Formation de sensibilisation à la fraude destinée aux salariés : 6 types de fraude à aborder lors de la formation

Une formation à la sensibilisation à la fraude apprend aux employés à reconnaître et à déjouer les escroqueries qui les visent personnellement : une fausse demande émanant du PDG, une facture dont les coordonnées bancaires ont été modifiées, un appel téléphonique d’un « fournisseur » qui exige un paiement pour aujourd’hui. Une bonne formation ne se contente pas d’expliquer la fraude de manière abstraite. Elle montre au personnel les messages exacts qu’il recevra, lui permet de s’entraîner à les repérer et lui indique une action simple à entreprendre lorsque quelque chose semble suspect : s’arrêter, vérifier via un canal connu et signaler.

La plupart des fraudes aux paiements commises à l'encontre d'organisations ne consistent pas à pirater un système. Elles consistent à persuader une personne d'effectuer une action qu'elle est autorisée à faire, comme valider un paiement ou modifier la fiche d'un fournisseur. C'est pourquoi l'équipe financière, le responsable administratif et le nouveau collaborateur du service des comptes fournisseurs constituent les véritables cibles, et pourquoi la technologie à elle seule permet rarement de détecter ces fraudes. Vous trouverez ci-dessous les six types de fraudes que tout programme de prévention devrait couvrir, les raisons pour lesquelles un module annuel s'avère insuffisant et comment mettre en place une formation qui modifie réellement les comportements.

Les six types de fraude qui visent les salariés

1. La fraude au PDG et le piratage des e-mails professionnels. Un message qui semble provenir d’un dirigeant demande un paiement urgent et confidentiel. Le ton est pressé, l’expéditeur est « en réunion » et ne peut pas être joint par téléphone. Dans le cadre du piratage des e-mails professionnels, le pirate utilise une boîte mail réelle qu’il a détournée, ce qui rend la demande encore plus convaincante. Nous expliquons le fonctionnement de cette technique dans notre article consacré à la fraude au PDG et aux mesures que vous pouvez prendre pour vous en prémunir.
2. Fraude à la facture. Une fausse facture, ou une facture authentique dont les informations ont été modifiées, est envoyée par ce qui semble être un fournisseur connu. Elle arrive souvent à la fin du mois, au moment où l'équipe traite un grand nombre de factures et effectue des vérifications moins minutieuses.
3. Fraude à la usurpation d'identité. Une personne se faisant passer pour un fournisseur vous demande de mettre à jour ses coordonnées bancaires « car nous avons changé de banque ». Tous les paiements suivants sont alors versés au fraudeur, souvent pendant plusieurs mois, avant que le véritable fournisseur ne se rende compte qu'une facture n'a pas été réglée.
4. Fraude par détournement de paiement. Le malfaiteur intercepte un échange d'e-mails en cours concernant un paiement, par exemple dans le cadre d'une transaction immobilière ou d'une commande importante, et y insère de nouvelles coordonnées bancaires au moment opportun.
5. Deepfake et fraude téléphonique. Un appel ou un message vocal imitant la voix d’un responsable ou d’un directeur financier vient confirmer cette fausse demande. Le clonage vocal a rendu cette pratique peu coûteuse et rapide, c’est pourquoi nous y consacrons une partie distincte dans notre formation de sensibilisation au deepfake.
6. SMS frauduleux et escroqueries par coursier. La fraude ne s'arrête pas aux portes du bureau. Les SMS frauduleux qui se font passer pour une banque ou un service de livraison, ainsi que les escroqueries par coursier, dans lesquelles un interlocuteur se faisant passer pour la police ou la banque convainc une personne de lui remettre ses cartes bancaires ou de l'argent liquide, touchent les employés à leur domicile. Les mêmes techniques de persuasion se retrouvent ensuite sur le lieu de travail. En savoir plus sur le « smishing ».

