BEC : la fraude au président nouvelle génération contourne même le MFA
Pas de malware, pas de ransomware, pas d'alerte antivirus. Juste un lien, une session volée, et un virement qui part vers le mauvais compte. Pourquoi la compromission de messagerie professionnelle (BEC) place aujourd'hui l'Afrique de l'Ouest au centre de la carte mondiale — et comment le MFA classique ne suffit plus à l'arrêter.
22 octobre 2026 · Équipe SunuCyberSecurity
des attaques BEC mondiales détectées en avril 2026 provenaient du Nigeria — devant les États-Unis (34%)
hausse du volume mondial d'attaques BEC observée en un seul mois (mars → avril 2026)
des cybercrimes signalés en Afrique sont aujourd'hui liés à l'IA, selon le dernier rapport INTERPOL
malware nécessaire : une session de messagerie volée après authentification suffit à tout faire
Sources : INTERPOL African Cyberthreat Assessment Report 2026 ; Fortra BEC Global Insights Report, avril 2026 (données mondiales) — détail en fin d'article
Le BEC — Business Email Compromise, ce que le monde francophone des affaires appelle depuis longtemps la « fraude au président » ou le faux ordre de virement — n'a pas besoin de casser un pare-feu ni de chiffrer un disque dur pour faire des dégâts. Il lui suffit d'une boîte mail professionnelle, d'un moment d'inattention, et d'une technique aujourd'hui bien rodée qui contourne le MFA sans jamais le « casser ». Dans son rapport 2026, INTERPOL qualifie le BEC et les arnaques sentimentales de « prolifiques » en Afrique centrale et de l'Ouest — une région qui concentre aussi une bonne partie de l'infrastructure utilisée pour mener ces attaques à l'échelle mondiale.
L'Afrique de l'Ouest, au centre de la carte mondiale du BEC
Le dernier rapport INTERPOL (données de 36 pays africains, publié en 2026) est sans détour : plus de la moitié des cybercrimes signalés sur le continent sont aujourd'hui liés à l'IA, utilisée notamment pour générer des emails de hameçonnage bien plus convaincants qu'avant. Le rapport situe spécifiquement le BEC et les arnaques sentimentales comme « prolifiques » en Afrique centrale et de l'Ouest, et relève une concentration de centres d'arnaque organisés particulièrement forte en Afrique australe et de l'Ouest.
Cette place centrale se confirme côté infrastructure d'attaque : selon les données mondiales de Fortra, le Nigeria était en avril 2026 le premier pays d'origine des attaques BEC détectées dans le monde (36% des cas), devant les États-Unis (34%) — avec une hausse de volume de 151% en un seul mois. Il faut lire ce chiffre pour ce qu'il mesure réellement : l'origine de l'infrastructure (adresses IP, comptes de messagerie gratuits utilisés dans 57 à 69% des campagnes selon les mois), pas le lieu des victimes. Être une source majeure d'attaques BEC ne veut pas dire être épargné comme cible.
Côté victimes régionales, le rapport « Eye of Horus » d'esentry (premier semestre 2026) donne un signal concret, même s'il ne porte pas exclusivement sur le BEC : environ 1 milliard de nairas de fraude ont échappé aux contrôles automatisés d'institutions ouest-africaines sur cette période, dont trois incidents distincts touchant des structures fintech, paiement et banque de cœur nigérianes — détectés uniquement via audit, tickets support ou alertes de règlement, jamais par les systèmes de détection eux-mêmes. C'est une fraude par accès compromis au sens large, pas un chiffre isolé de pertes BEC pures — mais elle illustre le même angle mort : des systèmes automatisés qui ne voient pas une session qui semble parfaitement légitime.
Le vrai mécanisme : comment une session volée suffit
Les attaques BEC les plus sophistiquées de 2026 ne volent plus un mot de passe — elles volent une session déjà authentifiée. La technique s'appelle AiTM (adversary-in-the-middle) et elle se déroule en sept étapes bien documentées :
1
Le lien
Un email très ciblé, souvent généré ou peaufiné par IA, qui fait référence à une vraie facture, un vrai fournisseur ou une urgence plausible. Le lien pointe vers une fausse page de connexion Microsoft 365 ou Google Workspace, visuellement identique à l'originale.
2
Le proxy invisible
Cette fausse page n'est pas un simple formulaire qui vole un mot de passe : c'est un proxy inverse (technique dite AiTM, adversary-in-the-middle) qui relaie en temps réel tout ce que la victime tape vers le vrai service de connexion.
3
Le vol de session
La victime saisit son mot de passe et valide son MFA normalement — code SMS, notification push, tout fonctionne comme d'habitude. Mais le proxy capture au passage le jeton de session généré APRÈS cette authentification réussie.
4
Le rejeu
L'attaquant réutilise directement ce jeton de session. Il n'a plus besoin de mot de passe ni de MFA : pour le service, c'est une session déjà authentifiée et légitime qui se poursuit.
5
La règle cachée
Une fois dans la boîte mail, l'attaquant crée une règle de messagerie invisible (ex : suppression ou redirection automatique des emails contenant « facture », « virement », « RIB ») pour ne jamais être découvert par la victime pendant qu'il observe.
