Fraude au faux RIB et fraude au président : protéger les virements de l’entreprise

Un fournisseur habituel vous écrit, depuis sa vraie adresse, dans le fil de la dernière commande : « Nous changeons de banque, merci de régler la facture jointe sur notre nouveau RIB. » Trois semaines plus tard, le vrai fournisseur relance pour un impayé. L’argent est déjà loin.

La fraude au faux RIB, la fraude au présidentFraude au président (FOVI)Escroquerie où un fraudeur se fait passer pour un dirigeant, un fournisseur ou un avocat afin d’obtenir d’un salarié un virement urgent et confidentiel vers un compte qu’il contrôle. et les faux conseillers bancaires ne visent pas vos serveurs : elles visent vos procédures de paiement et la bonne volonté de ceux qui les appliquent. Voici comment les reconnaître, quelle procédure mettre en place, ce que vaut la vérification du bénéficiaire et quoi faire si l’argent est parti.

Le virement, première cible de la fraude en France

Selon l’Observatoire de la sécurité des moyens de paiement (OSMP), présidé par la Banque de France, la fraude au virement a progressé de 37 % en 2025 pour atteindre 485 millions d’euros. Le virement devient la première source de fraude en valeur (39 % du total), devant la carte.

Ce bond vient de la fraude par manipulation, où la victime valide elle-même l’opération : faux conseiller bancaire, fraude au président, substitution d’IBAN. Elle a atteint 516 millions d’euros, en hausse de 34 %, dont 376 millions par virement.

Pour Cybermalveillance.gouv.fr, la fraude au virement entre en 2025 dans les trois principales menaces pour les entreprises et associations : 13,5 % des demandes d’assistance, en hausse de 93 % sur un an.

Trois scénarios, une même mécanique

Même ressort partout : faire passer une demande inhabituelle pour normale, et empêcher la vérification.

Le faux changement de RIB

C’est le scénario le plus fréquent. Un fournisseur, un bailleur ou quelqu’un qui en a pris l’apparence annonce de nouvelles coordonnées bancaires juste avant le paiement d’une facture. Le plus souvent, selon Cybermalveillance.gouv.fr, la fraude fait suite au piratage d’une messagerie, celle du client ou celle du fournisseur, souvent après un hameçonnage (phishing)Hameçonnage (phishing)Escroquerie qui imite un expéditeur de confiance (banque, fournisseur, collègue) par e-mail, SMS, appel ou QR code pour pousser la victime à cliquer, à livrer ses identifiants ou à payer. réussi. L’escroc lit les échanges, repère une facture en attente et intervient au bon moment, parfois depuis la vraie adresse, parfois depuis une adresse ressemblante à une lettre près.

Deux variantes progressent : le changement du compte de versement d’un salaire, au nom d’un salarié, et la modification des coordonnées bancaires dans un logiciel de facturation piraté, si bien que vos clients paient de vraies factures sur le compte de l’escroc.

La fraude au président

Un faux dirigeant contacte un collaborateur habilité à payer : rachat confidentiel, contrôle fiscal, opération à boucler avant la clôture. Il insiste sur l’urgence et le secret, parfois relayé par un faux avocat. Il s’appuie sur des informations publiques (organigramme, réseaux sociaux) : c’est l’OSINTOSINT (renseignement en sources ouvertes)Collecte et analyse d’informations accessibles publiquement (sites web, réseaux sociaux, registres, fuites publiées) pour comprendre une cible. au service de l’ingénierie socialeIngénierie socialeEnsemble de techniques de manipulation qui amènent une personne à contourner elle-même la sécurité : révéler un mot de passe, valider un paiement, ouvrir une porte ou installer un logiciel.. Les hypertrucages (deepfakes) ajoutent une voix clonée, voire une visioconférence entière.

Le faux technicien et le faux conseiller bancaire

Le faux technicien de votre banque ou de votre prestataire informatique annonce une migration du logiciel de banque à distance et demande des « virements tests », l’installation d’un outil de prise en main à distance ou la validation d’une notification d’authentification. Le faux conseiller bancaire, forme de manipulation la plus fréquente selon l’OSMP, signale une fraude en cours et pousse la victime à « sécuriser » ses fonds en validant des opérations.

Le numéro affiché peut être celui de votre agence : l’usurpation de numéro persiste malgré les mesures entrées en vigueur le 1er janvier 2026, constate Cybermalveillance.gouv.fr. L’OSMP le rappelle : une banque n’a jamais besoin de demander à son client la moindre manœuvre pour arrêter un paiement suspect.

Les signaux d’alerte

La procédure anti-fraude qui fonctionne

Premier des « 9 réflexes sécurité » de la Fédération bancaire française et de la Police judiciaire : respecter une procédure interne pour les virements. Elle tient en quatre règles.

Le contre-appel, sur un numéro connu

Toute création ou modification de RIB se confirme par un appel au numéro dont vous disposiez avant la demande (contrat, ancienne facture, fiche fournisseur), jamais celui du message. Ne dictez pas le nouvel IBAN : demandez à votre interlocuteur habituel de vous le lire. Notez la date et le nom de la personne jointe.

La double validation et la séparation des tâches

Celui qui modifie le fichier fournisseurs n’est pas celui qui valide le paiement. Au-delà d’un seuil, deux validations sont exigées, idéalement imposées par le portail bancaire lui-même. Et aucune dérogation, y compris pour le dirigeant : écrite et signée par la direction, cette règle protège le collaborateur face à un « président » pressant.

