sécurité des e-mails face à la fraude au PDG

Les solutions de sécurité des e-mails jouent un rôle plus important que jamais dans la lutte contre la fraude au PDG, mais tous les outils ne se valent pas.

Ce que les filtres traditionnels ne détectent pas

• Les passerelles de messagerie et les protocoles SPF, DKIM et DMARC bloquent les expéditeurs connus pour être malveillants et les domaines usurpés.
• La fraude au PDG ne contient souvent ni lien, ni pièce jointe, ni logiciel malveillant, et peut provenir d’un vrai compte : elle passe donc entre les mailles du filet.

Les besoins en 2026

• Analyse du contenu et de la forme des e-mails : caractère urgent, demandes de paiement, instructions inhabituelles.
• Des avertissements affichés dans l’e-mail dès le début de la lecture.
• Des alertes ciblées, pour que les bannières ne soient pas ignorées.
• Un moyen rapide de vérifier auprès de la personne concernée s'il s'agit d'une usurpation d'identité.
• La suppression en un clic d’une menace confirmée de toutes les boîtes mail.
• La compatibilité avec vos filtres Microsoft 365 ou Google Workspace existants.

La solution Slash pour vous protéger

Slash apporte une couche supplémentaire d’analyse sémantique et de signaux techniques. Albert, l’assistant IA de Riot, alerte les collaborateurs en cas d’e-mails suspects avant même qu’ils aient pu agir. En cas de suspicion d’usurpation d’identité, Albert demande confirmation au collaborateur via Slack, Teams ou Google Chat, et les menaces confirmées sont supprimées à l’échelle de toute l’entreprise en une seule fois. Découvrez-en plus sur le fonctionnement de Slash.

Que faire si vous êtes victime de fraude au PDG ?

La rapidité de votre réaction déterminera si vous pourrez récupérer votre argent ou non. Si vous pensez avoir été victime d’une telle escroquerie, suivez les étapes suivantes dans cet ordre :

1. Appelez immédiatement votre banque et demandez-lui d’annuler ou de bloquer le virement.
2. Signalez l’incident à la police et au service national de lutte contre la fraude. Aux États-Unis, il s’agit de l’Internet Crime Complaint Center du FBI, dont l’équipe Recovery Asset Team travaille avec les banques pour geler les fonds. Au Royaume-Uni, vous pouvez contacter Report Fraud, et en France, cybermalveillance.gouv.fr.
3. Conservez les preuves : e-mails avec en-têtes complets, journaux d’appels, messages instantanés et relevés bancaires.
4. Vérifiez si une boîte mail a été compromise : règles de boîte de réception, sessions actives et connexions récentes. Réinitialisez les identifiants et la MFA.
5. Supprimez l’e-mail de toutes les boîtes de réception, et prévenez les collaborateurs et les fournisseurs concernés.

La fraude au PDG évolue, votre défense aussi

L’IA et les outils de deepfake bon marché ont donné un second souffle à la fraude au PDG. Les processus empêchent les faux messages d'avoir un impact, la formation incite les collaborateurs à faire preuve de prudence et la sécurité des e-mails intercepte ce qui parvient encore à passer.

Échangez avec l’un de nos experts pour découvrir en quoi Slash peut vous aider à tout centraliser pour protéger vos équipes.

FAQ

1. La fraude au PDG est-elle la même chose que la compromission d’e-mail professionnel ? La fraude au PDG est l’une des formes de BEC (Business Email Compromise), qui englobe également l’usurpation d’identité de fournisseurs, d’avocats et d’autres interlocuteurs de confiance.
2. Quelle est la différence entre la fraude au PDG et le whaling ? La fraude au PDG usurpe l’identité d’un dirigeant pour cibler d’autres salariés. Le whaling cible le dirigeant personnellement.
3. Combien coûte la fraude au PDG aux entreprises ? Les pertes liées au BEC déclarées au FBI s’élevaient à 3,05 milliards de dollars en 2025. La fraude au PDG n’étant qu’un type de BEC, le chiffre réel est probablement plus élevé.
4. Les deepfakes peuvent-ils vraiment se faire passer pour un PDG lors d’une visio ? Oui. Dans l’affaire de Singapour en 2025, un responsable financier a participé à une réunion Zoom avec des dirigeants recréés par deepfake, dont le PDG. Dans l’affaire Arup, tous les autres participants étaient des deepfakes.
5. Qui est le plus exposé à la fraude au PDG ? Les équipes finance et compta fournisseur, les RH et la paie, les assistants de direction, l’IT et les nouveaux arrivants.
6. Les petites entreprises sont-elles visées ? Malheureusement, oui. Les outils d’IA permettent aux escrocs de cibler les TPE et PME plus rapidement et à moindre coût.
7. Peut-on récupérer l’argent perdu à la suite d’une fraude au PDG ? Parfois, en agissant assez vite. À Singapour, la police a bloqué les fonds en quelques jours. Appelez immédiatement votre banque.
8. Le protocole DMARC empêche-t-il la fraude au PDG ? Pas à lui seul. Il empêche l’usurpation de votre propre domaine, mais pas les domaines ressemblants, les boîtes mail réellement piratées, ni les appels vocaux et vidéo.