Réponse courte
Dans une arnaque au président (fraude au CEO), des criminels se font passer pour un dirigeant, un avocat ou un partenaire commercial et poussent des collaborateurs à effectuer un paiement en jouant sur l’autorité, l’urgence ou le secret. Qu’une assurance couvre la perte financière directe ne dépend pas du mot « cyber », mais de l’événement assuré : la forensique IT après la compromission d’un compte e-mail peut relever d’une couverture cyber ; le montant viré relève souvent plutôt du domaine crime, abus de confiance ou d’un module d’ingénierie sociale expressément convenu.
Une promesse générale de couverture serait fausse. Les produits cyber, crime et abus de confiance sont délimités différemment. Examinez ensemble la police, les conditions, les avenants, les sous-limites et les exigences d’authentification.
Pourquoi l’arnaque au président est un risque lié aux processus métier
L’OFCS a indiqué en janvier 2026 que les cas d’arnaque au président qui lui avaient été signalés étaient passés de 719 en 2024 à 971 en 2025. Les auteurs n’utilisent pas seulement de faux e-mails, mais aussi WhatsApp, le téléphone, des styles d’écriture imités et des voix deepfake.
Signaux d’alerte typiques :
- urgence inhabituelle ou secret strict ;
- demande de contourner exceptionnellement le processus de validation habituel ;
- nouvelle relation bancaire ou paiement à l’étranger ;
- prétendu avocat ou conseiller comme autorité supplémentaire ;
- domaine d’expéditeur avec de légères inversions de lettres ;
- demande de solde de compte, de cartes cadeaux ou de paiement immédiat ;
- numéro de rappel ou lien vidéo provenant uniquement du message suspect.
La protection décisive n’est pas un filtre anti-spam isolé. C’est un processus de paiement que même la direction ne peut pas suspendre sur simple demande.
Argent déjà viré : agir immédiatement
- Appeler la banque sans délai. Utilisez un numéro connu, demandez un rappel ou un blocage du paiement et documentez la référence, le compte bénéficiaire et l’interlocuteur.
- Bloquer les autres paiements. Informez les personnes habilitées à valider les paiements et sécurisez les comptes concernés sans effacer de preuves.
- Impliquer la police et l’OFCS. En cas de dommage financier, l’OFCS recommande de déposer plainte auprès de la police locale ; le signalement à l’OFCS soutient l’évaluation de la situation.
- Préserver les preuves. Conserver les messages originaux, en-têtes, pièces jointes, historiques de chat, numéros de téléphone, validations, justificatifs de paiement et horodatages.
- Vérifier les comptes. En cas de compromission possible de la messagerie, examiner de manière forensique les sessions, règles de transfert, MFA, changements de mot de passe et autres boîtes concernées.
- Déclarer à tous les assureurs potentiellement concernés. Informer les polices cyber, abus de confiance/crime et autres selon leurs voies de déclaration ; ne présumer d’aucune compétence.
Le plan d’urgence cyber général aide à documenter de manière cohérente les rôles, moments et décisions.
Cyber ou crime/abus de confiance ?
| Dommage ou prestation | La cyberassurance peut être pertinente | Crime/abus de confiance peut être pertinent | Points décisifs à vérifier |
|---|---|---|---|
| compte e-mail compromis | forensique, nettoyage et restauration, si l’événement est assuré | pas le cœur typique | définition de l’événement cyber, prestataires et franchise |
| virement erroné direct après tromperie | uniquement avec une inclusion expresse de fraude cyber/ingénierie sociale | souvent le domaine de couverture le plus proche si la tromperie externe est couverte | type de tromperie, personne agissante, authentification et sous-limite |
| IBAN de fournisseur manipulé | selon le module optionnel de fraude | selon la définition de la fraude/ingénierie sociale | obligations de rappel et de validation, modification des données de base |
| détournement par des collaborateurs | pas le cœur cyber typique | abus de confiance classique possible, si assuré | personnes de confiance assurées, période de découverte et preuve |
| fuite de données personnelles ou commerciales | réponse aux incidents, protection des données, responsabilité civile et communication, si assurés | uniquement avec une extension adéquate | cause, données concernées, responsabilité civile et exclusions |
| récupération bancaire, frais d’enquête et frais juridiques | selon le module d’assistance/juridique | selon les frais de constatation du dommage et de poursuite juridique | accord sur les coûts, prestataires, sous-limite |
« Peut être pertinent » n’est pas une promesse. Un produit peut inclure l’ingénierie sociale, l’exclure ou ne la couvrir que par un avenant avec sa propre limite. Certaines conditions exigent des étapes de contrôle définies. Si une confirmation par rappel ou une signature collective convenue a été contournée, cela peut influencer la prestation.
L’Association Suisse d’Assurances souligne que les produits cyber sont conçus de manière différente. Un exemple concret du marché suisse est l’assurance contre les abus de confiance distincte d’AXA, qui décrit les dommages liés à l’ingénierie sociale. On ne peut pas en tirer de conclusions pour d’autres assureurs ou pour son propre contrat.
