14 conseils d’experts pour sécuriser les paiements B2B que vous pouvez appliquer ce mois-ci
Sans sécurité des paiements en ligne, vous pourriez bien contribuer à un programme d’armes nucléaires. Ça vous semble fou ? Détrompez-vous. Si vous avez déjà été victime d'une escroquerie par la cybercriminalité, il y a de fortes chances que les fonds volés aient terminé en Corée du Nord.
Mais les risques quotidiens pour les entreprises en croissance sont plus terre-à-terre : les cybercriminels veulent de l'argent. Parfois, ils volent des secrets qu'ils peuvent monnayer : propriété intellectuelle, scores de crédit ou coordonnées bancaires. Ou bien ils prennent les entreprises en otage avec une rançon.
Je vais décrire les moyens les plus rapides, les plus simples et les meilleurs pour répondre au plus gros risque cyber pour les entreprises : effectuer des paiements en ligne. Je commence par les stratégies technologiques avant de passer aux paiements.
Vous voulez plus de The CFO Club ?
Créez un compte gratuit pour terminer la lecture de cet article et rejoindre une communauté de CFO et de cadres financiers modernes qui accèdent à des cadres éprouvés, des outils et des analyses pour naviguer dans la finance guidée par l’IA.
Have an account? Log In
Sécurité technologique – Est-ce vraiment utile ?
Si vous cherchez « sécurité des paiements en ligne » sur Google, vous tomberez généralement sur des listes top 10 qui ressemblent fortement aux conseils généraux de sécurité donnés depuis vingt ans : mots de passe complexes, authentification à facteurs multiples (MFA), chiffrement, antivirus (AV), pare-feux, et ainsi de suite.
Ces listes sont issues d’une philosophie de défense et d’évitement de la faute. Qui peut se souvenir de mots de passe longs, compliqués et complètement uniques pour chaque système utilisé ? Sur le plan technique, cela vous protégerait, mais cela permet surtout au conseiller en sécurité de dire « Je vous l'avais bien dit ! » tout en étant sûr que son conseil n’aura pas été suivi.
De plus, les pare-feux, la MFA et l’antivirus n’ont plus rien à voir avec ce qu’ils étaient il y a 15 ans. De nos jours, les initiés affirment qu’une défense technologique solide s’appuie sur le XDR, l’authentification WebAuthN fédérée dans le cloud, et une SIEM IA. Ou quelque chose du genre ; cela changera d’ici 2026, c’est promis.
Quel est le problème avec une checklist technologique ?
Elles deviennent obsolètes trop rapidement. Aujourd’hui, tout intègre le chiffrement, l’antivirus gratuit et par défaut est aussi bon ou meilleur que les solutions commerciales, la MFA traditionnelle est facilement contournée, et l’identité zéro confiance a généralement remplacé la nécessité d’avoir des pare-feux.
Trois principes de sécurité qui resteront efficaces
Trois principes ont traversé le temps et continueront à protéger la technologie : délégation, processus et mesure.
1. Délégation
Les entreprises du monde entier réalisent que la stratégie informatique la plus sûre, la plus résiliente et la moins chère est d’en faire le moins possible. Passer sur des plateformes Software-as-a-Service (SaaS) est la solution la plus prisée – cela élimine quasiment toute la technique. Utilisez un prestataire informatique externe pour gérer les mesures de sécurité sur tout ce que vous ne pouvez pas externaliser.
2. Processus
Votre plus grande force et votre plus grande faiblesse, ce sont les personnes. Identifier, rationaliser et sécuriser les activités à risque est souvent la manière la plus simple et la plus efficace d’améliorer la sécurité globale. Cela aide aussi à garder les priorités des équipes techniques bien claires : protéger votre ERP est bien plus important que l’application de graphisme.
3. Mesure
Comment êtes-vous sûr que vos délégataires vous protègent suffisamment ? Déléguez cela aussi ! Il existe des moyens gratuits et simples pour évaluer la sécurité des paiements en ligne d’une plateforme, et ceux-ci resteront toujours d’actualité. Cela prend en général 20 minutes de recherches Google : largement rentable pour des produits importants.
