Fraude aux virements bancaires, escroqueries aux factures et rappel bancaire FFKC¶

Découvrir que votre entreprise, un acheteur de biens immobiliers, une organisation à but non lucratif ou une famille vient de transférer des dizaines ou des centaines de milliers de dollars sur le compte bancaire d'un fraudeur via un Business Email Compromise (BEC), une fausse facture d'un fournisseur ou un détournement de fil pour les frais de clôture d'un bien immobilier est une urgence financière extrême, minute par minute. Contrairement à la fraude par carte de crédit, où les consommateurs sont protégés par des règles de responsabilité zéro et des délais de rétrofacturation de 60 jours, un virement bancaire (Fedwire, SWIFT, CHAPS, ou SEPA) ou commerciale ACH push est conçu pour être réglé en espèces irrévocable. Cependant, un virement bancaire frauduleux n'est PAS instantanément désespéré si vous agissez dans les premières 24 à 48 heures. Les syndicats criminels ne peuvent pas facilement entrer dans une succursale nationale et retirer 250 000 $ en papier-monnaie physique ; les fonds volés doivent d'abord se trouver dans un compte national « money mule » ou passer par des banques de compensation correspondantes avant d'être transférés à l'étranger vers Hong Kong, la Chine, les Émirats arabes unis, la Turquie, ou convertis dans un échange de crypto-monnaie. Si vous déclenchez un Rappel interbancaire formel d'innocuité/lettre d'indemnisation (SWIFT MT192 / pacs.004) et engagez la Financial Fraud Kill Chain des forces de l'ordre nationales (FFKC) Avant que la banque réceptrice n'efface les fonds, les banques et les agents fédéraux gèlent et récupèrent des centaines de millions de dollars de virements volés chaque année.

Si la fraude électronique implique un enlèvement physique actif, une demande d'otage ou une menace immédiate de violence, appelez votre numéro d'urgence local (911 aux États-Unis et au Canada, 112 dans toute l'Union européenne, 999 au Royaume-Uni) ou consultez notre annuaire des agences internationales numéros d'urgence immédiatement. Pour toutes les escroqueries aux factures d'entreprise, les détournements de titres immobiliers et les fraudes électroniques personnelles, abandonnez tout et exécutez la séquence de rappel d'urgence en 6 étapes ci-dessous dans les 15 prochaines minutes.

