8 exemples de fraudes commises par des PDG : des cas réels, les e-mails qui les ont motivés et comment les empêcher

En bref : la fraude au PDG, également appelée « Business Email Compromise » (BEC), consiste pour un pirate à usurper l’identité d’un haut dirigeant afin d’amener un employé à transférer de l’argent ou des données. Il s’agit de loin de la forme de cybercriminalité la plus coûteuse : le FBI a recensé environ 2,8 milliards de dollars de pertes liées à la BEC pour la seule année 2025. Les huit exemples ci-dessous sont réels, vont de 37 000 € à 70 millions d'euros, et présentent tous les mêmes caractéristiques : autorité, urgence, confidentialité et un employé qui n'a pas décroché le téléphone. Chaque exemple montre le message à l'origine de l'incident ; la dernière section présente les cinq règles qui auraient permis d'empêcher chacun d'entre eux.

À quoi ressemble la fraude commise par un PDG ?

La version classique est un e-mail. « Êtes-vous à votre poste ? J'ai besoin que vous vous occupiez d'un paiement confidentiel aujourd'hui. » Il peut également s'agir d'un message WhatsApp, d'un appel téléphonique avec une voix clonée ou d'un appel vidéo utilisant un deepfake. La cible est généralement un employé du service financier, un assistant de direction ou un collaborateur des ressources humaines ou des achats capable d'effectuer des virements ou de transférer des données. Pour la définition et l'aspect juridique, consultez la rubrique « Qu'est-ce que la fraude au PDG? » ; pour l'e-mail lui-même, consultez l'exemple n° 5 de notre liste d'exemples d'e-mails de hameçonnage.

Les 8 exemples de fraude commis par des PDG

1. Pathé Pays-Bas (2018) : 19 millions d'euros pour une « acquisition confidentielle »

Ce qui s'est passé : la filiale néerlandaise de la chaîne de cinémas Pathé a reçu des e-mails qui semblaient provenir du siège social français et qui faisaient état d'une opération de rachat confidentielle à Dubaï. Pendant plusieurs semaines, le directeur général et le directeur financier ont approuvé des virements totalisant environ 19,2 millions d'euros. Tous deux ont été licenciés ; le tribunal a par la suite jugé que le licenciement du directeur financier était légal.

Le message : « Ceci est strictement confidentiel. N'en parlez à personne au sein de l'organisation. Le premier versement doit être effectué aujourd'hui. »

Pourquoi cela a fonctionné : la clause de confidentialité a écarté tous les collègues qui auraient pu poser des questions, et l'accord semblait être le genre de décision que prendrait le siège social.

2. FACC (2016) : 52 millions d'euros et le licenciement du PDG

Ce qui s'est passé : le sous-traitant aérospatial autrichien FACC, qui fabrique des pièces pour Airbus et Boeing, a transféré environ 52,8 millions d'euros à la suite d'e-mails usurpant l'identité du PDG au sujet d'un projet d'acquisition. L'entreprise a pu récupérer une petite partie de cette somme ; le PDG et le directeur financier ont été licenciés, et cette affaire est devenue la référence européenne en matière de sanctions à l'encontre des membres du conseil d'administration.

Le message : une chaîne d'e-mails provenant d'une adresse ressemblant à celle du PDG, demandant au service financier d'effectuer des paiements pour un projet secret.

Pourquoi cela a fonctionné : une série d'e-mails plausibles envoyés au fil du temps, et non une seule demande, et aucune règle de rappel.

3. Crelan (2016) : 70 millions d'euros dans une banque belge

Ce qui s'est passé : la banque belge Crelan a subi une perte d'environ 70 millions d'euros à la suite d'une fraude commise par son PDG, découverte lors d'un audit interne. L'attaque visait les employés habilités à effectuer des virements.

Le message : des instructions attribuées à la direction générale concernant le transfert de fonds, présentées comme d'habitude sous le couvert de la confidentialité.

Pourquoi cela a fonctionné : même une banque, dotée de contrôles conçus pour lutter contre la fraude externe, ne disposait d'aucune étape de vérification pour les instructions qui semblaient provenir de l'intérieur.

