Fraude au faux RIB : vérifier un IBAN et protéger les paiements d’une TPE

La fraude au faux RIB ne repose pas toujours sur un document grossier. Un escroc peut usurper une adresse, prendre le contrôle d’une messagerie, copier une facture réelle ou appeler en connaissant le dossier. Il lui suffit de faire remplacer les coordonnées du bénéficiaire juste avant un paiement. Depuis le 9 octobre 2025, votre banque compare le nom et l’IBAN avant un virement SEPA vers un compte tenu dans la zone euro : c’est une aide précieuse, pas une garantie. La protection la plus sûre reste une règle simple : aucun changement bancaire n’est validé par le canal qui l’a annoncé.

1. Comprenez où la fraude s’insère dans votre processus

Le fraudeur cherche le moment où une entreprise attend réellement un paiement : acompte, facture fournisseur, remboursement ou changement de contrat. Il envoie alors de nouvelles coordonnées bancaires en imitant l’interlocuteur. Le message peut reprendre le logo, le ton et les références du dossier. Dans une fraude plus avancée, la boîte mail d’une partie a été compromise et l’attaquant répond dans le fil existant.

C’est la frontière avec l’hameçonnage : le phishing sert à voler des accès, le faux RIB à détourner un paiement, souvent grâce à ces accès. Si un mot de passe a été saisi sur un faux site, suivez aussi la conduite à tenir après un phishing en entreprise.

La protection ne doit donc pas dépendre uniquement de l’apparence du courriel ou du RIB. Elle repose sur le processus de modification. Séparez la réception de la demande, la vérification de l’identité et l’enregistrement du bénéficiaire. Une personne pressée ne doit pas pouvoir remplacer une coordonnée puis exécuter immédiatement le paiement important sans contrôle supplémentaire.

Le risque concerne les paiements sortants et entrants. Un attaquant peut vous envoyer un faux RIB de fournisseur, mais il peut aussi se faire passer pour votre entreprise auprès de vos clients. Reliez cette procédure à vos conditions de paiement et à la manière dont vous annoncez officiellement vos coordonnées.

2. Comment savoir si un RIB est faux ?

À l’œil, on ne le sait souvent pas : un faux RIB peut être une copie parfaite du document habituel. Le bon réflexe consiste donc à repérer les signaux qui déclenchent un contrôle, puis à confirmer le changement par un autre canal. Aucun signal isolé ne prouve la fraude, et leur absence ne prouve pas l’authenticité.

Une urgence inhabituelle, une demande confidentielle, un changement juste avant l’échéance, une adresse légèrement différente, un nouveau pays, un ton qui contourne la procédure ou un interlocuteur indisponible doivent déclencher une vérification. Mais l’absence de signal visible ne prouve rien. Une messagerie compromise peut produire un message parfaitement cohérent avec les échanges antérieurs.

Méfiez-vous des demandes qui déplacent la conversation vers un nouveau numéro fourni dans le même courriel. L’attaquant contrôle alors à la fois la demande et sa prétendue confirmation. Vérifiez les coordonnées dans une source déjà approuvée : contrat, annuaire fournisseur interne, fiche officielle ou contact enregistré avant l’incident. Un numéro trouvé dans la signature du message suspect n’est pas un second canal indépendant.

Sur le document lui-même, comparez le nom du titulaire avec celui qui figure sur les factures et le contrat, puis les deux lettres qui ouvrent l’IBAN (le code du pays) avec le pays du fournisseur. La Banque de France conseille aussi de rechercher les altérations d’un RIB ou d’une facture : caractères différents, police qui change, alignement inhabituel. Pour un professionnel, le nom exact se retrouve sur ses factures, dans les mentions légales de son site ou au registre des entreprises.

3. Utilisez une vérification hors bande en quatre questions

Appelez le contact habituel et demandez-lui de confirmer l’entreprise, la facture concernée, le changement demandé et les derniers caractères de l’IBAN. Ne lisez pas l’intégralité des nouvelles coordonnées pour obtenir un simple « oui ». Si l’interlocuteur n’est pas joignable, conservez le bénéficiaire actuel et reportez le paiement selon vos règles. Une échéance commerciale se gère ; un virement envoyé au fraudeur est beaucoup plus difficile à récupérer.

1. La demande vient-elle d’un interlocuteur déjà connu ?
2. Le changement a-t-il été confirmé par un canal indépendant ?
3. Le nom du titulaire, le pays de l’IBAN et le résultat de la vérification bancaire sont-ils cohérents avec le dossier ?
4. Une seconde personne a-t-elle contrôlé la modification lorsque le seuil l’exige ?

Notez la date, le nom de la personne jointe, le numéro utilisé et le résultat. Cette trace n’a pas besoin d’être longue. Elle montre que la procédure a été appliquée et évite de recommencer la vérification sans raison. Limitez l’accès à ces preuves car elles contiennent des données financières et de contact.