Fais ça maintenant¶

1. Appelez le bureau des opérations de fraude électronique/de trésorerie de votre banque d'origine dans les 5 minutes et exigez un « rappel pour fraude avec une retenue inoffensive / une lettre d'indemnisation » : n'attendez pas en ligne au guichet d'une succursale de vente au détail et n'envoyez pas de message Web sécurisé. Appelez le numéro de téléphone indiqué sur le reçu de votre service de virement ou sur la ligne d'assistance téléphonique de la trésorerie de votre entreprise et utilisez ces mots exacts : "Nous sommes victimes d'une fraude électronique active liée à une compromission de courrier électronique professionnel sur un virement envoyé le [Date/Heure] pour [montant $]. J'ai besoin que vous transmettiez immédiatement une demande d'urgence de rappel de fraude (Fedwire Recall / SWIFT MT192 / camt.056) à la banque réceptrice ET émettre une garantie de responsabilité/lettre d'indemnisation interbancaire en notre nom afin que le service des fraudes de la banque réceptrice gèle immédiatement le compte du bénéficiaire."
2. **Recherchez simultanément la banque réceptrice frauduleuse par son code Routage / ABA / SWIFT BIC et appelez directement le service fraude de la banque réceptrice ** : N'attendez pas 6 heures que le back-office de votre banque envoie un message à la banque de l'escroc. Examinez les instructions de virement frauduleux que l'escroc vous a envoyées, recherchez le Nom de la banque réceptrice et le Numéro de routage ABA/IBAN/SWIFT BIC, appelez directement la sécurité d'entreprise ou la hotline anti-fraude électronique de cette banque et donnez-leur le Numéro IMAD/OMAD (pour US Fedwire), UETR (pour SWIFT), le montant exact en dollars et le Numéro de compte du bénéficiaire. Bien qu'une banque réceptrice ne vous renvoie pas l'argent par téléphone, une alerte directe d'une victime combinée au IMAD/OMAD Le numéro de trace incite fréquemment les analystes de fraude internes de la banque réceptrice à placer immédiatement un gel administratif pour fraude sur le compte de l'escroc en attendant la lettre d'indemnisation officielle de votre banque.
3. ** Déposez une plainte d'urgence auprès du FBI IC3 (ic3.gov) aux États-Unis pour activer la FBI Recovery Asset Team (RAT) et la Financial Fraud Kill Chain (FFKC)** : Si le virement provient d'un compte bancaire aux États-Unis ou a transité par celui-ci au cours des dernières 72 heures (surtout s'il s'agit d'un montant de plus de 50 000 $ ou de tout montant de clôture immobilier), accédez à ic3.gov dès maintenant et déposez une plainte en ligne. Entrez clairement ** "BEC / Wire Transfer Fraud - Sent Within Last 72 Hours" ** en haut de la description avec la banque d'origine exacte, la banque réceptrice, les numéros de routage ABA, les numéros de compte et IMAD/OMAD numéros de trace. La Recovery Asset Team (RAT) du FBI exploite un canal de communication direct en temps réel avec les banques nationales et le FinCEN pour placer des retenues administratives fédérales sur les comptes nationaux de mulets monétaires (atteignant un taux de réussite de gel historique supérieur à 70 % lorsqu'il est signalé avant le transfert de données à l'étranger).
4. Au Royaume-Uni, dans l'Union européenne, au Canada ou en Australie, déclenchez immédiatement votre ligne nationale de gel de la fraude interbancaire :
   • Royaume-Uni : appelez la ligne anti-fraude de votre banque en utilisant la hotline 159 Stop Scams (il suffit de composer 159), signalez-le immédiatement à Action Fraud (0300 123 2040: sélectionnez l'option de fraude active en direct si l'argent est actuellement en transit) et invoquez les règles obligatoires de remboursement de la fraude APP du régulateur des systèmes de paiement (PSR) (en vigueur en octobre 2024 pour les paiements plus rapides et CHAPS).
   • Union européenne : Exigez un rappel immédiat des virements SEPA (camt.056 / pacs.004) pour FRAD (Origine Fraudulente) via votre banque et déposez immédiatement un rapport de police auprès des Cellules Nationales de Renseignement Financier (FIU) peut émettre un gel transfrontalier d'urgence en vertu des directives anti-blanchiment de l'UE.
   • Canada et Australie : signalez-vous immédiatement au bureau de rappel des virements télégraphiques de votre banque, au Centre antifraude du Canada (CAFC) / unité des crimes financiers de la police locale, ou au Australian National Anti-Scam Center / AFCX Fraud Reporting Exchange (cyber.gov.au).
5. N'envoyez PAS d'e-mail à l'escroc, ne demandez PAS « Avez-vous reçu le virement ? » et n'alertez PAS le fil de discussion compromis : dès que l'escroc se rend compte que vous avez découvert la fraude, il se connectera immédiatement au compte bancaire de réception de l'argent et balayera tout solde restant via des rails cryptographiques instantanés ou des virements internationaux. Gardez l'escroc complètement dans l'ignorance pendant que votre banque et le FBI gèlent le compte de destination.
6. ** Conservez les en-têtes d'e-mails compromis (EML / MSG fichiers) et isoler la boîte aux lettres piratée** : Ne supprimez pas les e-mails de factures frauduleuses. Demandez à votre équipe informatique d'exporter les en-têtes bruts des messages (Authentication-Results, Received: from, Reply-To) et vérifiez à la fois votre propre système de messagerie et celui de votre fournisseur pour connaître les règles de transfert de boîte de réception masquées (voir notre guide sur compte de messagerie piraté : règles de transfert cachées et récupération).

