Faux fournisseur, faux RIB : la procédure qui protège votre trésorerie

De toutes les arnaques qui visent les entreprises, la fraude au faux fournisseur est l'une des plus redoutables, parce qu'elle ne ressemble à rien d'anormal. Pas d'urgence, pas de pression : une facture attendue, d'un fournisseur connu, avec simplement de nouvelles coordonnées bancaires.

Comment fonctionne l'arnaque

Le fraudeur se fait passer pour un fournisseur réel, ou pour tout autre créancier. Dans la version la plus aboutie, il a piraté la messagerie du fournisseur : il écrit depuis sa vraie adresse, suit les échanges et intercepte les réponses. Dans une version plus simple, il utilise une adresse presque identique, à une lettre près.

Il annonce un changement de banque, parfois avec une justification plausible (un audit, une fusion, un changement d'établissement), et joint un nouveau RIB. De plus en plus souvent, la demande s'appuie sur une vraie facture, récupérée dans la messagerie piratée. Les fraudeurs savent attendre le cycle normal de paiement plutôt que de presser leur cible. Le virement part vers le compte de l'escroc, et l'entreprise ne s'en aperçoit que lorsque le vrai fournisseur réclame son dû.

L'IA rend ces messages encore plus crédibles : plus de fautes d'orthographe, un ton parfaitement imité, et parfois un appel avec une voix clonée pour « confirmer » le changement.

Les signaux d'alerte

• une annonce de changement de coordonnées bancaires, surtout si elle est inattendue ;
• une facture rectificative accompagnée d'un nouveau RIB ;
• une adresse d'expéditeur qui diffère d'un détail de l'adresse habituelle ;
• une explication inhabituelle, même venant d'une adresse connue ;
• une demande qui tombe juste au moment des échéances de paiement.

Les contrôles qui font échouer la fraude

La bonne nouvelle, c'est que quelques règles simples suffisent à faire échouer la grande majorité des tentatives.

1. Toujours rappeler le fournisseur sur un numéro déjà connu, celui de la fiche fournisseur créée à l'origine ou d'un ancien échange, jamais celui qui figure dans le mail ou sur la nouvelle facture.
2. Séparer les rôles. La personne qui saisit un changement de RIB n'est pas celle qui le valide. Une double validation limite fortement le risque qu'une fraude aboutisse.
3. Écrire la procédure. Qui peut modifier des coordonnées bancaires, comment, avec quelle vérification. Et garder une trace du contrôle : qui a appelé, quel numéro, quand, qui a confirmé.
4. Vérifier dans vos propres outils, pas dans le mail : comparer avec la fiche fournisseur de votre logiciel.
5. Prendre le temps. Une demande inhabituelle peut attendre une journée. Un virement frauduleux, lui, est très difficile à récupérer.

Un nouveau garde-fou : la vérification du bénéficiaire

Depuis le 9 octobre 2025, un règlement européen impose aux banques de la zone euro de vérifier, avant chaque virement SEPA, que le nom du bénéficiaire correspond bien à l'IBAN saisi. Votre banque vous indique si les deux concordent, concordent partiellement ou ne concordent pas, et vous laisse confirmer, corriger ou annuler.

C'est une aide précieuse : un RIB frauduleux ouvert au nom d'un tiers fera apparaître une alerte. Deux précautions toutefois. D'abord, si vous passez outre une alerte de non-concordance, la banque n'est plus responsable en cas de fraude. Ensuite, pour les virements groupés, les entreprises peuvent dans certains cas renoncer à ce contrôle : vérifiez auprès de votre banque qu'il est bien actif sur vos paiements fournisseurs. Et une alerte ne remplace pas le rappel du fournisseur : un escroc peut ouvrir un compte à un nom proche de celui de votre fournisseur.

Et si un agent IA traite vos factures ?

De plus en plus d'entreprises automatisent le traitement des factures avec des outils d'IA. C'est une bonne idée, à une condition : l'agent ne doit jamais pouvoir valider seul un changement de RIB, ni déclencher un paiement. Un changement de coordonnées bancaires doit être bloqué et signalé à un humain, qui appliquera la procédure de rappel. Un agent, même performant, peut être trompé par une facture piégée.

Si vous êtes victime

• Contactez immédiatement votre banque pour tenter de bloquer le virement ou de rappeler les fonds.
• Prévenez le fournisseur dont l'identité a été usurpée : sa messagerie est probablement compromise.
• Conservez les preuves : mails, facture, relevé bancaire.
• Déposez plainte auprès de la police ou de la gendarmerie.
• Si c'est votre messagerie qui a été piratée, vérifiez les règles de transfert automatique, changez le mot de passe et activez la double authentification.

La plateforme publique Cybermalveillance.gouv.fr propose des fiches réflexes et une assistance pour les victimes.