Whaling : le phishing qui vise les dirigeants

Un e-mail du PDG, envoyé en fin de journée, demande un virement urgent et confidentiel pour une acquisition en cours. La demande est plausible, le ton est le bon, et personne n’ose contredire la direction. C’est le scénario type du whaling, appelé aussi phishing de haut vol ou « fraude au président » : une attaque d’hameçonnage très ciblée qui vise les « gros poissons » d’une organisation. Cet article explique comment elle fonctionne, ce que disent les cas réels, et comment vous en protéger, que vous soyez dirigeant, assistant ou responsable financier.

À retenir : le whaling ne repose pas sur une faille informatique, mais sur la pression de l’autorité et de l’urgence. La meilleure défense est une règle simple, appliquée à tous, y compris à la direction : aucun virement inhabituel n’est validé sur la seule foi d’un message.

Whaling, spear phishing, phishing : les différences #

D’après Kaspersky, le phishing classique vise des personnes non précises, le spear phishing vise des individus particuliers, et le whaling vise du personnel clé en usurpant l’identité de dirigeants ou de personnes influentes, en ajoutant un élément d’ingénierie sociale qui exploite la réticence des employés à refuser une demande venant de l’autorité.

Le mot recouvre deux configurations, souvent mêlées :

• La victime est un « gros poisson ». Un PDG ou un directeur financier reçoit un faux message de son avocat, d’un fournisseur ou d’un partenaire.
• Le dirigeant est le déguisement. Un comptable ou une assistante reçoit une fausse demande venant du PDG, ce qu’on appelle en France la « fraude au président ».

Pour Kaspersky, les cibles typiques sont les dirigeants, les responsables financiers et les services de paie.

Comment fonctionne une attaque de whaling #

1. La recherche #

Les attaquants étudient leur cible. Selon Proofpoint, ils collectent des informations sur les réseaux sociaux, dans les communications de l’entreprise et dans les sources publiques pour comprendre les rôles, les relations et les habitudes de communication. La CNIL note que l’attaque exploite des informations accessibles en ligne : organigrammes, noms de dirigeants et de fournisseurs, coordonnées bancaires.

2. La mise en place #

L’attaquant prépare son déguisement : usurpation de l’adresse de l’expéditeur, nom de domaine presque identique, faux site, ou prise de contrôle réelle d’une boîte de messagerie. Selon la CNIL, les criminels usurpent aussi l’identité de salariés en volant des couples identifiant et mot de passe. Proofpoint souligne que l’intelligence artificielle générative permet désormais d’imiter le style, le ton et la signature d’une personne.

3. Le scénario : autorité, urgence, confidentialité #

Le message crée une pression : un virement confidentiel pour une acquisition, une facture critique impayée, un changement de coordonnées bancaires de dernière minute. L’urgence et la consigne de ne pas en parler visent à empêcher la vérification.

4. Plusieurs canaux #

Le courriel n’est plus le seul vecteur. Trend Micro note que les attaquants s’étendent à des plateformes comme Slack, Microsoft Teams et les réseaux sociaux. La visioconférence avec des personnes truquées par intelligence artificielle est aussi documentée, comme dans le cas d’Arup ci-dessous. Précision : le guide de Trend Micro ne traite pas explicitement des SMS ni des appels vocaux ; ces canaux sont bien documentés ailleurs, notamment dans les cas de fraude au président par téléphone.

Des cas réels #

Arup, 2024. D’après Fortune, un employé du bureau de Hong Kong de l’entreprise d’ingénierie Arup a participé à une visioconférence dans laquelle le directeur financier et d’autres collègues avaient été reproduits par des deepfakes. Il a effectué 15 virements pour un total de 25,6 millions de dollars (200 millions de dollars de Hong Kong). L’escroquerie a été découverte quand l’employé a vérifié auprès du siège britannique. Arup a précisé que ses systèmes internes n’avaient pas été compromis : c’est la confiance qui a été attaquée, pas l’infrastructure.

Mattel. Selon Kaspersky, un cadre financier a reçu un message usurpé se présentant comme celui du nouveau PDG, et l’entreprise a perdu près de 3 millions de dollars.

Snapchat, 2016. Selon la même source, le service paie a reçu un faux courriel du PDG demandant des données sur les salariés : ici, la cible n’était pas de l’argent, mais des informations.

Proofpoint cite d’autres cas, comme une banque belge (75 millions de dollars en 2016) et un dirigeant du secteur aérospatial révoqué après un transfert frauduleux de 56 millions de dollars.