6
Le changement de RIB
Au moment opportun — souvent en pleine négociation ou juste avant une échéance de paiement réelle — l'attaquant envoie, depuis la boîte mail légitime ou une adresse très ressemblante, de « nouvelles coordonnées bancaires » pour le prochain virement.
7
L'encaissement
Les fonds partent vers un compte relais. Les cartes-cadeaux restent, mondialement, le mode d'encaissement le plus utilisé par les groupes BEC (50% des cas recensés) — rapide, difficile à tracer, impossible à annuler.
Pourquoi le MFA classique ne suffit plus
Un code SMS ou une notification push protège le moment de connexion — pas la session qui en résulte. Dans une attaque AiTM, la victime complète son MFA normalement : le proxy invisible de l'attaquant relaie fidèlement cette étape vers le vrai service, puis capture le jeton de session délivré juste après. Pour l'attaquant, plus besoin de mot de passe ni de code : il rejoue directement une session déjà validée.
Le MFA résistant au hameçonnage (clé de sécurité physique, passkey FIDO2/WebAuthn) change la donne parce qu'il ne se contente pas de vérifier une identité — il vérifie aussi le domaine exact avec lequel il communique, de façon cryptographique. Sur un faux domaine, même visuellement parfait, cette vérification échoue automatiquement : la technique AiTM ne fonctionne tout simplement pas, quel que soit le soin apporté à l'email de hameçonnage.
Ce qu'on sait — et ce qu'on ne sait pas
Être honnête sur les chiffres compte autant que les citer :
Origine ≠ victime
Les statistiques Fortra (36% des attaques depuis le Nigeria) mesurent l'origine de l'infrastructure d'attaque détectée par IP, pas le lieu des entreprises ciblées. Une partie de ces attaques vise d'ailleurs des victimes en Europe et en Amérique du Nord, selon INTERPOL.
Pas de dataset BEC régional isolé
Aucune étude publique ne chiffre aujourd'hui, de façon indépendante, les pertes dues spécifiquement au BEC dans les fintechs ouest-africaines. Le chiffre esentry le plus proche mesure une fraude par accès compromis plus large, pas uniquement le BEC par email.
Détection du rapport INTERPOL, pas un indicateur financier
La qualification « prolifique » vient de données d'application de la loi sur 36 pays — un signal réel de prévalence, mais pas un montant de pertes chiffré région par région.
5 réflexes pour s'en protéger
MFA résistant au hameçonnage
Passer d'un MFA SMS/push à une clé de sécurité physique ou un passkey (FIDO2/WebAuthn). Ce type de MFA lie cryptographiquement l'authentification au vrai nom de domaine — un proxy AiTM sur un domaine usurpé échoue automatiquement, même si l'utilisateur clique sur le lien.
Vérification hors-bande obligatoire
Tout changement de coordonnées bancaires, même venant d'une adresse interne connue, doit être confirmé par un appel vers un numéro déjà enregistré — jamais celui fourni dans l'email. C'est la seule défense qui fonctionne même si la boîte mail est déjà compromise.
Surveiller les règles de messagerie
Une règle de redirection ou de suppression automatique créée récemment, surtout sur des mots-clés financiers, est l'un des signaux les plus fiables d'une boîte mail déjà compromise.
SPF, DKIM, DMARC correctement configurés
Ces trois enregistrements empêchent un tiers d'envoyer des emails en usurpant directement votre propre nom de domaine — un vecteur distinct mais complémentaire du vol de session.
Réduire l'exposition des conventions de nommage
Un attaquant qui devine que vos adresses suivent le format prenom.nom@entreprise.com peut cibler précisément le comptable ou la DAF sans jamais avoir eu accès à un annuaire interne.
Deux outils SunuCyberSecurity contre ce vecteur
Scanner Email Security (SPF/DKIM/DMARC) — vérifie en quelques secondes si votre domaine peut être usurpé par un tiers, et le niveau réel de protection de votre politique DMARC. Disponible dès l'offre SunuLight.
SunuIdentityWatch — identifie les adresses email de vos employés déjà exposées publiquement, détecte une convention de nommage prévisible (prenom.nom@), et vérifie si ces adresses apparaissent dans des fuites de données connues. Disponible avec SunuAdvanced et SunuElite.
Sources et méthodologie
INTERPOL, African Cyberthreat Assessment Report 2026 (données d'application de la loi, 36 pays africains) · Fortra, BEC Global Insights Report, avril 2026 et juillet 2026 (données mondiales sur l'origine des attaques BEC) · Nairametrics, couverture du rapport « Eye of Horus » d'esentry, premier semestre 2026 · mécanisme AiTM détaillé via Darktrace et Expel. Chiffres externes non publiés par SunuCyberSecurity, sauf mention contraire. Données au 22 octobre 2026.
À lire aussi
Mettez ces notions en pratique
Un scan gratuit, en quelques minutes, sans carte bancaire.
Scan gratuitNewsletter
Recevez nos prochaines analyses
Un email quand on publie un nouvel article. Pas de spam, désinscription en un clic.