Comment nous vérifions les acheteurs B2B : un cas suspect d'usurpation d'identité d'E.Leclerc

Je m'appelle Leo, spécialiste des ventes chez ClipClop eBike. La plupart des matins se ressemblent : quelques e-mails de grossistes, une demande de catalogue, quelqu'un qui demande le MOQ et les prix FOB. C'est le travail normal pour une usine OEM vendant à l'international.

Puis est arrivée une demande qui semblait presque trop parfaite.

L'expéditeur a utilisé le nom Jeandis SAS et s'est présenté comme directeur adjoint des achats chez JEANDIS SA, une centrale d'achat liée aux magasins E.Leclerc à Marmande, en France. Il demandait un catalogue et une liste de prix. Le message comprenait un numéro de téléphone français, une adresse à Marmande, un lien vers le site E.Leclerc et une signature soignée.

Un détaillant européen connu. Une entreprise qui existe. Une vraie adresse de rue. Une demande qui sonne comme un achat. Rien de caricaturalement faux.

C'est pourquoi ce type d'e-mail est difficile. L'entreprise figurant dans la signature peut être authentique. La personne qui vous écrit peut quant à elle ne pas être vérifiée.

Je n'ai pas conclu le prospect. Je ne l'ai pas non plus traité comme qualifié. Je l'ai démonté.

D'abord, j'ai vérifié l'entreprise, pas l'e-mail.

L'annuaire officiel des entreprises français répertorie JEANDIS SA comme une entreprise active sous le numéro SIREN 383 339 595, créée le 23 octobre 1991. Le siège social est situé RN113 Avenue François Mitterrand, 47200 Marmande. L'activité principale est l'hypermarché. Les mêmes registres indiquent un site E.Leclerc Express à Marmande sous cette même entité.

Ainsi, l'entité juridique est réelle. Cette partie tient la route.

Ce qu'il ne prouve pas, c'est l'autorité. Une inscription dans un registre m'indique qu'une entreprise existe. Elle ne me dit pas si la personne dans ma boîte de réception y travaille, si elle est capable de sourcer des e-bikes, ou si elle est autorisée à utiliser cette adresse e-mail. Cette distinction — entre l'entreprise et le contact — est précisément tout l'intérêt de la vérification des acheteurs.

Ensuite, j'ai examiné le domaine : jp@achat-jeandis.com. Je n'ai pas pu relier indépendamment ce domaine à JEANDIS SA à partir des informations officielles de l'entreprise. Les en-têtes ont montré que le message avait été envoyé depuis achat-jeandis.com. Le SPF a validé ce domaine d'expédition. Il y avait également une signature DKIM provenant d'un fournisseur de sécurité de messagerie.

Lors d'une journée de vente intense, ces coches vertes sont rassurantes. Elles ne devraient pas l'être.

SPF et DKIM répondent à une question précise : ce message a-t-il été autorisé par le domaine qui l'a envoyé ? Ils ne répondent pas à la question dont une usine a réellement besoin : ce domaine appartient-il à l'entreprise mentionnée dans la signature ? Un domaine peut envoyer des e-mails authentifiés tout en n'ayant aucun lien prouvé avec le revendeur dont il usurpe l'identité. L'authentification valide l'infrastructure. Elle ne délivre pas de badge d'achat.

Nous avons également découvert des discussions publiques concernant des activités d'usurpation d'identité ciblant E.Leclerc / JEANDIS et impliquant le même domaine. Il ne s'agit pas d'une décision de justice. Cela a tout de même fait augmenter le niveau de risque. Dès lors qu'un domaine a été mentionné dans un contexte d'usurpation d'identité, il faut cesser de supposer et commencer à vérifier.

La formulation a ajouté une couche supplémentaire. L'expéditeur voulait de nouveaux produits et un catalogue. Aucun modèle, aucune quantité, aucun volume annuel, aucun délai de livraison, aucune note de conformité ni aucun processus d'achat. Un premier e-mail vague n'est pas une preuve de fraude. Les vrais acheteurs commencent souvent de manière large. Un grand distributeur doit tout de même se montrer précis avant que le prospect ne soit traité comme sérieux.

