Hameçonnage et fraude au changement de RIB : comment protéger le secrétariat de l'établissement

Octobre est le Mois européen de la cybersécurité, coordonné en Espagne par l'Institut national de cybersécurité (INCIBE). Les chiffres expliquent pourquoi il vaut la peine d'y consacrer un moment au secrétariat : INCIBE a traité 122 223 incidents en 2025, 26 % de plus que l'année précédente. La fraude en ligne a été la principale menace, avec 45 445 cas, quatre sur dix, et l'hameçonnage la technique la plus fréquente, avec 25 133 cas. Sa ligne d'aide gratuite, le 017, a répondu à 142 767 demandes, soit 44,9 % de plus.

Une école, une crèche ou une académie est une cible attrayante pour une raison pratique : de l'argent passe par le secrétariat chaque mois, dans les deux sens, et les messages arrivent de nombreux expéditeurs différents. Cet article passe en revue les fraudes les plus fréquentes dans ce contexte et les mesures qui les bloquent sans avoir besoin d'un service informatique.

Les fraudes qui visent un établissement scolaire

• Le changement de compte du fournisseur. Un e-mail du traiteur de la cantine, de l'entreprise de transport ou de l'éditeur annonce un changement de banque. Il vient parfois d'un domaine presque identique au vrai, parfois du compte authentique du fournisseur, qui a été piraté. Si l'IBAN est mis à jour sans vérification, le paiement suivant disparaît.
• Le faux directeur. Un message urgent qui semble venir du titulaire ou de la direction demande un virement, l'achat de cartes cadeaux ou un paiement « confidentiel ». C'est la fraude au président, qui joue sur l'urgence et la hiérarchie.
• La facture que personne n'a commandée. Des factures pour des services jamais souscrits, comme l'inscription à un prétendu annuaire ou le renouvellement d'un nom de domaine, envoyées dans l'espoir qu'elles soient payées sans contrôle.
• Le vol d'identifiants. Une page qui imite la connexion à la messagerie ou à une plateforme demande l'identifiant et le mot de passe. Avec cet accès, l'attaquant envoie les fraudes précédentes depuis un vrai compte de l'établissement.
• L'usurpation de l'école auprès des familles. Des SMS ou messages prétendant venir de l'école signalent un prélèvement rejeté, avec un lien pour payer. La famille ne se méfie pas, puisqu'elle attend des reçus de l'établissement.

La règle qui bloque presque tout : vérifier par un autre canal

La plupart de ces fraudes tombent avec une seule habitude : toute demande qui déplace de l'argent ou modifie des coordonnées bancaires se confirme par un canal différent de celui par lequel elle est arrivée. En pratique :

1. Changements d'IBAN des fournisseurs : on les confirme en appelant un numéro déjà présent dans votre fiche, jamais celui du message, et en parlant à une personne connue.
2. Double validation : deux personnes de l'établissement valident tout changement de coordonnées bancaires et tout paiement inhabituel.
3. Journal des modifications : qui a changé la donnée, quand et comment elle a été vérifiée. En cas de problème, c'est la première chose que demandera la banque.
4. Pas d'exception pour urgence : si la direction demande quelque chose d'urgent par e-mail, on confirme par téléphone ou de vive voix. Le convenir à l'avance évite que la vérification passe pour de la méfiance.

Des mesures techniques à la portée de tout établissement

• Authentification à deux facteurs sur la messagerie et sur la plateforme de gestion. C'est la mesure qui complique le plus le vol de comptes.
• Un nom de domaine protégé : demandez à la personne qui gère votre messagerie de configurer les enregistrements SPF, DKIM et DMARC, qui empêchent plus facilement d'autres d'envoyer des e-mails au nom de votre domaine.
• Alertes d'expéditeur externe : de nombreux services de messagerie peuvent signaler les messages venant de l'extérieur de l'organisation, ce qui aide à repérer un faux directeur.
• Des mots de passe différents et un gestionnaire de mots de passe, surtout pour les comptes du secrétariat et de l'administration.
• Une formation courte et répétée : INCIBE propose des supports gratuits sur l'hameçonnage par e-mail, SMS et téléphone. Quinze minutes lors d'une réunion d'équipe valent plus qu'une formation par an.

Les familles sont aussi visées

Les familles ne peuvent pas savoir comment l'établissement encaisse si personne ne le leur a expliqué. Un message en début d'année, par le canal officiel, évite bien des déconvenues :

• Comment l'établissement encaisse : par prélèvement bancaire, par l'application ou au secrétariat, et jamais par un lien dans un SMS.
• Ce qu'il ne demandera jamais : mots de passe, codes de vérification ou données de carte par message.
• Où vérifier : dans l'application de l'école ou en appelant le secrétariat.

Plus les paiements et les avis sont concentrés sur un seul canal officiel, plus la famille reconnaît facilement un message qui ne colle pas. C'est pourquoi les groupes de messagerie informels sont un risque supplémentaire, comme nous l'expliquons dans les groupes WhatsApp de parents.

Si la fraude a déjà eu lieu

1. Appelez la banque immédiatement. Plus la demande de blocage ou de retour du virement est rapide, plus les chances de le récupérer sont grandes.
2. Changez les mots de passe des comptes concernés et fermez les sessions ouvertes.
3. Portez plainte auprès de la police et conservez les e-mails et justificatifs.
4. Demandez conseil au 017, la ligne gratuite d'INCIBE.
5. Évaluez s'il y a une violation de données personnelles. Si l'attaquant a accédé à la messagerie ou à la plateforme contenant des données de familles ou d'élèves, l'établissement peut devoir la notifier à l'autorité de protection des données sous 72 heures. Nous l'expliquons, avec le reste du plan de réponse, dans le plan de réponse à une attaque.

Conclusion

L'hameçonnage qui atteint un établissement scolaire est rarement sophistiqué : il fonctionne parce qu'il arrive à un moment de rush et touche une personne autorisée à payer. Confirmer par un autre canal tout changement de compte, exiger deux validations, activer l'authentification à deux facteurs et expliquer aux familles comment l'établissement encaisse supprime l'essentiel du risque, sans rien dépenser.

Si vous voulez que les paiements des familles passent toujours par un canal connu, avec le prélèvement SEPA et le reçu visible par la famille dans l'application, découvrez la facturation d'Edena ou demandez une démo.