Transcription

• Speaker #0

  touchent désormais massivement les PME et les TPE. Grâce à Angélique Laurieu, directrice juridique au sein d'Innextenso Auvergne-Rhône-Alpes, on va essayer de comprendre ensemble comment fonctionnent ces arnaques, comment s'en protéger et surtout quelle responsabilité pèse sur les épaules du dirigeant quand l'incident survient. Nous vous souhaitons un bon podcast.

• Speaker #1

  Une idée à garder en tête tout au long de cet épisode, derrière chaque fraude se joue toujours la même mécanique, l'exploitation de la confiance de l'urgence et de la bonne foi. Pression, urgence, autorité, confidentialité, ce sont les quatre leviers qui font marcher la quasi-totalité de ces arnaques. Et au-delà des pertes financières, parfois considérables, un dirigeant doit se prémunir sur deux fronts. Protéger son entreprise contre ses fraudes, mais aussi veiller à ne jamais y participer, même involontairement, ce qui engagerait à la fois sa responsabilité civile personnelle pour faute de gestion et la responsabilité pénale de sa société.

• Speaker #0

  Quels sont les types d'arnaques qui ciblent les entreprises ?

• Speaker #1

  Les escroqueries qui ciblent les entreprises ont beaucoup évolué. Elles ne visent de plus seulement les grandes entreprises. Les PME et les TPE sont aujourd'hui tout autant exposées. Et la première étape d'une protection efficace, c'est simplement de savoir identifier ces différentes formes de fraude. L'arnaque au président est sans doute la plus connue, celle qui a fait la une de plusieurs articles de presse, avec des affaires touchant des entreprises de dimension nationale, voire internationale. Le principe ? faire réaliser par un salarié un virement bancaire d'une somme conséquente en lui faisant croire que la demande vient directement du dirigeant. Le vecteur principal, c'est un email reçu par un salarié avec des signaux qui reviennent systématiquement. L'urgence et la confidentialité sont mises en avant, une forte pression est exercée pour que le salarié n'ait pas d'autre choix que d'obéir, l'adresse d'envoi est très proche de l'adresse officielle, ce qui crée la confusion, et le RIB communiqué pour le virement est inconnu du service comptable. Dans le cadre des arnaques aux faux fournisseurs et aux faux RIB, l'objectif est de faire réaliser un virement soit par un salarié vers un faux fournisseur, soit par un client de l'entreprise vers un compte qui n'est pas celui de l'entreprise. Les moyens sont multiples. Un email frauduleux qui se fait passer pour un fournisseur et annonce un changement de RIB, qui est en réalité celui des pirates, ou un piratage direct des boîtes mail de l'entreprise, permettant d'intercepter de vrais échanges avec des fournisseurs ou des clients pour y substituer les coordonnées bancaires. Et il y a un troisième vecteur, la fuite de données, un listing de coordonnées clients est capté et un email est envoyé à l'ensemble du fichier avec un nouveau RIB pour le règlement des factures. Vient ensuite le phishing ou hameçonnage. Le phishing, c'est ce faux email qui pousse à cliquer sur un lien et à saisir des informations confidentielles, mots de passe, coordonnées bancaires, que les pirates réutiliseront ensuite pour accéder à une boîte mail, un compte protégé ou prélever de l'argent. Cette cybermenace touche tous les collaborateurs de l'entreprise. Le rançongiciel est souvent la conséquence directe d'un hameçonnage réussi. Les pirates récupèrent des codes d'accès par e-mail ou installent un rançongiciel via une pièce jointe piégée. L'objectif est de bloquer l'activité de l'entreprise qui perd l'accès à ses données et ses logiciels et se retrouve contrainte de payer une rançon. Pour une PME ou une TPE, c'est un risque de défaillance pur et simple si aucune sauvegarde sécurisée n'a été mise en place. Le Conseil est clair sur ce point. Ne jamais payer la rançon et informer les autorités dans l'urgence. Enfin, on peut citer les arnaques aux institutions et aux aides publiques. Dès la création de la société, les dirigeants reçoivent des courriers d'acteurs privés se faisant passer pour des institutions, infogreffes, impôts, URSAF, registres légaux, pour leur faire croire qu'ils doivent obligatoirement payer des frais, alors qu'il s'agit en réalité de simples référencements ou d'abonnements reconductibles tacitement. Plus tard, en cours de vie sociale, Le dirigeant peut être démarché par des individus qui promettent des subventions, des crédits d'impôts, des aides énergie ou innovation, et demandent en échange une avance de frais ou un pourcentage à verser au préalable. Parfois même un accès aux comptes bancaires de la société. Il existe enfin de fausses alertes de contrôle administratif, avec usurpation de l'identité de l'URSSAF, des impôts, des douanes, voire de la CNIL, pour obliger l'entreprise à payer immédiatement sous la menace de sanctions.

