Un guide pratique pour les agences qui souhaitent protéger leur personnel, leurs paiements et leurs partenaires
Par Scott Wilson, vice-président principal et directeur mondial de la sécurité et de la confidentialité | Édité par Jeremiah Akin, directeur principal, Marketing mondial de la marque et du contenu
Les agences de recrutement et de placement reposent sur la confiance. Vous gérez des données sensibles, vous gérez de grands volumes de transactions financières et maintenez des relations continues avec des dizaines, parfois des centaines, de fournisseurs et de partenaires. Ça fait de toi une cible.
Les cybercriminels le savent. Ils ne visent pas seulement les grandes entreprises avec des départements informatiques dédiés. Les entreprises comptant moins de 100 employés subissent 350% plus d’attaques d’ingénierie sociale que les grandes organisations, et environ la moitié des petites entreprises n’ont pas de plan de cybersécurité en place. Si votre agence a opéré sans une base de sécurité claire, vous n’êtes pas seul. Ça vaut la peine de changer ça maintenant.
Ce billet couvre les contrôles fondamentaux que toute agence de recrutement et de placement devrait avoir en place. Aucune connaissance technique avancée n’est requise.
Pourquoi les agences sont une cible
Les mêmes éléments qui rendent les agences de recrutement compétentes dans leur travail les rendent aussi attrayantes pour les fraudeurs : communications fréquentes avec de nouveaux contacts, virements bancaires réguliers et paiements fournisseurs, et équipes allégées qui évoluent rapidement.
La compromission des courriels d’entreprise (BEC) est l’une des formes de fraude les plus dommageables ciblant les agences aujourd’hui. Cela fonctionne ainsi : un criminel utilise un faux compte courriel ou compromis pour rediriger un paiement légitime vers un compte frauduleux. Le FBI a rapporté 2,77 milliards de dollars de pertes liées au BEC rien qu’en 2024, et ce chiffre ne reflète que ce qui a été rapporté. Selon l’enquête AFP sur la fraude et le contrôle des paiements de 2026, 76% des organisations américaines ont été victimes de fraude de paiement en tentative ou réelles en 2025, et 74% ont spécifiquement vécu la BEC.
Les tactiques ont aussi changé. Les criminels ne se fient plus à des courriels mal rédigés et faciles à repérer. Ils utilisent l’IA pour imiter le style d’écriture de personnes en qui vous avez déjà confiance, usurper des adresses courriel qui ressemblent presque à des adresses légitimes, et fabriquent une urgence pour vous faire agir avant que vous ne pensiez.
Le renseignement sur les menaces de Hoxhunt a enregistré une augmentation de 14 fois le nombre d’attaques de phishing générées par l’IA durant la saison des Fêtes 2025, les attaques assistées par IA représentant environ 40% de tous les hameçonnages signalés au début de 2026. Ce ne sont pas les arnaques évidentes d’il y a cinq ans.
Les non-négociables
Ce sont les contrôles que chaque agence devrait avoir en place avant tout le reste. Ce n’est pas compliqué, mais ça fait une énorme différence.
Activez l’authentification multifactorielle (MFA)
La MFA exige une deuxième forme de vérification lorsqu’une personne se connecte à un compte : un code provenant d’une application, un message texte ou une clé matérielle. Même si un criminel a votre mot de passe, le MFA l’empêche d’entrer.
Des recherches citées par Microsoft montrent que la MFA bloque 99% des compromis de comptes liés au phishing. Malgré cela, seulement 27% des petites entreprises de moins de 25 employés ont la MFA activée. Activez-le pour tous les comptes qui l’offrent : courriel, plateformes financières, votre ATS, tout.
Utilisez un antivirus réputé et gardez-le à jour
Un logiciel antivirus n’est pas une installation unique. Il doit être en marche, mis à jour et surveillé activement. Les options réputées incluent Malwarebytes, Bitdefender et ESET. Si votre équipe travaille sur plusieurs appareils, assurez-vous que chaque appareil est couvert, pas seulement les ordinateurs de bureau.
Configurez tout pour qu’il se mette à jour automatiquement
Les mises à jour logicielles corrigent les vulnérabilités de sécurité. Lorsque votre système d’exploitation, votre navigateur ou vos applications sont obsolètes, ces vulnérabilités restent ouvertes. Définissez des mises à jour automatiques sur chaque appareil utilisé par votre équipe. C’est l’une des choses les plus simples et efficaces que vous puissiez faire.
Utilisez un gestionnaire de mots de passe
Les mots de passe faibles ou réutilisés sont l’une des façons les plus courantes dont les comptes sont compromis. Un gestionnaire de mots de passe génère des mots de passe forts et uniques pour chaque compte et les stocke de façon sécurisée. Désactivez le remplissage automatique du navigateur pour les sites sensibles et ne sauvegardez pas les mots de passe dans votre navigateur.
Protéger vos paiements
Les contrôles financiers sont là où les fraudeurs concentrent la majeure partie de leur énergie. Ces étapes rendent leur réussite beaucoup plus difficile.
Vérifier les changements de paiement hors bande
Si vous recevez un courriel vous demandant de mettre à jour les informations bancaires d’un fournisseur, n’agissez pas avant d’avoir appelé directement ce fournisseur en utilisant un numéro déjà enregistré. N’utilisez jamais un numéro de téléphone fourni dans le courriel lui-même. Cette seule étape arrête la majorité des tentatives de BEC.