L’ampleur du phénomène #

Aux États-Unis, la compromission de messagerie d’entreprise (BEC), catégorie qui inclut ces fraudes, représente environ 3 milliards de dollars de pertes déclarées en 2025 selon des analyses du rapport du FBI (IC3), dont le fichier n’était pas lisible pour mon outil, d’où le recours à des synthèses secondaires comme celle de Barracuda. Le FBI a aussi suivi pour la première fois en 2025 les cybercrimes liés à l’IA comme catégorie à part, avec près de 900 millions de dollars de pertes selon la même synthèse.

En France, ces fraudes sont regroupées sous le nom de faux ordre de virement international (FOVI). La CNIL en distingue trois variantes : la fraude au président (demande urgente sous fausse identité dirigeante), la modification des coordonnées bancaires d’un fournisseur et les fausses factures.

Les signaux d’alerte #

Trend Micro cite plusieurs signaux :

• une demande urgente qui exige une action immédiate ;
• l’usurpation d’un collègue ou d’un partenaire de confiance ;
• le recours à l’autorité pour éviter les questions ;
• une demande de données sensibles ou de virement.

À ajouter en pratique : une demande de confidentialité absolue, un contournement de la procédure habituelle, un changement de coordonnées bancaires de dernière minute, un nom de domaine qui diffère d’une lettre, ou un canal inhabituel. Notre guide sur l'analyse d’un e-mail de phishing explique comment vérifier l’origine réelle d’un message, et l’outil Analyseur d’e-mails de ForenShield lit ses en-têtes.

Comment s’en protéger #

Les règles de processus #

• Double validation obligatoire pour tout virement ou changement de coordonnées bancaires important, peu importe l’émetteur de la demande, y compris la direction. Cybermalveillance.gouv.fr recommande une validation hiérarchique obligatoire.
• Vérification hors canal. Confirmez toute demande inhabituelle ou urgente par un autre moyen officiel : un appel à un numéro que vous connaissez, pas celui figurant dans le message. La CNIL recommande de contacter par téléphone les interlocuteurs connus et de tenir à jour une liste de fournisseurs.
• Une règle pour les visioconférences. Ne validez jamais un virement sur la seule base d’un appel vidéo ou vocal : après le cas Arup, une contre-vérification par un second canal reste la parade la plus simple.

Les mesures techniques #

• Authentification du courrier avec SPF, DKIM et DMARC, recommandée par Proofpoint et Trend Micro, pour rendre plus difficile l’usurpation de votre domaine.
• Surveillance des domaines proches du vôtre, comme le conseille la CNIL, avec notre guide sur le takedown d’un site frauduleux et l’outil OSINT sur domaine.
• Marquage des courriels externes et filtres anti-usurpation, selon Kaspersky.
• Authentification multifacteur et moindre privilège sur les comptes de la direction et de la finance.

Le facteur humain #

• Formation ciblée de la direction. Proofpoint recommande des formations spécifiques pour les dirigeants, qui se croient parfois à tort à l’abri. Les scénarios doivent leur ressembler.
• Réduire l’exposition publique des personnes habilitées à payer. Cybermalveillance.gouv.fr conseille de limiter la visibilité des salariés autorisés à ordonner des virements. Le message d’absence automatique d’un dirigeant, qui indique ses dates de déplacement et le nom de son suppléant, donne un exemple d’information exploitable.
• Autoriser à refuser. Une culture où un comptable peut répondre « je vérifie » à un ordre du PDG sans crainte est la meilleure protection.

Si vous êtes victime #

Selon Cybermalveillance.gouv.fr :

1. Identifiez les virements concernés.
2. Alertez votre banque immédiatement pour tenter de bloquer les comptes et de récupérer les fonds : le temps compte.
3. Conservez les preuves : messages, numéros de téléphone, ordres de virement.
4. Déposez plainte au commissariat, à la gendarmerie ou auprès du procureur de la République. Les auteurs encourent notamment des poursuites pour escroquerie (article 313-1 du Code pénal) et usurpation d’identité (article 226-4-1).
5. Changez les mots de passe des messageries compromises et activez la double authentification.

Points clés #

1. Le whaling attaque la confiance et l’autorité, pas les machines : une procédure appliquée à tous vaut mieux qu’un outil de plus.
2. Aucun canal n’est sûr par nature : courriel, messagerie, appel vocal et visioconférence peuvent être imités.
3. La vérification hors canal et la double validation bloquent la grande majorité de ces fraudes.
4. La direction est concernée en premier, y compris par la formation.

Sources #

• Kaspersky : qu’est-ce qu’une attaque de whaling
• Proofpoint : whaling
• Trend Micro : guide du whaling
• Cybermalveillance.gouv.fr : faux ordres de virement (FOVI)
• CNIL : le faux ordre de virement international
• Fortune : Arup, victime d’une fraude par deepfake
• FBI IC3 : rapport annuel 2025
• Barracuda : pertes de la cybercriminalité en 2025