En bref. Une fraude à la facture ne repose pas forcément sur un document grossièrement falsifié. Le fraudeur peut lire une vraie conversation après le piratage d'une messagerie, reprendre le ton d'un fournisseur et remplacer uniquement l'IBAN au moment où un paiement est attendu. La facture, le montant et le nom de l'entreprise peuvent alors sembler parfaitement cohérents.
La bonne défense n'est donc pas de demander aux équipes de mieux regarder un RIB. Elle consiste à construire un processus où un changement de coordonnées bancaires ne peut jamais suffire, à lui seul, à déclencher un virement. Vérification du bénéficiaire, contre-appel sur un numéro déjà connu, séparation des rôles, authentification forte et journal des modifications doivent fonctionner ensemble.
La fraude par manipulation progresse malgré des paiements mieux sécurisés
La Banque de France constatait, pour le premier semestre 2025, une hausse de 7 % du montant total de la fraude aux moyens de paiement, à 618 millions d'euros, dans un contexte où les flux scripturaux progressaient eux aussi. Ce chiffre couvre plusieurs instruments et ne mesure pas la seule fraude à la facture. Il confirme néanmoins le développement d'attaques où une personne autorisée est poussée à valider elle-même une opération frauduleuse.
Ce mécanisme contourne une partie des protections habituelles. L'authentification forte peut prouver que le comptable ou le dirigeant a confirmé le virement ; elle ne prouve pas que la demande commerciale était légitime. Le point faible se situe souvent avant la banque, dans la messagerie, le référentiel fournisseur ou la procédure d'approbation.
Comment une facture légitime finit par payer le mauvais compte
Le scénario le plus convaincant commence par une intrusion discrète dans une boîte mail. L'attaquant recherche des expressions comme « facture », « paiement » ou « banque », suit un échange réel et attend le bon moment. Il peut créer des règles qui transfèrent certains messages, masquent les alertes ou déplacent les réponses afin que la victime ne voie pas la conversation complète.
Lorsque l'échéance approche, il envoie une facture modifiée ou annonce un changement de compte. Tout le reste peut être authentique : identité du fournisseur, références de commande, montant, signature et historique du fil. L'absence de faute d'orthographe n'est plus un indicateur de sécurité. Une demande très bien écrite peut précisément provenir d'une messagerie compromise.
Trois scénarios doivent être distingués
| Scénario | Ce que voit l'entreprise | Contrôle décisif |
|---|---|---|
| Faux fournisseur ou faux RIB | Un fournisseur habituel annonce de nouvelles coordonnées bancaires ou renvoie une facture corrigée. | Contre-appel avec un contact et un numéro déjà enregistrés, sans utiliser ceux du message reçu. |
| Fraude au président | Un dirigeant, un avocat ou un partenaire supposé exige un paiement urgent et confidentiel. | Retour vers la chaîne hiérarchique normale et refus de contourner le circuit d'approbation. |
| Compte interne compromis | Une demande semble venir d'un collaborateur habilité ou une validation apparaît dans la messagerie. | Vérification dans l'outil de paiement, séparation préparation-approbation et revue des connexions. |
Ces variantes peuvent se combiner. Un attaquant peut pirater le fournisseur, puis usurper un dirigeant pour accélérer le paiement. Il peut aussi modifier le RIB d'un salarié afin de détourner son salaire. Le bon protocole doit donc protéger toute modification de bénéficiaire, pas seulement les factures de gros montant.
La facturation électronique ne certifie pas le compte à payer
La réforme française de la facturation électronique structure l'émission, la réception et la transmission de données via les Plateformes Agréées. Elle améliore la traçabilité et réduit certains échanges de PDF isolés. Elle ne transforme toutefois pas chaque facture reçue en instruction de paiement incontestable.
C'est une conséquence pratique du rôle des plateformes : elles transportent et contrôlent des flux réglementaires, tandis que l'entreprise conserve la responsabilité de reconnaître le fournisseur, de rapprocher la commande et de valider le paiement. Un compte utilisateur compromis, un référentiel modifié ou un fournisseur lui-même piraté peut toujours produire une demande trompeuse.