- Cherchez un historique de failles de sécurité et de violations de données chez le prestataire.
- Recherchez-les sur une plateforme de notation sécurité. SecurityScorecard et RiskRecon proposent une version gratuite.
- Vérifiez s’il existe un programme de chasse aux bugs (bug bounty) ; c’est un bon signe. Bugcrowd, Synack et Hackerone sont des plateformes courantes.
Si vous avez besoin de plus de précision, de nombreux cabinets de conseil en sécurité informatique peuvent proposer une évaluation plus approfondie pour un tarif raisonnable. Attention : la mesure n’est pas une action ponctuelle. Lorsque les entreprises évoluent, leur sécurité aussi.
Paiements
Payer les fournisseurs est une négociation : certaines méthodes avantagent l'une ou l'autre des parties. La plupart de ces considérations ne sont pas liées à la sécurité : payer par chèque et insister sur des conditions NET30 vous offrent un meilleur contrôle de la trésorerie. La facilité d’utilisation des cartes de crédit impose un coût significatif à votre fournisseur. Ce sont des éléments importants et largement discutés.
Aujourd'hui, j'explique comment ces options de sécurité des paiements en ligne influent sur votre risque de fraude. Je classe les principaux moyens de paiement en ligne selon leur niveau de risque pour vous, j’explique pourquoi, et propose les meilleures façons de réduire ce risque.
Cartes de crédit
Risque : Le plus faible
Les paiements par carte de crédit sont de manière constante le moyen le plus sûr de payer. Presque tous les émetteurs couvrent totalement la fraude – parfois jusqu’à un an après l’opération, sans poser de questions. Encore mieux, parce que ces sociétés ont cet intérêt, elles investissent considérablement dans la détection des fraudes au profit de leurs clients. Cela peut varier selon l’établissement, mais reste souvent supérieur à tout ce que vous pourriez acheter vous-même.
Les données de carte sont fréquemment volées, soit via la modification d’un système de point de vente (appelé skimmer), soit en pillant entièrement un système central de traitement des paiements. Ce type de vol diminue chaque année car le Payment Card Industry Security Standards Council impose des normes strictes à tous ceux qui traitent des cartes de crédit.
L’inconvénient, c’est le coût pour vos fournisseurs : la plupart des opérateurs de cartes facturent une commission de 2,7% à chaque transaction, avec des réductions pouvant descendre jusqu’à 1,5% pour les volumes importants. Cette commission sert principalement à financer la couverture contre la fraude et les récompenses liées aux cartes.
Protection
Utiliser des cartes professionnelles
Assurez-vous que les paiements professionnels soient effectués à partir de cartes de crédit légalement liées à l'entreprise, et non aux propriétaires ou aux employés. Séparer les finances personnelles et professionnelles facilite non seulement la comptabilité, mais protège également la santé financière des propriétaires et des employés en cas de problème pour l’entreprise.
Bonus : l’utilisation de cartes permet aussi de construire la solvabilité de l’entreprise, ce qui améliore considérablement les conditions et les taux disponibles pour les prêts. Tandis que la solvabilité personnelle est liée au numéro de sécurité sociale (SSN), la solvabilité commerciale est indexée sur le numéro d’identification fiscale (EIN). Les principales agences de notation aux États-Unis sont Dun & Bradstreet, Creditsafe, Experian Business et Equifax Business.
Cartes virtuelles
Et si vous pouviez créer autant de cartes de crédit que vous le souhaitez en un clic ? Cela permettrait un contrôle inédit face à la fraude : chaque fournisseur peut se voir attribuer une carte, et vous pouvez fixer la limite de chaque carte selon le montant attendu. Si vous arrêtez de faire appel à un fournisseur, vous pouvez cesser de le payer sans dépendre du fait qu’il arrête de vous facturer.
Un nombre croissant de fintechs et de banques proposent exactement cette option. Depuis un portail web, vous pouvez créer, gérer et supprimer un nombre (virtuellement) illimité de cartes. Elles sont toutes rattachées à un compte commun, permettant d’avoir une vision globale de la dépense. Le leader dans ce domaine est Ramp, qui a investi dans un moteur de règles personnalisées offrant un contrôle poussé.
