Fraude au faux RIB fournisseur : comment le paiement est détourné
La facture peut être réelle, le montant attendu et la livraison conforme. Le fraudeur cherche seulement à remplacer les coordonnées du bénéficiaire. Il peut imiter l’adresse du fournisseur ou utiliser une messagerie compromise, puis intervenir au moment où le règlement est prévu.
Un courriel dans un échange habituel ne suffit donc pas à authentifier un changement bancaire. Cybermalveillance.gouv.fr recommande de joindre directement le créancier sur son numéro habituel pour vérifier un nouveau RIB. Fiche officielle sur la fraude au virement.
Dans une organisation automatisée, le risque peut se propager rapidement : extraction du RIB, modification du tiers, préparation du lot puis signature bancaire. Le contrôle doit donc intervenir avant l’activation des nouvelles coordonnées, puis être repris sur l’ordre réellement envoyé. Le guide de l’IA en comptabilité distingue les tâches automatisables des décisions à conserver sous contrôle humain.
Changement d’IBAN fournisseur : une procédure en cinq étapes
La procédure suivante constitue un modèle de contrôle interne à adapter à votre entreprise. La double validation et le blocage proposés sont des choix d’organisation ; ils ne sont pas présentés comme une obligation légale universelle.
1. Enregistrer la demande sans remplacer immédiatement l’ancien RIB
Ouvrez une demande de modification avec le nom du fournisseur, son identifiant interne, l’ancien IBAN, le nouveau, la date et le demandeur. Conservez le message original et la pièce reçue. Placez les nouvelles coordonnées au statut « à vérifier ».
Un RIB trouvé dans le pied de page d’une facture doit suivre le même circuit qu’un changement annoncé par courrier. L’import automatique ne doit pas lui donner priorité sur les coordonnées approuvées. Vérifiez également si un paiement est déjà programmé : une modification du fichier tiers ne corrige pas nécessairement le lot bancaire déjà constitué.
2. Faire un contre-appel avec des coordonnées indépendantes
Utilisez le numéro conservé dans le dossier fournisseur avant la demande. N’appelez pas le numéro figurant seulement dans le courriel suspect ou sur le nouveau RIB. Un appel reçu spontanément en retour ne remplace pas le contre-appel que vous initiez.
Demandez à votre interlocuteur habituel de confirmer le changement, le titulaire du compte et les coordonnées complètes par le canal convenu. Si cette personne est absente, passez par le standard déjà référencé pour joindre un remplaçant identifié. Si aucun contact fiable n’existe, faites valider une autre méthode d’identification avant de débloquer le paiement.
Notez la date, le numéro composé, sa provenance, le nom et la fonction de la personne jointe, ainsi que la conclusion. Il n’est pas nécessaire de transformer chaque appel en enregistrement audio : une fiche de contrôle précise évite déjà le simple commentaire « vu avec le fournisseur ».
3. Contrôler le bénéficiaire et la cohérence du changement
Rapprochez la raison sociale attendue, le titulaire du compte et le résultat du contrôle bancaire nom/IBAN. Un contrôle du format ou de la clé de l’IBAN vérifie sa structure ; il ne prouve pas que le compte appartient au fournisseur.
Un compte au nom d’un tiers peut avoir une explication, par exemple un affacturage. Dans ce cas, demandez les pièces qui établissent à qui la facture doit être réglée et faites examiner le dossier. Ne validez pas une différence de titulaire sur la seule phrase « c’est le compte de notre partenaire ».
4. Faire approuver la modification par une seconde personne
Le valideur doit accéder au dossier de contrôle et comparer les coordonnées saisies à celles confirmées. Un clic sans accès aux justificatifs n’ajoute presque aucune protection. Enregistrez l’identité du valideur, la date et la version exacte approuvée.
Dans une petite équipe, le dirigeant peut tenir ce rôle. Pendant les congés, désignez un remplaçant et testez ses accès avant le départ. La séparation utile porte sur la préparation et l’approbation, même si l’entreprise n’a pas de service trésorerie distinct.
5. Vérifier le premier paiement envoyé au nouvel IBAN
Avant signature, rapprochez l’ordre final du dossier : fournisseur, facture, montant et IBAN intégral. Contrôlez les coordonnées réellement présentes dans le lot, pas uniquement l’écran du fichier fournisseurs.