Arbre de décision : exécuter un rappel de virement bancaire en urgence par Payment Rail¶

Utilisez cet organigramme opérationnel rapide pour exécuter le protocole de rappel exact pour votre réseau de paiement spécifique (Fedwire, ACH, SWIFT, ou CHAPS/Faster Payments) :

flowchart TD
    A["Découverte d’un virement électronique ou d’un virement électronique frauduleux"] --> B["Identifiez le rail de paiement exact et obtenez le numéro de trace immédiatement"]
    B --> C{"Quel rail de paiement a été utilisé ?"}
    C -->|"Fil domestique américain (Fedwire)"| D["Obtenir un numéro de trace IMAD/OMAD à 22 caractères auprès de la banque d'origine"]
    C -->|"Fil international (SWIFT)"| E["Obtenez une copie SWIFT UETR et MT103 à 36 caractères de la banque d'origine"]
    C -->|"Transfert ACH national aux États-Unis"| F["Obtenez un numéro de trace ACH à 15 chiffres auprès de la banque d'origine"]
    C -->|"Paiements plus rapides au Royaume-Uni / CHAPS ou SEPA UE"| G["Obtenez des paiements plus rapides Réf FPID / CHAPS ou ID de bout en bout SEPA"]
    D --> H["1. La banque d'origine envoie un rappel d'urgence en cas de fraude + une indemnité inoffensive à la banque réceptrice"]
    E --> H
    F --> I{"Combien de jours ouvrables depuis le règlement ACH ?"}
    I -->|"En file d'attente / Le même jour"| J["Annuler l'ACH sans lot ou émettre un retour/rappel NACHA ODFI immédiat"]
    I -->|"1 à 5 jours ouvrables"| K["Exigez que l'ODFI envoie un rappel ACH + une lettre d'indemnisation au bureau des fraudes du RDFI"]
    G --> L["Composez le 159 (Royaume-Uni) / Ligne anti-fraude bancaire : Déclenchez un gel interbancaire immédiat et une demande de remboursement de l'application PSR"]
    H --> M["2. La victime appelle le bureau de réception des fraudes bancaires directement avec IMAD/UETR et le numéro de compte du bénéficiaire"]
    K --> M
    M --> N["3. Déposez le fichier FBI IC3 (ic3.gov) dans les 72 heures pour activer le FBI RAT / Financial Fraud Kill Chain + le rapport de la police locale."]

Phase 1 : Les identifiants techniques critiques que vous devez obtenir de votre banque dans les 15 premières minutes¶

Lorsque vous appelez votre banque, la banque réceptrice, le FBI ou la police, il ne suffit pas de dire "Nous avons transféré 142 000 $ à Bank of America ce matin" pour localiser une transaction dans un système de compensation qui traite des millions de messages par heure. Vous devez immédiatement demander à votre banque d'origine le numéro de trace cryptographique/clearing exact du rail de paiement utilisé :

Pourquoi les banques intermédiaires/correspondantes sont votre meilleure amie lors d'un rappel international par fil¶

Si l'escroc vous a trompé en vous faisant virer des dollars ou des euros vers une banque offshore à Hong Kong, en Chine, à Singapour, à Dubaï ou en Europe de l'Est, un virement SWIFT international se téléporte rarement directement de votre banque américaine ou européenne locale vers la banque étrangère en 5 secondes.

Au lieu de cela, les virements internationaux transitent par une chaîne de banques (intermédiaires) correspondantes (telles que JPMorgan Chase New York, Citibank N.A., Bank of New York Mellon, Deutsche Bank Frankfurt ou Standard Chartered) et doivent passer par des seuils de fuseau horaire et des sanctions automatisées/filtres de dépistage AML. Étant donné que les heures d'ouverture des banques en Asie-Pacifique et en Europe ne chevauchent pas les heures de l'après-midi en Amérique du Nord, un virement international envoyé à 14h00, heure de New York, reste souvent dans la file d'attente d'une banque correspondante de New York ou reste non crédité dans la file d'attente de validation entrante du matin de la banque réceptrice étrangère pendant 8 à 24 heures.