Notre comparatif des Plateformes Agréées détaille les rôles, journaux et circuits à vérifier avant septembre 2026. Pour la fraude, la règle reste simple : le canal de facture et le canal d'autorisation du paiement doivent être pensés séparément.
La vérification du bénéficiaire contrôle le nom associé à l'IBAN
Depuis le 9 octobre 2025, les prestataires de services de paiement de la zone euro doivent proposer gratuitement la vérification du bénéficiaire, ou VoP. Avant un virement SEPA classique ou instantané, la banque du payeur interroge celle du bénéficiaire pour comparer l'IBAN avec le nom, la raison sociale ou, selon le parcours professionnel, un identifiant comme le SIREN.
Le résultat arrive avant la confirmation. Il permet de corriger une erreur, d'arrêter l'opération ou de poursuivre en connaissance de cause. Il ne faut pas le traiter comme une fenêtre à fermer mécaniquement : un résultat inattendu doit suspendre le paiement jusqu'à ce qu'une vérification indépendante explique l'écart.
Les quatre résultats de vérification n'ont pas la même signification
| Résultat | Interprétation | Décision recommandée |
|---|---|---|
| Concordance exacte | Le nom saisi correspond au titulaire associé à l'IBAN. | Poursuivre seulement si la facture, le fournisseur et l'autorisation ont aussi été contrôlés. |
| Concordance partielle | Le nom est proche, mais pas identique ; la banque peut proposer le nom associé. | Ne pas corriger par réflexe. Vérifier la raison sociale auprès d'une source fiable et du fournisseur. |
| Non-concordance | Le nom fourni ne correspond pas à l'IBAN. | Arrêter le virement et ouvrir une vérification formelle du bénéficiaire. |
| Vérification impossible | Le service n'a pas pu répondre, par exemple pour une raison technique ou de périmètre. | Ne pas assimiler l'absence de résultat à une validation ; utiliser les contrôles de secours. |
Pour une entreprise, la saisie de la raison sociale exacte est importante. Une marque commerciale, un acronyme ou le nom personnel d'un interlocuteur peut produire une concordance partielle alors que le compte est légitime. À l'inverse, corriger automatiquement le nom proposé par l'interface revient à neutraliser l'alerte sans comprendre pourquoi elle est apparue.
Une concordance exacte ne suffit pas à innocenter la demande
La VoP répond à une question précise : le nom correspond-il au compte ? Elle ne vérifie ni la commande, ni la livraison, ni l'identité de la personne qui a envoyé le courriel. Un fraudeur peut utiliser un compte ouvert au nom d'une société, détourner un compte professionnel existant ou manipuler un collaborateur pour qu'il saisisse le nom effectivement associé au faux IBAN.
Un IBAN visuellement plausible n'apporte pas davantage de certitude. Sa structure peut être valide tout en désignant le mauvais bénéficiaire. Un petit virement d'essai confirme seulement que le compte reçoit des fonds ; il ne démontre pas qu'il appartient au créancier attendu. La preuve utile vient du croisement de plusieurs canaux indépendants.
Les signaux d'alerte qui doivent interrompre le paiement
- Changement bancaire inattendu : nouvel IBAN, banque ou pays sans procédure préalable.
- Urgence ou confidentialité : demande de contourner un collègue, une règle ou un délai normal.
- Canal inhabituel : adresse voisine, domaine récemment créé, messagerie personnelle ou pièce jointe différente.
- Contexte incohérent : facture sans commande, montant arrondi, relance avant échéance ou nouvel interlocuteur.
- VoP inattendue : concordance partielle, non-concordance ou vérification impossible sans explication connue.
- Comportement pressant : refus d'un contre-appel, demande d'utiliser uniquement le numéro fourni ou changement répété d'instructions.
Aucun signal isolé ne prouve la fraude. Leur rôle est de déclencher un arrêt, pas une accusation. Le fournisseur légitime doit pouvoir accepter quelques minutes de vérification, surtout lorsque les coordonnées bancaires changent.
