Votre entreprise peut-elle perdre 38 M€ sur un email ?

Sefri-Cime l’a perdu en décembre 2021. FACC AG 42 M€ en 2016. Arup 25 M USD en 2024. Estimez en 60 secondes votre exposition à la fraude au président (BEC) — probabilité annuelle et perte attendue en euros, avec une méthode publique et auditable.

2,77 G$
Pertes mondiales BEC 2024
FBI IC3 Annual Report 2024
85 %
Organisations ciblées au moins 1 fois/an
AFP Payments Fraud Survey 2024
~50 %
des BEC contournent le MFA
Beazley Cyber Services Q4 2024
< 20 %
Taux de recouvrement France
Europol IOCTA 2024
Démarrer le calcul →
Sources institutionnelles utilisées dans le modèle
FBI IC3 2024 Verizon DBIR 2025 ANSSI Panorama 2024 ENISA Threat Landscape 2024 AFP Payments Fraud 2024 Coalition Claims Report 2024 Europol IOCTA 2024 Tracfin 2023

Calculateur — 6 questions

Chaque coefficient est issu d’une source publique. Le classeur XLSX complet est téléchargeable en bas de page. Aucune donnée n’est envoyée à un serveur : tout le calcul s’exécute dans votre navigateur.

Pilote la fréquence d’attaque et le plafond de perte attendu.
BTP et industrie dominent les pertes BEC (FBI IC3 2024, ALTA 2024).
Surface d’attaque directe : 88 % des fonds BEC transitent par virement (Verizon DBIR 2025).
Le taux de recouvrement chute de 66 % (US via FBI RAT) à < 15 % à l’étranger (Europol IOCTA 2024).
Neutralise la prise de contrôle de compte (ATO), qui concerne ~1/3 des cas de BEC.
Seul contrôle processus avec une réduction de perte quantifiée (AFP 2024 : ~65 % rétrospectif).

Votre estimation

Probabilité annuelle
d’un incident BEC dans les 12 mois
Perte annuelle attendue (EAL)
Fourchette 80 % :
Score comparatif
Échelle log 1-10 (indicatif)

Leviers prioritaires (conditionnels à vos réponses)

    Intervalle de confiance à 80 % — votre exposition réelle peut varier de ±50 %. Ce calcul n’intègre pas : formation anti-phishing, cyber-assurance, maturité plan de réponse, antécédents incidents. Voir la section Méthodologie pour le détail des limitations.
    Contrôle adapté au BEC — pas d’infrastructure
    Sealfie — validation visage + signature cryptographique pour les 3 à 5 personnes de la chaîne décisionnelle de paiement. Avant tout virement sensible, émetteur et approbateur confirment leur identité sur un canal hors-email dédié. Neutralise le deepfake vidéo, le CEO spoofing et l’ATO email sur la surface précise où le BEC opère — sans déployer d’EDR ni refondre l’infrastructure. Découvrir Sealfie ↗

    Méthodologie

    Reproductible et auditable. Le modèle a été soumis à un audit contradictoire via Perplexity Sonar-Reasoning-Pro. Score initial 3/10 → défendable après 8 corrections documentées. Chaque coefficient a une source publique.

    Formule en 10 étapes

    P_attempt × P_success × attempts_year × (1 - recovery) × loss_per_incident — bornée au percentile 95 IC3 (CA × 8 %).

    26 cas documentés

    Calibration sur 21 cas internationaux + 7 cas français (Sefri-Cime 38 M€, Etna, Forges de Courcelles, Pathé NL, Saône-et-Loire, Ploudaniel, Le Cerf & Bachelet).

    Audit contradictoire

    MFA facteur 0,3 → 0,5 (Beazley : ~50 % bypass). Base success 0,12 → 0,035 (IC3 / univers × sous-déclaration). Plafond CA × 8 % documenté (IC3 p95).

    Coût total en 4 couches

    EAL direct + perte sèche non assurable (franchise, sublimit, exclusion) + remédiation BEC-spécifique (7-130 k€) + risques qualitatifs (réputation, RH, juridique).

