Aller au contenu

Calculateur de coût BEC

Modélisez le coût d’une compromission de messagerie (BEC), avec l’Internet Crime Report 2025 du FBI comme coût par incident. Chaque hypothèse reste visible et modifiable.

C’est un modèle, pas une prévision. L’IC3 publie ce que les victimes ont déclaré. Il ne publie pas la probabilité qu’une entreprise donnée soit ciblée, et personne d’autre non plus. Le nombre d’incidents ci-dessous est votre hypothèse, pas une preuve. L’outil fournit un chiffre du rapport et fait la multiplication ; il ne prédit rien.

Votre organisation

Effectif total. Affiché pour le contexte seulement. Il ne fait pas varier l’exposition, car l’IC3 ne publie aucune perte par employé.

personnes

Personnes pouvant lancer ou approuver un paiement. C’est le groupe que vise vraiment le BEC.

personnes

Votre virement ou paiement fournisseur habituel. Laissez vide pour la moyenne tirée de l’IC3, 123 005 $ US par incident déclaré.

USD

Combien de tentatives BEC réussiraient selon vous en un an. Aucun taux de référence n’est publié. C’est une donnée de planification : le résultat ne vaut que ce qu’elle vaut.

par an

Exposition modélisée

Estimation, pas une prévision

Exposition annuelle estimée 123 005 $ US, pour 1 incident supposé à 123 005 $ US.

Exposition annuelle estimée123 005 $ US

1 incident supposé × 123 005 $ US par incident

Perte par incident réussi123 005 $ US

Calculé d’après l’IC3 2025 : 3 046 598 558 $ US de pertes BEC déclarées ÷ 24 768 plaintes. L’IC3 ne publie pas cette moyenne.

Analyser ces résultats avec l’IA

Envoyez ce modèle, hypothèses comprises, à votre assistant IA pour l’éprouver et voir ce qui réduit l’exposition.

ChatGPTClaudeGeminiPerplexityGrok

Les hypothèses derrière ce chiffre

  • Incidents par an : 1. Votre saisie, et aucune source publiée n’appuie une valeur précise.
  • Perte par incident : 123 005 $ US. calculée sur les totaux IC3 2025.
  • Non inclus : remise en état, frais juridiques, arrêt d’activité, franchise d’assurance et atteinte à la réputation. L’IC3 n’enregistre que la perte déclarée, ce modèle aussi. Le coût réel d’un incident dépasse le chiffre ci-dessus.
  • Récupération possible : L’IC3 dispose d’une Recovery Asset Team qui peut geler les virements frauduleux si l’incident est signalé vite. Le modèle exclut toute récupération : c’est un chiffre brut, pas net.

Ce que l’IC3 a vraiment publié

Tiré du rapport annuel IC3 2025 (avril 2026). Ce sont les chiffres tels qu’imprimés ; la moyenne est la seule valeur dérivée de la page.

Plaintes et pertes déclarées pour compromission de messagerie, par année, d’après les rapports IC3
AnnéePlaintes BECPertes déclarées
202321 4892 946 830 270 $ US
202421 4422 770 151 146 $ US
202524 7683 046 598 558 $ US
  • Les pertes BEC ont augmenté de 10,0 % entre 2024 et 2025, sur 1 008 597 plaintes et 20,877 Md $ US de pertes déclarées, tous délits confondus.
  • Le BEC n’est pas le délit le plus coûteux au total. La fraude à l’investissement totalise 8 648 617 756 $ US en 2025, près de trois fois le BEC. Le BEC mène en moyenne par plainte : 123 005 $ US contre 118 500 $ US pour la fraude à l’investissement et 8 950 $ US pour les ransomwares.
  • Le virement bancaire ou ACH était le type de transaction le plus déclaré dans les plaintes BEC, à 86 % : le paiement moyen de votre processus financier est donc le chiffre le plus utile à saisir dans ce modèle.
  • 30 256 592 $ US des pertes BEC 2025 figuraient dans des plaintes citant l’IA. L’IC3 applique ce libellé quand le texte de la plainte mentionne l’IA, pas quand son rôle est confirmé.

Ce que les chiffres couvrent ou non

  • Ce sont des plaintes déposées volontairement auprès d’un service fédéral américain, pas des pertes mesurées. Les incidents jamais signalés à l’IC3 n’y figurent pas.
  • Chaque plainte compte pour un seul type de délit : un BEC qui a aussi causé une fuite de données n’apparaît qu’une fois.
  • L’IC3 présente ses statistiques comme un état des lieux à un instant donné, qui peut évoluer.

Sources

Chaque montant en dollars de cette page vient du rapport annuel IC3 2025, publié en avril 2026. La moyenne par incident est calculée à partir de deux de ses chiffres et signalée comme telle partout.

DMARC appliqué ferme une voie du BEC : l’envoi sous votre domaine exact

Il n’arrête ni un domaine sosie ni une boîte compromise, et aucun outil honnête ne dit le contraire. Il empêche en revanche quiconque de mettre votre domaine dans le champ From. L’agent Palisade examine chaque expéditeur, rédige les correctifs et propose chaque étape de politique. Rien ne part sans votre accord.

Faire appliquer DMARC

Audit de domaine gratuit, sans carte. Une carte lance l’essai de 15 jours.

Voir aussi : noter l’authentification du domaine ou tester un lien suspect.

À quoi sert un calculateur BEC ?