Sécuriser l'entrée d'un fournisseur avant la première facture
Le contrôle commence lors de l'onboarding. L'entreprise enregistre la raison sociale, le SIREN, le contact commercial, le contact comptable, un numéro de téléphone obtenu indépendamment et l'IBAN validé. La personne qui crée la fiche fournisseur ne devrait pas pouvoir, seule, la valider puis payer.
Les justificatifs doivent rester rattachés à la fiche avec leur date et leur origine. Une vérification sur l'annuaire officiel, le site déjà connu ou un contrat signé aide à confirmer l'identité. Un document reçu par le même courriel que la demande n'est pas une deuxième preuve : il appartient au même canal potentiellement compromis.
Le référentiel doit aussi être entretenu. Comptes dormants, doublons, accès d'anciens salariés et fournisseurs jamais utilisés augmentent le bruit. Un fichier fournisseur propre rend les anomalies visibles et facilite le rapprochement avec les factures électroniques.
Encadrer chaque changement d'IBAN par un protocole hors messagerie
- Placer la facture en attente et conserver le message d'origine.
- Comparer la demande avec la fiche fournisseur existante, sans écraser immédiatement l'ancien IBAN.
- Rappeler un interlocuteur déjà connu sur un numéro enregistré avant la demande.
- Demander une confirmation portant sur les derniers caractères de l'ancien et du nouvel IBAN, la raison du changement et sa date d'effet.
- Faire approuver la modification par une seconde personne distincte.
- Consigner qui a demandé, vérifié, approuvé et appliqué le changement.
- Utiliser la vérification du bénéficiaire au moment du premier virement.
Le contre-appel ne doit jamais utiliser le numéro présent dans le courriel litigieux ou sur le nouveau RIB. S'il n'existe aucun contact fiable, il faut en reconstruire un depuis le contrat, un annuaire officiel ou une relation antérieure. Le paiement attend tant que cette chaîne n'est pas rétablie.
La double validation doit être conçue, pas seulement activée
Deux clics réalisés par deux personnes sur la base du même message ne constituent pas deux contrôles indépendants. Le préparateur vérifie la facture et le fournisseur ; l'approbateur examine le montant, le bénéficiaire, le résultat VoP et la présence d'un changement récent. Chacun doit voir les informations nécessaires dans l'outil de paiement.
| Niveau de risque | Exemple | Contrôles minimaux |
|---|---|---|
| Courant | Fournisseur connu, IBAN inchangé, montant attendu | Rapprochement facture-commande, VoP et approbation selon les droits habituels. |
| Renforcé | Nouveau fournisseur, nouvel IBAN ou hausse importante | Contre-appel, justificatifs, double validation et délai de sécurité. |
| Critique | Virement inhabituel, international, urgent ou hors contrat | Validation dirigeant ou trésorerie, contrôle bancaire, preuve écrite et interdiction de déroger au circuit. |
Les seuils ne doivent pas créer un angle mort. Fractionner une facture en plusieurs petits virements peut contourner une limite. Les outils doivent donc surveiller aussi le cumul par bénéficiaire, les créations récentes et les paiements exécutés hors horaires habituels.
Notre analyse de Qonto montre comment rôles, plafonds et doubles validations s'intègrent dans un compte professionnel. Ces fonctions ne protègent toutefois que si les droits sont correctement répartis et revus.
Protéger la messagerie et contrôler les règles invisibles
L'authentification multifacteur doit être activée sur les boîtes de la direction, de la comptabilité et des achats, mais aussi sur les comptes capables de réinitialiser les autres. Les mots de passe sont uniques, les sessions anciennes révoquées et les accès supprimés dès un départ.
Après une alerte, changer le mot de passe ne suffit pas. Il faut examiner les règles de transfert, les adresses de récupération, les applications autorisées, les délégations, les connexions récentes et les dossiers créés. La CNIL décrit précisément l'usage de règles portant sur « paiement », « facture » ou « banque » pour observer puis masquer une fraude.
Les domaines voisins et l'usurpation d'affichage doivent aussi être surveillés. SPF, DKIM et DMARC réduisent certains abus sur son propre domaine, sans empêcher le piratage d'un vrai compte fournisseur ni l'utilisation d'un domaine ressemblant. La sécurité du courriel soutient le processus ; elle ne remplace pas le contre-appel.
