La fraude au faux président ou au faux conseiller, une fraude rendue nécessaire par le développement de la réglementation en matière de sécurité des opérations de paiement
Le développement de la fraude de grande échelle, en lien avec la généralisation des réseaux et des outils informatiques, a mis à l’épreuve les qualifications juridiques traditionnelles. Les subterfuges utilisés sont de plus en plus élaborés et les escrocs ne manquent pas de perspicacité quand il s’agit de s’adapter aux couches supplémentaires de sécurité élaborées par le législateur. C’est ce qu’illustre la fraude dite « au faux président » ou au « faux conseiller ».
Pour réagir au vol des données bancaires permettant des achats en ligne ou des opérations frauduleuses (virement vers des pays tiers, etc.) le législateur a imposé aux banques la mise en place de sécurités supplémentaires, en particulier la validation par SMS ou la validation par authentification à deux facteurs dans l’application bancaire installée sur le terminal mobile (FranceNum, Paiements en ligne : l’authentification forte DSP2 pour sécuriser votre site e-commerce est désormais obligatoire, mis à jour le 17 mai 2024).
Les escrocs ont alors développé de nouvelles méthodes pour parvenir à leurs fins, basées sur le détournement des procédures internes pour les entreprises ou sur la manipulation du détenteur du terminal mobile afin d’obtenir sa validation concernant les particuliers
La paternité de la fraude au faux président est attribuée à l’escroc Gilbert Chikli (LeMonde.fr, Escroquerie au « faux Le Drian » : Gilbert Chikli condamné à onze ans de prison, par Simon Piel, publié le 11 mars 2020). Il s’agit concrètement de se faire passer pour le président d’une entreprise et de demander à l’un de ses comptables un virement urgent sur un compte à l’étranger, en le faisant adhérer à un scénario invoquant la lutte contre le terrorisme et une demande pressante des services-secrets.
La technique a été poussée encore avec l’escroquerie au faux « Le Drian », du nom de la ministre de la Défense d’alors. Au cours d’un appel visioconférence, l’escroc revêtu d’un masque fort réaliste invite sa victime, souvent dirigeante d’une grande entreprise ou personnellement fortunée, a contribuer à un fonds secret pour permettre une libération d’otages retenus par des terroristes. Ont été contactés par les escrocs « le roi du Maroc, les patrons de Total et Vinci, l’archevêque de Paris » (France Bleue, Affaire du « faux Le Drian » : deux hommes condamnés à 7 et 10 ans en appel à Paris, de Ilias Psarianos, publié le 9 septembre 2020).
Les individus et organisations sont d’autant plus vulnérables que l’escroc joue sur ressorts moraux ou des valeurs personnelles fortes, qui peuvent conduire les individus à s’affranchir des procédures internes ou de la prudence, pour des raisons impérieuses : patriotisme, lutte contre le terrorisme, obéissance ou dévouement à l’entreprise ou son dirigeant.
La technique est similaire s’agissant de la fraude au faux conseiller. Au prétexte d’interrompre une opération frauduleuse en cours, la victime est appelée par un faux conseiller, qui va lui demander dans l’urgence de valider une opération sur son terminal pour permettre d’empêcher la fraude. La victime autorise en réalité un paiement ou un virement vers l’étranger.
La responsabilité et la charge financière a vocation a être portée de plus en plus par les banques, la jurisprudence se développant dans cette direction, avec potentiellement des conséquences directes de la fraude sur le coût des services financier
La question juridique qui s’est rapidement posée est celle de la responsabilité. Incombe-t-elle au payeur, qui manipulé par l’escroc, désactive la sécurité ?
La Cour de cassation vient d’apporter des réponses attendues dans deux arrêts du mois d’octobre 2024.
Dans un premier arrêt, la Cour de cassation retient que à réception d’ordres de virement émis par une société au profit d’un compte situé hors zone Sepa, présentant des anomalies apparentes, une banque est tenue, en exécution de son obligation de vigilance, de vérifier leur régularité auprès du dirigeant, seule personne contractuellement habilitée à les valider, dès lors que les circonstances inhabituelles de passation des ordres laisse supposer une possible « fraude au président » (Cour de cassation, 2 octobre 2024, pourvoi n° 23-13.282).
Dans un deuxième arrêt, la Cour de cassation a jugé qu’aucune négligence grave au sens de l’article L133-19 du code monétaire et financier ne peut être imputée au titulaire d’un compte qui, contacté téléphoniquement par une personne se faisant passer pour un préposé de sa banque dont le numéro s’affichait, utilise à sa demande le dispositif de sécurité personnalisé pour supprimer puis réinscrire des bénéficiaires de virements dans le but d’éviter des opérations malveillantes (Cour de cassation, 23 octobre 2024, pourvoi n° 23-16.267).
En matière d’escroquerie bancaire, le législateur a prévu une obligation à la charge de la banque de rembourser la victime d’escroquerie, à l’exception des cas où elle démontre que le client a commis une négligence grave à ses obligations (Code monétaire et financier, articles L133-18 et L133-19).
Le risque a donc vocation à être de plus en plus porté par les banques, ce qui pourrait inspirer d’autres actes malveillants, dépassant l’escroquerie et visant plutôt à pénaliser ou déstabiliser le système financier d’un pays, en créant du trouble et en imposant de nouvelles restrictions de sécurité en ralentissant le fonctionnement et en augmentant les coûts opérationnels pour les banques (par exemple : nouveaux développements informatiques, augmentation du prix de la couverture essentielle, etc.). Cela se traduirait mécaniquement par un renchérissement des services financiers pour les acteurs économiques.
A l’ère des croissances atones et des gains de productivités de plus en plus onéreux à obtenir, fabriquer un désavantage compétitif peut être attractif pour des acteurs malveillants dans l’économie mondiale, qui pourraient nous conduire collectivement à retourner nos propres réglementations contre nous-mêmes.
Après le « lawfare », l’heure est-elle au « fraudfare » ?
