La lutte contre la fraude par ingénierie sociale, enjeu majeur aujourd'hui pour les banques et leurs clients entreprises

Introduction

La lutte contre la fraude est irréfutablement un thème qui préoccupe de nombreuses entreprises en 2016. La fraude touche toutes lestailles d'entreprise et tous les secteurs d'activité. Elle peut être perpétrée par n'importe quel salarié de l'entreprise ou tiers et à n'importe quel moment. L'internationalisation et l'ouverture des frontières, la diversification des métiers bancaires, la révolution des moyens de télécommunications, les exigences de publication et de transparence imposées aux entreprises, et les limites de l'entraide policière et judiciaire internationale ont engendré des failles dans les entreprises que les fraudeurs savent exploiter.

Les gros scandales financiers qui ont éclaté aux Etats Unis (Enron, Xerox et WorldCom), en Europe (Barings, Parmalat et Ahold) et en France (Crédit Lyonnais, Société Générale et Caisse d'Epargne) ont non seulement généré de lourdes pertes financières aux investisseurs, mais aussi érodé la confiance dans les marchés financiers. Dans ce contexte, il faut restaurer cette confiance, améliorer la gouvernance, s'assurer de l'effectivité de l'intégrité du marché et protéger les intérêts des investisseurs. C'est ainsi que le renforcement de la réglementation et de la législation sont apparus indispensables et les établissements de crédit sont au coeur de cette lutte. Cette situation a conduit à l'adoption aux Etats Unis de la loi Sarbanes-Oxley (2002)^1(*), en France, la loi de sécurité financière (2003)^2(*) et le rapport Lagarde (2008)^3(*)ainsi qu'à l'abrogation du CRBF 97-02^4(*) remplacé par l'arrêté du 3 novembre 2014 relatif au contrôle interne des entreprises du secteur bancaire.^5(*)

Les nouvelles techniques de fraude apparues autour des années 2010, plus connues sous le nom de fraude bancaire par ingénierie sociale ou encore fraude aux faux ordres de virements internationaux (par exemple la fraude au président, la fraude au changement de RIB, etc.) ont démontré que d'importants progrès restent à accomplir en matière de lutte contre la fraude à tous les échelons. Désormais, quelques appels téléphoniques suffisent pour dérober des millions d'euros.

Plusieurs institutions (ACFE)^6(*), bureaux d'enquêtes (FBI, Sûreté du Québec, OCRGDF, Police fédérale belge et FEDPOL^7(*)) et grands cabinets d'audit et de conseil (PWC et KPMG) publient régulièrement les résultats de leurs investigations sur la fraude bancaire par ingénierie sociale principalement en Europe et en Amérique du Nord.

Selon le FBI, la fraude aux faux ordres de virements internationaux (FOVI) aurait augmenté de 1300% depuis Janvier 2015 et couté 3.1 milliards de dollars aux entreprises dans le monde: 748 millions de dollars aux entreprise américaines entre octobre 2013 et août 2015, et 485 millions d'euros aux entreprises françaises ces 5 dernières années (source : Office Centrale de Répression de la Grande Délinquance Financière - OCRGDF). Ces chiffres sont inférieurs à la réalité car beaucoup d'entreprises craignent de révéler pour des raisons d'image.

Plusieurs banques (Banque postale, Banque Crelan, Barclays, LCL, etc.), cabinets d'audit et de conseil (KPMG), les entreprises du CAC 40 (Michelin, Total, LVMH, etc.) et même le palais de l'Elysée ont déjà été attaqués. Les grandes entreprises sont attaquées deux fois par jours (source : OCRGDF). Ces dernières rejettent la responsabilité sur leurs banques d'avoir donné leur feu vert à des virements frauduleux et réclament le remboursement intégral des sommes virées sur le compte de l'escroc. Elles affirment que leurs banques n'ont pas procédé aux ultimes vérifications, ni fait preuve de vigilance. De plus, les opérations étaient incohérentes avec la connaissance actualisée que les banques avaient de leurs clients. Cela est contraire aux articles L561-15 et L151-6 du Code monétaire et financier.^8(*) Par conséquent, comme il y a eu manquement grave à « ces obligations de surveillance, contrôle et de vigilance », ces entreprises réclament des dommages et intérêts comme prévu à l'article 1147 du Code civil notamment le remboursement des sommes frauduleuses virées.^9(*)

