Prévenir la fraude au paiement : fraude au président, fausses factures, IBAN modifié

Réponse courte

La fraude au paiement atteint en général les family offices par des courriels ou appels d’apparence authentique : prétendues instructions de la famille (fraude au président), factures aux coordonnées bancaires modifiées ou faux employés de banque. Quelques contrôles constants suffisent : deux personnes pour approuver, rappel à un numéro connu à chaque changement de compte, limites, personnel formé. Si l’argent est parti, chaque minute compte : appeler la banque immédiatement.

Les schémas les plus fréquents

Les contrôles qui fonctionnent

1. Aucun paiement sur la seule base d’une instruction par courriel, message ou téléphone – chaque instruction passe par le processus d’approbation normal.
2. Deux personnes pour la saisie et l’approbation, avec des limites par personne.
3. Chaque compte bancaire nouveau ou modifié est confirmé par téléphone à un numéro déjà connu – jamais avec les coordonnées figurant dans l’avis lui-même.
4. Modifications des données de base et approbations de paiements par des personnes différentes.
5. Un mot de code ou une règle de rappel convenus avec la famille pour les instructions inhabituelles.
6. Protection de la messagerie avec SPF, DKIM et DMARC, et connexion à deux facteurs pour tous les comptes.
7. Formations régulières avec des exemples actuels ; saluer chaque soupçon signalé.

Une aide nouvelle dans la zone euro

Depuis le 9 octobre 2025, les prestataires de services de paiement de la zone euro doivent vérifier avant les virements en euros si le nom et l’IBAN du bénéficiaire concordent (vérification du bénéficiaire selon le règlement (UE) 2024/886). Un avertissement en cas de divergence est un signal fort – mais il ne remplace pas les contrôles propres du family office, notamment parce qu’il ne s’applique qu’aux paiements en euros entrant dans son champ.

Mesures immédiates en cas d’urgence

• Informer immédiatement par téléphone la banque donneuse d’ordre et demander le rappel du paiement ; chaque minute compte.
• Faire avertir la banque bénéficiaire par sa propre banque.
• Déposer plainte auprès de la police ; conserver les preuves : courriels avec en-têtes, factures, ordres de paiement.
• Vérifier et sécuriser les messageries concernées, changer les mots de passe, supprimer les règles de transfert.
• Informer l’assureur et documenter l’incident.

Exemple pratique (simplifié)

Un vendredi après-midi, la comptabilité reçoit un courriel « du principal » : une participation doit être sécurisée confidentiellement d’ici lundi avec 480 000 euros, un cabinet d’avocats donnera les détails. La collaboratrice remarque la pression du temps et la banque bénéficiaire inhabituelle. Selon la règle convenue, elle appelle le principal sur son numéro de portable connu – il n’est au courant de rien. Le courriel provenait d’un domaine ressemblant. L’incident est signalé, le domaine est communiqué à la banque comme avertissement et l’exemple est utilisé lors de la formation suivante.

Pourquoi de bons collaborateurs se font piéger

Les fraudeurs exploitent non pas l’ignorance, mais la loyauté et la serviabilité : qui veut rendre service au principal contourne le processus sous l’effet du stress. C’est pourquoi la direction doit dire expressément que personne – pas même un membre de la famille – ne peut exiger une exception au processus d’approbation, et que poser une question n’est jamais un signe de méfiance. Cette attitude est le contrôle le plus efficace de tous.

Des règles pour la famille

Les fraudeurs visent non seulement l’équipe, mais aussi la famille : faux messages à des membres de la famille, prétendues urgences d’enfants à l’étranger, fausses offres de placement. Le family office devrait donc convenir avec la famille de quelques règles simples et les consigner par écrit. Les instructions au family office ne passent que par des canaux convenus. Pour les instructions inhabituelles ou urgentes, le family office rappelle toujours – et la famille le comprend non comme de la méfiance, mais comme une protection.

Pour les exceptions, il existe un mot de code qui n’est jamais transmis par courriel ou par message. Les membres de la famille informent le family office si leur messagerie ou leur téléphone a été compromis ou si des demandes suspectes arrivent. Pour la génération suivante, souvent moins familière de ces schémas, une courte introduction a sa place dans le programme familial.

Dans FLIORE

FLIORE impose le principe des quatre yeux pour les paiements avec des rôles séparés, journalise les modifications des données de bénéficiaires et prend en charge la connexion à deux facteurs pour tous les utilisateurs. Après coup, la piste d’audit montre complètement qui a saisi, modifié et approuvé quel paiement.

En bref

Termes de cette page

Principe des quatre yeux

Principe de contrôle selon lequel les opérations importantes, comme les paiements, sont vérifiées et validées par une seconde personne autorisée.

Piste d’audit

Journal inaltérable qui enregistre qui a créé, modifié, approuvé ou supprimé quelles données, et quand.

Questions fréquentes

Sources

• Règlement (UE) 2024/886 (virements instantanés, vérification du bénéficiaire) – EUR-Lex
• Office fédéral de la cybersécurité (OFCS)
• Office fédéral allemand de la sécurité des technologies de l’information (BSI)
• Europol – fraude au président et fraude aux ordres de paiement
• DMARC.org – authentification des courriels (SPF, DKIM, DMARC)

Cette page sert d’orientation et ne remplace pas un conseil juridique ou fiscal. Les sources juridiques citées font foi dans leur version applicable.

À lire aussi

Plus sur Exploitation, sécurité et technologie

• Introduire un logiciel de family office : le plan de projet
• Plan d’urgence cyber : que faire en cas d’attaque contre le family office
• Le modèle de données du patrimoine familial
• La clôture annuelle de toutes les structures familiales