Faux fournisseur et changement de RIB : le protocole de vérification en entreprise
Pourquoi la fraude au changement de RIB est si efficace
La fraude au faux fournisseur, souvent appelée « fraude au président » lorsqu’elle implique un dirigeant, consiste à tromper une entreprise pour obtenir le paiement d’une facture sur un compte bancaire contrôlé par l’escroc. Le scénario peut commencer par la création d’un faux fournisseur ou par le piratage de la messagerie d’un partenaire réel. L’auteur récupère alors des informations sur les factures, les interlocuteurs et les habitudes de paiement afin de rendre sa demande crédible.Le changement de coordonnées bancaires est particulièrement dangereux : le montant et le bénéficiaire apparent peuvent rester identiques, mais l’IBAN est remplacé. Une simple adresse e-mail ressemblante, une signature copiée ou un document PDF falsifié peuvent suffire à contourner une procédure trop informelle. Les entreprises doivent donc considérer toute modification de RIB comme une opération sensible, même lorsqu’elle semble provenir d’un contact connu.
Les signaux d’alerte à repérer avant un paiement
Aucun indice ne constitue à lui seul une preuve de fraude. En revanche, plusieurs anomalies doivent conduire à suspendre le règlement et à effectuer une vérification indépendante :- une demande urgente, confidentielle ou accompagnée d’une menace de pénalité ;
- un changement de RIB transmis uniquement par e-mail, sans courrier officiel ni justificatif cohérent ;
- une adresse légèrement différente : nom de domaine modifié, lettre ajoutée, extension inhabituelle ou adresse gratuite ;
- un nouveau fournisseur dont les coordonnées sont incomplètes, incohérentes ou difficiles à vérifier ;
- un compte bancaire situé dans un pays inhabituel au regard de la relation commerciale ;
- une facture dont le montant, la référence, la TVA ou les conditions de règlement ne correspondent pas aux documents habituels ;
- un interlocuteur qui refuse un appel ou demande de ne pas prévenir le service comptable.
Les fraudeurs peuvent aussi utiliser une boîte e-mail réellement compromise. La présence d’un échange dans une conversation habituelle ne suffit donc pas à authentifier la demande.
La procédure de vérification recommandée
La règle essentielle consiste à ne jamais valider un changement de coordonnées bancaires à partir du seul message qui le demande. La confirmation doit utiliser un canal indépendant, c’est-à-dire une source de contact déjà connue et différente de l’e-mail reçu.- Comparez la demande avec les coordonnées enregistrées dans le logiciel comptable, le contrat ou le dossier fournisseur.
- Appelez le fournisseur à partir d’un numéro figurant dans vos archives, sur un contrat signé ou sur son site officiel. N’utilisez pas le numéro indiqué dans le message suspect.
- Demandez une confirmation explicite du changement d’IBAN, du nom du titulaire du compte et de la date d’application.
- Faites vérifier la cohérence entre la raison sociale, le numéro SIREN ou SIRET, l’adresse et le compte bancaire. Le site officiel de l’Annuaire des entreprises peut aider à contrôler l’existence d’une société.
- Appliquez une validation à deux niveaux : le service qui gère le fournisseur ne doit pas être le seul à autoriser le paiement.
- Conservez les preuves de contrôle : e-mail, identité de l’interlocuteur, date de l’appel et validation interne.
Pour les montants importants, une confirmation écrite signée peut compléter l’appel, mais elle ne doit pas remplacer la vérification orale. Une signature ou un cachet peuvent également être falsifiés.
Un tableau de contrôle simple pour les équipes
Une procédure courte et systématique réduit les décisions prises dans l’urgence. Elle peut être intégrée à la fiche fournisseur ou au logiciel de gestion.| Point contrôlé | Question à poser | Action si anomalie |
|---|---|---|
| Identité | La société et le contact correspondent-ils aux données connues ? | Suspendre et rappeler un contact habituel. |
| IBAN | Le titulaire du compte est-il cohérent avec le fournisseur ? | Demander une confirmation indépendante. |
| Canal | La demande vient-elle d’un canal habituel et sécurisé ? | Ne pas répondre au message seul. |
| Validation | Une seconde personne a-t-elle contrôlé le paiement ? | Appliquer la double approbation. |
Il est également utile de limiter les droits de modification des RIB, d’activer l’authentification multifacteur sur les messageries et de sensibiliser régulièrement les équipes. Le site Cybermalveillance.gouv.fr propose des recommandations destinées aux professionnels.
Que faire si le virement a déjà été effectué ?
Réagissez immédiatement. Contactez la banque pour demander une tentative de rappel des fonds, signalez le caractère frauduleux de l’opération et transmettez les éléments disponibles : ordre de virement, IBAN destinataire, facture, échanges et coordonnées du faux interlocuteur. Le rappel n’est pas garanti, mais chaque minute peut compter.Prévenez ensuite la direction, le service informatique et le fournisseur réellement concerné. Changez les mots de passe si une messagerie a pu être compromise, vérifiez les règles de transfert automatique et les connexions inhabituelles, puis conservez les journaux et messages. Un dépôt de plainte doit être envisagé ; les entreprises peuvent aussi consulter les démarches indiquées par Service-Public.fr. Il ne faut pas supprimer les e-mails suspects avant leur sauvegarde, car ils peuvent servir à l’enquête.
FAQ : les questions fréquentes sur le faux fournisseur
Un RIB portant le nom du fournisseur est-il forcément authentique ?
Non. Un document peut être falsifié ou provenir d’une messagerie compromise. Le nom du titulaire, le logo et la signature ne remplacent pas une confirmation par un canal indépendant.
Faut-il vérifier chaque changement de RIB, même pour un petit montant ?
Oui. Une petite facture peut servir de test avant une demande plus importante. Le niveau de contrôle doit être systématique, avec une vigilance renforcée pour les virements urgents ou inhabituels.
Qui doit valider la modification des coordonnées bancaires ?
La validation doit impliquer au moins deux rôles distincts, par exemple le gestionnaire du fournisseur et le responsable comptable ou financier. La personne qui saisit le RIB ne devrait pas être la seule à autoriser le paiement.
Que faire si le fournisseur confirme ne pas avoir demandé le changement ?
Considérez la demande comme frauduleuse, prévenez votre banque et votre service informatique, conservez toutes les preuves et évaluez si d’autres comptes ou échanges ont été exposés.
