Facture suspecte, que faire ?

Bonjour,

Votre intuition est la bonne, ce message a tout du piège. Le premier réflexe tient en une phrase : n’ouvrez pas la pièce jointe, ne cliquez sur aucun lien, ne répondez pas. Laissez ce mail de côté le temps de le vérifier.

Ce que vous décrivez correspond à un scénario très courant en milieu professionnel : le faux fournisseur. Un expéditeur inconnu, une facture que vous n’attendez pas, un secteur volontairement proche du vôtre pour endormir la méfiance. Ce ciblage n’a rien d’un hasard, c’est la signature d’un spear phishing (hameçonnage visant une personne ou une société précise). Vous trouverez d’autres exemples dans notre guide sur les différentes techniques de phishing.

Avec un PDF de ce genre, deux risques cohabitent. Le plus fréquent : le fichier sert d’appât et glisse un lien ou un bouton « Payer la facture » qui renvoie vers une fausse page, ou affiche un IBAN frauduleux pour détourner un virement. Le second, plus rare mais réel : le document est piégé, ou le fichier n’est même pas un vrai PDF mais un programme déguisé.

Commencez par examiner l’expéditeur sans rien ouvrir. Regardez l’adresse email complète, pas seulement le nom affiché : une adresse en @gmail.com pour un soi-disant fournisseur, ou un domaine à peine modifié (une lettre en trop, un .net à la place d’un .fr), trahit souvent la fraude. Survolez les liens du message avec la souris, sans cliquer, pour lire leur vraie destination en bas de l’écran.

Vérifiez ensuite l’extension du fichier joint. Une pièce jointe nommée facture.pdf.exe n’est pas une facture, c’est un exécutable. Windows masque les extensions par défaut, ce qui joue en faveur des escrocs. Notre tutoriel explique comment afficher l’extension d’un fichier sous Windows pour démasquer ce type de piège.

Si vous voulez lever le doute sur le PDF lui-même, ne l’ouvrez surtout pas sur votre poste. Passez par VirusTotal : le service analyse un fichier ou un lien avec plus de 70 moteurs antivirus dans un environnement isolé, une sandbox, sans le moindre risque pour votre machine. Un point à garder en tête : tout ce que vous y déposez peut être partagé avec la communauté sécurité. Pour une facture non sollicitée venue d’un inconnu, aucun souci, mais ne l’utilisez jamais avec un document confidentiel de l’entreprise.

Si vous devez vraiment jeter un œil au contenu, ouvrez-le dans l’aperçu de votre messagerie web (Gmail ou Outlook dans le navigateur) plutôt qu’en le téléchargeant. Cet aperçu s’exécute dans un environnement cloisonné, bien plus sûr que l’ouverture dans Adobe Reader installé sur votre ordinateur. Et quoi qu’il affiche, ne cliquez sur aucun lien et n’activez jamais un bandeau du type Activer le contenu.

Comme il s’agit d’une boîte professionnelle, prévenez la comptabilité et vos collègues. C’est précisément par ce genre de facture que démarrent les fraudes au faux fournisseur et au faux ordre de virement. La règle est simple : aucune facture d’un fournisseur inconnu ne se règle sans une vérification par un canal indépendant, un appel au numéro officiel de la société, jamais celui indiqué dans le mail. Si votre structure dispose d’un service informatique, transférez-lui le message pour analyse.

Pour finir, signalez le mail sur Signal Spam et sur cybermalveillance.gouv.fr, le service public d’assistance aux victimes, puis supprimez-le. Si vous aviez déjà ouvert la pièce jointe ou cliqué sur un lien avant de m’écrire, pas de panique : lancez une analyse antivirus complète et suivez la marche à suivre de notre article j’ai cliqué sur un lien suspect, que faire.

Fabien