Matrice de contrôle CFO contre l’ingénierie sociale
Les contrôles les plus efficaces sont simples, prouvables et s’appliquent sans exception. Adaptez les seuils et les rôles à votre entreprise.
| Situation à risque | Contrôle obligatoire | Responsable | Preuve |
|---|---|---|---|
| IBAN nouveau ou modifié | confirmation par rappel via un numéro déjà connu ; valider séparément la modification et le paiement | données de base + créanciers | note de rappel et journal de validation |
| paiement urgent ou confidentiel | pas de procédure spéciale ; validation à quatre yeux et rappel du donneur d’ordre | CFO + deuxième personne habilitée | deux validations techniques |
| instruction du CEO/CA | mêmes limites et contrôles que pour tous les autres | CFO/présidence du CA | politique documentée sans exception |
| paiement à l’étranger ou bénéficiaire inhabituel | seuil d’escalade défini et contrôle de plausibilité indépendant | trésorerie/CFO | liste de contrôle et approbation |
| facture avec nouvelles coordonnées de paiement | comparaison avec le contrat/la commande ; contacter le fournisseur via un canal connu | achats + créanciers | fiche de données de base vérifiée |
| ordre par e-mail, chat, téléphone ou vidéo | vérifier l’identité via un deuxième canal connu | personne destinataire | mention de rappel/confirmation |
| dirigeant injoignable | recourir à la suppléance définie ; ne jamais sauter le contrôle | hiérarchie | validation par le suppléant |
| e-mail externe ayant l’air interne | signaler les expéditeurs externes ; vérifier le domaine et le reply-to | IT + personne destinataire | règle de passerelle e-mail/mention de contrôle |
| nouveau membre de l’équipe finance | exercer les règles de paiement et le scénario d’arnaque au président lors de l’intégration | CFO + RH | attestation de formation |
| soupçon ou tentative échouée | stopper le paiement, signaler en interne, sauvegarder les indicateurs et examiner un signalement à l’OFCS | tous + sécurité | numéro d’incident et journal |
Trois règles valables pour chaque ligne
- Deuxième canal : ne jamais utiliser pour la confirmation le numéro de téléphone, l’adresse ou le lien du message suspect.
- Quatre yeux : la deuxième personne vérifie le contenu et le bénéficiaire de manière indépendante ; un simple clic de validation n’est pas un contrôle.
- Aucune exception pour le chef : l’urgence et la hiérarchie renforcent le contrôle, elles ne le suspendent pas.
Cela correspond aux recommandations actuelles de l’OFCS sur le principe des quatre yeux, la vérification séparée, des processus sans exception et le marquage des e-mails externes.
Ce qui doit figurer dans la comparaison d’assurances
Ne vous contentez pas de faire confirmer l’arnaque au président par la question « ingénierie sociale incluse ? ». Décrivez des scénarios concrets et exigez une attribution écrite :
- faux e-mail du CEO sans compte piraté ;
- compte Microsoft 365 ou Google Workspace réel et compromis ;
- appel deepfake ou message WhatsApp ;
- facture de fournisseur manipulée ou nouvel IBAN ;
- détournement interne par une personne employée ;
- virement malgré le respect du principe des quatre yeux ;
- virement en violation d’une étape de contrôle convenue ;
- frais de récupération bancaire, forensique, conseil juridique et communication.
Comparez pour chaque scénario la définition de l’événement, les personnes assurées, la limite globale, la sous-limite, la franchise, l’antériorité, la période de découverte, les exigences de sécurité et l’accord sur les coûts. La comparaison des polices montre comment examiner plusieurs branches ensemble.
Questions fréquentes
L’arnaque au président est-elle toujours une cyberattaque ?
Non. Une fraude peut reposer uniquement sur la tromperie et un processus de paiement intact, sans qu’un compte IT ait été techniquement compromis. À l’inverse, le Business Email Compromise peut impliquer un compte réellement piraté et donc aussi un cyberincident.
Une cyberassurance couvre-t-elle le montant viré ?
Pas automatiquement. Les pertes patrimoniales directes dues à une tromperie nécessitent souvent un module expressément dédié à la fraude ou à l’ingénierie sociale et peuvent être soumises à une sous-limite propre ou à des exigences de contrôle.
Un rappel téléphonique suffit-il ?
Seulement si le numéro provient d’une source indépendante et déjà connue et que la personne qui confirme vérifie l’ordre concret. Un appel au numéro figurant dans le message suspect ne confirme que l’attaquant.
Qu’est-ce qui est le plus important : la technique ou la formation ?
Les deux aident, mais le processus de validation obligatoire est l’ultime barrière financière. Le marquage des e-mails, la MFA et les filtres aident ; la validation à quatre yeux et la confirmation indépendante empêchent qu’un message convaincant suffise à déclencher un paiement.
Sources officielles et primaires
- OFCS : Arnaque au président – caractéristiques, mesures immédiates et de prévention
- OFCS : « Virement urgent » – l’arnaque au président pour les PME, 27 janvier 2026
- Association Suisse d’Assurances : prestations des cyberassurances et différences entre produits
- AXA Suisse : exemple du marché, assurance contre les abus de confiance avec ingénierie sociale
Contenu vérifié le 18 juillet 2026. Les branches mentionnées servent d’orientation et ne constituent pas une promesse de couverture. Seuls le cas d’espèce et les documents contractuels complets et actuels font foi.