• Speaker #0

  Comment prévenir les fraudes et cyberattaques ? qui menacent l'entreprise.

• Speaker #1

  Maintenant qu'on a fait le tour des menaces, parlons prévention. Dans la plupart des cas où les fraudeurs arrivent à leur fin, ce sont des points critiques négligés qui expliquent la réussite de l'arnaque. La compromission d'email arrive en tête, dans la grande majorité des fraudes externes, la réception d'un email frauduleux est l'élément déclencheur, avec cette adresse très proche de la vraie qui crée la confusion. Le manque de procédure est aussi une faille organisationnelle majeure. Quand les virements sont validés par une seule personne, sans double contrôle, ou que le changement de coordonnées bancaires d'un fournisseur se fait automatiquement, sans vérification, l'entreprise est exposée. Les accès informatiques non trop larges constituent un risque critique. Si un seul accès permet d'entrer dans tout le système, une seule erreur humaine suffit à tout corrompre. Les prestataires peu sécurisés sont aussi un risque souvent sous-estimé. Travailler avec des sous-traitants dont le système n'est pas sécurisé, c'est prendre le risque d'une fuite de données clients ou d'une compromission des accès qu'on leur a donnés. Et puis il y a l'ingénierie sociale, la manipulation psychologique d'un collaborateur pour exploiter sa confiance, son ignorance ou une faiblesse organisationnelle. C'est exactement le ressort de l'arnaque au président. Face à ces risques, il existe heureusement plusieurs mesures prioritaires et elles sont loin d'être hors de portée d'une PME ou d'une TPE. La toute première, la plus importante, c'est la formation des équipes. L'ignorance est source de danger. Sensibiliser les salariés aux arnaques qu'ils peuvent rencontrer, leur apprendre à les déjouer et cibler la formation selon les postes. C'est aussi une condition essentielle pour limiter la responsabilité du dirigeant en cas d'incident. Vient ensuite tout ce qui relève des procédures antifraude. Une double validation obligatoire des virements, une vérification téléphonique systématique, une procédure formalisée pour tout changement de RIB, et la transmission des RIB au client via des liens sécurisés plutôt que par email en clair. Sur le plan technique, plusieurs réflexes changent tout. D'abord, le cloisonnement du réseau informatique, en cas de cyberattaque, séparer un réseau utilisateur, Un réseau serveur, un réseau administrateur et un réseau sauvegarde évitent qu'un mauvais clic ne corrompe l'ensemble du système. Ensuite, la double authentification, ou MFA, qui doit être rendue obligatoire partout, deux formes de vérification d'identité, comme un mot de passe et un code SMS, pour limiter drastiquement les accès non autorisés. À cela s'ajoute un gestionnaire de mots de passe. Chaque compte doit avoir le sien, stocké et chiffré individuellement, accessible via un seul mot de passe maître. Il faut aussi penser à la journalisation des opérations sensibles qui assure la traçabilité des accès et des actions, identifiants, actions réalisées, ordinateurs utilisés, dates et heures, pour faciliter l'investigation en cas d'incident. Et bien sûr, la réalisation de sauvegardes sécurisées quotidiennement qui permet de restaurer le système sans perte majeure de données, notamment en cas de rançon JCL. Un point souvent oublié, l'audit régulier des accès prestataires. Les accès accordés à des tiers ne doivent jamais être permanents. Ils doivent être vérifiés dans la durée pour rester nécessaires et proportionnés. Et enfin, dernier filet de sécurité, la souscription à une cyberassurance, qui permet à l'entreprise d'absorber plus facilement les coûts liés à un incident, face à des arnaques de plus en plus sophistiquées. Cette liste n'est bien sûr pas exhaustive. D'autres moyens de protection existent et se développent en permanence. Et il faut le dire, les arnaques évoluent, elles aussi avec l'intelligence artificielle. L'émergence des deepfakes apporter l'escroquerie à un niveau d'ingénierie sociale inédit. La vigilance des dirigeants est plus indispensable que jamais.

