Fraude au faux RIB : la procédure simple pour protéger une TPE

La fraude au faux RIB ne repose pas toujours sur un document grossier. Un attaquant peut usurper une adresse, prendre le contrôle d’une messagerie, copier une facture réelle ou appeler en connaissant le dossier. Il lui suffit de faire remplacer les coordonnées du bénéficiaire avant un paiement. Une TPE peut fortement réduire ce risque avec une règle simple : aucun changement bancaire n’est validé par le canal qui l’a annoncé. La vérification doit être indépendante, tracée et proportionnée au montant.

1. Comprenez où la fraude s’insère dans votre processus

Le fraudeur cherche le moment où une entreprise attend réellement un paiement : acompte, facture fournisseur, remboursement ou changement de contrat. Il envoie alors de nouvelles coordonnées bancaires en imitant l’interlocuteur. Le message peut reprendre le logo, le ton et les références du dossier. Dans une fraude plus avancée, la boîte mail d’une partie a été compromise et l’attaquant répond dans le fil existant.

La protection ne doit donc pas dépendre uniquement de l’apparence du courriel ou du RIB. Elle repose sur le processus de modification. Séparez la réception de la demande, la vérification de l’identité et l’enregistrement du bénéficiaire. Une personne pressée ne doit pas pouvoir remplacer une coordonnée puis exécuter immédiatement le paiement important sans contrôle supplémentaire.

Le risque concerne les paiements sortants et entrants. Un attaquant peut vous envoyer un faux RIB de fournisseur, mais il peut aussi se faire passer pour votre entreprise auprès de vos clients. Reliez cette procédure à vos conditions de paiement et à la manière dont vous annoncez officiellement vos coordonnées.

2. Repérez les signaux sans croire qu’un seul suffit

Une urgence inhabituelle, une demande confidentielle, un changement juste avant l’échéance, une adresse légèrement différente, un nouveau pays, un ton qui contourne la procédure ou un interlocuteur indisponible doivent déclencher une vérification. Mais l’absence de signal visible ne prouve rien. Une messagerie compromise peut produire un message parfaitement cohérent avec les échanges antérieurs.

Méfiez-vous des demandes qui déplacent la conversation vers un nouveau numéro fourni dans le même courriel. L’attaquant contrôle alors à la fois la demande et sa prétendue confirmation. Vérifiez les coordonnées dans une source déjà approuvée : contrat, annuaire fournisseur interne, fiche officielle ou contact enregistré avant l’incident. Un numéro trouvé dans la signature du message suspect n’est pas un second canal indépendant.

3. Utilisez une vérification hors bande en quatre questions

Appelez le contact habituel et demandez-lui de confirmer l’entreprise, la facture concernée, le changement demandé et les derniers caractères de l’IBAN. Ne lisez pas l’intégralité des nouvelles coordonnées pour obtenir un simple « oui ». Si l’interlocuteur n’est pas joignable, conservez le bénéficiaire actuel et reportez le paiement selon vos règles. Une échéance commerciale se gère ; un virement envoyé au fraudeur est beaucoup plus difficile à récupérer.

1. La demande vient-elle d’un interlocuteur déjà connu ?
2. Le changement a-t-il été confirmé par un canal indépendant ?
3. Le nom du titulaire et le pays sont-ils cohérents avec le dossier ?
4. Une seconde personne a-t-elle contrôlé la modification lorsque le seuil l’exige ?

Notez la date, le nom de la personne jointe, le numéro utilisé et le résultat. Cette trace n’a pas besoin d’être longue. Elle montre que la procédure a été appliquée et évite de recommencer la vérification sans raison. Limitez l’accès à ces preuves car elles contiennent des données financières et de contact.

4. Verrouillez la création et la modification des bénéficiaires

Conservez un fichier fournisseur de référence avec un propriétaire, une date de validation et l’historique des changements. Retirez les droits de modification aux personnes qui n’en ont pas besoin. Activez les notifications bancaires lors de l’ajout d’un bénéficiaire et, si votre banque le permet, un délai, un plafond ou une validation distincte. Ne copiez pas un IBAN depuis un courriel vers la banque sans passer par le contrôle.

Appliquez la règle même à un petit montant si le changement est nouveau. Certains fraudeurs commencent par une somme faible afin de tester le processus. La double validation peut ensuite être proportionnée : systématique pour tout nouveau bénéficiaire, puis obligatoire au-delà d’un seuil adapté à votre activité. Le seuil ne doit jamais annuler la vérification indépendante du changement.