    Conformité UCPD / DGCCRF

    Claims quantitatifs vérifiables (XLSX public), non-exagération (intervalle 80 %), non-dissimulation (facteurs non modélisés listés). RGPD : aucune donnée personnelle traitée par le calcul.

    Cadre juridique FR

    Art. L.561-15 C.mon.fin. (Tracfin via banque), art. 314-1 (abus de confiance — intention requise), art. 62-2 CPP (garde à vue conditionnelle), L225-251 C.com., MAR Art. 17, RG AMF 223-2.

    Ce que l’outil n’est pas. Pas une prédiction statistique individuelle. Pas un audit ISO 27001, PCI-DSS ou NIS2. Pas une alternative à un pentest ou un audit PASSI. Les résultats sont un ordre de grandeur destiné à orienter une décision, pas à la remplacer.

    BEC vs Ransomware — par secteur

    Ces chiffres ne sont pas utilisés dans votre calcul — ils situent le BEC dans le paysage cyber de votre secteur. Échelle : organisation mid-market ETI (200 – 2 000 salariés) en France.

    BEC — Business Email Compromise
    Très ciblé, permanent

    3 à 5 personnes dans l’entreprise sont des cibles de valeur : DAF, CFO, trésorier, président, responsable paiements. Les attaquants les étudient (LinkedIn, communiqués, registre du commerce) et testent en continu — tentatives mensuelles à hebdomadaires, toute l’année. Pas de malware, pas d’accès réseau — l’attaque arrive par email, téléphone ou visioconférence (deepfake).

    Ransomware
    Large surface, événement ponctuel

    N’importe quel salarié peut être le point d’entrée (un clic sur une pièce jointe, un RDP exposé, une faille VPN). L’attaque compromet ensuite le réseau entier : mouvement latéral, chiffrement, exfiltration. Quand ça arrive — souvent une seule fois dans la vie de l’entreprise — c’est un événement catastrophique qui met l’activité à l’arrêt.

    Surface d’attaque
    BEC — 3 à 5 personnes (DAF, CFO, trésorier, président, payment clerk)
    Ransomware — tout le parc (utilisateurs, endpoints, serveurs, VPN, RDP)
    Cadence
    BEC — permanent : tentatives mensuelles à hebdomadaires, 12 mois sur 12
    Ransomware — ponctuel : 1 tentative réussie typique par décennie d’exploitation
    Contrôle adapté
    BEC — authentification forte du couple émetteur/approbateur sur un canal hors-email dédié
    Ransomware — EDR, segmentation réseau, backups immuables, gestion des identités à grande échelle
    Secteur BEC — proba/an BEC — perte médiane Ransomware — proba/an Ransomware — coût total Ratio coût RW / BEC
    BTP / Immobilier 5 – 8 %100 – 200 k€ 10 – 18 %1 – 4 M€ ≈ 20 ×
    Industrie / Manufacturing 4 – 7 %80 – 150 k€ 15 – 25 %2 – 5 M€ ≈ 30 ×
    Services professionnels 4 – 6 %60 – 130 k€ 10 – 18 %2 – 5 M€ ≈ 30 ×
    Santé 3 – 5 %60 – 120 k€ 15 – 25 %4 – 10 M€ ≈ 60 ×
    Finance / Assurance 4 – 6 %100 – 200 k€ 8 – 15 %3 – 6 M€ ≈ 30 ×
    Tech / Digital 3 – 5 %50 – 110 k€ 8 – 15 %2 – 5 M€ ≈ 30 ×
    Commerce / Retail 4 – 6 %50 – 110 k€ 8 – 15 %1 – 3 M€ ≈ 20 ×
    Public / Collectivités 3 – 5 %60 – 120 k€ 10 – 20 %1 – 3 M€ ≈ 20 ×
    Ce qu’il faut retenir. Le BEC n’est pas une « petite version » du ransomware — c’est une menace différente par nature.
    • Le BEC vise 3 à 5 personnes précises, les attaque en continu toute l’année, et passe par des canaux humains (email, téléphone, visio) — pas par le réseau.
    • Le ransomware vise l’infrastructure entière, frappe une fois tous les 5-10 ans, et passe par un point d’entrée technique.
    Conséquence pratique. Un EDR, une segmentation réseau, des backups immuables — la panoplie anti-ransomware — ne défendent pas du BEC. Le BEC demande un contrôle ciblé et permanent sur la petite chaîne décisionnelle de paiement : authentification forte hors-email de l’émetteur et de l’approbateur avant tout virement sensible. C’est une protection personne-centrée, pas infrastructure-centrée.
    Caveats. Probabilités ransomware issues d’enquêtes Sophos / CESIN / CPME biaisées vers grandes organisations — sous-estimation pour très petites PME. Coûts IBM 2024 sont des moyennes globales (majoritairement US) — France souvent 20-40 % inférieure. Ranges ±50 % — incertitude élevée côté BEC comme côté ransomware. Détail et sources par ligne : feuille 14-BEC-vs-Ransomware du classeur XLSX.