4. Ubiquiti Networks (2015) : 46,7 millions de dollars par l'intermédiaire d'une filiale

Ce qui s'est passé : le fabricant américain d'équipements réseau a révélé que des employés d'une filiale à Hong Kong avaient été amenés, par la ruse, à transférer 46,7 millions de dollars vers des comptes à l'étranger à la suite de courriels se faisant passer pour des dirigeants et des avocats. Environ 8 millions de dollars ont pu être récupérés.

Le message : des demandes émanant d’un « conseiller juridique externe » et de « l’équipe de direction » concernant des virements bancaires urgents liés à une transaction.

Pourquoi cela a fonctionné : les attaquants ont ciblé une filiale dont le personnel ne connaissait pas personnellement les dirigeants.

5. Toyota Boshoku (2019) : 37 millions de dollars en un seul virement

Ce qui s'est passé : la filiale européenne du fournisseur de sièges et d'équipements intérieurs de Toyota a transféré environ 4 milliards de yens (37 millions de dollars) après qu'un tiers se faisant passer pour un partenaire commercial eut modifié les coordonnées bancaires.

Le message : une demande convaincante de virement vers un nouveau compte bancaire, dans le cadre d'une relation commerciale existante avec un fournisseur.

Pourquoi cela a fonctionné : la variante dans laquelle le « patron » est remplacé par un fournisseur de confiance : même technique, expéditeur différent.

6. Arup (2024) : l'appel vidéo « deepfake » à 25 millions de dollars

Ce qui s'est passé : un employé du service financier du bureau de Hong Kong de la société d'ingénierie Arup a participé à un appel vidéo avec le « directeur financier » et plusieurs « collègues », tous générés par l'IA, et a effectué 15 virements pour un montant total de 200 millions de dollars de Hong Kong (environ 25,6 millions de dollars).

Le message : un e-mail concernant une transaction confidentielle, suivi d'une invitation à un appel vidéo qui a dissipé les doutes de l'employé.

Pourquoi cela a fonctionné : un visage et une voix ont été considérés comme des preuves. Consultez la formation de sensibilisation aux deepfakes pour découvrir le protocole de vérification permettant d'empêcher ce genre de situation.

7. Ferrari et WPP (2024) : les tentatives qui ont échoué

Ce qui s'est passé : chez Ferrari, un cadre a reçu des messages WhatsApp et un appel avec la voix clonée du PDG Benedetto Vigna au sujet d'une acquisition confidentielle ; il a posé une question à laquelle seul le véritable PDG pouvait répondre, et son interlocuteur a raccroché. Au sein du groupe publicitaire WPP, des pirates ont organisé une réunion Teams en utilisant une voix clonée et des images publiques du PDG Mark Read ; la victime a eu des soupçons et a signalé l'incident.

Pourquoi ont-ils échoué ? Un employé a vérifié, un autre a signalé. C'est là toute la différence entre l'exemple 6 et l'exemple 7.

8. Le cas de la PME : 37 000 € pour des cartes-cadeaux

Ce qui s'est passé : la version à laquelle la plupart des entreprises sont confrontées dans la réalité. Une responsable administrative d'une entreprise de 60 personnes a reçu un message WhatsApp du « PDG » : « Je suis en réunion, j'ai besoin de cartes-cadeaux pour un client, envoie-moi les codes, garde ça pour toi. » Elle a acheté pour 37 000 € de cartes-cadeaux en deux jours avant qu'un collègue ne lui demande pourquoi. Ce cas fictif s'inspire de rapports de police et d'assureurs ; les montants varient, mais le scénario reste toujours le même.

Le message : « Tu es libre ? J'ai besoin d'un petit service et je suis coincé en réunions tout l'après-midi. »

Pourquoi ça a marché : une petite demande plausible de la part d'une personne que l'on souhaite aider, accompagnée d'une raison de ne pas rappeler.

