Usurpation d'identité d'entreprise : repérer et réagir
Depuis quelques mois, les tentatives d'usurpation d'identité d'entreprise qui arrivent dans ma boîte mail et sur le formulaire de contact de KERIONIS se multiplient. Faux organisme public, faux acheteur professionnel, faux organisateur de prix : les messages sont mieux écrits, mieux ciblés, plus crédibles qu'avant. Voici ce que nous voyons passer en ce moment, comment ces fraudes fonctionnent, et comment les repérer avant de tomber dans le piège.
Un doute sur un message reçu ?
Un message vous paraît douteux et vous voulez un avis avant de répondre ?
Contactez KERIONIS, nous regardons ça avec vous.
Ce que nous recevons en ce moment chez KERIONIS
En tant que prestataire informatique, nous sommes une cible logique : nous vendons du matériel, nous facturons des prestations, et un faux client qui obtient des ordinateurs portables sans jamais payer fait une belle affaire. En moins de trois mois, nous avons reçu trois familles de tentatives bien distinctes.
La première se présente comme un organisme public qui renouvelle son parc informatique. Vingt ordinateurs portables, des spécifications techniques précises, une signature soignée avec SIRET et numéro de TVA, et surtout cette phrase qui revient toujours : la demande de confirmer que nous acceptons le règlement par mandat administratif. Le message est poli, formel, presque parfait. Le piège est là : livrer le matériel à une adresse, le paiement public n'arrivant jamais.
La deuxième arrive directement par notre formulaire de contact. Une société au nom plausible, parfois quasiment identique à celui d'une vraie entreprise existante, demande un devis pour du matériel, ou sollicite l'ouverture d'un compte professionnel à paiement différé (achat sur facture, affacturage). L'adresse email utilise un nom de domaine récent, légèrement différent du domaine officiel de l'entreprise réelle. L'objectif : obtenir une commande à crédit qui ne sera jamais réglée.
La troisième est plus exotique : un faux organisme de récompense internationale nous annonce en anglais que KERIONIS a été "présélectionnée" pour un prix prestigieux. Contact par WhatsApp ou Telegram, lien vers un formulaire, demande d'informations détaillées sur l'entreprise. Derrière le vernis flatteur, soit une collecte de données, soit des "frais de dossier" à régler plus tard.
Pourquoi les PME et indépendants sont visés
Les grandes entreprises ont des services achats rodés, des procédures de vérification, des contrôles internes. Une PME, une profession libérale ou un prestataire solo n'a souvent ni le temps ni les outils pour vérifier chaque demande entrante. C'est exactement ce que les fraudeurs exploitent.
Deux choses ont changé récemment. D'abord, l'intelligence artificielle permet de rédiger des messages dans un français impeccable, sans les fautes grossières qui trahissaient autrefois l'arnaque. Le faux courrier administratif ressemble désormais à un vrai. Ensuite, les données d'entreprise sont publiques : SIRET, dirigeant, adresse, secteur d'activité se trouvent en quelques clics. Un fraudeur peut donc personnaliser son message, vous appeler par votre nom, citer votre activité réelle.
Le résultat, c'est un volume qui augmente et une qualité qui progresse. Selon Cybermalveillance.gouv.fr, 16 % des TPE et PME ont subi au moins un incident sur douze mois, et la part des entreprises parmi les victimes assistées a bondi de 73 % en 2025. Vous n'êtes pas paranoïaque : la menace est bien réelle et elle vous concerne.
Filtrer ces messages en amont
Vous voulez sécuriser votre messagerie et filtrer ce type de message en amont ? Découvrez notre approche de protection des messageries professionnelles.
Comment fonctionne une usurpation d'identité d'entreprise
Une usurpation réussie suit presque toujours le même déroulé. Comprendre ce mécanisme, c'est déjà savoir où le briser.
Tout commence par le repérage de la cible. Le fraudeur identifie des entreprises qui vendent des biens facturables ou accordent du crédit fournisseur. Vient ensuite le choix d'une identité crédible : une vraie organisation existante dont on copie le nom, un organisme public au nom vraisemblable, ou une société fictive habillée d'un SIRET et d'une signature complète. Le canal est alors sélectionné selon la cible : email, formulaire de contact, téléphone, parfois courrier papier.
Le cœur du dispositif, c'est la demande. Elle joue toujours sur deux ressorts : la crédibilité (documents soignés, ton officiel, références réglementaires) et un mode de paiement qui décale le règlement dans le temps (mandat administratif, compte à 30 ou 60 jours, affacturage). Entre la livraison et le moment où vous comprenez que rien n'arrivera, le matériel est déjà revendu et le faux contact a disparu.
L'exécution est le seul moment où vous pouvez encore tout arrêter sans dégât : avant d'expédier quoi que ce soit, avant d'ouvrir un compte, avant de communiquer des informations sensibles.
Les canaux utilisés par les fraudeurs
L'usurpation n'arrive pas que par email. Tous vos points de contact peuvent servir de porte d'entrée, et il vaut mieux les connaître tous.