• Action à prendre immédiatement : demandez à votre banque de vérifier le SWIFT gpi Tracker à l'aide de votre UETR à 36 caractères. Le SWIFT gpi Tracker indique en temps réel quelle banque intermédiaire exacte détient actuellement les fonds (In Transit at Intermediary contre Credited to Beneficiary).
• Si le virement est toujours en attente dans une banque correspondante intermédiaire à New York, Londres ou Francfort, votre banque peut envoyer un courrier prioritaire SWIFT MT192 / camt.056 Stop/Recall directement à cette banque intermédiaire (et vous pouvez alerter la salle de transfert de New York/Londres de la banque intermédiaire avec le UETR), stoppant l'argent avant qu'il ne quitte la juridiction nationale.

Phase 2 : Activation de la chaîne d'élimination de la fraude financière du FBI (FFKC) et des mises en attente des forces de l'ordre¶

Lorsque vous faites face à des fraudes électroniques de plus de 10 000 $ (et en particulier des virements électroniques de clôture d'entreprise ou immobilière de plus de 50 000 $), le service de fraude au détail de votre banque ne représente que la moitié de l'équation. Les organismes chargés de l'application des lois possèdent des pouvoirs statutaires pour déclencher des gels d'urgence dans les banques réceptrices et les rampes de crypto-monnaie avant même la signature d'un mandat judiciaire formel.

1. États-Unis : comment l'équipe de récupération des actifs du FBI (RAT) et FFKC Travail¶

Créé en 2018 au sein de l'Internet Crime Complaint Center du FBI (IC3), la Recovery Asset Team (RAT) rationalise la communication entre les bureaux extérieurs du FBI, les institutions financières nationales et le Financial Crimes Enforcement Network (FinCEN) dans le cadre de la Financial Fraud Kill Chain (FFKC) protocole.

Pour maximiser la vitesse d'un FFKC rappelez-vous, déposez votre rapport à ic3.gov immédiatement (n'attendez pas demain matin pour consulter un avocat au préalable, déposez le ic3.gov formulaire dans la première heure suivant la découverte du vol) et incluez chaque champ ci-dessous sans faute de frappe :

1. Informations sur la victime : votre nom légal, le nom de votre entreprise, votre numéro de téléphone (utilisez un numéro de téléphone portable direct auquel vous répondrez 24h/24 et 7j/7 à la première sonnerie) et une adresse e-mail sans compromis.
2. Détails bancaires d'origine : nom complet de la banque, adresse de la succursale, votre numéro de compte d'origine, numéro d'acheminement ABA et nom/numéro de téléphone de l'agent chargé des fraudes bancaires avec lequel vous avez parlé.
3. Détails bancaires du bénéficiaire principal (arnaqueur) : nom complet de la banque réceptrice, ville/état/pays de la banque réceptrice, numéro de routage ABA/BIC SWIFT, numéro de compte du bénéficiaire et nom exact du bénéficiaire écrit sur les instructions de virement frauduleux.
4. Détails de la banque intermédiaire/correspondante (le cas échéant) : tout nom de banque intermédiaire, SWIFT BIC ou numéro d'acheminement indiqué sur la feuille de virement.
5. Métadonnées de transaction : montant exact en dollars au centime près, horodatage exact et date d'exécution du virement, et Fedwire à 22 caractères IMAD/OMAD numéro ou SWIFT à 36 caractères UETR.
6. Appel téléphonique de suivi après la soumission ic3.gov :
   • Enregistrez/imprimez la copie PDF de votre soumission ic3.gov porter plainte immédiatement.
   • Appelez votre bureau local du FBI (fbi.gov/contact-us/field-offices) et votre bureau local des services secrets des États-Unis (USSS) (secretservice.gov/contact/field-offices, rappelle le groupe de travail des services secrets sur la cyberfraude, co-responsable du BEC, aux côtés du FBI).
   • Dites à l'agent de service au téléphone : "Nous venons de soumettre une plainte IC3 d'urgence pour un virement bancaire actif de [montant $] envoyé il y a [X] heures. Nous avons le numéro Fedwire IMAD / SWIFT UETR en main et demandons une coordination urgente avec l'équipe de récupération des actifs IC3 pour un rappel de chaîne de lutte contre la fraude financière. "