4. Lisez la vérification du bénéficiaire affichée par votre banque

Depuis le 9 octobre 2025, le règlement européen (UE) 2024/886 impose aux banques et aux établissements de paiement de la zone euro un contrôle appelé vérification du bénéficiaire (VoP, pour « Verification of Payee »). Avant d’exécuter un virement SEPA, classique ou instantané, vers la France ou un autre pays de la zone euro, votre banque interroge celle du bénéficiaire et compare le nom saisi avec le titulaire de l’IBAN. Pour une entreprise, la comparaison porte sur la raison sociale ou le nom commercial. Ce service est gratuit, pour les particuliers comme pour les professionnels.

Dans les trois derniers cas, la décision vous revient : corriger, renoncer ou confirmer le virement. Selon le guide de la Banque de France, si vous passez outre une alerte, vous assumez le risque que les fonds arrivent sur un compte qui n’appartient pas au bénéficiaire prévu, sauf si votre banque n’a pas rempli ses propres obligations.

Le contrôle a des limites. Une concordance prouve seulement que le nom saisi correspond au titulaire du compte, pas que ce compte est celui que votre fournisseur utilise : saisissez toujours le nom tiré de votre fichier ou du contrat, jamais celui du RIB reçu. Les sociétés et associations peuvent renoncer à la vérification pour leurs virements groupés, envoyés par lot ou par fichier : demandez à votre banque quel choix a été fait.

Certains virements échappent aussi au contrôle. Un virement programmé ou permanent saisi depuis le 9 octobre 2025 n’est vérifié qu’une fois, à sa saisie ; s’il a été saisi avant cette date, il ne l’est jamais. Vers un pays de l’Union hors zone euro (Pologne, Suède ou Danemark, par exemple), le service peut manquer jusqu’en 2027. Il n’est pas prévu pour les virements hors SEPA ni vers la Nouvelle-Calédonie, la Polynésie française ou Wallis-et-Futuna, et ne s’impose pas pour l’instant vers le Royaume-Uni ou la Suisse. Pour tous ces paiements, rien ne remplace la confirmation par un contact connu.

5. Verrouillez la création et la modification des bénéficiaires

Conservez un fichier fournisseur de référence avec un propriétaire, une date de validation et l’historique des changements. Retirez les droits de modification aux personnes qui n’en ont pas besoin. Activez les notifications bancaires lors de l’ajout d’un bénéficiaire et, si votre banque le permet, un délai, un plafond ou une validation distincte. Ne copiez pas un IBAN depuis un courriel vers la banque sans passer par le contrôle. Enregistrez le nom exact du titulaire, sans abréviation : c’est lui que la vérification du bénéficiaire comparera ensuite à l’IBAN.

Appliquez la règle même à un petit montant si le changement est nouveau. Certains fraudeurs commencent par une somme faible afin de tester le processus. La double validation peut ensuite être proportionnée : systématique pour tout nouveau bénéficiaire, puis obligatoire au-delà d’un seuil adapté à votre activité. Le seuil ne doit jamais annuler la vérification indépendante du changement.

6. Organisez la double validation sans bloquer la TPE

Une double validation efficace ne consiste pas à demander « tu confirmes ? » dans le même fil. Le second valideur doit voir la facture, le bénéficiaire, le résultat de l’appel de vérification, celui de la vérification bancaire et le montant. S’il est absent, prévoyez un remplaçant identifié plutôt qu’une exception improvisée. Les opérations urgentes ne doivent pas contourner le contrôle ; elles doivent suivre une procédure d’escalade connue.

Pour un indépendant seul, remplacez la seconde personne par une pause obligatoire et un contrôle en deux temps : réception, puis vérification depuis une autre source avant connexion à la banque. Pour les montants significatifs, demandez l’aide de votre cabinet comptable ou d’un interlocuteur autorisé selon votre organisation. La séparation temporelle réduit le risque d’agir sous pression.

7. Si le virement est parti, agissez immédiatement

Contactez sans délai votre banque au numéro officiel et demandez si un rappel des fonds, un blocage ou une alerte à la banque bénéficiaire est encore possible. Plus la réaction est rapide, plus les acteurs peuvent tenter d’intervenir, sans garantie de récupération. Suspendez les virements liés au dossier qui ne sont pas encore partis. Ne répondez pas au fraudeur pour l’informer de vos démarches et sécurisez les comptes depuis un appareil sain.