La compromission de messagerie (BEC) est l’attaque où quelqu’un convainc une personne habilitée à payer d’envoyer l’argent sur le mauvais compte, souvent en se faisant passer pour un dirigeant, un fournisseur ou un collègue. Divisez les pertes BEC déclarées au FBI par le nombre de plaintes : la moyenne atteint environ 123 005 $ US par incident, plus que tout autre type de délit du rapport, même si l’IC3 ne publie pas lui-même cette moyenne. Ce calculateur en tire un chiffre à poser dans une discussion budgétaire : une perte par incident issue de l’Internet Crime Complaint Center du FBI, multipliée par un nombre d’incidents que vous fixez. C’est un modèle aux hypothèses visibles, pas un score de risque, car personne ne publie les données qu’un vrai score exigerait. Côté contrôles, l’authentification traite ici l’usurpation du domaine exact : voyez où en est votre domaine avec le score de sécurité e-mail, ou lisez comment l’attaque opère.

Combien coûte une compromission de messagerie ?

L’Internet Crime Complaint Center du FBI a recensé 24 768 plaintes BEC dans son Internet Crime Report 2025, pour 3 046 598 558 $ US de pertes déclarées. Le rapport des deux donne environ 123 005 $ US par incident déclaré, un calcul et non un chiffre publié par l’IC3. Cette moyenne est la plus haute de tous les types de délit du rapport : le BEC n’est pas la plus grosse catégorie en pertes totales, mais un incident coûte plus qu’un incident de toute autre catégorie.

D’où viennent les chiffres de ce calculateur ?

Une seule source : l’Internet Crime Report 2025 de l’Internet Crime Complaint Center du FBI, publié en avril 2026 et disponible en PDF sur ic3.gov. Les plaintes et pertes de 2023, 2024 et 2025 viennent de ses tableaux comparatifs sur trois ans, tout comme les comparaisons avec la fraude à l’investissement et les ransomwares. Rien ici ne vient d’une enquête de fournisseur ou d’un résumé tiers.

Le BEC est-il le cybercrime le plus coûteux ?

Pas en pertes totales. Dans le rapport IC3 2025, la fraude à l’investissement pèse 8 648 617 756 $ US contre 3 046 598 558 $ US pour le BEC, soit près de trois fois plus. Le BEC mène sur la perte moyenne par plainte, un chiffre obtenu en divisant les pertes de chaque catégorie par ses plaintes, et non publié par l’IC3 : environ 123 005 $ US pour le BEC, contre près de 118 500 $ US pour la fraude à l’investissement et environ 8 950 $ US pour les ransomwares. Les deux affirmations sont vraies et répondent à des questions différentes. Pour estimer le coût d’un seul incident, c’est la moyenne par plainte qui compte. Pour le classement lui-même, voyez si le BEC est la cyberattaque la plus coûteuse.

Comment l’exposition est-elle calculée ?

Les incidents réussis supposés par an, multipliés par la perte par incident. Celle-ci prend par défaut la moyenne tirée de l’IC3, puis votre chiffre si vous saisissez un paiement moyen, souvent la meilleure donnée : le virement bancaire ou ACH était le type de transaction le plus déclaré dans les plaintes BEC, à 86 %. Le nombre d’incidents est entièrement votre hypothèse. L’IC3 publie ce que les victimes ont déclaré, pas la probabilité qu’une organisation donnée soit ciblée : aucune source publiée ne fournit ce chiffre, et l’outil ne prétend pas le faire.

Pourquoi l’outil ne chiffre pas mon risque ?

Parce que les données ne le permettent pas. Les chiffres IC3 sont des plaintes déposées volontairement auprès d’un service fédéral américain, pas des pertes mesurées dans toutes les organisations : les incidents jamais signalés en sont absents. Chaque plainte compte pour un seul type de délit, donc un BEC qui a aussi causé une fuite de données n’apparaît qu’une fois. L’IC3 présente lui-même ses statistiques comme un état des lieux à un instant donné, qui peut évoluer. Un modèle fondé sur ces chiffres donne une estimation, pas une prévision, d’où les hypothèses à l’écran.

Qu’est-ce que l’exposition ne compte pas ?

Remise en état, frais juridiques, arrêt d’activité, franchise d’assurance, audit et atteinte à la réputation. L’IC3 enregistre la perte déclarée, et un modèle fondé dessus fait de même. Il suppose aussi qu’aucun fonds n’est récupéré : le résultat est un chiffre brut. L’IC3 dispose d’une Recovery Asset Team qui peut geler les virements frauduleux si l’incident est signalé vite : signaler tôt change vraiment l’issue, même si le modèle ne peut pas en tenir compte.

DMARC arrête-t-il le BEC ?

Il ferme une voie. Une politique DMARC en quarantine ou reject bloque le courrier qui met votre domaine exact dans l’adresse From, la version la moins chère de l’attaque. Elle n’arrête ni un domaine sosie, ni la boîte compromise d’un fournisseur, ni un compte compromis chez vous, et aucun outil honnête ne dit le contraire. DMARC vaut la peine : il retire l’option la plus facile et montre qui envoie en votre nom. Ajoutez des contrôles de paiement qui ne dépendent pas de l’e-mail.

Que faire si nous avons été touchés ?

Appelez tout de suite votre banque pour demander le rappel du virement, puis déposez une plainte sur ic3.gov avec les détails de la transaction. La vitesse prime : la Recovery Asset Team de l’IC3 travaille avec les banques pour geler les virements frauduleux, et cette fenêtre se ferme vite. Gardez les e-mails d’origine avec leurs en-têtes complets : l’enquête part des données de routage.