L'email et l'usurpation d'expéditeur
C'est le canal le plus courant. Le fraudeur falsifie le nom affiché, utilise un domaine récent ressemblant au domaine officiel d'une vraie organisation, ou crée une adresse de toutes pièces. Un nom d'expéditeur correct ne garantit jamais l'authenticité : seule l'adresse complète, et surtout le domaine, comptent. Une messagerie professionnelle bien configurée filtre déjà une grande partie de ces messages.
Le formulaire de contact du site
Beaucoup de demandes frauduleuses passent par le formulaire de contact, justement parce qu'il est ouvert à tous. La société expéditrice porte un nom plausible, l'adresse email semble professionnelle, mais le domaine est récent et légèrement décalé par rapport à l'entreprise réelle. La demande type : un devis volumineux, ou l'ouverture d'un compte à paiement différé.
Le téléphone et le vishing
Le vishing (hameçonnage par téléphone) ajoute la pression de la voix et de l'instant. Le faux interlocuteur se présente comme un fournisseur, une banque, un service public, et cherche à obtenir une validation immédiate, un virement, ou des informations confidentielles. La règle est simple : on ne valide jamais rien à chaud, on rappelle toujours sur un numéro officiel vérifié soi-même.
Le courrier physique et le faux document officiel
Plus rare mais réel : faux courriers d'administration, fausses factures d'annuaire professionnel, faux avis de "mise à jour obligatoire" au registre.
Le papier inspire confiance, c'est précisément ce qui en fait un vecteur d'usurpation efficace. Tout document réclamant un paiement ou une action urgente mérite vérification auprès de l'organisme officiel concerné.
Ce que disent les chiffres officiels
-
500 000
victimes assistées par Cybermalveillance.gouv.fr en 2025.
-
+73 %
d'entreprises parmi les victimes assistées sur un an.
-
16 %
des TPE et PME ont subi au moins un incident sur douze mois.
-
+51 %
d'incidents d'exfiltration de données traités par l'ANSSI en 2025 (196 cas).
-
48 %
des victimes de rançongiciel sont des TPE, PME ou ETI (Panorama ANSSI 2025).
Trois arnaques que nous voyons passer
Au-delà du mécanisme général, voici concrètement les trois scénarios qui reviennent le plus souvent dans nos boîtes mail, anonymisés.
Le faux organisme public à mandat administratif
Un message se présente comme un organisme public renouvelant son parc informatique. Spécifications techniques détaillées, signature complète avec SIRET et TVA, ton administratif irréprochable. Le signal d'alerte central : la demande de confirmer que vous acceptez le mandat administratif, présenté comme une obligation réglementaire. Un vrai marché public passe par des procédures formelles (Chorus Pro, appels d'offres), jamais par un simple email sollicitant une livraison sur confirmation.
Le faux acheteur B2B à paiement différé
Une société B au nom presque identique à celui d'une entreprise réelle vous contacte, depuis un domaine récent légèrement modifié. Elle demande un devis important, ou directement l'ouverture d'un compte à crédit (achat sur facture, affacturage). L'urgence et le volume servent à court-circuiter votre vigilance. Le vrai but : repartir avec la marchandise avant la moindre échéance de paiement.
Le faux prix ou la fausse distinction
Un organisme de récompense inconnu vous annonce une présélection flatteuse, souvent en anglais, avec contact par messagerie instantanée. Derrière, une collecte d'informations sur votre entreprise, ou des frais de participation à régler. Aucune distinction sérieuse ne se sollicite par WhatsApp avec un lien vers un formulaire.
Les risques réels pour votre entreprise
Tomber dans le piège ne se limite pas à une commande impayée. Les conséquences se cumulent vite.
Le risque financier direct
Le risque financier est le plus direct : matériel livré jamais payé, prestation réalisée à fonds perdus, ou virement émis vers un faux compte. Pour une PME, quelques milliers d'euros représentent parfois une trésorerie entière.
Le risque juridique et RGPD
Vient ensuite le risque juridique et RGPD. Si vous transmettez des données (informations clients, identifiants, documents internes) à un usurpateur, vous pouvez vous retrouver à l'origine d'une fuite, avec une obligation de notification à la CNIL sous 72 heures à la clé.
Le risque de réputation
Le risque de réputation est plus insidieux. Si c'est votre propre identité qui est usurpée pour piéger vos clients, c'est votre nom qui est associé à la fraude, même sans aucune faute de votre part.
Le risque de rebond sur vos clients
Enfin, le risque de rebond : un accès obtenu chez vous sert souvent de tremplin vers vos clients et partenaires.
Comment repérer une usurpation
La bonne nouvelle, c'est que ces fraudes laissent presque toujours des traces. Voici où regarder.
Les signaux dans le message lui-même
Méfiez-vous d'une urgence injustifiée, d'un volume de commande inhabituel pour un premier contact, d'une insistance sur un mode de paiement différé, ou d'un ton trop parfait pour être spontané.