Préservez le courriel complet, ses en-têtes, les factures, le faux RIB, les numéros, l’ordre de virement et la chronologie. Déposez plainte auprès de la police ou de la gendarmerie, ou par écrit auprès du procureur de la République, puis suivez les indications de votre banque et de votre assureur. Si votre contrat couvre les cyberattaques et que la fraude est passée par le piratage d’un de vos systèmes, votre messagerie par exemple, l’indemnisation suppose une plainte déposée au plus tard 72 heures après la découverte de l’attaque (article L12-10-1 du Code des assurances).

Pour être orienté, utilisez 17Cyber, le service public d’assistance en ligne aux victimes de cybermalveillance, ouvert aussi aux entreprises. Cybermalveillance.gouv.fr indique également Info Escroqueries (0 805 805 817, appel gratuit) et France Victimes (116 006). Si une messagerie a été compromise, isolez le compte, changez les accès, contrôlez les règles de transfert et examinez les autres conversations financières.

Avertissez l’entreprise usurpée avec des coordonnées indépendantes. Vérifiez toutes les modifications récentes de bénéficiaires et les paiements en attente. Un incident détecté sur une facture peut concerner plusieurs clients ou fournisseurs. Activez votre procédure de premiers réflexes face à une cyberattaque lorsque l’accès à un système ou à des données a été compromis.

8. Empêchez l’usurpation de votre propre RIB

Indiquez sur vos devis et factures comment un changement de coordonnées sera annoncé. Par exemple : « Tout changement de coordonnées bancaires doit être confirmé avec notre contact habituel au numéro figurant sur votre contrat. » Évitez toutefois d’affirmer que votre RIB ne changera jamais si cela n’est pas vrai. L’objectif est de déclencher un contrôle, pas de créer une règle impossible à tenir. Indiquez aussi sur vos factures le nom exact du titulaire de votre compte, tel que votre banque le connaît : vos clients pourront le saisir sans erreur, ce qui évite une fausse alerte lors de la vérification du bénéficiaire.

Protégez votre messagerie avec un mot de passe unique et la double authentification (MFA), à déployer sur les comptes sensibles, limitez les droits sur les modèles de facture et surveillez les règles de transfert. Utilisez un gestionnaire de mots de passe pour éviter les secrets réutilisés. Si vous changez réellement de banque, préparez une campagne de confirmation par plusieurs canaux et donnez à vos clients un point de contact officiel.

9. Affichez cette règle près du poste de paiement

• Ne jamais modifier un RIB uniquement à partir du message reçu.
• Rappeler un contact connu avec une coordonnée indépendante.
• Saisir le nom du bénéficiaire tiré du dossier, puis lire le résultat de la vérification bancaire.
• Consigner le contrôle et conserver l’ancienne valeur.
• Faire valider les nouveaux bénéficiaires selon le seuil prévu.
• Rapprocher facture, montant, entreprise et bénéficiaire.
• Refuser l’urgence ou la confidentialité qui contourne la procédure.
• Contacter immédiatement la banque après un virement suspect.
• Préserver les preuves et vérifier les autres opérations.

Formez toutes les personnes qui reçoivent une facture, pas seulement celles qui paient. Le fraudeur cherche souvent le maillon qui ignore la procédure. Testez-la avec un faux message interne, sans collecter de secret, puis corrigez l’endroit où l’équipe hésite. Une règle courte, répétée et appliquée à chaque changement protège mieux qu’une sensibilisation annuelle oubliée. Pour les autres protections de base (comptes, sauvegardes, mises à jour), reprenez le plan des 12 contrôles de cybersécurité prioritaires d’une TPE, à mettre en place en quatre semaines.

Sources officielles et primaires : Banque de France et CNMP — guide d’utilisation de la vérification du bénéficiaire (septembre 2025) ; FBF — lancement de la vérification du bénéficiaire le 9 octobre 2025 ; Cybermalveillance.gouv.fr — fraude au virement ou au faux RIB (mise à jour le 7 mai 2026) ; Cybermalveillance.gouv.fr — fraude au faux ordre de virement en entreprise (mise à jour le 15 septembre 2026) ; Légifrance — article L12-10-1 du Code des assurances ; Entreprendre.Service-Public — 17Cyber. Consultées le 29 septembre 2026. DGCCRF — prévenir les faux ordres de virement ; TRACFIN — alerte sur les faux ordres de virement : consultées le 2 août 2026. Les exemples et méthodes doivent être adaptés à votre situation, à vos contrats et aux règles à jour.

En résumé

La fraude au faux RIB se prévient en contrôlant le changement, pas l’apparence du message. Toute nouvelle coordonnée doit être confirmée par un canal indépendant, tracée et validée selon un seuil. La vérification du bénéficiaire faite par la banque ajoute un filet utile : une alerte arrête le paiement, une concordance ne suffit pas. Après un virement suspect, la priorité est d’appeler la banque, de préserver les preuves, de déposer plainte et de sécuriser les comptes potentiellement compromis.