Arnaques en ligne : comment protéger votre entreprise

Les escrocs apprécient les PME parce qu'elles vont souvent vite et fonctionnent à la confiance. Voici les techniques qui reviennent sans cesse :

• Faux e-mails (phishing) : un message se faisant passer pour votre banque, une société de livraison ou Microsoft, qui vous demande de cliquer sur un lien et de vous connecter. La page a l'air authentique, mais elle vole votre mot de passe.
• Fausses factures fournisseurs : une facture arrive d'un fournisseur que vous connaissez, mais les coordonnées bancaires ont « changé ». L'argent part directement chez l'escroc.
• La demande urgente du « PDG » : quelqu'un se fait passer pour le dirigeant ou un directeur et demande un paiement urgent et confidentiel.
• Usurpation sur WhatsApp : un message d'un nouveau numéro dit « Salut, c'est moi, j'ai changé de téléphone », puis demande de l'argent ou un code.
• Les codes : quelqu'un vous demande de lui transférer le code à six chiffres que vous venez de recevoir. Ce code est la clé de votre compte.

En 2026, les escrocs peuvent copier une voix à partir d'un court extrait publié sur les réseaux sociaux ou d'un message vocal. Ils peuvent aussi falsifier un visage lors d'un appel vidéo. C'est ce qu'on appelle un deepfake : un faux enregistrement créé par l'intelligence artificielle, qui ressemble à une personne réelle ou imite sa voix.

Un appel qui ressemble trait pour trait à la voix de votre responsable n'est donc plus une preuve que c'est bien lui. La bonne nouvelle, c'est que la parade est la même que pour toutes les autres arnaques. Raccrochez, et rappelez la personne sur un numéro déjà enregistré.

Ce seul réflexe bloque une grande partie des arnaques. Chaque fois qu'un message demande de l'argent, un changement de coordonnées bancaires ou des informations confidentielles, vérifiez par un autre canal.

Ne répondez pas à l'e-mail. N'appelez pas le numéro indiqué dans le message. Utilisez le numéro que vous avez déjà dans votre téléphone ou vos dossiers. Si le fournisseur a vraiment changé de banque, il sera content que vous ayez vérifié. Sinon, vous venez d'épargner à votre entreprise une perte douloureuse.

Activez la validation en deux étapes sur la messagerie, la banque, les réseaux sociaux et WhatsApp. Concrètement, en plus de votre mot de passe, il vous faut un code reçu sur votre téléphone pour vous connecter. Même si un escroc vole votre mot de passe, il ne peut toujours pas entrer.

Apprenez ensuite à tous une règle d'or : un code reçu ne se partage jamais. Ni avec la banque, ni avec le « support informatique », ni avec un collègue sur WhatsApp. Les vraies entreprises ne demandent jamais ces codes. Dans WhatsApp, activez aussi le code PIN à six chiffres dans les paramètres, pour que personne ne puisse transférer votre compte sur un autre téléphone.

Mettez par écrit une règle de paiement simple. Par exemple :

1. Tout nouveau fournisseur, ou tout changement de coordonnées bancaires, doit être confirmé par téléphone sur un numéro connu.
2. Les paiements au-delà d'un montant que vous fixez doivent être validés par deux personnes.
3. Aucun paiement n'est jamais effectué simplement parce qu'un message dit « urgent » ou « confidentiel ».

Quand la règle est écrite, vos collaborateurs se sentent légitimes pour dire « je dois suivre la procédure », même face au patron. Consacrez ensuite quinze minutes tous les quelques mois à montrer à votre équipe de vrais exemples de messages frauduleux. Ceux qui ont déjà vu ces pièges sont beaucoup plus difficiles à tromper.

Les techniques ci-dessus existent partout dans le monde, mais certaines prennent une forme particulière au Maroc. Partagez ces exemples avec votre équipe, dans la langue qu'elle utilise au quotidien.

• Faux messages de colis et de livraison : un SMS ou un message WhatsApp indique qu'un colis vous attend et que de petits frais doivent être réglés via un lien. La page demande vos coordonnées de carte bancaire. Les entreprises qui envoient et reçoivent beaucoup de livraisons sont des cibles faciles.
• Messages d'apparence officielle : des messages prétendant venir d'une banque, d'un opérateur télécom ou d'une administration publique, qui vous demandent de « mettre à jour vos informations », de régler une amende ou de réclamer un remboursement. Les organismes officiels ne demandent pas de numéros de carte ni de codes par SMS ou WhatsApp.
• Notes vocales en Darija du « patron » : les notes vocales WhatsApp paraissent personnelles et dignes de confiance, et l'IA peut désormais imiter les voix. Une note vocale demandant un virement urgent ou une recharge mobile mérite la même vérification que toute autre demande de paiement.
• Fausses commandes et paiement à la livraison : de grosses commandes de clients inconnus qui refusent ensuite la livraison, ou qui vous demandent d'expédier à un tiers. Confirmez par téléphone les premières commandes importantes avant d'envoyer la marchandise.
• Arnaques au chèque : un nouveau client paie par chèque et veut la marchandise immédiatement, ou « paie trop » et demande le remboursement de la différence par virement. Attendez que le chèque soit encaissé par votre banque avant de livrer ou de rembourser quoi que ce soit.
• Fausses offres d'emploi et de fournisseurs : des messages promettant un travail facile, du stock bon marché ou un appel d'offres en échange de « frais d'inscription » à payer d'avance.

Dans beaucoup de PME, surtout familiales, les paiements sont validés de façon informelle et rapide entre personnes qui se font confiance. Les escrocs comptent là-dessus. Votre règle de paiement écrite protège aussi les membres de la famille et les collaborateurs de longue date, car elle autorise chacun à ralentir et à vérifier.

Si vous êtes ciblé, conservez les messages et contactez d'abord votre banque. Vous pouvez aussi signaler la fraude en ligne à la police. Votre banque ou un avocat pourra vous conseiller sur les démarches adaptées à votre cas.

Les erreurs arrivent. Ce qui compte, c'est la rapidité et l'honnêteté. Assurez-vous que votre équipe sait qu'elle ne sera pas sanctionnée pour avoir signalé rapidement. Ensuite :

• Changez le mot de passe du compte concerné immédiatement, depuis un autre appareil si possible.
• Appelez votre banque sans attendre si de l'argent a été envoyé. Plus vous appelez vite, plus vous avez de chances de bloquer le virement.
• Prévenez votre contact informatique pour qu'il vérifie l'ordinateur et les autres comptes.
• Avertissez vos contacts si votre e-mail ou votre WhatsApp a servi à envoyer des messages.
• Notez ce qui s'est passé : heure, messages, montants. Cela aide la banque et les autorités.

Chez Africodex, notre équipe de conseil informatique aide les entreprises au Maroc et en Afrique à mettre en place ces protections de façon pragmatique : validation en deux étapes sur chaque compte, règles de paiement claires et formations courtes et conviviales pour le personnel. Si vous souhaitez un regard extérieur sur le niveau de sécurité réel de votre entreprise, nous serons ravis d'en discuter.