Une PME suisse paie chaque mois une dizaine d’abonnements : hébergement du site, nom de domaine, messagerie, comptabilité, plateforme de paiement. Ces prélèvements passent inaperçus, et c’est ce qui rend l’arnaque efficace. Un e-mail annonce que le moyen de paiement enregistré ne fonctionne plus, et la crainte d’une coupure de service prend le pas sur la vérification.
Deux cas, un seul mode opératoire
La police cantonale de Zurich a documenté le 8 juillet 2026 une campagne usurpant l’identité de l’hébergeur suisse Webland. Le message affirme que le moyen de paiement enregistré est invalide ou manquant, et menace d’une interruption des services. Le lien mène vers un site contrefait qui réclame les identifiants du compte, les données de la carte de crédit, le numéro de mobile, puis le code de confirmation reçu par SMS.
Le 29 juillet 2026, la même unité a publié un cas de mécanique presque identique, au nom de la plateforme de paiement Klarna. L’e-mail prétend qu’un mandat de paiement arrive à expiration et doit être renouvelé d’urgence. Le faux site demande le numéro de téléphone, puis un code de confirmation à six chiffres reçu par SMS.
Dans les deux cas, le prestataire dont le nom est utilisé n’a rien fait de mal : son identité est usurpée, ses systèmes ne sont pas en cause. C’est la relation de confiance avec lui qui est exploitée.
L’étape du code SMS est la plus révélatrice
Ce détail mérite l’attention d’un dirigeant. Un code de confirmation par SMS n’est envoyé que par le service légitime : si un faux site le réclame, c’est que quelqu’un tente au même instant de se connecter au vrai compte avec les identifiants que vous venez de saisir, et qu’il ne lui manque plus que ce second facteur. Le code n’est pas une formalité : c’est la dernière serrure.
Un service légitime ne vous demandera jamais de retaper ce code sur une page atteinte depuis un lien reçu par e-mail. C’est aussi pourquoi il vaut la peine de comparer les formes d’authentification à deux facteurs : celles qui reposent sur un SMS restent contournables par ce type de manipulation, contrairement à une application d’authentification ou à une clé physique.
La variante sans piratage : la facture pour un service jamais souscrit
Le NCSC signale depuis le 1er juillet 2026 avoir reçu de nombreuses plaintes concernant les sites swissnovachat.ch et swissnovacare.com, dont le modèle consiste à envoyer des factures alors qu’aucun abonnement n’a été souscrit. Les mentions légales renvoient à une société sise à Hong Kong. La recommandation officielle est claire : ignorer les messages, ne pas cliquer sur les liens et ne procéder à aucun paiement.
Ce cas est instructif parce qu’il ne suppose aucune compromission informatique. Il suffit qu’une facture atterrisse sur le bon bureau au bon moment, dans une entreprise où personne ne sait précisément quels abonnements sont actifs.
Ce qui protège vraiment : savoir ce que vous payez
La parade n’est pas technique, elle est comptable. Une liste tenue à jour des abonnements numériques de l’entreprise, avec le prestataire, le montant, la périodicité et le moyen de paiement, permet de trancher immédiatement : cet abonnement existe-t-il, et le montant correspond-il ?
Deux règles complètent le dispositif. On n’accède jamais à un espace client par un lien reçu par e-mail, mais par un signet enregistré ou en saisissant l’adresse à la main. Et une modification de moyen de paiement se confirme par un canal indépendant, en rappelant le prestataire sur un numéro déjà connu. C’est le réflexe qui protège aussi de la fraude au président et du faux fournisseur.
Si quelqu’un a déjà cliqué
La police recommande, en cas de saisie effective de données, de faire bloquer immédiatement la carte ou le compte concerné, de changer les mots de passe et de déposer plainte auprès de la police locale. Vérifiez aussi que le compte n’a pas été détourné entretemps : nouvelle adresse de récupération, règle de transfert automatique, second facteur remplacé. C’est le point le plus souvent oublié, alors qu’il transforme un incident isolé en boîte e-mail compromise durablement.
Les e-mails frauduleux se signalent par ailleurs à antiphishing.ch, service exploité par l’Office fédéral de la cybersécurité, via le formulaire du site ou par transfert à l’adresse de signalement prévue.
En conclusion
Ces campagnes ne reposent sur aucune prouesse technique : elles misent sur le fait qu’une PME ne connaît pas par coeur la liste de ses abonnements ni la date de ses prélèvements. Reprendre ce contrôle demande peu de temps et supprime une famille entière d’arnaques. Savoir lesquels de vos comptes ouvriraient le plus de portes s’ils étaient détournés, et lesquels méritent un second facteur plus solide qu’un SMS, demande en revanche un examen de votre situation réelle. C’est le tri qu’une analyse adaptée à votre entreprise permet de faire une fois, proprement, plutôt que dans l’urgence d’un incident.