Si le montant ou le bénéficiaire est modifié après validation, soumettez à nouveau l’ordre au contrôle prévu. Pour un premier règlement sensible, demandez ensuite confirmation de réception au contact vérifié. Un virement test ne constitue pas, à lui seul, une preuve d’identité : un fraudeur peut aussi confirmer l’arrivée d’une petite somme.
↓
Paiement autorisé↓
Paiement suspenduVérification nom/IBAN : que garantit le service bancaire VoP ?
Depuis le 9 octobre 2025, le service de vérification du bénéficiaire, appelé VoP pour Verification of Payee, contrôle la correspondance nom/IBAN avant les virements SEPA concernés, classiques ou instantanés. Il est gratuit. Le retour peut indiquer une correspondance, une correspondance partielle, une absence de correspondance ou une vérification impossible. Banque de France et CNMP, guide d’utilisation, pages 4 à 5.
Voici une règle de traitement interne possible :
| Résultat du contrôle | Décision avant paiement |
|---|---|
| Correspondance | Poursuivre les contrôles de facture et d’autorisation du changement |
| Correspondance partielle | Identifier la différence de dénomination et la faire confirmer |
| Absence de correspondance | Suspendre et rechercher la cause avec un contact vérifié |
| Vérification impossible | Traiter l’absence de résultat ; ne pas l’assimiler à un accord |
La concordance concerne le nom que vous avez saisi. Si vous remplacez aussi ce nom par celui indiqué par le fraudeur, une réponse positive peut confirmer un couple nom/compte qui n’est pas celui de votre créancier. Conservez donc l’identité attendue comme référence indépendante.
Pour les personnes morales, une possibilité de renonciation existe pour les virements groupés. Elle ne s’étend pas au fichier contenant un seul ordre. Vérifiez le paramétrage de chaque canal et l’accès au rapport de contrôle. Guide CNMP, virements professionnels et fichiers, pages 10 à 12.
Exemple : un nouveau RIB avant un paiement de 18 000 €
Une entreprise prépare un règlement fournisseur de 18 000 €. La veille, un message annonce un changement de banque et demande d’utiliser le RIB joint. La facture, la commande et le montant correspondent au dossier. L’outil propose de mettre à jour l’IBAN automatiquement.
L’assistante enregistre la demande et bloque l’utilisation du nouveau compte. Elle appelle le contact conservé dans le dossier depuis la création du fournisseur. Celui-ci indique qu’aucun changement n’a été demandé. Le responsable refuse alors la modification et examine les paiements encore en attente vers ce fournisseur.
Aucun virement de 18 000 € n’est envoyé au nouvel IBAN. Avant de payer la facture légitime, l’entreprise reconfirme les coordonnées valables et vérifie que le lot bancaire les utilise effectivement. Le fournisseur est averti de la tentative afin qu’il puisse examiner ses propres échanges.
Le contrôle a fonctionné parce qu’il portait sur une donnée modifiée, même si le reste du dossier paraissait normal. Dans le cas inverse, un montant inhabituel sur un ancien IBAN mérite également une revue : la procédure de changement bancaire ne remplace pas l’approbation de la dépense.
Quels justificatifs conserver pour un changement de RIB ?
Le dossier doit permettre à une personne absente lors du changement de comprendre qui a demandé, qui a confirmé et qui a autorisé. Une organisation simple consiste à réunir les éléments suivants sous une même référence :
- la demande originale et les anciennes coordonnées, conservées dans l’historique ;
- le document reçu et les coordonnées finalement retenues ;
- la trace du contre-appel et la provenance du numéro utilisé ;
- les vérifications du titulaire et les éventuelles pièces complémentaires ;
- l’approbation datée, le résultat VoP disponible et le premier paiement concerné.
Restreignez l’accès à ces documents aux personnes qui en ont besoin. Un dossier partagé dans lequel chacun peut modifier ou supprimer la preuve de validation reste fragile. La pièce justificative comptable explique le rôle de la preuve : ici, il faut justifier aussi l’autorisation du changement, au-delà de la seule réalité de la facture.
La revue périodique peut cibler les IBAN modifiés récemment, les modifications faites par un administrateur, les changements suivis d’un paiement rapide et les paiements exceptionnellement débloqués. Ces critères servent à sélectionner les dossiers à relire, sans conclure automatiquement à une fraude.
Virement frauduleux déjà exécuté : que faire immédiatement ?
