Un collaborateur reçoit, dans sa messagerie Microsoft 365, un e-mail qui affiche le nom de votre dirigeant. Le ton est pressé, la demande inhabituelle : acheter des cartes cadeaux, régler une facture, confirmer un virement. Tout paraît interne… sauf un détail que personne ne regarde : l'adresse réelle de l'expéditeur n'est pas votre domaine, c'est un gmail.com (ou un autre webmail grand public). C'est l'usurpation du nom d'affichage, et c'est redoutablement efficace.

Le scénario, en clair

L'escroc récupère le nom du dirigeant sur des sources publiques (site de l'entreprise, LinkedIn, mentions légales), puis crée une simple boîte mail gratuite. Il configure le nom d'affichage — l'étiquette lisible que voit le destinataire — avec le nom du patron. L'adresse technique, elle, reste quelque chose comme direction.jd.pro@gmail.com. Le message tombe dans la boîte de réception, avec le bon nom en évidence.

Pourquoi ça passe les protections (SPF, DKIM, DMARC)

C'est le point que beaucoup ignorent : les protections SPF, DKIM et DMARC servent à empêcher qu'on usurpe votre domaine. Or ici, l'attaquant n'usurpe pas votre domaine : il envoie depuis une vraie adresse Gmail, parfaitement conforme aux protections… de Google. Ces contrôles sont donc « au vert » et laissent passer le message. Seul le nom affiché est trompeur — et aucun de ces mécanismes ne vérifie qu'un nom d'affichage correspond à une vraie personne.

Pourquoi on se fait avoir (surtout sur mobile)

Sur smartphone, les applications de messagerie — Outlook compris — affichent le plus souvent uniquement le nom de l'expéditeur, pas l'adresse complète. On lit « Jean Dupont », on ne voit pas le « @gmail.com » caché derrière. Ajoutez l'urgence et l'autorité du « patron », et le collaborateur exécute avant de vérifier. C'est la même mécanique que la fraude au président, en version low-cost.

Comment le repérer en 10 secondes

• Affichez l'adresse réelle : sur mobile, touchez le nom de l'expéditeur pour dérouler l'adresse complète. Si ce n'est pas votre domaine (@votre-entreprise.fr), méfiance immédiate.
• Vérifiez le « Répondre à » : souvent différent de l'adresse affichée, il pointe vers le webmail de l'escroc.
• Demande inhabituelle + urgence + confidentialité : le trio classique de l'arnaque.
• Type de demande : cartes cadeaux, virement express, changement de RIB, « êtes-vous disponible ? » — autant de signaux d'alerte.

Se protéger côté Microsoft 365

Microsoft 365 offre des garde-fous qu'il faut activer et régler :

• Bandeau « expéditeur externe » : ajoutez un marquage visible sur tout e-mail venant de l'extérieur. Un mail « du dirigeant » estampillé « Externe » saute aux yeux.
• Protection anti-hameçonnage (Defender for Office 365) : la protection contre l'usurpation d'identité permet de déclarer vos VIP (dirigeant, DAF…) ; M365 alerte alors quand un message imite leur nom depuis une adresse externe.
• Conseils de sécurité / première prise de contact : activez les avertissements qui signalent un expéditeur inhabituel.
• MFA sur toutes les boîtes : pour éviter, en parallèle, le vrai piratage de messagerie (le BEC, plus dangereux encore).

Se protéger côté organisation

1. Une règle simple et non négociable : aucun virement, aucun achat de cartes cadeaux, aucun changement de RIB sur la seule base d'un e-mail.
2. Vérification par un canal indépendant : on rappelle le dirigeant sur son numéro connu avant d'agir.
3. Sensibilisation : montrez concrètement aux équipes comment afficher l'adresse réelle derrière un nom. Un test interne vaut mille consignes.

Un collaborateur a répondu ou payé : que faire ?

1. Contactez la banque sans attendre pour tenter de bloquer le virement, ou faites opposition/désactivez les cartes cadeaux communiquées.
2. Déposez plainte et conservez le mail (avec les en-têtes) comme preuve.
3. Signalez sur cybermalveillance.gouv.fr.
4. Prévenez toute l'équipe : ces campagnes visent plusieurs collaborateurs à la fois.

Questions fréquentes

Ma boîte mail a-t-elle été piratée ?

Dans ce cas précis, non : l'escroc n'a pas accès à votre messagerie, il copie seulement le nom du dirigeant et écrit depuis une adresse externe. C'est différent du piratage de boîte (BEC), où l'attaquant envoie depuis la vraie adresse — bien plus difficile à détecter.

Pourquoi mes protections anti-usurpation n'ont rien bloqué ?

Parce que SPF, DKIM et DMARC protègent votre domaine, pas le nom d'affichage. L'e-mail vient d'une adresse Gmail légitime, donc ces contrôles sont satisfaits. Il faut d'autres réglages (bandeau externe, protection contre l'usurpation d'identité) pour ce cas.

Comment voir la vraie adresse sur téléphone ?

Touchez (ou maintenez) le nom de l'expéditeur en haut du message : l'adresse complète s'affiche. Prenez ce réflexe systématique pour toute demande sensible.

La parade tient en une phrase : on vérifie l'adresse, pas le nom. Des équipes sensibilisées suffisent à neutraliser cette arnaque. IT-CORNER × neptis vous accompagne sur la sécurisation de vos messageries et la sensibilisation : découvrez notre offre d'infogérance et nos guides cybersécurité & conformité.