Fraude à la paie par phishing : protéger le service RH

Scénario type, reconstitué pour illustration : un 14 janvier, le service RH d’une PME industrielle de 120 salariés reçoit un email qui semble venir de l’un de ses opérateurs de production. Envoyé depuis une adresse Gmail personnelle, il explique que le salarié a changé de banque et demande la mise à jour de son RIB avant le prochain virement de salaire. Le message est poli, il contient le nom complet du salarié, son matricule et un nouveau relevé d’identité bancaire en pièce jointe.

La gestionnaire de paie effectue la modification dans le SIRH. Le 30 janvier, le salaire de 2 340 euros net part sur le nouveau compte. Le 5 février, le vrai salarié contacte les RH : il n’a pas reçu son salaire. L’email venait d’un imposteur qui avait trouvé les informations du salarié sur LinkedIn et sur le site de l’entreprise.

Ce scénario n’a rien d’exceptionnel. C’est la version « salaire » de l’arnaque au changement de RIB qui vise les fournisseurs, et elle profite des mêmes failles : une demande crédible, une seule personne pour la traiter, aucun rappel sur un numéro connu.

Le service RH attire les attaquants parce que ses équipes concentrent l’accès aux coordonnées bancaires de tous les salariés, à des données personnelles protégées par le RGPD et aux systèmes de paie qui déclenchent les virements.

Le service RH : une cible à forte valeur

Un gestionnaire de paie dans une PME de 50 à 500 salariés accède au quotidien aux RIB de chaque salarié (un seul RIB modifié suffit à détourner un salaire), aux données personnelles complètes (numéro de sécurité sociale, adresse, copie de pièce d’identité), aux données salariales et au SIRH ou au logiciel de paie qui exécute les virements. Ces données se revendent, et elles servent aussi à préparer une fraude au président crédible.

Pourquoi les RH sont plus exposées que les autres services

Le volume de demandes entrantes. Un service RH traite en continu des demandes de salariés : congés, attestations, changements de coordonnées bancaires. Un email frauduleux se fond dans ce flux. L’attaquant n’a pas besoin d’inventer un contexte, il existe déjà.

La relation de confiance. Les RH accueillent les demandes des salariés avec bienveillance, et c’est précisément ce que les attaquants exploitent. Les ressorts psychologiques du phishing reposent sur la confiance et l’habitude.

L’absence fréquente de double validation. Dans beaucoup de PME, un seul gestionnaire de paie gère tout le processus. La personne qui reçoit l’email frauduleux est aussi celle qui exécute la modification, sans second regard.

Les trois scénarios d’attaque les plus courants

Les fraudes à la paie par phishing suivent trois scénarios, du plus simple au plus élaboré. Chacun passe par une porte d’entrée différente et appelle des contre-mesures spécifiques.

Scénario 1 : le faux email de salarié demandant un changement de RIB

C’est le scénario le plus fréquent et le plus simple à exécuter. L’attaquant écrit au service RH en se faisant passer pour un salarié et demande la modification de ses coordonnées bancaires.

La mécanique. L’attaquant repère un salarié sur LinkedIn ou sur le site de l’entreprise. Il crée une adresse qui ressemble à une adresse personnelle du salarié (prenom.nom.perso@gmail.com, par exemple), ou usurpe son adresse professionnelle si le domaine de l’entreprise n’est pas protégé par une politique DMARC en mode reject. Il envoie un nouveau RIB avec un prétexte banal : changement de banque, déménagement, séparation.

Ce qui rend l’attaque crédible. L’email contient des détails personnalisés : nom complet, poste, ancienneté, parfois le nom du manager. Ces informations sont publiques sur LinkedIn. L’attaquant n’a besoin d’aucun accès au système d’information de l’entreprise. Le prétexte est plausible : un salarié qui change de banque n’a rien d’inhabituel, et le service RH traite ce type de demande plusieurs fois par mois. Le moment est choisi : quelques jours avant la clôture de paie, quand le service est sous pression.

Une variante consiste à envoyer le même jour plusieurs demandes, chacune depuis une adresse Gmail différente et pour un salarié réel. Dans notre exemple type, trois demandes sur cinq sont traitées avant qu’une gestionnaire ne remarque la coïncidence, et trois salaires partent chez l’escroc.

Scénario 2 : la compromission du compte email d’un collaborateur RH

Ce scénario est plus grave. L’attaquant envoie au gestionnaire de paie un phishing ciblé qui imite une notification du SIRH ou du logiciel de paie (Sage, ADP, PayFit, Silae). Le gestionnaire clique et saisit ses identifiants sur une fausse page de connexion.