Les exemples en un coup d'œil

La même tendance dans tous les cas

1. Autorité : la demande émane d'une personne dont on ne remet pas en cause l'autorité.
2. Urgence : aujourd'hui, avant la date limite, avant la conclusion de la transaction.
3. Confidentialité : c'est confidentiel, n'en parlez à personne, que cela reste entre nous.
4. Une raison de ne pas appeler : en réunion, en déplacement, à l'étranger, lorsque la ligne est mauvaise.
5. Une nouvelle destination pour cet argent : un nouveau compte, un nouveau pays, des cartes-cadeaux.

Si deux de ces cinq éléments apparaissent dans un même message, c'est un signal d'alerte. Si c'est trois, on est en présence d'une fraude de la part du PDG, jusqu'à preuve du contraire.

Cinq règles qui auraient permis d'empêcher les huit cas

1. Chaque ordre de paiement est vérifié par téléphone à partir d'un numéro figurant déjà dans l'annuaire, et jamais à partir d'un numéro indiqué dans le message. Aucune exception n'est faite pour les cadres dirigeants ; ceux-ci approuvent publiquement cette règle.
2. Deux personnes doivent vérifier chaque virement dépassant un certain seuil et chaque modification des coordonnées bancaires. Une seule personne ne peut pas valider l'opération ; un deuxième validateur pose la question que le premier n'a pas posée.
3. Un mot de code utilisé pour les demandes urgentes entre la direction, le service financier et les assistants ; il ne doit jamais être mentionné dans un e-mail ou une conversation en ligne.
4. Le secret, c'est un panneau « Stop ». « N'en parlez à personne » signifie : prévenez immédiatement votre responsable et le service financier.
5. Formez et testez les personnes habilitées à effectuer des transferts d'argent. Les équipes des services financiers, des assistants, des ressources humaines et des achats bénéficient, toutes les quatre à six semaines, d'une simulation ciblée d'hameçonnage reproduisant exactement ce scénario, ainsi que de trois minutes de formation à la sensibilisation à la sécurité chaque semaine. Ce sont des collaborateurs bien formés, et non la technologie, qui ont permis de sauver Ferrari et WPP.

Que faire si cela s'est déjà produit ?

• Dans l'heure qui suit : appelez le service de lutte contre la fraude de votre banque pour tenter de faire annuler la transaction ; les chances de récupérer votre argent diminuent considérablement au bout de 24 heures.
• Le jour même : signaler les faits à la police et, lorsque des données à caractère personnel sont concernées, évaluer l'obligation de notification prévue par le RGPD.
• La même semaine : conservez les e-mails et les en-têtes, informez votre assureur et informez l'ensemble de l'entreprise sans rejeter la faute sur l'employé. La prochaine tentative se trouve généralement déjà dans la boîte de réception de quelqu'un.

Questions fréquentes

Quel est un exemple de fraude commise par un PDG ?

Un e-mail ou un message semblant provenir du PDG, demandant à un employé d'effectuer un paiement urgent et confidentiel ou d'acheter des cartes-cadeaux. L'affaire Pathé (19 millions d'euros) et la variante des cartes-cadeaux (quelques milliers d'euros) constituent les deux extrêmes d'une même arnaque.

La fraude commise par les PDG est-elle fréquente ?

En 2025, pour la cinquième année consécutive, la « compromission des e-mails professionnels » a constitué la catégorie la plus coûteuse dans le rapport du FBI sur la cybercriminalité, avec environ 2,8 milliards de dollars de pertes déclarées rien qu’aux États-Unis. La plupart des cas ne sont jamais rendus publics.

Une fraude de type « CEO fraud » peut-elle se produire par téléphone ou par visioconférence ?

Oui. Les voix clonées et les appels vidéo « deepfake » (Arup, Ferrari, WPP) sont les versions de 2024. La règle de vérification reste la même : rappeler sur un numéro connu.

Qui est responsable lorsqu'une fraude commise par un PDG aboutit ?

C'est l'entreprise qui supporte la perte, et les dirigeants peuvent en subir les conséquences : chez FACC et Pathé, des cadres ont été licenciés. En vertu de la norme NIS2, la direction est explicitement responsable des mesures de cybersécurité, y compris de la formation.