Une demande qui coche plusieurs de ces cases mérite une vérification systématique avant toute réponse.
Vérifier un expéditeur et un nom de domaine
Regardez l'adresse email complète, pas seulement le nom affiché. Comparez le domaine au site officiel de l'organisation. Un domaine créé récemment, avec une orthographe légèrement modifiée (lettre en plus, tiret ajouté, extension différente), est un signal fort. La date de création d'un domaine se vérifie en quelques secondes avec un service de whois.
Vérifier une organisation qui vous contacte
Ne vous fiez jamais aux seules coordonnées fournies dans le message. Cherchez l'organisation indépendamment : site officiel, annuaire SIRENE, numéro de standard public. Rappelez sur un numéro que vous avez trouvé vous-même, jamais sur celui de la signature. Pour un organisme public, vérifiez que la demande passe bien par les canaux réglementaires habituels.
Que faire quand vous en repérez une
Une fois la tentative identifiée, quelques réflexes simples limitent les dégâts et aident la collectivité.
Les réflexes immédiats
Ne répondez pas et ne cliquez sur aucun lien : répondre confirme que votre adresse est active et vous expose à une relance plus travaillée. Conservez les preuves : email complet avec en-têtes, captures du formulaire, courrier papier. Si une vraie organisation est usurpée, prévenez-la sur ses coordonnées officielles, elle peut alerter ses clients et porter plainte.
Signaler la tentative
Côté signalement, transférez les emails frauduleux à Signal Spam, signalez les contenus illicites sur Pharos (la plateforme du ministère de l'Intérieur), et appuyez-vous sur Cybermalveillance.gouv.fr pour le diagnostic et l'orientation. KERIONIS est d'ailleurs référencée sur Cybermalveillance.gouv.fr, le dispositif national d'assistance aux victimes.
Si c'est votre entreprise qui est usurpée
Le scénario s'inverse parfois : c'est votre nom, votre logo ou votre identité qui servent à piéger d'autres. Là aussi, il faut agir vite et méthodiquement.
Portez plainte auprès de la police ou de la gendarmerie : l'usurpation d'identité est un délit. Alertez vos clients et partenaires par un canal officiel et vérifié, pour qu'ils sachent que des messages frauduleux circulent en votre nom. Si un domaine ressemblant a été déposé, signalez-le auprès du registrar et, le cas échéant, de l'AFNIC pour les extensions .fr. Documentez tout, ces éléments serviront à la procédure et à limiter la propagation.
Notre approche chez KERIONIS
Chez KERIONIS, nous traitons ce sujet sur deux fronts. En prévention, nous configurons des messageries professionnelles solides, nous mettons en place des solutions de filtrage des emails qui écartent une bonne partie de ces tentatives avant qu'elles n'atteignent vos collaborateurs, et nous prenons le temps de sensibiliser les équipes aux signaux à reconnaître.
En accompagnement, quand un message douteux arrive, nous l'analysons avec vous plutôt que de vous laisser décider seul dans l'urgence. Nous intervenons auprès des PME, collectivités et professions libérales à Rennes, en Ille-et-Vilaine et en Bretagne. Pas de discours, du concret : vous nous transmettez le message, nous vous disons ce qu'il en est.
Pour aller plus loin sur la protection globale de votre système d'information, consultez notre approche de la cybersécurité pour les PME et notre page sur la protection des données et des utilisateurs.
Sécuriser votre système d'information
Vous doutez d'un message, ou vous voulez renforcer la protection de votre messagerie et de votre système d'information ?
Demandez un audit gratuit ou écrivez-nous directement.
Nous répondons à vos questions
Qu'est-ce qu'une usurpation d'entreprise ?
C'est l'utilisation frauduleuse du nom, du logo, des coordonnées ou de l'identité d'une vraie organisation pour tromper un tiers, généralement afin d'obtenir du matériel, un paiement ou des informations confidentielles.
Comment reconnaître un faux client professionnel ?
Méfiez-vous d'une commande importante dès le premier contact, d'une demande de paiement différé ou de compte à crédit, d'un domaine email récent légèrement différent du domaine officiel, et d'une urgence injustifiée. Vérifiez toujours l'organisation de façon indépendante.
Que faire si je reçois un email usurpant une PME ?
Ne répondez pas, ne cliquez sur aucun lien, conservez le message complet, prévenez l'organisation réellement usurpée sur ses coordonnées officielles, puis signalez l'email à Signal Spam et les contenus illicites sur Pharos.
Le mandat administratif est un signal de fraude ?
Pas en lui-même, mais une demande non sollicitée insistant pour livrer du matériel contre une simple confirmation d'acceptation du mandat administratif est un signal d'alerte fort. Un vrai marché public suit des procédures formelles.
Mon entreprise est usurpée, que dois-je faire ?
Portez plainte, alertez vos clients et partenaires par un canal officiel, signalez tout domaine ressemblant auprès du registrar et de l'AFNIC pour les .fr, et documentez chaque élément. Un prestataire informatique peut vous aider à cadrer la réponse.