Avec cet accès, l’attaquant peut lire les échanges passés, récupérer des modèles de bulletins et des copies de RIB, envoyer des emails depuis l’adresse légitime du gestionnaire et créer des règles de transfert automatique qui prolongent son accès même après un changement de mot de passe. Il peut rester invisible pendant des semaines, puis modifier les coordonnées de plusieurs salariés en une seule fois.

Scénario 3 : les faux documents d’embauche

Ce scénario cible le recrutement et l’intégration des nouveaux salariés. Il fonctionne bien dans les entreprises en croissance, qui recrutent régulièrement.

La mécanique. L’attaquant se fait passer pour un futur collaborateur en cours d’intégration et envoie au service RH des documents falsifiés : pièce d’identité, RIB, attestation de sécurité sociale. Si le dossier est créé sans vérification croisée avec le manager ou le recruteur, le premier salaire part sur le compte frauduleux.

La variante élaborée. L’attaquant a compromis la boîte du manager recruteur et envoie au service RH une « confirmation d’embauche » interne, avec les faux documents du « nouveau salarié ». La demande vient d’un manager légitime : le service RH n’a aucune raison de douter.

Ce qui rend l’attaque difficile à détecter. Un nouveau salarié est par définition inconnu du service RH. Il n’y a ni historique d’échanges, ni signature de référence, ni voix à reconnaître. L’intégration est souvent le maillon faible de la chaîne RH, d’où l’intérêt de former les nouveaux arrivants dès leur arrivée.

Le phishing de fiche de paie : un vecteur d’attaque en expansion

Au-delà du changement de RIB, les attaquants utilisent le bulletin de paie comme appât. L’email imite le système de distribution des fiches de paie de l’entreprise : « Votre bulletin de mars est disponible. Consultez-le ici. » Le lien mène à une fausse page de connexion qui capture les identifiants professionnels du salarié. La consultation du bulletin est un geste mensuel, personne n’ignore un message sur son salaire, et les notifications des coffres-forts numériques (Coffreo, Digiposte, Primobox) sont faciles à imiter.

Variante : le faux bulletin corrigé. « Une erreur a été détectée sur votre bulletin de paie. Un bulletin corrigé est disponible en téléchargement. » La pièce jointe contient un fichier malveillant. Ce scénario marche bien après un changement réglementaire, quand les salariés s’attendent à des ajustements.

Les signaux d’alerte que les gestionnaires de paie doivent connaître

Les attaques décrites ci-dessus laissent des traces. Un gestionnaire de paie entraîné à les reconnaître peut arrêter l’attaque avant le virement.

Signaux liés à l’email

• L’adresse de l’expéditeur ne correspond pas : adresse personnelle au lieu de l’adresse professionnelle, ou domaine légèrement différent.
• Le salarié se dit injoignable par téléphone (« contactez-moi uniquement par email »).
• La demande insiste sur l’urgence (« avant la clôture de paie de ce mois »).
• Le ton ou le style ne ressemblent pas au salarié (vouvoiement au lieu du tutoiement, formulations inhabituelles).

Signaux liés à la demande

• Le nouvel IBAN est dans un établissement étranger ou dans une banque où le salarié n’avait aucun compte : à vérifier, sans en faire une preuve.
• Plusieurs demandes de changement de RIB arrivent la même semaine, signe possible d’une attaque coordonnée.
• Le nom du titulaire du compte ne correspond pas exactement à celui du salarié. Depuis le 9 octobre 2025, la vérification du bénéficiaire faite par les banques de la zone euro compare ce nom et l’IBAN avant chaque virement SEPA (INC, octobre 2025) : une absence de correspondance doit bloquer le paiement jusqu’au contre-appel.
• La demande contourne la procédure habituelle (email direct au lieu du formulaire interne).

Signaux techniques

Si votre messagerie affiche un avertissement sur l’email (bandeau jaune ou rouge), c’est souvent que l’email échoue aux vérifications SPF, DKIM ou DMARC : il n’a pas été envoyé depuis un serveur autorisé pour le domaine de l’expéditeur. Vérifiez votre propre configuration avec le test gratuit de sécurité email.

Protocoles de prévention : sécuriser le processus de paie

La prévention de la fraude à la paie repose sur les procédures, les mesures techniques et la formation des équipes RH.