De leur côté, les banques rejettent la responsabilité sur les entreprises et refusent de rembourser les sommes malhonnêtes virées. Elles évoquent surtout le « principe de non-ingérence »^10(*) qui leur interdit de s'immiscer dans les affaires de leurs clients en recherchant les motifs des transactions financières, excepté en cas d'irrégularités manifestes et évidentes. Elles rajoutent également que les entreprises ont été négligentes et qu'elles auraient dû sensibiliser leurs salariés contre ces nouvelles techniques d'attaques.

Face à ce contentieux^11(*) et à l'explosion de ces nouvelles formes de fraudes externes aujourd'hui, quels sont les enjeux pour les banques et leurs clients entreprises, dans la mise en place des actions de prévention des risques de fraude par ingénierie sociale ? Ce questionnement voudrait, à côté de l'éclairage que nous allons tenter d'apporter, susciter un débat autour de cette question d'actualité brulante.

Ainsi, la dialectique de notre analyse se confine de la manière suivante : un premier chapitre qui présentera d'abord les différentes définitions de la fraude, les typologies de fraude, les motivations des fraudeurs et les exigences réglementaires et législatives ; un deuxième chapitre qui sera consacré à l'importance de la fraude par ingénierie sociale aujourd'hui ainsi que ses conséquences désastreuses pour les banques et les entreprises. Enfin, le dernier chapitre portera sur la définition de l'ingénierie sociale, les différents modes opératoires utilisés par les escrocs ainsi que les techniques de prévention, de détection et de traitement de ces fraudes.

Il s'agit tout simplement dans notre approche de présenter surtout les nouveaux scenarios développés par ces escrocs de plus en plus créatifs, les techniques sophistiquées utilisées, tout en proposant des moyens efficaces permettant d'identifier ces nouvelles attaques, de les déjouer et de les prévenir.

* ¹ Loi Sarbanes-Oxley du 30 juillet 2002, Public Law 107-204, 107th Congress ; disponible sur https://www.sec.gov/about/laws/soa2002.pdf

* ² Loi n^o2003-706 du 1^er août 2003 dite, de « sécurité financière » ; disponible sur https://www.legifrance.gouv.fr/affichTexte.do?cidTexte=JORFTEXT000000428977

* ³ Rapport du 4 février 2008 au Premier ministre, concernant les enseignements à tirer des événements récemment intervenus à la Société Générale, dit « Rapport Lagarde », disponible sur http://www.ladocumentationfrancaise.fr/var/storage/rapports-publics/084000062.pdf

* ⁴ Règlement n° 97-02 du 21 février 1997 ; JORF n°0036 du 12 février 2010 page 2532, texte n° 35 disponible sur https://www.legifrance.gouv.fr/affichTexte.do?cidTexte=JORFTEXT000021817461

* ⁵ Arrêté du 3 novembre 2014. JORF n°0256 du 5 novembre 2014 page 18598 texte n° 10 ; disponible sur https://www.legifrance.gouv.fr/affichTexte.do?cidTexte=JORFTEXT000029700770&categorieLien=id

* ⁶ Association of Certified Fraud Examiners (ACFE) est la première institution de professionnalisation et de formation en matière de lutte contre la fraude dans le monde.

* ⁷ FEDPOL est l'Office fédéral de la police en Suisse.

* ⁸ Code monétaire et financier, 6^e édition, Ed. Dalloz, 2016.

* ⁹ Code civil, 115^e édition, Ed. Dalloz, 2016.

* ¹⁰ « Principe de non-ingérence », Cass. Com. 26 janvier 2010, n^o16 mars 2010, n^o 09-11.210

* ¹¹ Chantal Cutajar, Lutte contre le blanchiment et « devoir d'ingérence » du banquier, commentaire, la semaine Juridique Entreprise et Affaires n° 18, 6 Mai 2010, 1434