2. Royaume-Uni : Le 159 Hotline et règles de remboursement obligatoires de la fraude APP PSR d'octobre 2024¶

Si vous ou votre micro-entreprise/association caritative au Royaume-Uni avez été amenés à envoyer un virement bancaire (connu dans la loi bancaire britannique sous le nom de Paiement push autorisé (APP) Fraude, où un escroc vous incite à autoriser un paiement plus rapide ou un virement CHAPS via une fausse facture, une usurpation d'identité d'avocat ou une escroquerie d'usurpation d'identité bancaire) :

1. ** Composez 159 Immédiatement** : vous connecte directement au bureau de prévention de la fraude de votre banque britannique pour lancer une demande urgente de gel interbancaire Faster Payments / CHAPS auprès de la banque réceptrice.
2. Invoquez votre droit légal au remboursement obligatoire en vertu du régulateur des systèmes de paiement (PSR) Politique PS23/4 & PS24/3 :
   • En vertu des règles historiques du régulateur britannique des systèmes de paiement qui sont entrées en vigueur le 7 octobre 2024, les prestataires de services de paiement britanniques (PSPs) sont légalement tenus de rembourser les victimes d'escroqueries de paiement push autorisé (APP) éligibles envoyées via Faster Payments ou CHAPS à hauteur de 85 000 £ dans un délai de 5 jours ouvrables (ou jusqu'à 35 jours ouvrables si la banque invoque la disposition d'enquête « arrêter le chronomètre »), à moins que la banque ne puisse prouver que le consommateur a agi avec une « négligence grave » (une barre juridique très élevée selon la norme de prudence du consommateur) ou a été complice de la fraude.
   • Même si les fonds volés dépassent 85 000 £ (par exemple, une escroquerie de transfert de dépôt de maison de 250 000 £), vous pouvez réclamer les premiers 85 000 £ dans le cadre du programme PSR obligatoire ET poursuivre le reste jusqu'à 430 000 £ en déposant une plainte auprès du Financial Ombudsman Service (FOS, financial-ombudsman.org.uk) si la banque émettrice ou réceptrice a manqué à ses obligations de surveillance antifraude ou dans le cadre du modèle de remboursement conditionnel (CRM) principes hérités.

Phase 3 : Plans d’actions spécifiques par scénario de fraude électronique¶

La manière dont la fraude s'est produite détermine qui d'autre doit être informé immédiatement pour mettre fin aux vols secondaires et établir la responsabilité légale.

Scénario A : Clôture d'un bien immobilier / Détournement de titre et de fil de confiance (acompte de l'acheteur volé)¶

La fraude électronique à la clôture d'un bien immobilier est l'un des crimes les plus coûteux affectant les familles. Les attaquants compromettent le compte de messagerie d'un agent immobilier, d'un courtier hypothécaire, d'une société de titres ou d'un avocat de clôture des mois à l'avance, surveillent silencieusement le calendrier pour connaître votre date de clôture et vous envoient un e-mail 24 à 48 heures avant la clôture avec une pièce jointe PDF réaliste : "URGENT : instructions de virement mises à jour pour [Nom de la société en titre] en raison de notre audit de compte séquestre de fin de mois."