Procédure de vérification des changements de RIB

C’est la mesure la plus efficace et la moins coûteuse. Un protocole écrit, appliqué sans exception, bloque les tentatives décrites plus haut.

Étape 1 : le canal de demande. Tout changement de coordonnées bancaires passe par un canal officiel : formulaire papier signé, portail RH avec authentification, ou formulaire interne prévu à cet effet. Les demandes envoyées par simple email, SMS ou message Teams sont refusées. La règle est communiquée à tous les salariés à l’embauche et rappelée chaque année.

Étape 2 : le contre-appel. Le gestionnaire de paie appelle le salarié sur le numéro enregistré dans le SIRH, jamais sur un numéro fourni dans la demande. L’appel confirme la demande et l’identité du demandeur. Si le salarié est injoignable, la modification attend.

Étape 3 : le délai de carence. Un délai de 48 à 72 heures sépare la réception de la demande et la modification effective. Le vrai salarié a le temps de réagir s’il reçoit une notification, et le service RH de repérer une incohérence.

Étape 4 : la notification au salarié. Après la modification, une confirmation part à l’adresse professionnelle du salarié et, si possible, par SMS sur son numéro enregistré : « Vos coordonnées bancaires ont été modifiées le [date]. Si vous n’êtes pas à l’origine de cette demande, contactez immédiatement le service RH. »

Les salaires partent souvent en fichier de virements groupés. Vérifiez avec votre banque que la vérification du bénéficiaire reste active pour ces fichiers : certaines banques permettent de la désactiver pour les virements par liste (exemple chez CIC).

Ce protocole reprend celui de notre modèle de procédure anti-fraude au virement, qui couvre aussi les paiements fournisseurs.

Séparation des tâches dans le processus de paie

La personne qui reçoit la demande de modification n’est pas celle qui la valide dans le SIRH. Le gestionnaire de paie reçoit la demande et fait le contre-appel. Un validateur (responsable RH, DAF ou dirigeant) approuve la modification. Ce second contrôle prend quelques minutes et empêche qu’une seule personne manipulée suffise. Dans les très petites structures, un email de confirmation au dirigeant avant chaque modification de RIB constitue un filet minimal.

Sécurisation technique des accès

Authentification forte (MFA) sur tous les accès sensibles : SIRH, logiciel de paie, banque en ligne, messagerie du service RH. Un mot de passe volé ne suffit plus alors à prendre le contrôle du compte.

Accès au moindre privilège. Chaque utilisateur du système de paie n’accède qu’aux fonctions dont il a besoin. Les droits d’administration du SIRH sont réservés à quelques personnes.

Journalisation des modifications. Toute modification de coordonnées bancaires est tracée : qui, quand, valeur avant, valeur après. Cette piste d’audit permet de reconstituer un incident et fait partie des mesures de sécurité que l’article 32 du RGPD demande de mettre en place.

Protection du domaine email. Si votre domaine n’est pas protégé par une politique DMARC en mode reject, n’importe qui peut envoyer un email affichant une adresse @votreentreprise.fr. Vérifiez votre configuration avec le test gratuit de sécurité email nophi.sh.

Formation et simulation pour les équipes RH

Les gestionnaires de paie retiennent mieux par la mise en situation que par une présentation annuelle. Les scénarios à simuler pour le service RH : faux email de salarié demandant un changement de RIB, fausse notification du logiciel de paie, faux email de la direction demandant une extraction de données salariales, faux documents d’embauche.

Une simulation par mois, avec une difficulté progressive et des scénarios personnalisés, installe le réflexe dans la durée. Chaque simulation est suivie d’un retour immédiat : le gestionnaire qui clique voit une courte page qui explique l’indice qu’il a manqué. Ce retour, au moment où l’erreur vient d’être commise, s’oublie moins vite qu’un diaporama annuel.

RGPD et données de paie : ce que la loi impose

Les données de paie sont parmi les plus sensibles qu’une entreprise détienne. Leur compromission déclenche des obligations légales précises que le service RH et la direction doivent connaître.

Les données de paie au regard du RGPD

Le bulletin de paie concentre des données personnelles protégées par le Règlement général sur la protection des données : nom, adresse, numéro de sécurité sociale, coordonnées bancaires, situation familiale, rémunération. Certaines relèvent des catégories particulières de l’article 9 du RGPD, par exemple des données de santé si le bulletin mentionne un arrêt maladie, ou l’appartenance syndicale si des cotisations syndicales apparaissent.