5. Organisez la double validation sans bloquer la TPE

Une double validation efficace ne consiste pas à demander « tu confirmes ? » dans le même fil. Le second valideur doit voir la facture, le bénéficiaire, le résultat de l’appel de vérification et le montant. S’il est absent, prévoyez un remplaçant identifié plutôt qu’une exception improvisée. Les opérations urgentes ne doivent pas contourner le contrôle ; elles doivent suivre une procédure d’escalade connue.

Pour un indépendant seul, remplacez la seconde personne par une pause obligatoire et un contrôle en deux temps : réception, puis vérification depuis une autre source avant connexion à la banque. Pour les montants significatifs, demandez l’aide de votre cabinet comptable ou d’un interlocuteur autorisé selon votre organisation. La séparation temporelle réduit le risque d’agir sous pression.

6. Si le virement est parti, agissez immédiatement

Contactez sans délai votre banque au numéro officiel et demandez si un rappel des fonds, un blocage ou une alerte à la banque bénéficiaire est encore possible. Plus la réaction est rapide, plus les acteurs peuvent tenter d’intervenir, sans garantie de récupération. Ne répondez pas au fraudeur pour l’informer de vos démarches. Suspendez les paiements liés au dossier et sécurisez les comptes depuis un appareil sain.

Préservez le courriel complet, ses en-têtes, les factures, le faux RIB, les numéros, l’ordre de virement et la chronologie. Déposez plainte auprès de la police ou de la gendarmerie et suivez les indications de votre banque et de votre assureur. Si une messagerie a été compromise, isolez le compte, changez les accès, contrôlez les règles de transfert et examinez les autres conversations financières.

Avertissez l’entreprise usurpée avec des coordonnées indépendantes. Vérifiez toutes les modifications récentes de bénéficiaires et les paiements en attente. Un incident détecté sur une facture peut concerner plusieurs clients ou fournisseurs. Activez votre procédure de premiers réflexes face à une cyberattaque lorsque l’accès à un système ou à des données a été compromis.

7. Empêchez l’usurpation de votre propre RIB

Indiquez sur vos devis et factures comment un changement de coordonnées sera annoncé. Par exemple : « Tout changement de coordonnées bancaires doit être confirmé avec notre contact habituel au numéro figurant sur votre contrat. » Évitez toutefois d’affirmer que votre RIB ne changera jamais si cela n’est pas vrai. L’objectif est de déclencher un contrôle, pas de créer une règle impossible à tenir.

Protégez votre messagerie avec un mot de passe unique et le MFA, limitez les droits sur les modèles de facture et surveillez les règles de transfert. Utilisez un gestionnaire de mots de passe pour éviter les secrets réutilisés. Si vous changez réellement de banque, préparez une campagne de confirmation par plusieurs canaux et donnez à vos clients un point de contact officiel.

8. Affichez cette règle près du poste de paiement

• Ne jamais modifier un RIB uniquement à partir du message reçu.
• Rappeler un contact connu avec une coordonnée indépendante.
• Consigner le contrôle et conserver l’ancienne valeur.
• Faire valider les nouveaux bénéficiaires selon le seuil prévu.
• Rapprocher facture, montant, entreprise et bénéficiaire.
• Refuser l’urgence ou la confidentialité qui contourne la procédure.
• Contacter immédiatement la banque après un virement suspect.
• Préserver les preuves et vérifier les autres opérations.

Formez toutes les personnes qui reçoivent une facture, pas seulement celles qui paient. Le fraudeur cherche souvent le maillon qui ignore la procédure. Testez-la avec un faux message interne, sans collecter de secret, puis corrigez l’endroit où l’équipe hésite. Une règle courte, répétée et appliquée à chaque changement protège mieux qu’une sensibilisation annuelle oubliée.

Sources officielles et primaires : DGCCRF — prévenir les faux ordres de virement ; TRACFIN — alerte sur les faux ordres de virement ; Ministère de l’Économie — se protéger des fraudes aux opérations bancaires à distance. Consultées le 2 août 2026. Les exemples et méthodes doivent être adaptés à votre situation, à vos contrats et aux règles à jour.

En résumé

La fraude au faux RIB se prévient en contrôlant le changement, pas l’apparence du message. Toute nouvelle coordonnée doit être confirmée par un canal indépendant, tracée et validée selon un seuil. Après un virement suspect, la priorité est d’appeler la banque, préserver les preuves et sécuriser les comptes potentiellement compromis.