Si vous venez de transférer votre mise de fonds ou de clôturer de l'argent à un escroc : 1. **Exécutez immédiatement les étapes 1, 2 et 3 de « Faites ceci maintenant » ** : Obtenez le IMAD/OMAD de votre banque, exigez un rappel immédiat de retenue inoffensive, appelez directement le bureau des fraudes de la banque réceptrice et déposez votre demande à ic3.gov dans les 30 premières minutes. 2. Appelez immédiatement la société de titres immobiliers/l'avocat de clôture par téléphone : - Dites au responsable du dépôt et à l'avocat général de Title Company que votre virement de clôture a été détourné via un e-mail usurpé ou compromis. - Demandez-leur de conserver tous les journaux du serveur de messagerie de leur côté, en vérifiant spécifiquement si l'attaquant s'est connecté directement au compte Microsoft 365/Google Workspace de Title Company ou au compte de messagerie de l'agent immobilier. (En vertu des lois américaines sur la négligence et des doctrines comparatives des fautes du Uniform Commercial Code, il est essentiel de déterminer dont le système de messagerie a été violé sans MFA adéquate si le virement n'est pas récupéré à 100 % par les banques). - Demandez à la société de titres si elle propose une couverture de cybercriminalité/ingénierie sociale/fraude électronique ou une affiliation avec un souscripteur de titres (tel que Fidelity National Title, First American, Old Republic ou Stewart Title), dont beaucoup maintiennent leurs propres coalitions de récupération rapide des fils 24h/24 et 7j/7 avec des contacts directs avec les dirigeants des grandes banques. 3. Avertissez le vendeur et les agents immobiliers par écrit : Si vos fonds de clôture sont gelés dans le cadre d'une enquête active de rappel du FBI/interbancaire, demandez à un avocat spécialisé en droit immobilier d'envoyer immédiatement un avis demandant un bref Prolongation de la date de clôture du contrat / Addendum de guérison de force majeure afin que vous ne perdiez pas automatiquement votre dépôt d'arrhes pendant que le rappel se termine dans la fenêtre interbancaire de 5 à 14 jours.

Scénario B : Fraude aux factures des fournisseurs d'entreprise (détournement des comptes créditeurs B2B)¶

Dans une arnaque à la facture fournisseur B2B, vos comptes créditeurs (AP) le service reçoit un e-mail d'un véritable fournisseur de longue date (billing@supplier.com ou un domaine similaire billing@suppIier.com) indiquant : * « Veuillez noter que nous avons transféré notre compte d'exploitation commercial de Wells Fargo à Truist Bank ; veuillez mettre à jour nos instructions ACH/Wire pour la facture n° 90412. »*

Si votre entreprise vient de payer une vraie facture sur un compte bancaire frauduleux : 1. ** Exécuter le rappel inoffensif de la banque et le FBI ic3.gov déposer immédiatement**. 2. Déterminez quel serveur de messagerie a réellement été piraté (le vôtre ou celui de votre fournisseur) : - Demandez à votre équipe de sécurité informatique d'inspecter les éléments bruts EML en-têtes de message de l'e-mail frauduleux : - Signez que le véritable e-mail du fournisseur a été piraté (véritable compromis du fournisseur) : l'e-mail a été transmis SPF: PASS, DKIM: PASS, et DMARC: PASS pour le domaine véritable du fournisseur (@supplier.com), et provenaient des vrais serveurs de messagerie de Microsoft/Google. Cela signifie que l'attaquant se trouve actuellement dans la véritable boîte de réception de votre fournisseur. Appelez immédiatement le directeur financier et le directeur informatique de votre fournisseur, car ce même attaquant envoie actuellement de fausses instructions électroniques à tous les autres clients dans la boîte de réception de votre fournisseur. - Signe d'un domaine similaire/usurpation de nom d'affichage : L'e-mail provient de @supp1ier.com ou @supplier-payments.com (vérifiez whois date de création, généralement enregistrée dans les 14 derniers jours). Cela signifie que soit la boîte aux lettres de votre propre employé a été piratée (permettant au pirate informatique de lire le PDF de la facture originale et de créer un domaine similaire correspondant) OU la boîte aux lettres du fournisseur a été piratée et le pirate informatique a créé un domaine similaire. Reply-To domaine afin que le fournisseur ne voie pas les réponses dans son dossier Envoyé. 3. Avertissez immédiatement votre assureur de cyberassurance et d'assurance contre la criminalité : - La plupart des polices commerciales d'assurance cyber-responsabilité et de crime commercial/garantie de déloyauté incluent un avenant de couverture fraude à l'ingénierie sociale/fraude par transfert de fonds/manipulation de facture, ET elles incluent 24 heures sur 24 et 7 jours sur 7 des lignes d'assistance téléphonique pour la réponse aux incidents et les coachs en cas d'infraction juridique sans aucun déboursé au-delà de votre franchise. - Avertissement concernant les délais d'avis d'assurance : De nombreuses polices d'assurance de cybersécurité nécessitent une notification dans les 24 à 72 heures suivant la découverte d'un virement bancaire frauduleux. Appelez dès aujourd’hui la hotline sinistres 24h/24 et 7j/7 sur votre page de déclaration de police.