Je n'ai pas envoyé notre pack tarifaire complet, communiqué nos coordonnées bancaires, rédigé de contrat, expédié d'échantillon gratuit, ni payé de frais à un tiers. Je n'ai pas accepté de bon de commande par simple e-mail. J'ai qualifié la demande de non vérifiée et à haut risque.

C'est toute la différence entre collecter des leads et les qualifier.

Le processus que j'utilise est simple.

Vérifiez l'entité juridique dans un registre officiel. Ne vous fiez pas aux fichiers joints par l'acheteur.

Dissociez l'entreprise de la personne. Posez ces deux questions : cette entreprise existe-t-elle ? Cette personne y travaille-t-elle et a-t-elle l'autorité nécessaire pour acheter ?

Examinez le domaine après le @. Un nom qui contient la marque n'est pas automatiquement officiel.

Utilisez un canal que vous avez trouvé vous-même. Ne vous contentez pas d'appeler le numéro figurant dans l'e-mail suspect. Trouvez des contacts officiels de manière indépendante et demandez si cette personne et cet e-mail sont autorisés.

Ensuite, testez la demande commerciale. Un projet réel élabore généralement les spécifications, la quantité, la destination, les besoins de conformité, les conditions de paiement et un responsable désigné.

Aucun signal d'alarme pris isolément n'est un verdict. Le risque augmente lorsque plusieurs se manifestent simultanément : une véritable entreprise utilisant un domaine inconnu ; une demande de catalogue sans quantité spécifiée ; une urgence dénuée de tout processus ; des échantillons gratuits avant même la qualification ; une demande de paiement à un tiers inconnu ; un changement soudain de compte bancaire ; un employé dont l'identité ne peut être vérifiée de manière indépendante.

Ne rejetez pas systématiquement chaque e-mail inhabituel. Renforcez la vérification à mesure que le risque augmente.

Au sein de notre équipe, je m'impose une règle : vérifier l'acheteur avant d'optimiser l'accord. Les équipes commerciales vont vite : entreprise, produit, prix, MOQ, paiement. Une autre couche se positionne en amont : identité, autorité, intention commerciale. Ce n'est qu'à cette condition qu'une usine doit aborder les échantillons, les bons de commande et l'argent.

Ce cas ne prouve pas qu'un individu nommé a commis un crime.

Ce qu'il démontre en revanche est plus restreint. JEANDIS SA est une véritable entreprise française disposant d'une présence documentée chez E.Leclerc à Marmande. La demande a utilisé achat-jeandis.com et a validé la vérification SPF pour ce domaine. Des rapports publics ont fait état de risques d'usurpation d'identité concernant ce même domaine. L'identité liée à l'e-mail n'a pas pu être considérée comme vérifiée.

C'est le standard que je souhaite voir appliquer par les autres fournisseurs : une vérification indépendante, loin de la panique et de la confiance aveugle.

Avant de partager des informations commerciales sensibles, posez-vous les questions qui fâchent : Qui est l'entreprise ? Qui est la personne ? Travaille-t-elle réellement là-bas ? Le domaine est-il effectivement lié à l'entreprise ? La demande est-elle précise ? Pouvez-vous confirmer tout cela par un canal que vous avez trouvé vous-même ?

Les e-mails professionnels les plus convaincants ne sont pas toujours les plus sûrs. Un vrai nom d'entreprise, une adresse réelle, une signature soignée et un courrier authentifié peuvent côtoyer une identité qui reste non vérifiée. Quelques minutes de vérification peuvent épargner à une usine une perte bien plus importante.

Avertissement
Cet article est basé sur une demande de gros reçue par ClipClop eBike et sur des informations publiques concernant l'entreprise et la sécurité. Les détails personnels ont été omis ou généralisés. Il ne s'agit ni d'une conclusion juridique ni d'une accusation criminelle à l'encontre d'un individu ou d'une entreprise.