Ce que ces escroqueries ont en commun, ce n’est pas le canal utilisé, mais la pression exercée : l’urgence, l’autorité et le secret. Une formation qui apprend aux gens à repérer ces trois signaux les protège contre des variantes qui n’existent pas encore.

Pourquoi un module annuel consacré à la fraude ne fonctionne pas

De nombreuses entreprises abordent le thème de la fraude une fois par an, dans le cadre d’un module de formation en ligne d’une demi-heure. La case est cochée, mais l’effet s’estompe en quelques semaines. La sensibilisation à la fraude n’est pas un savoir que l’on emmagasine, c’est un réflexe que l’on acquiert : cette demi-seconde d’hésitation avant de cliquer sur « valider ». Les réflexes ont besoin d’être répétés.

Le deuxième problème concerne le timing. Les fraudeurs suivent le calendrier et l'actualité : paiements de fin d'année, remplacement des absents pour cause de congés au sein de l'équipe financière, mise en place d'un nouveau système ERP, un fournisseur connu qui fait la une des journaux. Un module mis en place au printemps dernier ne peut pas anticiper tout cela. Des formations courtes et récurrentes permettent de présenter ce scénario aux collaborateurs au moment même où il se produit.

Ce que doit couvrir une bonne formation à la prévention de la fraude

• Des scénarios réalistes adaptés à chaque type de fraude. Le personnel s'entraîne avec les messages qu'il sera réellement amené à recevoir : l'e-mail urgent du PDG, la lettre indiquant de « nouvelles coordonnées bancaires », l'appel d'un fournisseur. Le poste occupé ayant son importance, le service des comptes fournisseurs se voit proposer davantage de scénarios de paiement que l'entrepôt.
• Des simulations, pas seulement de la théorie. Les simulations d'hameçonnage reproduisant les fraudes liées aux factures et aux « CEO frauds » permettent d'identifier les personnes susceptibles de donner suite à une fausse demande, sans pour autant causer de réels dommages.
• Une règle de vérification claire. Tout changement de coordonnées bancaires ou toute demande de paiement inhabituelle doit être confirmé via un canal que vous connaissez déjà, tel que le numéro de téléphone figurant dans votre dossier fournisseur, et en aucun cas via le numéro indiqué dans l'e-mail.
• Une manière simple de signaler un message. Les personnes qui signalent un message suspect constituent votre première alerte. Faites en sorte que cela ne demande qu'un clic et remerciez-les, même si le message s'avère inoffensif.
• Suivi dans le temps. Suivez le nombre de personnes qui signalent des incidents, celles qui se laissent piéger par les simulations et l'évolution de ces chiffres par équipe. Cela permet d'identifier les domaines nécessitant une formation supplémentaire et fournit aux auditeurs des éléments probants pour les normes NIS2 et ISO 27001.

Comment mettre en place une formation à la prévention de la fraude en cinq étapes

1. Évaluez votre situation actuelle. Commencez par établir un état des lieux afin d'identifier les équipes et les types de fraude auxquels il faut accorder la priorité.
2. Cartographiez les processus de paiement. Qui est habilité à valider les paiements, à modifier les fiches fournisseurs ou à autoriser les virements urgents ? Ce sont ces personnes qui bénéficieront d'une formation la plus approfondie.
3. Mettez-vous d'accord sur la règle de vérification. Consignez par écrit la règle de réexamen et veillez à ce que la direction la soutienne publiquement, afin que personne ne se sente gêné de vérifier la demande d'un administrateur.
4. Entraînez-vous par petites séances fréquentes. Quelques minutes par semaine valent mieux qu’un après-midi par an. Alternez les types de fraude afin que chaque scénario revienne régulièrement.
5. Testez, faites un compte-rendu et recommencez. Lancez des simulations, partagez les résultats au sein de chaque équipe sans citer de noms, puis adaptez les scénarios en fonction de ce que vous constatez.