Scénario C : usurpation d'identité d'un PDG ou d'un cadre (« Acquisition confidentielle urgente / Carte-cadeau / Modification de la paie »)¶

Si un employé a été trompé par e-mail, SMS, WhatsApp ou un appel vocal/vidéo Deepfake AI se faisant passer pour le PDG ou l'associé directeur pour transférer de l'argent sur un compte externe, ou si le service de paie a été trompé pour modifier le dépôt direct d'un cadre (ACH) numéro de routage : 1. Pour le détournement du dépôt direct de la paie : contactez votre processeur de paie (ADP, Gusto, Paychex, Workday, Rippling, UKG) en quelques minutes et exigez un rappel/annulation immédiat de NACHA ACH et un gel de la fraude sur la carte prépayée de réception ou le numéro de routage bancaire (souvent Green Dot, Chime, Sutton Bank, Bancorp ou Pathward). Les gestionnaires de paie disposent de bureaux dédiés à l’inversion des fraudes en masse avec des relations directes avec les banques émettrices des néo-banques.

Phase 4 : Comment savoir si votre propre réseau est toujours infecté et éviter un deuxième vol de fil¶

Les attaquants qui réussissent à réaliser une fraude électronique de plus de 100 000 $ contre une organisation essayent presque toujours une deuxième fois dans un délai de 7 à 14 jours, soit en ciblant une autre facture fournisseur ouverte qu'ils ont déjà téléchargée depuis votre boîte de réception comptable, soit en envoyant un e-mail à vos clients pour détourner les paiements entrants des comptes clients de votre entreprise.

Effectuez cet audit médico-légal en 5 points avant d'autoriser tout paiement supplémentaire¶