Exige une double autorisation pour les virements bancaires
Exigez qu’au moins deux personnes approuvent tout virement bancaire ou paiement électronique au-delà d’un certain seuil. C’est parfois appelé le « principe des quatre yeux » et c’est l’un des moyens de dissuasion les plus efficaces disponibles. Même si une personne est trompée, un deuxième approbateur vous donne un point de contrôle.
Rapprochez vos comptes quotidiennement
Plus vous détectez rapidement un transfert frauduleux, meilleures sont vos chances de récupérer les fonds. La plupart des banques ont une fenêtre limitée pour rappeler un virement bancaire. Un processus de rapprochement quotidien qui compare les paiements sortants aux demandes approuvées et signale tout compte de bénéficiaire inconnu vaut la peine d’intégrer votre routine.
Sécuriser la façon dont les fournisseurs soumettent les informations bancaires
Évitez d’accepter les coordonnées bancaires des fournisseurs par courriel. Utilisez plutôt un portail sécurisé ou un processus d’admission vérifié. Cela élimine l’un des points d’entrée les plus courants pour la fraude au paiement.
Protéger votre domaine courriel
Celle-ci est technique, mais votre contact informatique ou votre fournisseur de courriel peut s’en occuper. Trois protocoles — SPF, DKIM et DMARC — travaillent ensemble pour empêcher les criminels d’envoyer de faux courriels qui semblent provenir de votre domaine. Si ces informations ne sont pas configurées, quelqu’un pourrait se faire passer pour l’adresse courriel de votre agence et l’utiliser pour frauder vos partenaires ou clients.
Demandez à votre support informatique de confirmer que les trois sont bien configurés. C’est une configuration unique qui protège votre réputation et celle de vos partenaires.
Bâtir une culture du reportage
Le rapport 2025 de Verizon sur les enquêtes sur les violations de données a révélé qu’environ 60% des violations concernent des actions humaines. Ce n’est pas une raison pour blâmer les employés. C’est une raison d’y investir.
Le rapport de référence sur l’hameçonnage 2025 de KnowBe4 a révélé qu’un employé sur trois est vulnérable à l’hameçonnage dès le départ. Les organisations qui offrent régulièrement des formations de sensibilisation à la sécurité voient ce nombre diminuer de plus de 40% en 90 jours et jusqu’à 86% en un an.
Voici quelques habitudes qui valent la peine d’être intégrées à la culture de votre équipe :
Encouragez les reportages précoces. Si quelque chose semble anormal, un courriel étrange, une demande inattendue, un lien qui semble faux, votre équipe devrait se sentir en sécurité pour le signaler immédiatement, sans crainte de jugement. Le rapport précoce sauve les organisations. Le silence est ce qui permet à la fraude de réussir.
Faites des simulations de phishing. Les tests d’hameçonnage sécuritaires périodiques maintiennent la sensibilisation à la sécurité et vous aident à identifier où une formation supplémentaire serait utile. De nombreuses plateformes de sécurité offrent cette fonctionnalité intégrée.
Partagez ce que vous voyez. Si votre agence reçoit un courriel suspect ou remarque un nouveau schéma d’arnaque, partagez-le avec vos partenaires. La prévention de la fraude fonctionne mieux en tant qu’effort collectif.
Liste de vérification rapide
Utilisez ceci pour évaluer la position actuelle de votre agence.
Sécurité individuelle et des appareils
- La MFA est activée sur tous les comptes (courriel, plateformes financières, ATS, systèmes RH)
- Un antivirus réputé est installé et à jour sur tous les appareils
- Les systèmes d’exploitation, navigateurs et applications sont configurés pour se mettre à jour automatiquement
- Un gestionnaire de mots de passe est utilisé dans toute l’équipe; Le remplissage automatique du navigateur est désactivé pour les sites sensibles
Contrôles financiers
- Tous les virements bancaires et paiements électroniques au-delà d’un seuil fixé nécessitent une double autorisation
- Les demandes de modification de paiement des fournisseurs sont vérifiées par téléphone avant toute action
- Les comptes sont rapprochés quotidiennement, avec un processus pour signaler et escalader les transactions non reconnues
- Les informations bancaires des fournisseurs sont recueillies par un processus sécurisé, et non par courriel
Sécurité des courriels et des domaines
- SPF, DKIM et DMARC sont configurés sur votre domaine courriel
- Le personnel sait comment identifier un expéditeur suspect (vérifier l’adresse courriel complète, pas seulement le nom affiché)
Culture et sensibilisation
- Le personnel se sent à l’aise de signaler sans hésitation des courriels ou demandes suspects
- La formation à la sensibilisation à la sécurité fait partie de votre processus d’intégration et d’évaluation annuelle
- Des simulations d’hameçonnage sont menées régulièrement
Votre agence mérite un partenaire solide
Protéger votre agence contre la fraude n’est qu’un élément d’un tableau plus large. Les agences de recrutement et de recrutement naviguent également dans les exigences complexes de conformité de la main-d’œuvre, les risques de classification des contractuels et les obligations d’emploi transfrontalières. C’est là que People2.0 entre en jeu.
People2.0 offre des services EOR et AOR aux agences de recrutement et de recrutement dans 130+ pays, vous aidant à placer les travailleurs en toute confiance, à rester conformes et à réduire les risques à chaque étape de l’engagement. Si vous êtes prêt à examiner de plus près comment nous soutenons des agences comme la vôtre, nous serions ravis de discuter.