La principale source de fraude à la carte de crédit reste le vol d’informations de carte. Il existe toute une chaîne d’acteurs : certains volent les données, d’autres les achètent et fabriquent des cartes clonées, et enfin des complices utilisent ces clones pour des paiements frauduleux. Beaucoup d’entre nous en ont déjà fait l’expérience, et c’est un casse-tête : la carte doit être annulée, une nouvelle envoyée par courrier, et il faut réactualiser les coordonnées de paiement auprès de chaque service concerné.
Avec les cartes virtuelles, ce problème devient anodin. Les paiements inattendus sont plus visibles et il n’est nécessaire de modifier les informations de paiement que chez un seul fournisseur. Vous savez précisément quel fournisseur a permis la fraude : les paiements non-autorisés se font sur sa carte dédiée.
Réseaux de paiement
Risque : Faible
Un réseau de paiement est un registre d’entreprises dont les coordonnées bancaires ont été vérifiées. Au lieu d’échanger les informations de paiement à la main, vous sélectionnez votre fournisseur dans la liste, indiquez le montant, et le paiement est transféré automatiquement. Ces réseaux sont souvent maintenus par de grandes banques et intégrés dans une solution de gestion des comptes fournisseurs. Certains réseaux sont publics, comme Bottomline Paymode-X aux États-Unis et EFTsure en Australie. Si vous utilisez un service de gestion fourni par une banque, assurez-vous qu’il prévoit une vérification des fournisseurs. Certaines banques envoient encore aveuglément des chèques à l’adresse indiquée, cela va sans dire : ces solutions ne protègent pas contre la fraude.
Les fintechs qui ciblent les petites entreprises développent aussi rapidement ces réseaux, et les experts de mon réseau s’attendent à une forte croissance sur ce segment dans les prochaines années.
L'utilisation régulière d'un réseau de paiement réduit considérablement la fraude (c'est aussi un avantage clé des applications de paiement mobile). L'une des principales sources de fraude B2B provient des paiements interceptés entre entreprises légitimes, généralement en les incitant à utiliser de fausses informations de paiement. Les réseaux de paiement éliminent cette source d'erreur : ils garantissent que les informations de paiement sont correctes et veillent à empêcher l'entrée d'imposteurs sur la plateforme.
Il est rare que tous vos fournisseurs soient sur un réseau, donc cette technique ne peut pas suffire à elle seule.
ACH
Risque : Faible à moyen
Les transactions Automated Clearing House (généralement appelées ACH, aussi connues sous le nom de dépôt direct) présentent le taux de fraude le plus bas parmi les autres méthodes de paiement en ligne commerciales. Cependant, la majorité de ces transactions sont des virements automatisés entre grandes entreprises disposant de contrôles anti-fraude indépendants et sophistiqués. Le risque pour elles n'est pas le même que pour une PME. Payer via ACH reste relativement sûr, surtout si votre fournisseur utilise une plateforme de paiement dédiée avec un portail de paiement en libre-service.
L'ACH fonctionne via le système de chèques, avec un délai de compensation de 3 à 5 jours selon les indicateurs de fraude comme le montant du paiement et les activités antérieures. Comme pour les cartes bancaires, il n’y a pas de mécanisme d’autorisation : connaître un numéro de compte permet d’effectuer un prélèvement sur ce compte. Tandis que l’industrie des cartes bancaires tente de garder ces numéros confidentiels, il n’y a aucun espoir pour les numéros de comptes bancaires : ils sont accessibles à toute personne qui voit un de vos chèques ou consulte vos détails de paiement ACH.
De plus, la couverture contre la fraude pour les entreprises est très faible. Les banques ne sont tenues de récupérer l’argent que dans les 24 heures suivant la transaction.
La plus grande protection contre la fraude ACH vient du fait qu'une institution financière respectable doit l'initier. Aux États-Unis, les réglementations Know Your Customer (KYC), Anti-Money Laundering (AML) et autres régulations bancaires de la FFIEC imposent des exigences strictes aux banques pour vérifier les clients et surveiller les transactions suspectes. Même si la réglementation a toujours un temps de retard sur la criminalité, les banques ont un fort intérêt à empêcher les criminels d’utiliser leurs services.
