Sensibilisation

Usurpation de domaine par email : les trois formes d'arnaque et comment s'en protéger

Équipe Cyber-Guard · 2026-10-14 · 7 min de lecture

Un client reçoit un email « de votre part » lui annonçant un changement de coordonnées bancaires. Il paie la facture suivante sur le nouveau RIB, qui appartient à un fraudeur. Ce scénario, appelé fraude au faux RIB ou au faux fournisseur, touche chaque année de nombreuses PME, et l'entreprise usurpée en paie souvent le prix en confiance perdue.

Les fraudeurs n'ont pas besoin de pirater votre messagerie pour y arriver. Ils disposent de trois techniques, et chacune demande une parade différente.

1. L'usurpation directe de votre domaine

Le fraudeur envoie un email avec votre adresse exacte dans le champ « De », par exemple comptabilite@votre-domaine.fr, depuis un serveur qui n'a rien à voir avec vous. Techniquement, rien ne l'en empêche : le protocole email ne vérifie pas l'expéditeur par défaut.

La parade est technique et entièrement entre vos mains : SPF, DKIM et surtout DMARC en mode p=reject. Une fois en place, les grandes messageries (Gmail, Outlook, Yahoo...) refusent les emails qui prétendent venir de votre domaine sans en avoir le droit. Notre guide Comment configurer DMARC détaille la mise en place pas à pas.

C'est la seule des trois formes que vous pouvez bloquer complètement. Si votre DMARC est absent ou en p=none, c'est la porte la plus ouverte.

2. Le domaine sosie

Le fraudeur achète un nom de domaine qui ressemble au vôtre : une lettre changée (votre-domalne.fr), un tiret ajouté ou retiré, une autre extension (.com au lieu de .fr), ou un caractère d'un autre alphabet qui ressemble à une lettre latine. Ce domaine lui appartient vraiment : il peut configurer son propre SPF et son propre DMARC, et ses emails passent tous les contrôles.

DMARC ne protège que votre domaine exact. Contre les sosies, les parades sont :

• Réserver les variantes les plus évidentes de votre nom (autres extensions, fautes de frappe courantes). Un nom de domaine coûte quelques euros par an.
• Surveiller l'apparition de nouveaux domaines proches du vôtre. Les certificats SSL étant publics, des outils gratuits comme crt.sh permettent de chercher les certificats émis pour des noms ressemblants.
• Former vos équipes et vos clients à regarder l'adresse complète de l'expéditeur, pas seulement le nom affiché.

3. Le nom d'affichage trompeur

La technique la plus simple : l'email vient d'une adresse quelconque, par exemple une boîte Gmail, mais le nom affiché est « Direction - Votre Entreprise ». Sur téléphone, beaucoup de messageries n'affichent que ce nom. C'est le ressort habituel de la fraude au président, où un faux dirigeant demande un virement urgent et confidentiel.

Aucun réglage DNS ne peut l'empêcher, puisque votre domaine n'est pas utilisé. La parade est organisationnelle.

La règle qui déjoue les trois

Quelle que soit la technique, l'arnaque finit toujours par une demande : changer un RIB, faire un virement, transmettre des identifiants. Une procédure simple suffit à la neutraliser :

1. Tout changement de coordonnées bancaires est confirmé par téléphone, au numéro déjà connu, jamais à celui indiqué dans l'email.
2. Tout virement inhabituel ou urgent demande une double validation par deux personnes.
3. Prévenez vos clients une fois pour toutes : « nous ne changerons jamais nos coordonnées bancaires par simple email ».

Si c'est déjà arrivé

Contactez immédiatement votre banque : un virement frauduleux peut parfois être bloqué s'il est signalé très vite. Signalez ensuite l'escroquerie sur 17Cyber, la plateforme de Cybermalveillance.gouv.fr, qui vous oriente vers les démarches et le dépôt de plainte. Enfin, vérifiez votre DMARC pour fermer la porte à l'usurpation directe.

Où en est votre domaine ?

En 2 minutes, CyberGuard vérifie si votre domaine est protégé contre l'usurpation directe : présence de SPF et DKIM, et niveau de votre politique DMARC.