La fraude au président ne s’arrête pas aux factures : elle vise aussi les salaires et les loyers. En Belgique, le député fédéral Mathieu Michel a vu son indemnité parlementaire détournée, avant remboursement.
Le député fédéral belge Mathieu Michel (MR) a été victime d’un détournement de salaire via une fraude au président, aussi appelée FoVI. L’intéressé l’a confirmé, information ensuite confirmée par la Chambre des représentants, qui a déposé plainte auprès de la police. La Chambre évoque une « erreur humaine » interne, immédiatement corrigée, et précise que l’indemnité a depuis été versée au député. L’institution indique aussi avoir entrepris des démarches auprès de la banque concernée, bloqué l’adresse utilisée et renforcé ses procédures.
Quand la FoVI quitte la facture pour entrer dans la paie
La fraude au président, ou FoVI, est souvent racontée comme une histoire de fausses factures et de virements urgents vers un compte « fournisseur ». ZATAZ vous en parle depuis des années : faux comptables, faux bailleurs, faux employés, Etc. Mais le mécanisme ne dépend pas uniquement de la facture. Il dépend d’un levier plus simple : convaincre une organisation de changer un RIB, de valider un paiement, ou de modifier une consigne de versement. ZATAZ propose, dans ses formations et ateliers cyber pas moins de 70 tecnhiques malveillantes uniquement attribuées à ce type de Social Engineering. Et c’est exactement ce qui rend l’affaire Mathieu Michel instructive. Cette fois, la cible n’est pas un service achats, mais la chaîne de paiement d’une institution publique et la rémunération d’un élu.
Le scénario, dans sa forme la plus classique, tient en peu de mots : une demande apparemment légitime arrive, souvent par mail, portant sur un « changement de coordonnées bancaires« . Elle reprend les codes attendus, ton administratif, signature, urgence modérée, et une raison plausible. La faille n’est pas un logiciel cassé. La faille, c’est la procédure, ou plutôt son contournement par la persuasion. Quand la Chambre parle d’ »erreur humaine« , elle désigne ce point de friction : une étape de vérification manquante, ou une validation réalisée sur une base insuffisante.
Un député touché, une institution qui admet un retard
Mathieu Michel raconte l’affaire et affirme que la Chambre « semble très en retard » sur la protection de ses systèmes informatiques. Sa formulation traduit un ressenti, mais elle pointe un enjeu central : la cybersécurité ne se limite pas au réseau. Dans les fraudes FoVI, la protection passe par des procédures anti-usurpation et des contrôles de cohérence. Si les circuits de paiement restent trop dépendants du mail et de la confiance dans une demande, une institution peut être « secure » au sens technique, tout en restant vulnérable sur le terrain du social engineering. Rappelons tout de même à cet homme politique qu’il est aussi responsable de ne pas avoir mis une étape sécuritaire qui impose d’être appelé en cas de tout changement d’informations personnelles et sensibles : du RIB au mail en passant par les scans de documents comme la piéce d’identité.
La Chambre confirme l’incident dans un communiqué, et choisit un mot précis : « erreur humaine » au sein de ses services. Elle ajoute deux éléments qui structurent l’après-coup. D’abord, l’erreur a été « immédiatement corrigée » (ce qui n’a pas empéché le malveillant de ponctionner l’argent). Ensuite, l’indemnité parlementaire a depuis été versée à M. Michel, ce qui signifie que la situation a été régularisée pour la victime, mais ne dit rien, à ce stade, du circuit de récupération des fonds initialement partis.
Plainte, banque, Febelfin : la réponse multi-pistes
L’institution indique avoir porté plainte. Cette précision est importante dans ce type de fraude, car le temps compte. Plus la réaction est rapide, plus les chances de bloquer ou de rappeler un virement sont élevées, même si ce n’est jamais garanti. La Chambre évoque aussi des démarches auprès de la banque concernée, ainsi qu’auprès de Febelfin-Ombudsfin, ce qui montre une gestion à plusieurs niveaux : judiciaire pour documenter et identifier, bancaire pour tenter de geler et de tracer, médiation/ombudsman pour cadrer les recours.
Autre point clé : « l’adresse électronique utilisée a été bloquée« . Cela suggère que l’attaque a reposé sur une identité numérique repérable, au moins côté institution, et que la première mesure a été de neutraliser ce canal. L’escroc a utilisé une adresse mail ressemblant à celle du député. Une usurpation numérique vieille comme le mail ! Mais bloquer une adresse est une réponse défensive limitée, car les fraudeurs peuvent en créer d’autres. Le vrai enjeu est ailleurs : « les procédures utilisées ont été renforcées« . C’est la ligne la plus importante, car la FoVI se combat avant tout par des vérifications hors bande et des règles strictes de changement de coordonnées. Rajoutons aussi et surtout l’EDUCATION à lutter contre toutes les cyber fraudes.
Leçon opérationnelle : la FoVI vise l’argent là où il passe
Ce dossier rappelle que la FoVI ne vise pas un secteur, mais un flux. Quand un virement est récurrent, loyer, salaire, indemnité, pension, prestataire, il suffit de réussir une seule substitution de coordonnées pour capter une somme. Les fraudeurs savent aussi que les équipes qui gèrent ces flux sont souvent sous pression, et que les demandes “administratives” sont traitées vite, surtout si elles semblent provenir d’une source interne ou institutionnelle.
La Chambre souligne des “mesures de cybersécurité” déjà en place et annonce des formations à venir pour le personnel et les députés. Cette orientation est cohérente : dans les fraudes d’usurpation, la technologie seule ne suffit pas. L’efficacité vient de l’entraînement, des réflexes, et d’une procédure qui impose des contrôles indépendants, y compris quand la demande a l’air anodine.
Le détournement du salaire de Mathieu Michel montre un déplacement net : la fraude au président ne s’attaque pas seulement aux factures, aux entreprises, elle cible tout versement modifiable par un simple message. La question cyber à suivre est désormais celle de la robustesse institutionnelle : combien d’organisations publiques, privées (et même, nous les particuliers ?) disposent d’un contrôle « hors mail » systématique avant tout changement de coordonnées bancaires, surtout quand l’attaque se présente comme une formalité ? (Le Vif)