Protection
Ces méthodes fonctionnent aussi bien pour les transactions ACH que pour les chèques.
Segmenter les comptes et les alertes
Créer plusieurs comptes pour différents usages peut constituer une excellente protection à faible coût. La création d’un compte dédié aux créances à recevoir, à la trésorerie et aux paiements peut limiter votre exposition à la fraude. Les comptes de créances à recevoir doivent être vidés régulièrement vers le compte de trésorerie, et les fonds nécessaires aux paiements attendus sont transférés du compte de trésorerie vers les comptes de paiement. Configurez des alertes pour tous les comptes en cas de situations imprévues comme des soldes faibles.
Ainsi, les personnes extérieures ne connaissent que les comptes avec des fonds limités, donc les tentatives de fraude seront moins dommageables si elles aboutissent. Différentes banques offrent des niveaux d'automatisation variés pour cette stratégie et beaucoup la proposent en tant que service groupé pour les clients importants, généralement appelé gestion de trésorerie.
Fournisseurs validés (ACH uniquement)
Certaines banques permettent aux comptes chèques professionnels de restreindre les prélèvements ACH à une liste autorisée de comptes. Cela peut éliminer tout risque de transaction ACH frauduleuse, mais nécessite un certain entretien et peut être fastidieux à gérer.
Évitez l’ACH et les chèques pour les fournisseurs qui traitent manuellement les paiements
Le risque de fraude ACH et par chèque étant directement lié au nombre de personnes qui voient vos chèques, vous pouvez le réduire en ne les utilisant que via des plateformes de paiement automatiques et en libre-service.
Pour les paiements ACH, privilégiez un portail web où vous vous connectez et saisissez votre mode de paiement. Bien souvent, il est aisé de discerner si un tel portail est proposé par le fournisseur : Quickbooks, Stripe et Paypal sont des choix populaires. Les solutions développées en interne sont moins susceptibles d'être automatisées, et présentent donc un risque plus élevé.
Pour les chèques, il s'agit d'une installation de traitement en boîte postale (« lockbox ») qui traite automatiquement les créances de nombreuses entreprises. Vous pouvez vérifier si une adresse est une boîte lockbox en la cherchant sur une carte. Si elle correspond à celle de votre banque ou d’un prestataire lockbox reconnu, c'est ce que vous recherchez.
Ne rédigez pas vos propres chèques
Une part non négligeable de la fraude par chèque et ACH provient du simple vol de chèques dans votre courrier sortant.
Vous pouvez éviter cela en utilisant un service de paiement qui imprime et envoie les chèques en votre nom. Souvent, cela s’accompagne d’un réseau de paiement. De nombreuses banques proposent ce service à des degrés d’automatisation variables. Ces chèques sont imprimés dans une installation centrale, rendant le vol très difficile.
Changez de banque
Si vous suspectez que votre banque n’a pas suffisamment investi dans la protection contre la fraude par chèque ou ACH, changez simplement d’établissement. Bien qu’il n’existe pas de classement indépendant et objectif des banques dans ce domaine et que vous ne disposiez probablement pas des moyens nécessaire pour les auditer, il existe quelques principes :
- Plus c'est gros, mieux c'est souvent. Les grandes institutions peuvent souvent se permettre de dépenser davantage pour la prévention de la fraude en ligne.
- La compétence est souvent préférable. Un passif de fraudes, de mauvaise gestion ou simplement de désorganisation est un très mauvais signe.
- La nouveauté est souvent préférable. La gestion bancaire est souvent prudente face au changement, y compris quant aux nouvelles méthodes pour lutter contre la fraude au bénéfice de leurs clients.