Former les équipes sans transformer l'incident en faute individuelle
Les fraudeurs exploitent l'autorité, l'urgence et la peur de bloquer une opération importante. Une procédure n'est efficace que si un salarié se sent autorisé à ralentir un dirigeant ou un gros fournisseur. La direction doit confirmer explicitement qu'aucun paiement confidentiel n'échappe aux contrôles.
Les exercices doivent partir de situations réelles : RIB modifié, fournisseur en déplacement, VoP partielle, facture reçue un vendredi soir, demande de salaire sur un nouveau compte. L'objectif n'est pas de piéger les collaborateurs, mais de rendre le réflexe d'escalade plus facile que l'improvisation.
Les soixante premières minutes après un virement suspect
- Appeler immédiatement la banque ou le prestataire de paiement par le canal officiel et demander un rappel des fonds. La rapidité augmente les possibilités d'action sans les garantir.
- Bloquer les paiements suivants vers le bénéficiaire et suspendre les changements de coordonnées en cours.
- Prévenir le fournisseur ou le client réel avec un moyen de contact fiable afin d'arrêter d'autres virements et de comprendre quelle messagerie a été compromise.
- Sécuriser les comptes : réinitialisation, révocation des sessions, contrôle des règles, des applications et des administrateurs.
- Préserver les preuves avant de nettoyer : messages complets, en-têtes, factures, journaux, captures, numéros, heures, validations et coordonnées du bénéficiaire.
- Activer la cellule de décision : direction, finance, informatique, assurance, conseil juridique et délégué à la protection des données selon le cas.
Un virement instantané peut être crédité en moins de dix secondes et son exécution est irrévocable au sens du fonctionnement du moyen de paiement. Cela n'interdit pas de demander un rappel ou un gel, mais chaque minute perdue réduit les options.
Rappel de fonds, plainte et dossier de preuve
La banque doit être alertée sans délai avec le montant, l'heure, l'IBAN, la référence et le contexte. Demandez une confirmation écrite de la demande de rappel et conservez le numéro de dossier. N'attendez pas d'avoir terminé l'enquête interne pour prendre ce premier contact.
Cybermalveillance.gouv.fr et Ma Sécurité recommandent également de déposer plainte en fournissant les éléments disponibles. Les courriels doivent être conservés avec leurs en-têtes, pas uniquement sous forme de capture. Ajoutez les historiques de connexion, règles de messagerie, factures avant et après modification, traces d'approbation et échanges avec la banque.
Ce dossier sert à plusieurs interlocuteurs : enquêteurs, banque, assureur, conseil juridique, fournisseur et éventuellement CNIL. Il permet aussi de distinguer une erreur de saisie, une usurpation externe et la compromission d'un compte interne.
Une messagerie compromise peut déclencher des obligations RGPD
Si l'attaquant a accédé à des noms, adresses, factures, coordonnées ou autres données personnelles, l'incident peut constituer une violation de données. L'entreprise doit la documenter dans tous les cas, évaluer les risques pour les personnes et notifier la CNIL dans les 72 heures lorsqu'un risque pour leurs droits et libertés est identifié.
En cas de risque élevé, les personnes concernées peuvent aussi devoir être informées. La qualification dépend des données vues, copiées ou utilisées, du nombre de personnes, des conséquences possibles et des mesures prises. Une notification initiale peut être complétée lorsque l'enquête avance ; attendre un rapport parfait peut faire perdre le délai.
Qui supporte la perte dépend du scénario et des anomalies visibles
Il n'existe pas de remboursement automatique pour toute fraude au faux RIB. Une différence juridique importante oppose l'opération non autorisée à celle qu'un représentant habilité a validée sous manipulation. Dans une décision présentée en juin 2025, la Cour de cassation a rappelé qu'une fraude au président peut être considérée comme une opération autorisée par la société, tout en laissant possible la responsabilité de la banque si elle a manqué à son devoir de vigilance face à des anomalies manifestes.
