Escroquerie avec de vraies factures et le numéro de compte modifié

L'escroquerie à la facture la plus connue est celle de toujours : vous recevez une facture pour un service que vous n'avez pas commandé, avec un lien de paiement ou un compte bancaire. Elle est facile à détecter, car personne n'attend cette facture.

Celle-ci est bien plus dangereuse : vous recevez une facture que vous attendez réellement, d'un vrai fournisseur, dans une vraie conversation, avec le bon montant. La seule chose qui change est le numéro de compte, que l'attaquant a remplacé par le sien dans le PDF ou dans le texte de l'e-mail.

Vous payez normalement. Quelques jours plus tard, le fournisseur vous réclame le paiement, et il a raison : l'argent est parti sur le compte de l'attaquant. Ce compte peut être étranger ou être le compte espagnol d'une autre victime, utilisé comme relais pour sortir l'argent ensuite.

Comment ils s'y prennent

Le but est toujours le même, changer les coordonnées bancaires, mais il y a plusieurs façons d'y parvenir :

• Des règles cachées dans la boîte mail du destinataire. C'est la voie la plus fréquente que nous voyons. L'attaquant entre dans votre messagerie et crée une règle qui intercepte les messages contenant des mots comme « facture », « paiement », « reçu » ou « IBAN ». La règle les redirige ou les met de côté, l'attaquant modifie les coordonnées bancaires et replace le message dans votre boîte de réception comme si de rien n'était. Vous ne voyez rien d'anormal.
• Boîte mail de l'expéditeur ou du destinataire compromise. Avec le mot de passe de l'un des deux comptes, l'attaquant lit les conversations et envoie des factures modifiées au bon moment, depuis l'adresse authentique.
• Domaine ressemblant. L'attaquant répond depuis une adresse presque identique : il remplace un « m » par « rn » (proveedor.com → proveedor.corn), ajoute une lettre ou utilise une autre extension (.net au lieu de .com). À première vue, cela semble être le même fil.
• Virus sur l'ordinateur. Un cheval de Troie sur l'ordinateur où l'on utilise Outlook ou un autre logiciel de messagerie peut altérer les messages envoyés ou reçus.

Qu'un IBAN soit modifié n'indique pas à lui seul laquelle des deux parties a été compromise. Les deux doivent vérifier.

Avant de payer une facture

• Comparez le compte avec celui des paiements précédents. S'il est différent, ou s'il s'agit du premier paiement, ne payez pas avant de l'avoir confirmé.
• Confirmez le changement par téléphone, en appelant le numéro du fournisseur que vous aviez déjà. N'utilisez ni le téléphone ni le lien qui figurent dans le même e-mail.
• Méfiez-vous de l'urgence. « Nous avons changé de banque », « l'ancien compte est bloqué » ou « payez aujourd'hui pour éviter des frais » sont les phrases habituelles.
• Demandez une facture signée électroniquement et vérifiez-la avec VALIDe, le validateur de signatures du gouvernement espagnol. Si quelqu'un a modifié le fichier après sa signature, la signature n'est plus valide.
• Demandez une attestation de titularité du compte émise par la banque du fournisseur. Attention : si elle vous arrive jointe au même e-mail suspect, elle peut aussi être falsifiée ; confirmez-la quand même par téléphone.
• Dans une entreprise, faites en sorte que la personne qui accepte un changement de compte ne soit pas celle qui approuve le paiement.

Si vous avez déjà payé

1. Appelez immédiatement votre banque et demandez-lui d'essayer de bloquer ou de récupérer le virement. Plus vous le faites tôt, plus il y a de chances ; il n'est pas toujours récupéré.
2. Conservez les preuves : l'e-mail original (pas une capture, mais le message complet avec ses en-têtes), le PDF reçu, le justificatif du virement et les dates.
3. Prévenez le fournisseur par téléphone pour qu'il vérifie aussi ses comptes.
4. Portez plainte auprès de la Policía Nacional ou de la Guardia Civil avec ces preuves. Vous pouvez demander conseil au 017, la ligne d'aide en cybersécurité de l'INCIBE.

Vérifier votre messagerie

Si vous soupçonnez que votre boîte mail est compromise, vérifiez ceci depuis un ordinateur que vous savez sain :

1. Filtres des comptes e-mail. Dans cPanel, allez dans Email Filters, cliquez sur Manage Filters pour chaque boîte mail et cherchez des règles que vous n'avez pas créées : celles qui recherchent « facture », « paiement » ou « virement », ou qui redirigent, déplacent vers des dossiers inhabituels ou suppriment des messages. Voici comment les gérer : filtres de messagerie dans cPanel.
2. Filtres globaux. Ceux de Global Email Filters s'appliquent à tous les comptes de l'hébergement. Vérifiez-les aussi.
3. Redirections. Dans Forwarders, vérifiez qu'aucune adresse ne copie votre courrier vers une boîte mail externe.
4. Règles du logiciel de messagerie. Si vous utilisez Outlook, Thunderbird, Gmail ou un autre client, vérifiez aussi ses règles : elles n'apparaissent pas dans cPanel.
5. Dossiers Envoyés et Corbeille. Cherchez des messages que vous n'avez pas envoyés ou des réponses que vous n'avez pas vues.
6. Changez les mots de passe des comptes e-mail et de cPanel pour de nouveaux, aléatoires, que vous n'utilisez nulle part ailleurs. Changer le mot de passe ne supprime pas les règles : supprimez-les à la main.
7. Activez la vérification en deux étapes dans le webmail et dans l'espace client.
8. Analysez avec un antivirus les ordinateurs et téléphones sur lesquels vous lisez votre courrier.

Si votre messagerie est chez Hostsuar, ouvrez un ticket avec les adresses concernées et les dates approximatives : nous vérifions les accès enregistrés (IP, heures, origine) et vous donnons les informations pour la plainte. Ne nous envoyez jamais de mots de passe.

Dans le guide sur la façon dont les mots de passe sont volés, vous trouverez les méthodes les plus courantes et comment prévenir chacune d'elles. L'INCIBE propose aussi un guide sur la fraude par messagerie d'entreprise compromise.