Arnaque à la fausse facture par email : quand un contact connu est usurpé

Par Nicolas Cassini, publié le 16 avril 2026

Nous avons reçu chez Lejumo un email qui semblait provenir d'un contact professionnel connu. L'affichage du nom était correct, le ton de l'échange parfaitement crédible, et une facture était jointe. Pourtant, l'expéditeur réel était vinal.nuc@nsslogistics.com (un domaine sans lien avec notre contact), et le champ Reply-To avait été falsifié pour pointer vers compta@lejumo.com, notre propre adresse catchall. Voici comment fonctionne cette arnaque et comment ne pas se faire avoir.

À quoi ressemble cet email frauduleux ?

L'email se présente comme la réponse à un rappel de paiement concernant la facture FRC4768 émise au nom de "Babajide Laguda", 23 Av. Kléber, 75116 Paris. Le message est court, poli, sans faute d'orthographe : "Veuillez m'excuser pour ce retard. Le règlement sera effectué très prochainement." Tout est conçu pour rassurer et éviter tout questionnement.

Le mécanisme de l'arnaque BEC (Business Email Compromise)

On parle aussi d'arnaque au faux virement ou à la fausse facture. Elle cible les entreprises et indépendants en exploitant plusieurs leviers :

• L'usurpation du nom d'affichage : la plupart des messageries affichent d'abord le nom de l'expéditeur, pas son adresse. L'escroc utilise le vrai nom d'un contact pour passer le premier filtre de méfiance.
• L'adresse réelle cachée : l'email vient de vinal.nuc@nsslogistics.com, un domaine quelconque, mais visible seulement si on clique sur le nom de l'expéditeur.
• Le Reply-To falsifié : en répondant à cet email, votre réponse n'irait pas à l'expéditeur réel, mais à compta@lejumo.com, notre catchall. Ce détournement permet à l'escroc de contrôler la suite de la conversation ou, dans d'autres variantes, de rediriger les réponses vers une boîte qu'il contrôle.

Toutes les arnaques de ce type ne reposent pas sur une simple usurpation d'affichage. Dans certains cas, l'attaquant a réellement piraté la boîte mail légitime d'un fournisseur ou d'un collègue, et envoie son message depuis la vraie adresse, avec l'historique complet des échanges précédents. Ce scénario est nettement plus difficile à détecter, car vérifier l'adresse réelle de l'expéditeur ne révèle alors rien d'anormal : l'adresse est authentique, seul le contenu du message a changé, généralement un nouveau RIB glissé dans un fil de conversation existant. Face à ce risque, la seule protection fiable reste d'appeler le contact par téléphone, sur un numéro connu à l'avance et non celui indiqué dans l'email, pour confirmer tout changement de coordonnées bancaires, quelle que soit la légitimité apparente de l'adresse d'envoi.

Une autre variante du BEC cible directement les salariés plutôt que les fournisseurs : la fraude au président. Un email, parfois suivi d'un appel téléphonique, se fait passer pour un dirigeant de l'entreprise et demande à un collaborateur d'exécuter en urgence et en toute confidentialité un virement inhabituel, souvent vers l'étranger. Le ressort psychologique diffère de celui de la fausse facture fournisseur : ici, c'est l'autorité hiérarchique et la pression du secret qui poussent à agir vite, sans en référer à un supérieur ou à un collègue. Une demande de virement urgent et confidentiel, même signée d'un nom connu, doit toujours être vérifiée en direct auprès de la personne concernée avant tout paiement.

Les signes qui trahissent l'arnaque

• Adresse expéditeur incohérente : cliquez toujours sur le nom affiché pour révéler l'adresse réelle : ici vinal.nuc@nsslogistics.com n'a aucun rapport avec l'entreprise supposée
• Reply-To différent de l'adresse d'envoi : c'est le signe le plus révélateur d'une tentative de détournement : un expéditeur légitime n'a aucune raison de séparer ces deux champs
• Facture d'un tiers inconnu : "Babajide Laguda, 23 Av. Kléber, 75116 Paris" n'est pas un fournisseur référencé, donc toute facture d'un inconnu, aussi bien présentée soit-elle, doit déclencher une vérification
• Ton neutre et rassurant : contrairement au phishing classique qui crée l'urgence, le BEC joue sur la normalité : pas de pression, pas d'erreur, juste un échange professionnel qui semble anodin
• Contexte fabriqué : le fil de conversation montre un "rappel de paiement" préalable : un artifice pour simuler une relation commerciale établie et légitimer la facture

Pourquoi notre adresse compta@lejumo.com a-t-elle été utilisée ?

L'adresse compta@lejumo.com est un alias catchall : tout email envoyé à n'importe quelle adresse @lejumo.com atterrit dans notre boîte, même si l'adresse n'a jamais été créée officiellement. Les escrocs exploitent cette pratique courante chez les petites entreprises : ils devinent ou construisent des adresses plausibles (compta@, contact@, facturation@…) pour leur donner l'apparence de la légitimité, sans avoir besoin d'en prendre le contrôle.

Dans notre cas, l'objectif était probablement de faire croire que "Fabrice" travaillait avec Lejumo ou passait par notre service comptabilité : un verni de crédibilité suffisant pour qu'un destinataire non méfiant valide la facture.

Que faire si vous avez reçu un email similaire ?

1. Ne répondez pas et ne cliquez sur aucun lien ou pièce jointe
2. Cliquez sur le nom de l'expéditeur pour vérifier l'adresse email réelle
3. Vérifiez le champ Reply-To dans les en-têtes de l'email (accessible via "Afficher les sources" ou "Détails")
4. Appelez votre contact supposé sur son numéro habituel pour confirmer qu'il a bien envoyé cet email
5. Signalez l'email à phishing@signal-spam.fr ou sur signal-spam.fr

Que faire si vous avez déjà payé la facture ?

1. Appelez immédiatement votre banque pour demander un recall du virement, car la rapidité est déterminante
2. Conservez l'email frauduleux complet (avec les en-têtes) comme preuve
3. Portez plainte au commissariat ou en ligne sur cybermalveillance.gouv.fr
4. Signalez la fraude sur signalement.numerique.gouv.fr