Scénario professionnel · 04 sur 13
Un e-mail demande à votre agent de modifier les coordonnées bancaires d’un fournisseur
Votre agent de messagerie veut mettre à jour un dossier de paiement parce qu’un e-mail le lui demande.
La situation
Votre agent de messagerie signale un e-mail : un fournisseur habituel demande de modifier ses coordonnées bancaires avant le prochain paiement. L’agent propose de mettre à jour la fiche fournisseur. L’e-mail paraît normal et provient de l’adresse habituelle.
Principes concernés
Que faites-vous ?
Ouvrez l’option que vous choisiriez pour voir ce qui se passe. Comparez-la ensuite aux autres choix.
Option A : Vous laissez l’agent faire la modification. L’adresse est habituelle.
Risqué
Les comptes de messagerie peuvent être usurpés ou piratés. La demande de changement de coordonnées bancaires est une fraude au paiement classique. L’agent suit les instructions d’un inconnu.
Option B : Vous demandez à l’agent de répondre pour obtenir confirmation par e-mail.
Risqué
Si quelqu’un a pris le contrôle du compte du fournisseur, il peut aussi répondre à votre demande. La confirmation doit venir d’un canal que l’attaquant ne contrôle pas.
Option C : Vous refusez, appelez le fournisseur à un numéro déjà connu et signalez l’e-mail.
Le meilleur choix
Appelez le fournisseur à un numéro fiable pour savoir si ses coordonnées bancaires ont réellement changé. Signalez l’e-mail afin que vos collègues recherchent des demandes similaires.
Option D : Vous supprimez l’e-mail sans rien dire.
Une partie de la réponse
Vous avez évité le piège, mais le fournisseur a peut-être réellement changé de coordonnées et vos collègues peuvent recevoir le même e-mail demain.
À retenir
Traitez ce que lit un agent comme du contenu, jamais comme des ordres. Confirmez toute modification liée à l’argent ou aux identifiants par un autre canal, en prenant vous-même contact. Mieux encore, l’agent ne devrait pas pouvoir modifier les dossiers de paiement sans votre approbation.
Sources
Ces sources étayent les faits présentés sur cette page. Pour chacune, nous précisons ce qu’elle établit et les questions qu’elle laisse ouvertes. Les recommandations sont les nôtres. Voir toutes nos sources.
- Prompt injection is not SQL injection (it may be worse) UK National Cyber Security Centre · 8 décembre 2025 · Recommandations officielles Explique que les modèles d’IA n’ont pas de frontière fiable entre données et instructions. L’injection de prompt pourrait donc ne jamais être entièrement résolue. Préconise des limites fixes indépendantes de l’IA sur les actions des systèmes, le moindre privilège et la journalisation. Limites : Destinées aux professionnels de la sécurité.
- Criminals Use Generative Artificial Intelligence to Facilitate Financial Fraud (I-120324-PSA) FBI Internet Crime Complaint Center · 3 décembre 2024 · Avis au public Avertit que des criminels utilisent des voix, images et vidéos générées par l’IA pour usurper des identités. Conseille de raccrocher et de rappeler un numéro recherché par vos propres moyens. Limites : Destiné aux consommateurs américains.