• Speaker #0

  Parlons maintenant du volet juridique. Que dit la loi ? Et surtout, que risque personnellement un dirigeant ?

• Speaker #1

  La législation évolue en permanence et impose de plus en plus d'obligations aux entreprises et à leurs dirigeants. Tout part de la loi Informatique et Liberté de 1978, qui a posé le premier cadre légal du numérique en entreprise. Puis, la législation européenne a pris le relais. Le RGPD, en vigueur depuis 2018, a renforcé les obligations de traitement des données personnelles. La directive NIS2, entrée en vigueur en 2024, a durci les règles de cybersécurité et expose désormais les dirigeants à une responsabilité personnelle en cas de manquement, avec potentiellement une interdiction d'exercer. Et le règlement DORA, applicable depuis 2025, a harmonisé les règles de cybersécurité dans tout le secteur financier européen. Cette accumulation de textes pèse de plus en plus sur les entreprises. Mais la barrière que constitue la société peut tomber et la responsabilité du dirigeant peut être engagée directement en cas de manquement.

• Speaker #0

  Quelles sont les obligations qui pèsent sur le dirigeant en matière de cybersécurité ?

• Speaker #1

  De manière générale, le dirigeant doit veiller personnellement au respect des réglementations et mettre en place les moyens nécessaires. A défaut, sa négligence peut être retenue comme faute civile, voire pénale. Sa responsabilité pénale est très étendue. Elle concerne aussi bien les actes volontaires que les actes involontaires. constitutif d'un manquement ou d'une négligence. Il existe des délits involontaires qui ne nécessitent pas de prouver une intention délictueuse. Les principaux motifs de mise en cause sont La négligence et une préparation insuffisante face aux cyberattaques. Le manquement à une obligation de prudence ou de sécurité des données. Le défaut de signalement de l'incident aux personnes impactées et aux autorités. Et un point important pour la jurisprudence, invoquer le simple fait d'avoir été piraté ne suffit jamais à exonérer le dirigeant. Les juges regardent de comment l'entreprise était préparée, organisée et comment elle a réagi à l'attaque. Deux décisions marquantes illustrent cette logique. La Chambre criminelle de la Cour de cassation a confirmé, le 30 octobre 2001, la condamnation de responsable d'un organisme en raison d'une formation insuffisante du personnel, qui avait facilité l'accès de tiers non autorisés à des données nominatives. Et la Cour d'appel de Paris, le 5 février 2014, confirmée par la Cour de cassation le 20 mai 2015, a pointé la défaillance technique du système et la négligence du responsable, qui n'avait pas suffisamment sécurisé les accès. Le signal envoyé au dirigeant est donc clair, la cybersécurité est désormais un devoir légal, et la négligence peut être sanctionnée à trois niveaux. La société peut voir sa responsabilité engagée en cas de manquement fautif à ses obligations de sécurité numérique, ayant causé un dommage à un tiers. La responsabilité personnelle du dirigeant, elle, ne peut être retenue qu'en présence d'une faute dite « détachable » de ses fonctions, généralement une faute intentionnelle d'une particulière gravité. Dans des situations exceptionnelles, notamment dans des secteurs sensibles comme la santé, l'énergie ou le transport, une cyberattaque facilitée par la violation manifestement délibérée d'une obligation de prudence ou de sécurité, exposant directement des personnes à un risque de mort ou de blessure grave, peut être qualifiée de mise en danger de la vie d'autrui. Enfin, l'entreprise peut engager sa responsabilité contractuelle envers ses clients, partenaires ou fournisseurs lorsque le non-respect de ses engagements en matière de cybersécurité cause un préjudice à ses co-contractants. Là encore, la mise en cause personnelle du dirigeant suppose de démontrer une faute détachable de ses fonctions.