L’article 32 du RGPD impose au responsable de traitement, ici l’employeur, de mettre en œuvre des mesures techniques et organisationnelles « appropriées » pour garantir un niveau de sécurité adapté au risque. Pour le détail des obligations, consultez notre page sur la conformité RGPD.

Notification en cas de violation de données

Si une fraude à la paie entraîne un accès non autorisé à des données personnelles de salariés, deux obligations de notification s’appliquent.

Notification à la CNIL (article 33 du RGPD). L’entreprise notifie la violation « dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance ». La notification décrit la nature de la violation, les catégories de données, le nombre de personnes concernées, les conséquences probables et les mesures prises.

Information des personnes concernées si le risque est élevé (article 34 du RGPD). Si la violation est susceptible d’engendrer un risque élevé pour les droits et libertés des salariés, l’entreprise les informe individuellement. Des coordonnées bancaires ou des numéros de sécurité sociale exposés présentent en général ce niveau de risque.

Sanctions et documentation

Un manquement aux obligations de sécurité et de notification expose l’entreprise à une amende administrative pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial (article 83 du RGPD). Pour fixer la sanction, l’autorité tient compte, entre autres, des mesures techniques et organisationnelles en place avant l’incident. Les protocoles de prévention (vérification des RIB, MFA, formation) protègent donc contre la fraude et servent aussi de preuves de conformité. Les sanctions CNIL réellement prononcées contre des PME donnent un ordre de grandeur.

Le RGPD impose aussi de documenter toute violation dans un registre interne (article 33, paragraphe 5), même si la notification à la CNIL n’est pas requise. En cas de contrôle, ce registre sera le premier document demandé.

Que faire en cas d’incident : les premières heures

Une fraude à la paie détectée exige une réaction rapide et coordonnée entre le service RH, l’informatique, le DPO s’il y en a un, et le dirigeant.

Heure H : alerter la banque. Demandez immédiatement le rappel du virement détourné. Chaque heure compte.

Heure H+1 : sécuriser les accès. Vérifiez si un compte email a été compromis (connexions inhabituelles, règles de transfert ajoutées). Réinitialisez les mots de passe du SIRH et du logiciel de paie.

Heure H+2 : déposer plainte, au commissariat ou à la gendarmerie. Si votre contrat d’assurance couvre les pertes causées par une atteinte à votre système informatique, l’indemnisation suppose une plainte déposée au plus tard 72 heures après la découverte (article L12-10-1 du Code des assurances).

Heure H+3 : notifier la CNIL. Si des données personnelles ont été compromises, la notification intervient si possible dans les 72 heures (article 33 du RGPD), et les salariés touchés sont informés si le risque est élevé.

Le gestionnaire de paie qui a traité la demande frauduleuse a été trompé. La direction le dit explicitement, puis s’appuie sur l’incident pour renforcer les procédures et lancer un programme de simulation.

Le cas des prestataires de paie externalisée

De nombreuses PME confient la paie à un cabinet d’expertise comptable ou à un prestataire spécialisé. L’externalisation déplace le risque sans le supprimer. Si l’attaquant compromet la boîte mail d’un collaborateur du cabinet, il accède aux données de paie de tous les clients du cabinet. Un seul phishing réussi peut toucher des dizaines d’entreprises.

L’usurpation de l’identité du prestataire est un autre vecteur courant : « Suite à une migration de nos systèmes, merci de renvoyer les RIB de vos salariés sur cette nouvelle adresse sécurisée. » Le service RH, habitué à échanger des données sensibles avec le prestataire, s’exécute.

Les parades. Les échanges de données de paie passent par un portail sécurisé avec authentification, jamais par email. Tout changement dans les modalités d’échange (nouvelle adresse, nouveau portail, nouvel interlocuteur) se confirme par téléphone, sur le numéro habituel. Le RGPD impose à l’employeur de s’assurer que ses sous-traitants mettent en œuvre des mesures de sécurité appropriées (article 28).

Anatomie d’une attaque avancée contre un service RH

Voici un scénario fictif, étape par étape, construit à partir de techniques courantes.

J-21 : reconnaissance. L’attaquant repère SAS Moreau & Fils, PME de 85 salariés dans le BTP à Nantes. Sur LinkedIn, il identifie Sophie, gestionnaire de paie. Sur Societe.com, il confirme la taille de l’entreprise. Sur les réseaux sociaux, il voit que l’entreprise recrute : des intégrations sont en cours.

