Fraude au faux fournisseur et changement de RIB : vérifier avant de virer

La mécanique de la fraude : elle ne force rien, elle emprunte

La fraude au faux fournisseur (ou « fraude au RIB ») ne pirate pas vos systèmes : elle usurpe l'identité d'un créancier que vous connaissez déjà. Un email au nom d'un fournisseur habituel, un logo copié, parfois un nom de domaine qui ne diffère du vrai que d'un caractère — et une demande simple : enregistrer de nouvelles coordonnées bancaires pour la prochaine facture. Le moment est choisi : une facture réellement attendue, un règlement de routine, une période de congés ou de clôture où l'on va vite.

Le compte destinataire est fréquemment ouvert à l'étranger, parfois hors zone SEPA, et les fonds sont dispersés en quelques jours. La fraude n'est le plus souvent découverte que lorsque le vrai fournisseur réclame son paiement — plusieurs semaines plus tard, quand il est trop tard pour rappeler les fonds.

Avant de virer : ce que les sources ouvertes vérifient en quelques minutes

Un fraudeur construit un décor. Les registres publics, eux, ne se maquillent pas. Avant d'enregistrer un changement de coordonnées bancaires :

• Le nom de domaine de l'expéditeur : la date de création d'un domaine est publique. Le domaine historique de votre fournisseur a des années ; celui du fraudeur, souvent, a des semaines. Un domaine quasi identique créé le mois dernier est un signal à lui seul.
• L'entreprise elle-même : existe-t-elle toujours, sous le même SIREN, avec le même dirigeant ? Un changement récent au registre (dirigeant, siège, dénomination) coïncide-t-il — ou non — avec ce qu'on vous annonce ?
• L'entité qui vous écrit : correspond-elle exactement à celle avec qui vous travaillez, ou à une structure au nom voisin, immatriculée récemment, domiciliée à une adresse de masse ? (Voir notre guide vérifier une entreprise avant de signer.)
• La cohérence bancaire : le code pays et le code banque de l'IBAN annoncé sont lisibles à l'œil nu. Un fournisseur français de longue date qui migre soudain vers un établissement de paiement étranger mérite une question.

Aucune de ces vérifications n'est intrusive : ce sont des données publiques, consultables légalement. Elles prennent quelques minutes à qui sait où regarder — et zéro à qui ne regarde pas.

La règle d'or : le contre-appel

Aucune vérification documentaire ne remplace celle-ci : appeler le fournisseur à son numéro habituel — celui de vos dossiers, jamais celui qui figure dans l'email ou sur la facture reçue — et faire confirmer le changement de vive voix par un interlocuteur connu. Le fraudeur contrôle le canal écrit ; il ne contrôle pas votre carnet d'adresses.

La contre-mesure organisationnelle est du même ordre : tout changement de coordonnées bancaires suit une procédure à deux personnes, avec délai, quelle que soit l'urgence invoquée. L'urgence est précisément l'outil du fraudeur.

Si le virement est parti : chaque heure compte

• Alertez immédiatement votre banque pour tenter de suspendre l'opération si elle n'est pas exécutée, puis demander un rappel des fonds (recall). La procédure existe, mais ses chances de succès chutent très vite : les fonds sont généralement dispersés en quelques jours.
• Déposez plainte (commissariat ou gendarmerie) et transmettez-en copie à votre banque.
• Documentez tout : emails, factures, en-têtes techniques des messages — et signalez les faits sur la plateforme publique cybermalveillance.gouv.fr, qui guide les entreprises victimes.
• Prévenez le vrai fournisseur : son identité est utilisée, d'autres clients sont probablement visés.

Un point à connaître : un virement que vous avez vous-même autorisé n'ouvre pas les mêmes droits à remboursement qu'une opération non autorisée. La prévention n'est pas un confort — c'est, en pratique, la seule protection fiable.

Systématiser : la vérification de contrepartie comme procédure

La fraude au RIB n'est qu'un cas particulier d'une question plus générale : l'entité que vous payez est-elle bien celle que vous croyez ? La même vérification protège contre le faux fournisseur, la coquille montée pour une grosse commande, ou le sous-traitant fantôme. Pour les paiements sensibles — nouveaux bénéficiaires, montants inhabituels, changements de coordonnées — une vérification externe datée et sourcée transforme un réflexe de prudence en procédure démontrable. En cas de litige, la différence n'est pas mince.