Montant ou fréquence inhabituels, destination atypique et rupture avec le fonctionnement du compte peuvent être examinés. Les responsabilités entre payeur, banque, fournisseur et prestataires dépendent des faits, des pouvoirs, des procédures suivies et des contrats. Un client ayant payé un faux compte n'est pas nécessairement libéré de sa dette envers le vrai fournisseur.
La bonne démarche est de déclarer rapidement le sinistre, préserver les preuves et demander un avis juridique adapté aux montants en jeu. Aucune page générale ne peut promettre qui remboursera avant l'analyse du dossier.
La checklist en douze points avant de valider un virement
- La facture correspond-elle à une commande, un contrat ou une livraison identifiée ?
- Le fournisseur existe-t-il dans le référentiel et sa fiche a-t-elle été validée ?
- L'IBAN est-il déjà connu ou vient-il de changer ?
- Le changement a-t-il été confirmé par contre-appel sur un numéro antérieur ?
- La raison sociale saisie est-elle complète et exacte ?
- Quel résultat la vérification du bénéficiaire affiche-t-elle ?
- Le montant et l'échéance sont-ils cohérents avec l'historique ?
- La demande contient-elle urgence, secret ou contournement d'une règle ?
- Le préparateur et l'approbateur sont-ils réellement distincts ?
- Un bénéficiaire créé ou modifié récemment reçoit-il déjà un gros paiement ?
- Les preuves de contrôle sont-elles conservées dans le dossier ?
- La personne qui valide sait-elle qui appeler au moindre doute ?
Ce qu'il faut retenir
La fraude à la facture réussit parce qu'elle se glisse dans un paiement attendu. Le document peut être crédible et le message provenir d'une vraie boîte compromise. Chercher une faute visible ne suffit plus.
La protection la plus solide combine une donnée, une personne et un canal indépendants : VoP pour la concordance nom-IBAN, référentiel fournisseur propre, contre-appel sur un numéro connu, double validation et messagerie protégée. Aucun de ces contrôles n'est parfait seul ; ensemble, ils rendent le détournement beaucoup plus difficile.
En cas d'incident, la priorité est opérationnelle : banque, rappel des fonds, arrêt des paiements, sécurisation des comptes, préservation des preuves, plainte et évaluation RGPD. Le débat sur les responsabilités vient ensuite, avec un dossier documenté.
FAQ
Peut-on reconnaître un faux IBAN en le regardant ?
Pas de manière fiable. Un IBAN peut avoir une structure valide tout en appartenant au mauvais bénéficiaire. Il faut utiliser la vérification nom-IBAN, le référentiel fournisseur et un contre-appel sur un contact connu.
Que faire si la vérification du bénéficiaire indique une concordance partielle ?
Suspendez le virement et vérifiez la raison sociale exacte auprès d'une source fiable et du fournisseur. Ne remplacez pas automatiquement le nom saisi par celui proposé sans expliquer l'écart.
Une facture électronique reçue via une Plateforme Agréée est-elle forcément légitime ?
Non. Le canal améliore la structure et la traçabilité, mais l'entreprise doit toujours reconnaître le fournisseur, rapprocher la commande, contrôler le bénéficiaire et autoriser le paiement.
Un petit virement d'essai permet-il de valider un nouvel IBAN ?
Il confirme que le compte peut recevoir de l'argent, pas qu'il appartient au créancier attendu. Le contre-appel et la vérification du bénéficiaire restent nécessaires.
La banque rembourse-t-elle toujours un virement envoyé vers un faux RIB ?
Non. Le traitement dépend notamment du caractère autorisé ou non de l'opération et d'éventuelles anomalies que la banque aurait dû détecter. Il faut la contacter immédiatement, demander un rappel, préserver les preuves et obtenir un avis adapté au dossier.
Quand faut-il notifier la CNIL ?
Une violation de données doit être documentée. Si elle présente un risque pour les droits et libertés des personnes, la notification à la CNIL intervient dans les meilleurs délais et, si possible, sous 72 heures ; un risque élevé peut aussi imposer d'informer les personnes concernées.