• Speaker #0

  Quelles sont les sanctions en cas de manquement aux obligations de cybersécurité ?

• Speaker #1

  Selon la gravité du manquement, les sanctions vont d'une simple amende à des peines d'emprisonnement, sans compter l'indemnisation des victimes. Avec Niès 2 et Dora, le législateur affiche clairement une volonté de responsabiliser le dirigeant. Sanctions financières pouvant atteindre 10 millions d'euros, ou 2% du chiffre d'affaires, et sanctions personnelles pour les dirigeants en cas de négligence manifeste, jusqu'à l'interdiction temporaire d'exercer des fonctions de direction. Le RGPD, de son côté, prévoit des amendes administratives pouvant atteindre 20 millions d'euros ou 4% du chiffre d'affaires annuel mondial. Et un point pratique à retenir, dès qu'une violation de données survient, l'entreprise doit la signaler à la CNIL dans un délai de 72 heures en documentant précisément l'incident et en informant les personnes concernées si le risque est élevé. C'est la CNIL qui prononce ensuite les amendes, jusqu'à 10 millions d'euros ou 2% du chiffre d'affaires, voire 20 millions d'euros et 4% en cas de manquement très grave. Pour conclure, dans un contexte où les fraudes se professionnalisent et s'appuient sur des techniques toujours plus sophistiquées, se reposer uniquement sur les ressources internes ne suffit plus. La sécurité juridique, technique et financière de l'entreprise repose désormais sur une véritable stratégie, structurée et documentée. qui dépassent largement les seules compétences du dirigeant ou de ses collaborateurs. L'accompagnement par des professionnels n'est plus un confort, c'est une nécessité. Le conseiller juridique sécurise le cadre, responsabilité, contrat, politique de sécurité, gestion de crise, notification quenille, contentieux éventuels. Les experts informatiques conçoivent et maintiennent les dispositifs techniques, cloisonnement, sauvegarde, MFA, détection d'incidents. Et l'assureur permet de transférer une partie du risque et d'organiser l'assistance en cas de sinistre. En combinant ces trois expertises et en formant ses équipes, le dirigeant démontre qu'il a pris des mesures raisonnables et proportionnées. Il renforce sa défense en cas de mise en cause de sa responsabilité personnelle et surtout, il augmente considérablement les chances de surmonter un incident sans qu'il ne devienne une crise majeure.

• Speaker #0

  On retient qu'aujourd'hui... Aucune entreprise n'est trop petite pour être ciblée. Que la formation des équipes reste la mesure numéro un et que la responsabilité du dirigeant est de plus en plus directement engagée par les textes européens. Si ce sujet vous concerne, n'hésitez pas à vous rapprocher de vos conseillers in extenso pour faire un point sur votre niveau de préparation. Merci de nous avoir écoutés. Pour ne rien manquer des prochains podcasts, n'hésitez pas à vous abonner à cette émission sur votre plateforme d'écoute préférée. Et si cet épisode vous a plu, aidez-nous à continuer à créer du contenu de qualité. Une simple note sur votre appli de podcast suffit. A très bientôt pour un nouvel épisode de Parole de droit.