J-14 : phishing initial. L’attaquant envoie à Sophie un email ciblé qui imite une notification de son logiciel de paie, repéré grâce à un post LinkedIn. L’email, envoyé depuis un domaine sosie, demande une « revalidation de connexion ». Sophie clique et saisit ses identifiants sur une fausse page. L’attaquant prend le contrôle de sa boîte mail.

J-14 à J-7 : reconnaissance interne. L’attaquant lit les échanges. Il découvre que les changements de RIB arrivent par simple email, sans formulaire, que la clôture de paie a lieu le 25 du mois et qu’aucun contre-appel n’est prévu. Il crée une règle de transfert silencieuse pour les emails contenant « RIB » ou « coordonnées bancaires ».

J-3 : exécution. Le 22 mars, trois jours avant la clôture, il envoie trois demandes de changement de RIB depuis de fausses adresses personnelles de trois salariés réels. Sophie, sous pression, les traite sans contre-appel.

Résultat. Le 30 mars, trois salaires, 7 200 euros au total, partent sur des comptes contrôlés par l’attaquant. La fraude est découverte le 5 avril. Le rappel des fonds échoue.

Ce qui aurait bloqué l’attaque. Une authentification forte sur la messagerie et le logiciel de paie aurait compliqué le phishing initial. Un contre-appel systématique aurait révélé la fraude dès la première demande. Des simulations régulières auraient appris à Sophie à vérifier le domaine de l’expéditeur avant de cliquer.

Liste de contrôle : sécuriser votre processus de paie

Cette semaine : activer le MFA sur le SIRH, le logiciel de paie et les boîtes mail du service RH. Formaliser un protocole de vérification pour tout changement de RIB (formulaire dédié, contre-appel, délai de carence). Vérifier la configuration DMARC de votre domaine avec le test de sécurité email nophi.sh. Communiquer la procédure à tous les salariés.

Ce mois-ci : instaurer la séparation des tâches (la personne qui reçoit la demande ne valide pas la modification). Activer les notifications automatiques à chaque modification de RIB. Restreindre les accès au SIRH selon le principe du moindre privilège. Auditer les règles de transfert des boîtes mail du service RH. Vérifier que la vérification du bénéficiaire est active pour les fichiers de virements de salaires.

Ce trimestre : lancer un programme de simulation de phishing qui inclut le service RH. Former les gestionnaires de paie à repérer les domaines usurpés. Intégrer la procédure dans le parcours d’accueil des nouveaux collaborateurs RH.

Ce semestre : passer DMARC en mode reject sur votre domaine. Inclure la fraude à la paie dans votre plan de réponse aux incidents.

Ce que les assureurs vérifient en cas de sinistre

Certains contrats d’assurance cyber couvrent le détournement de fonds, y compris la fraude à la paie. Les assureurs posent alors des conditions à l’indemnisation.

Procédure de vérification formalisée. L’assureur demandera si l’entreprise disposait d’une procédure documentée de vérification des changements de coordonnées bancaires. Son absence peut être invoquée comme un manquement à l’obligation de prévention.

MFA activé. L’authentification forte sur la messagerie et les systèmes de paie figure souvent parmi les exigences des assureurs cyber.

Preuve de formation. Un rapport de simulation de phishing qui montre que les équipes RH ont été entraînées régulièrement démontre que l’entreprise a pris des mesures raisonnables (ce que les assureurs demandent comme preuve).

Dépôt de plainte dans les 72 heures, lorsque le sinistre relève d’une atteinte au système informatique (article L12-10-1 du Code des assurances).

---

Thomas Ferreira est ingénieur sécurité chez nophi.sh (CISSP, GCFA, GCIH, GCFE). Il accompagne les PME françaises dans la mise en place de programmes de sensibilisation au phishing, avec des scénarios ciblés pour les services RH et paie.

Ressources complémentaires :

• Modèle de procédure anti-fraude au virement : les règles de vérification pour les virements et les changements de RIB
• Arnaque au changement de RIB : qui rembourse : la même fraude, côté fournisseurs
• Fraude au président : cas réels, parades, recours : quand l’escroc se fait passer pour le dirigeant
• Former ses salariés à la cybersécurité : intégrer la sécurité dès l’arrivée
• Conformité RGPD et protection des données : obligations légales en cas de violation de données
• Cybermalveillance.gouv.fr : plateforme nationale d’assistance aux victimes
• ANSSI : guide cybersécurité pour les TPE/PME : recommandations de l’État