Appelez immédiatement la banque par son canal habituel. Demandez la suspension si l’ordre peut encore être arrêté ; sinon, demandez le retour des fonds, souvent appelé recall. Préparez montant, date, compte destinataire et référence de l’opération. Cette démarche ne garantit pas la récupération.
Alertez le fournisseur usurpé et les responsables internes. Préservez courriels, pièces, ordres, relevés et historique des validations. Déposez plainte en parallèle, sans attendre pour contacter la banque. Si une messagerie est compromise, faites sécuriser le compte et examiner ses règles de redirection en préservant les traces utiles. Cybermalveillance.gouv.fr, démarches après une fraude.
En interne, attribuez un responsable à chaque action et consignez son heure. Recensez également les lots prêts à partir, paiements programmés et autres fournisseurs dont les coordonnées ont changé sur la même période. Une première anomalie découverte peut concerner plusieurs ordres, pas seulement celui signalé par le fournisseur.
Prévenez l’assureur ou le courtier selon les modalités du contrat. Vérifiez la garantie applicable, ses exclusions et les délais de déclaration : une assurance cyber ne couvre pas nécessairement tout détournement de paiement. Le guide des assurances d’entreprise aide à distinguer les risques couverts.
Faux RIB : faut-il quand même payer le vrai fournisseur ?
Le débit du compte bancaire ne prouve pas que la dette fournisseur est éteinte. Dans son arrêt du 17 juin 2026, n° 24-13.306, la Cour de cassation juge qu’un tiers usurpant l’identité du créancier n’est pas un créancier apparent au sens de l’article 1342-3 du Code civil. Le règlement effectué à cet usurpateur n’est donc pas libératoire dans la situation examinée. Arrêt intégral, paragraphes 6 à 9.
Il faut distinguer la dette envers le fournisseur et les recours éventuels contre d’autres intervenants. La décision ne signifie pas que la banque, le fournisseur ou l’assureur rembourse automatiquement la victime. Les responsabilités et garanties nécessitent l’analyse des faits et des contrats.
En comptabilité, reprenez le lettrage si le paiement frauduleux a été affecté comme un règlement normal. Documentez séparément le décaissement, la dette encore due, les sommes récupérées et les recours. Ne constatez pas une créance certaine sur la banque ou l’assureur sur la seule base d’une réclamation. Le classement de la perte et des récupérations doit être arrêté selon le dossier, avec le professionnel chargé des comptes.
Le rapprochement bancaire confirme le mouvement de trésorerie. Il doit être complété par la vérification du destinataire et de l’effet du paiement sur la dette.
IA, fausse voix et automatisation : quels contrôles doivent rester humains ?
L’intelligence artificielle (IA) peut aider à repérer une modification, un doublon d’IBAN entre fournisseurs ou un montant inhabituel. Elle peut aussi être utilisée pour rendre une usurpation plus convaincante. La DGSI décrit notamment une tentative de virement appuyée par une visioconférence imitant le visage et la voix d’un dirigeant. DGSI, escroqueries par usurpation d’identité.
Une voix familière ou un message bien écrit ne doit donc pas remplacer le circuit d’autorisation. Le contrôle doit reposer sur un canal vérifié et une décision traçable, pas sur l’impression de reconnaître l’interlocuteur.
Paramétrez l’outil pour signaler un changement plutôt que l’approuver silencieusement. Limitez les droits permettant de modifier un bénéficiaire, séparez-les autant que possible des droits de signature et conservez les journaux. Si une personne dispose de droits étendus pour assurer la continuité, prévoyez une revue indépendante de ses modifications.
Prévoyez aussi le cas urgent : qui peut décider, sur quelles preuves et avec quel remplaçant ? La DGCCRF invite notamment à résister à la précipitation et à maintenir la vigilance pendant les absences. DGCCRF, prévention des faux ordres de virement.
Une procédure efficace doit pouvoir suspendre un paiement sans mettre le collaborateur en difficulté pour avoir demandé une vérification. Testez-la sur un changement simulé : le message arrive-t-il au bon responsable, le numéro de référence est-il disponible et le lot reste-t-il bloqué jusqu’à l’approbation ? Ces réponses montrent si le contrôle fonctionne réellement.
Sources et vérifications
Guide vérifié le 22 octobre 2026. La procédure proposée est un modèle d’organisation ; les décisions de paiement et de traitement d’un sinistre dépendent du dossier.