Un délai de carence pour tout nouveau RIB

Bonne pratique, et non obligation légale : un IBAN nouveau ou modifié n’est utilisé qu’après un délai fixé, par exemple deux ou trois jours ouvrés, le temps du contre-appel. La fraude vit d’urgence : un délai connu de tous lui retire son principal levier.

Protéger les messageries et votre domaine

Activez la double authentification (MFA)Authentification multifacteur (MFA)Connexion qui exige au moins deux preuves d’identité de natures différentes (ce que vous savez, ce que vous possédez, ce que vous êtes), pour qu’un mot de passe volé ne suffise plus. sur les boîtes e-mail et la banque en ligne, et surveillez les règles de transfert automatique, très prisées des escrocs. Configurez SPF, DKIM et DMARC pour qu’on ne puisse pas écrire à vos clients en votre nom : notre article DMARC, SPF et DKIM explique comment. DMARC ne protège ni contre une adresse ressemblante, ni contre la messagerie piratée d’un fournisseur : le contre-appel reste indispensable.

La checklist du service comptable

• Chaque modification de RIB est confirmée par un contre-appel à un numéro connu, et tracée.
• Le fichier fournisseurs n’est modifiable que par des personnes désignées, distinctes de celles qui paient.
• Au-delà du seuil, deux validations sont exigées dans le portail bancaire.
• Un délai de carence s’applique avant le premier paiement vers un nouvel IBAN.
• Une alerte de vérification du bénéficiaire suspend le paiement jusqu’au contre-appel.
• Les remises de virements groupés passent aussi par la vérification du bénéficiaire.
• Messageries et banque en ligne sont protégées par la double authentification.
• Chacun sait qui appeler à la banque en cas de doute, y compris hors heures ouvrées.

Vérification du bénéficiaire : une aide, pas un bouclier

Depuis le 9 octobre 2025, le règlement (UE) 2024/886 sur les virements instantanés impose aux banques de la zone euro de proposer la vérification du bénéficiaire (Verification of Payee) avant tout virement en euros, instantané ou classique. Avant que vous validiez, votre banque interroge celle du bénéficiaire et vous prévient si le nom saisi ne correspond pas au titulaire de l’IBAN ; en cas de concordance partielle, elle affiche le nom réel. Le service est gratuit, sans seuil de montant.

Un vrai progrès, mais avec des limites :

• elle ne bloque rien : vous pouvez valider malgré l’alerte, et si vous passez outre, le risque est pour vous ;
• une concordance ne prouve pas la légitimité : dans une fraude au président, le compte appartient bien à la société citée par l’escroc ;
• les escrocs s’adaptent : Cybermalveillance.gouv.fr a observé fin 2025 des comptes ouverts au nom de la personne usurpée pour détourner des salaires ;
• les virements groupés : les clients professionnels peuvent renoncer à la vérification pour les remises en lot ; demandez à votre banque ce qu’il en est chez vous ;
• le périmètre : les virements internationaux et en devises en sont exclus, et les pays de l’Union hors zone euro n’y sont tenus qu’à partir du 9 juillet 2027 ;
• les fausses alertes : un nom commercial différent de la raison sociale produit des concordances partielles, qui habituent les équipes à cliquer sur « continuer ».

Le virement est parti : les gestes de la première heure

Un virement instantané arrive en quelques secondes : agissez tout de suite.

1. Appelez immédiatement votre banque sur son numéro habituel, signalez une fraude et demandez le retour des fonds. Cette demande est transmise à la banque du bénéficiaire et n’aboutit que si l’argent est encore sur le compte.
2. Identifiez tous les virements partis, en attente ou programmés vers ce compte, et bloquez le RIB frauduleux dans vos logiciels.
3. Conservez les preuves : e-mails complets, numéros de téléphone, ordres de virement, factures.
4. Portez plainte sans tarder, en personne au commissariat ou à la gendarmerie : la plainte en ligne ne couvre pas ces escroqueries. Votre banque peut exiger le récépissé.
5. Si une messagerie a été piratée, changez les mots de passe, fermez les sessions, supprimez les règles de transfert et prévenez le partenaire usurpé. Si vous êtes assuré contre les cyberattaques, l’article L12-10-1 du Code des assurances subordonne l’indemnisation des pertes causées par une atteinte à un système informatique à une plainte dans les 72 heures.
6. Faites-vous accompagner : 17Cyber, le service en ligne de la police, de la gendarmerie et de Cybermalveillance.gouv.fr, aide à qualifier l’incident. Le chapitre Gérer un incident détaille la gestion de criseRéponse à incidentEnsemble organisé des actions menées pour détecter une attaque, en limiter les dégâts, chasser l’attaquant, rétablir l’activité et en tirer les leçons..

Former les équipes, régulièrement

Une procédure ne protège que si chacun ose l’appliquer face à un « directeur général » au téléphone. Formez-y chaque année la comptabilité et l’accueil, nouveaux arrivants compris. La KrakenShield Academy forme vos salariés en modules courts, dont un consacré à la fraude au président. Le chapitre Phishing, ingénierie sociale et intrusion physique de « Cyber de A à Z » couvre l’ensemble des pièges.