Arnaques par e-mail et IA à Monaco

Octobre 2026 restera le mois où les institutions monégasques ont cessé de traiter la fraude par e-mail comme un simple sujet informatique. Le 6 octobre, la Chambre Monégasque du Numérique a réuni sur une même scène, au Yacht Club, l'Agence Monégasque de Sécurité Numérique (AMSN), l'APDP et la Direction de la Sûreté Publique, sous le titre « Cybersécurité : tous concernés ». Les Assises de la Cybersécurité ont suivi du 7 au 10 octobre. Puis, le 20 octobre, la session Digital FlashUP au Novotel Monte-Carlo a livré le message dans sa forme la plus directe : l'intelligence artificielle rend les e-mails frauduleux si convaincants que les anciens signaux d'alerte ne fonctionnent plus.

Cet article s'adresse au dirigeant ou au responsable qui n'était pas dans la salle. Voici ce qui a été dit, pourquoi cela compte davantage en novembre et décembre qu'à tout autre moment de l'année, et ce qu'il faut changer dès ce mois-ci.

Ce qui a changé : l'arnaque maladroite a disparu

Pendant dix ans, on a appris aux équipes à repérer le phishing à ses erreurs : une grammaire bancale, un logo approximatif, une formule de politesse qui ne collait pas avec l'expéditeur. L'IA générative efface tout cela. Un escroc produit désormais en quelques secondes un e-mail impeccable en français, en anglais ou en italien, dans le style exact d'une banque, d'un fournisseur ou d'un cabinet d'avocats précis, à partir du simple site web de sa cible et de sa page LinkedIn.

La session du 20 octobre en a détaillé les conséquences : un phishing qui se lit comme un vrai message de collègue, des deepfakes audio et vidéo utilisés pour « confirmer » une demande, l'usurpation d'identité de dirigeants, et le risque plus discret du « Shadow AI », c'est-à-dire des salariés qui collent des données confidentielles dans des outils d'IA publics sans que personne n'ait décidé si c'était autorisé. Les conseils donnés n'avaient rien d'exotique : renforcer les fondamentaux, apprendre les nouveaux signaux d'alerte, vérifier avant d'agir. Le problème, c'est que la plupart des PME monégasques n'ont pas encore mis en place les fondamentaux.

Pourquoi les huit prochaines semaines sont les plus dangereuses

La fraude à la facture et la « fraude au président » culminent quand les équipes financières sont débordées et que les décideurs voyagent. Clôture annuelle, règlements fournisseurs, primes de fin d'année et remplacements pendant les congés créent exactement les conditions recherchées par les escrocs : l'urgence, des valideurs absents et des collaborateurs juniors soucieux de bien faire.

Le scénario type à Monaco est d'une constance désolante. La messagerie d'un fournisseur est compromise, ou simplement imitée avec un nom de domaine presque identique. Un e-mail courtois arrive pour annoncer de « nouvelles coordonnées bancaires » pour une facture en attente. Tout le reste est exact, parce que l'escroc a lu le vrai fil de discussion. Le virement part. Le vrai fournisseur appelle trois semaines plus tard. Le tissu économique monégasque, petit et fondé sur la confiance, facilite la manœuvre au lieu de la compliquer : on a l'habitude de régler les choses vite, entre personnes qui se connaissent.

Quatre mesures qui bloquent l'essentiel

Aucune ne demande un budget sécurité. Elles demandent une décision.