1. ** Auditez chaque boîte aux lettres comptable, financière, exécutive et juridique pour détecter les règles cachées et les applications OAuth ** :
   • Suivez notre guide sur compte de messagerie piraté : règles de transfert cachées et récupération courir Get-InboxRule -IncludeHidden dans chaque boîte aux lettres de votre organisation, révoquez les applications OAuth inconnues et vérifiez les règles de transport de courrier Exchange au niveau du locataire.
2. ** Auditer l'ID Entra/les journaux de connexion à Google Workspace (Impossible Travel et Evilginx IP du proxy AitM)** :
   • Vérifiez les journaux de connexion des 60 derniers jours pour les connexions provenant de VPN commerciaux et d'ASN de fournisseur d'hébergement (DigitalOcean, Linode, Stark Industries, M247, Choopa/Vultr, OVH), ou des villes inconnues. Si un utilisateur était compromis malgré l'activation de l'authentification multifacteur, il cliquait sur un lien de phishing Adversary-in-the-Middle (AitM) (Evilginx / Tycoon 2FA). Révoquer tous les jetons d'actualisation (Revoke-MgUserSignInSession) et mettez à niveau le personnel financier/exécutif vers les clés de sécurité matérielles FIDO2.
3. Vérifiez si votre nom de domaine a été usurpé via un domaine similaire :
   • Chèque dnstwist (dnstwister.report) pour le nom de domaine de votre entreprise. Si un attaquant enregistrait un domaine visuel similaire (par exemple en remplaçant un nom minuscule) l avec une majuscule I, ou en remplaçant m avec rn, ou en ajoutant -billing.com), envoyez immédiatement un avis de retrait d'abus du registraire de domaine d'urgence au registraire et au fournisseur d'hébergement du domaine similaire (incluez le EML (les en-têtes montrant que le domaine est utilisé pour une fraude électronique active, les bureaux d'enregistrement suspendent les domaines de phishing BEC actifs en quelques heures lorsqu'ils sont fournis avec des en-têtes).
4. Appliquer la règle d'or de la sécurité Wire & ACH (double vérification hors bande) :
   • Ne vérifiez jamais les instructions filaires/ACH nouvelles ou modifiées en appelant un numéro de téléphone imprimé dans l'e-mail ou sur la facture PDF ci-jointe. L'escroc met son propre numéro de téléphone Google Voice/graveur sur la fausse facture PDF afin que lorsque vous appelez pour « vérifier », l'escroc réponde au téléphone et confirme le faux numéro de routage.
   • Politique obligatoire : Chaque virement bancaire, configuration de nouveau fournisseur ou modification des informations bancaires d'un fournisseur/paie existant supérieure à 1 000 $ doit être vérifié en appelant un numéro de téléphone historique et connu extrait de votre contrat principal de fournisseur hors ligne d'origine ou d'un annuaire public indépendant, ET nécessiter une approbation de double contrôle (un employé initie le virement dans le portail bancaire ; un deuxième agent indépendant vérifie hors bande et libère le jeton de virement).
5. Activer Positive Pay (pour les chèques et ACH) et services de validation de compte :
   • Activez les blocages de paiement/débit positifs ACH sur tous les comptes d'exploitation commerciaux afin qu'aucune partie externe ne puisse effectuer des débits ACH non autorisés.
   • Lors de l'envoi de paiements au Royaume-Uni (Confirmation of Payee / CoP), UE (IBAN-Name Check mandaté par le règlement de l'UE sur les paiements instantanés), ou aux États-Unis (Early Warning Services / Nacha Account Validation), vérifiez que le nom du titulaire du compte renvoyé par le réseau de compensation correspond au nom prévu de la société avant de débloquer les fonds.

Questions fréquemment posées¶

Sources vérifiées¶

• Federal Bureau of Investigation (FBI, États-Unis) : Internet Crime Complaint Center (IC3) Recovery Asset Team (RAT), protocole Financial Fraud Kill Chain (FFKC) et annonces d'intérêt public concernant les compromissions par courrier électronique professionnel (ic3.gov).
• Financial Crimes Enforcement Network (FinCEN, Département du Trésor des États-Unis) : Avis sur les escroqueries par imposteur et les stratagèmes de mules financières / Programme de réponse rapide (RRP) pour les rappels de câbles transfrontaliers (fincen.gov).
• Cybersecurity and Infrastructure Security Agency (CISA) et United States Secret Service (États-Unis) : Protection contre les compromissions de messagerie professionnelle et la fraude par fil immobilier (cisa.gov, secretservice.gov).
• Régulateur des systèmes de paiement (PSR) et Financial Conduct Authority (FCA, Royaume-Uni) : Déclaration de politique PS23/4 et PS24/3 : Lutte contre les escroqueries liées aux paiements push autorisés (APP) : exigence de remboursement obligatoire pour des paiements plus rapides et CHAPS (en vigueur le 7 octobre 2024) (psr.org.uk).
• Conseil européen des paiements (EPC, Union européenne) : Manuels de règles sur les virements SEPA (SCT) et les virements instantanés SEPA (SCT Inst) : rappel pour origine frauduleuse (FRAD / camt.056) (europeanpaymentscouncil.eu).
• Uniform Law Commission / American Law Institute (États-Unis) : Uniform Commercial Code (UCC), article 4A : Transferts de fonds (§ 4A-207 Description erronée du bénéficiaire ; § 4A-211 Annulation et modification de l'ordre de paiement) (uniformlaws.org).

Guides associés¶

• Compte de messagerie piraté : règles de transfert cachées et récupération
• Violation de compte bancaire
• Escroqueries au clonage de voix Deepfake et à l'usurpation d'identité par l'IA
• Phishing et comptes compromis
• Épuisement du portefeuille de crypto-monnaie et compromission de la phrase de départ
• Escroqueries et fraudes