Le conseil : sensibilisez-vous aux fraudes dans les transports avec Guardey

Guardey transforme cette approche en une habitude hebdomadaire. Les employés reçoivent un défi d’environ trois minutes, sur leur ordinateur portable ou via l’application mobile pour iOS et Android, portant sur la fraude au nom du PDG, la fraude à la facture, le phishing, le smishing et les deepfakes. La gamification, avec des classements et des séries de réussite, incite les utilisateurs à revenir régulièrement ; des simulations de phishing permettent de tester leurs connaissances ; et des rapports prêts pour les audits présentent vos progrès en matière de NIS2 et d’ISO 27001. Plus de 500 organisations, dont le Parlement européen, utilisent déjà Guardey. Découvrez comment fonctionne notre formation à la sensibilisation à la sécurité.

Votre partenaire informatique prend-il en compte l'aspect humain ?

De nombreuses petites entreprises confient leur informatique à un prestataire de services gérés (MSP), une société informatique qui assure la gestion de leurs systèmes et de leur sécurité moyennant un forfait mensuel. La fraude constitue un angle mort dans ce dispositif : le pare-feu est géré, mais personne ne forme la personne chargée de régler les factures. Il peut être utile de demander à votre MSP si cette prestation peut être ajoutée.

Pour les MSP, Guardey est disponible via des partenaires de distribution tels que le distributeur spécialisé en cybersécurité e92plus, qui aide ses partenaires à lancer de nouveaux services de sécurité grâce à des campagnes marketing prêtes à l'emploi et à une facturation mensuelle par client.

Foire aux questions sur la formation à la prévention de la fraude

Qu'est-ce qu'une formation à la sensibilisation à la fraude ?

Les formations de sensibilisation à la fraude apprennent aux employés à reconnaître les tentatives de fraude dont ils sont la cible, telles que l'usurpation d'identité du PDG, la fraude à la facture et les faux appels, et à y réagir de manière appropriée. L'accent est mis sur les signes concrets et sur une règle de vérification bien définie plutôt que sur la théorie. Les meilleurs programmes combinent des sessions courtes et des simulations réalistes.

Qui a besoin d'une formation de sensibilisation à la fraude destinée aux salariés ?

Tout le monde, mais pas dans la même mesure. Les membres du personnel chargés d’approuver les paiements, de traiter les factures ou de modifier les coordonnées des fournisseurs constituent les cibles principales et sont ceux qui ont le plus besoin de se familiariser avec ces scénarios. Les autres employés ont également intérêt à en connaître les bases, car les fraudeurs s’en servent aussi pour recueillir des informations ou entrer en contact avec la bonne personne.

À quelle fréquence faut-il organiser des formations de sensibilisation à la fraude ?

Mieux vaut court et fréquent que long et sporadique. Quelques minutes par semaine suffisent pour entretenir vos réflexes et vous permettre de réagir aux nouvelles arnaques dès leur apparition. Un module annuel unique est vite oublié.

Quelle est la différence entre la fraude au mandat et la fraude à la facture ?

Dans le cas d'une fraude à la facture, vous réglez une seule fois une facture falsifiée ou modifiée. Dans le cas d'une fraude au mandat, le malfaiteur vous convainc de modifier les coordonnées bancaires d'un fournisseur, de sorte que tous les paiements futurs soient versés sur un compte erroné jusqu'à ce que quelqu'un s'en aperçoive. Ces deux types de fraude sont contrés par la même règle : vérifiez les modifications via un canal auquel vous faites déjà confiance.

La fraude visant les organisations change sans cesse de visage, mais la pression qui la sous-tend reste la même. Les équipes qui se sont entraînées à reconnaître les situations d’urgence, les demandes d’autorité et les demandes confidentielles, et qui savent qu’il est toujours légitime de rappeler pour vérifier, parviennent à déjouer la plupart des tentatives avant même que l’argent ne soit transféré.