Chèques
Risque : Moyen
La fraude par chèque est la source de fraude la plus courante pour les paiements B2B, selon le rapport annuel de l’AFP. Comme pour les virements ACH, les chèques offrent un délai de 24 heures pour contester une transaction. De plus, les chèques sont faciles à falsifier si le numéro de compte est connu. Chaque personne qui voit vos chèques représente une nouvelle occasion de tenter une fraude par chèque ou par ACH (et il y a peu d’avantages en matière de sécurité des paiements en ligne lorsque l'on ne paie pas, justement, en ligne).
La plupart des fraudes par chèque peuvent être détectées par les banques, mais toutes n’investissent pas le même montant ; la qualité de votre banque fait donc une grande différence face à ce risque.
Protection
(voir les techniques ci-dessus, rubrique ACH)
Systèmes de paiement propriétaires
Risque : Élevé
Zelle, Cash App, Venmo, PayPal et les virements bancaires sont des mécanismes prisés par les criminels, avec peu de sécurité pour les paiements en ligne. Les transactions sont instantanées et irréversibles. Ces plateformes n’obéissent à aucun contrôle réglementaire ni protection du consommateur, elles ont donc peu d’incitations à détecter et prévenir la fraude.
Ces plateformes sont réservées de préférence à des particuliers et pour de petits montants : rembourser un dîner ou payer le jeune qui a tondu votre pelouse.
Protection
Soyez prudent
Si un fournisseur doit absolument être payé via l’une de ces plateformes, soyez très vigilant. Vérifiez minutieusement les coordonnées de paiement et utilisez-les uniquement pour des transactions dont vous pouvez vous permettre la perte. Sécurisez la plateforme autant que possible : si quelqu’un y accède frauduleusement et s’envoie de l’argent, cela peut être problématique.
Combinez avec la segmentation des comptes
Alimenter ces plateformes de paiement avec des comptes dédiés et limités est un moyen simple et efficace de limiter votre exposition.
Cartes de débit
Risque : Mauvaise idée
Les cartes de débit cumulent tous les inconvénients des cartes de crédit et des chèques, sans les avantages de l’un ni de l’autre. Comme la carte de débit fonctionne dans l’écosystème des cartes de crédit, les numéros de carte sont souvent volés et utilisés pour des fraudes. Les transactions par carte de débit n’offrent aucune couverture contre la fraude : comme pour les chèques, il faut contester une opération frauduleuse dans les 24 heures.
Pire encore, les outils et la maturité développés par les banques pour lutter contre la fraude sur les chèques ne sont pas applicables aux transactions par carte, et les banques fournissant des cartes de débit investissent rarement dans la détection de fraude comme le font les sociétés de cartes de crédit.
Protection
Supprimez-les
Les cartes de débit sont dangereuses, et il n’existe aucun usage pour lequel une carte de crédit ne ferait pas mieux. Les quelques points de fidélité en plus ne valent pas le risque.
Cryptomonnaie
Risque : Dément
C’est tout le contraire de la sécurité des paiements en ligne.
À mon avis, les seules entreprises qui ont besoin d’être payées en cryptomonnaie sont les organisations criminelles. Les cryptomonnaies cumulent tous les désavantages des plateformes de paiement propriétaires (instantanéité, absence de prévention contre la fraude, aucun incitatif réglementaire) et sont plus vulnérables aux attaques techniques, à la manipulation de marché, et à une culture de la fraude dans leurs institutions. Elles favorisent le blanchiment d’argent et le vol.
Protection
Ne le faites pas
Sauf si vous êtes un réseau criminel.
Restez vigilant, restez protégé
Bien que la fraude aux paiements en ligne soit la principale menace informatique pour la plupart des entreprises, il est possible de la contrer rapidement, facilement et efficacement. Externaliser la technologie de façon éclairée et privilégier des moyens de paiement en ligne sécurisés éliminera une grande partie de ces risques.
La plupart des risques restants liés aux comptes fournisseurs sont également faciles à éviter. Abonnez-vous pour recevoir une notification lors de la sortie de mon prochain article, où j'expliquerai comment la stratégie et les processus liés aux comptes fournisseurs peuvent aussi stopper les pirates et les criminels.
Des réflexions, des opinions ou des questions ? Laissez-moi un message, rejoignez la discussion ci-dessous ou participez sur les réseaux sociaux.