    Téléchargements

    Tout est public. Un auditeur, un journaliste ou un concurrent peut reproduire ce modèle intégralement. Nous nous engageons à corriger sous 7 jours tout écart documenté via methodologie@inkan.link.

    FAQ

    Pourquoi seulement 6 questions ?

    Chaque question devait remplir 3 critères : signal différentiel mesurable (±30 % sur l’EAL), renseignable en < 10 s, et au moins une source institutionnelle publique validant le facteur. Les signaux plus bruités (formation anti-phishing, cyber-assurance, budget sécurité) ont été écartés faute de preuves quantifiables.

    Mes données sont-elles envoyées à un serveur ?

    Non. Tout le calcul s’exécute dans votre navigateur (JavaScript côté client). Aucune information n’est transmise à Inkan.link ni à un tiers. Aucun cookie n’est posé.

    Pourquoi la probabilité et la perte sont-elles affichées avec un intervalle ?

    Parce qu’une estimation précise serait une affirmation commerciale trompeuse (UCPD). La propagation d’incertitude sur les coefficients donne un intervalle de confiance à 80 % de ±50 % à ±100 % sur l’EAL. C’est un ordre de grandeur, pas une prédiction.

    Pourquoi la couche 3 (remédiation) est-elle < 130 k€ et non 700 k€ comme dans d’autres calculateurs ?

    Parce que le BEC est une fraude par ingénierie sociale avec empreinte technique minimale. Le CIO d’Arup (Hong Kong, 25 M USD, 2024) a déclaré publiquement « no systems compromised ». Les fourchettes 700 k€ qu’on lit parfois correspondent à des mandats IR ransomware (cartographie réseau, EDR enterprise, rebuild AD). Pour un BEC typique : DMARC + MFA + formation = 2-25 k€, pas 500 k€.

    Que se passe-t-il si je suis un DAF en garde à vue après un BEC ?

    La garde à vue n’est pas automatique pour la victime d’un BEC. La procédure standard française (art. 61-1 CPP) est l’audition libre. La garde à vue (art. 62-2 CPP) n’est possible qu’en cas de suspicion de complicité interne, de production de faux documents ou de violation d’obligations spécifiques. L’article 314-5 du Code pénal qu’on cite parfois n’existe pas ; le vrai fondement de l’abus de confiance est l’article 314-1, qui requiert une intention de détournement (pas une simple négligence).

    Comment vérifier vos chiffres ?

    Tous les coefficients sont dans le classeur XLSX, feuille 3-Coefficients et 4-Base-Rates. Chaque cellule a une URL source dans la feuille 6-Sources. Toute divergence avec notre calcul est un bug, pas une opinion — nous corrigeons sous 7 jours.

    Je représente la DGCCRF / un journaliste / un concurrent. Comment contester ?

    Contact : methodologie@inkan.link. Envoyez-nous la cellule XLSX contestée avec une source publique alternative. Nous publions le correctif (ou la raison du maintien) dans un CHANGELOG public sous 7 jours.