• Une règle de rappel téléphonique pour tout changement de coordonnées bancaires. Aucun changement de RIB, aucun nouveau bénéficiaire, aucun virement urgent inhabituel n'est exécuté sur la seule foi d'un e-mail. Quelqu'un appelle le fournisseur à un numéro déjà enregistré, jamais à un numéro figurant dans le message. Écrivez la règle, communiquez-la à tous vos fournisseurs, et faites-en une consigne que personne ne peut contourner, pas même le gérant.
• L'authentification à plusieurs facteurs sur la messagerie et la banque, sans exception. La plupart des boîtes mail compromises dans les petites structures n'étaient protégées que par un mot de passe. Les passkeys ou une application d'authentification ferment la porte par laquelle passent la majorité de ces attaques.
• L'authentification de votre propre nom de domaine. Les enregistrements SPF, DKIM et DMARC indiquent aux serveurs destinataires quels serveurs ont le droit d'envoyer des e-mails en votre nom. Sans eux, n'importe qui peut écrire « de la part » de votre entreprise, y compris à vos propres clients. C'est une tâche de configuration, pas un achat de logiciel, et elle protège aussi la délivrabilité de vos campagnes d'e-mail marketing et de CRM.
• Une charte écrite d'usage de l'IA. Une page. Quels outils sont approuvés, ce qui ne doit jamais y être collé (noms de clients, contrats, données financières, données personnelles), et à qui s'adresser en cas de doute. Le risque de Shadow AI évoqué le 20 octobre se règle par la clarté, pas par l'interdiction.

La dimension juridique que les dirigeants oublient

Une attaque de phishing réussie se limite rarement à une perte financière. Si la messagerie compromise contenait des échanges avec des clients, il s'agit très probablement d'une violation de données à caractère personnel au sens de la loi n° 1.565 du 3 décembre 2024. L'article 32 de cette loi impose au responsable du traitement de notifier l'APDP dans les meilleurs délais et, si possible, dans un délai maximal de 72 heures après en avoir pris connaissance, sauf si la violation est peu susceptible d'engendrer un risque pour les personnes concernées. Lorsque ce risque est élevé, les personnes elles-mêmes doivent aussi être informées.

Les 72 heures incluent le week-end, et le compteur démarre à la prise de connaissance, pas à la fin de l'enquête. C'est pourquoi la présence de l'APDP à la conférence du 6 octobre n'était pas anodine : la gestion des violations et l'hygiène cyber forment un seul et même chantier. Si vous n'avez jamais cartographié les données personnelles présentes dans vos messageries et vos espaces partagés, un audit de conformité APDP est le point de départ naturel, et il fait généralement remonter en même temps les failles de sécurité des boîtes mail.

Monaco n'est pas membre de l'Union européenne et n'est pas soumise au RGPD. C'est sa propre loi qui s'applique, avec sa propre autorité. En cas de doute sur vos obligations après un incident, prenez rapidement un conseil juridique professionnel plutôt que d'attendre d'avoir le tableau complet.

Votre site web et vos systèmes

Les attaquants utilisent de plus en plus le site web de l'entreprise comme source de renseignement : noms des collaborateurs, format des adresses e-mail, logos des fournisseurs, dates d'événements. Deux points pratiques en découlent.

D'abord, maintenez le site à jour. Une extension WordPress obsolète est l'un des moyens les plus courants de prendre discrètement le contrôle du serveur web d'une petite entreprise, et parfois de sa messagerie, pour envoyer des fraudes en son nom. Un contrat de maintenance de site web avec mises à jour mensuelles et surveillance coûte moins cher qu'un seul virement frauduleux.

Ensuite, choisissez ce que vous publiez. Un organigramme complet avec adresses e-mail directes et intitulés de poste est un cadeau pour l'escroc qui rédige un « message du directeur financier ». Publiez plutôt des contacts par fonction et faites passer les demandes par un formulaire géré.

Si vous introduisez de l'automatisation par IA dans votre service client ou vos processus administratifs, intégrez la même discipline dès le départ : quelles données l'assistant peut voir, ce qu'il peut envoyer, et où un humain valide. Une automatisation capable de déclencher des paiements ou de partager des données clients sans contrôle est une nouvelle surface d'attaque, pas une économie.

La prochaine session et ce qu'il faut y apporter

Le programme Digital FlashUP se poursuit cet automne, avec une session sur la migration vers le cloud annoncée à partir du 12 novembre ; vérifiez les dates et les modalités d'inscription sur monentreprise.gouv.mc. Si vous y allez, venez avec trois questions précises sur votre propre organisation plutôt qu'avec une curiosité générale. Le format de 45 minutes récompense ceux qui savent ce qu'ils veulent corriger.

Si vous préférez que quelqu'un examine votre site, votre configuration e-mail et vos usages de l'IA avant la course de fin d'année, contactez-nous. Nous pouvons livrer un diagnostic ciblé en quelques jours.