Le scénario qui vide une trésorerie en une matinée
Un comptable reçoit un message du « service facturation » d'un fournisseur connu. Le nom affiché est exact, la signature reprend le logo, le fil de discussion ressemble à celui du mois dernier. Seule nouveauté : un changement de coordonnées bancaires, présenté comme une migration de banque. Le virement part. Trois semaines plus tard, le vrai fournisseur relance pour une facture impayée.
Ce scénario ne demande aucune compétence technique. Il ne vise pas votre serveur, mais la confiance de vos équipes. Et il fonctionne parce que, dans la zone UEMOA, l'email reste le canal officiel : devis, bons de commande, factures, échanges avec la banque et avec les clients grands comptes.
Trois usurpations que nous voyons chaque semaine
- L'adresse sosie : un caractère change, fournisseur-ci.com devient fournisseur-cl.com ou prend une autre extension. Sur un téléphone, personne ne le voit.
- Le nom d'affichage falsifié : le message affiche « Direction financière » alors que l'adresse réelle est une boîte gratuite créée la veille. C'est le délit d'usurpation le plus simple à commettre, et le plus fréquent.
- La boîte réellement compromise : mot de passe réutilisé, pas de double authentification, un ancien stagiaire qui garde l'accès. L'attaquant lit les vrais échanges pendant des semaines, puis intervient au bon moment. C'est le cas le plus coûteux, car tout paraît normal.
Le socle technique : trois enregistrements, zéro abonnement
La plupart des PME pensent que se protéger coûte une fortune. En réalité, les trois réglages qui empêchent quelqu'un d'envoyer du courrier en votre nom sont gratuits et se posent dans la zone DNS de votre domaine.
- SPF : la liste des serveurs autorisés à envoyer pour votre domaine. Un enregistrement texte, cinq minutes de travail.
- DKIM : une signature cryptographique ajoutée à chaque message. Elle prouve que le contenu n'a pas été altéré en route.
- DMARC : la consigne donnée aux messageries qui reçoivent vos messages. On démarre en observation (p=none), puis on passe en quarantaine et enfin en rejet (p=reject). C'est cette étape qui empêche réellement l'usurpation.
À cela s'ajoute la double authentification sur toutes les boîtes, sans exception, y compris celle du dirigeant. Un mot de passe seul ne résiste pas à un message de phishing crédible.
Un prestataire sérieux pose ces réglages en une à deux heures, tests d'envoi compris.
Ce que ça coûte, et ce que ça évite
| Brique | Ce qu'elle bloque | Budget indicatif (FCFA) |
|---|---|---|
| Double authentification sur les boîtes | Vol de compte par phishing ou mot de passe réutilisé | 0 (inclus dans la messagerie) |
| SPF, DKIM, DMARC en rejet | Usurpation de votre domaine auprès de vos clients | 0 à 75 000 (mise en place) |
| Messagerie professionnelle hébergée | Boîtes partagées, absence de journal, pas de révocation | 3 000 à 6 000 / utilisateur / mois |
| Filtrage anti-phishing des liens et pièces jointes | Factures piégées, macros, faux portails de connexion | 5 000 à 15 000 / mois |
| Sensibilisation et procédure de virement | Fraude au faux fournisseur et fraude au président | 150 000 à 400 000 (atelier annuel) |
Le dispositif complet tourne autour de 15 000 à 60 000 FCFA par mois pour une PME de dix à quarante salariés. À comparer au coût d'une seule fraude au virement : deux à dix millions de FCFA, sans recours réel une fois le compte du bénéficiaire vidé.
Le point souvent oublié : une messagerie gratuite partagée entre cinq salariés ne laisse aucun journal d'audit et ne permet pas de couper l'accès d'un employé le jour de son départ.
Conclusion : trois actions cette semaine
- Aujourd'hui : vérifiez si votre domaine publie un enregistrement DMARC. Si la réponse est non, n'importe qui peut écrire à vos clients en votre nom dès ce soir.
- Cette semaine : activez la double authentification sur toutes les boîtes et supprimez les accès des anciens salariés et des prestataires sortis.
- Ce mois-ci : écrivez une règle interne d'une page, « tout changement de coordonnées bancaires se confirme par téléphone », et faites-la signer par la direction.
Un email usurpé ne coûte rien à produire et très cher à réparer : image, trésorerie, clients qui doutent. Une à deux heures de réglages évitent des mois de litige.
Besoin de vérifier votre domaine avant qu'un fraudeur ne le fasse ?
Chez Sira-Tech, nous contrôlons vos enregistrements SPF, DKIM et DMARC, nous posons la double authentification et nous formons vos équipes à la fraude au faux fournisseur, à Abidjan, Dakar, Bamako ou ailleurs en zone UEMOA.
🚀 Demander un audit gratuit