L'arnaque au faux RIB est devenue l'une des fraudes les plus fréquentes en France, et figure parmi les principales sources de préjudice financier pour les entreprises françaises. Le mécanisme est élémentaire : un escroc intercepte une facture, modifie les coordonnées bancaires, la renvoie au client, qui paie sur un compte frauduleux. Ce guide détaille les 5 étapes du scénario type, 8 signaux d'alerte concrets, le protocole de vérification recommandé, un exemple de scénario reconstitué, et 3 questions juridiques fréquentes.
Le mécanisme en 5 étapes
L'arnaque au faux RIB suit presque toujours le même schéma. Comprendre ces 5 étapes permet de reconnaître les signaux précoces.
- Interception de la communication email — L'attaquant compromet une boîte mail (du fournisseur ou du client) via phishing, password leak, ou malware. Il observe pendant plusieurs semaines les échanges pour repérer une facture en attente de paiement et apprendre le ton habituel des messages.
- Modification du RIB — Au moment où une facture significative (typiquement > 5 000 €) est sur le point d'être payée, l'attaquant modifie soit la facture PDF (édition, échange du fichier — voir la détection des fausses factures), soit le RIB envoyé séparément. Le nouveau compte est généralement à l'étranger (Pologne, Lituanie, Bulgarie sont fréquents) ou dans un établissement français accessoire.
- Re-envoi avec un prétexte plausible — L'email est renvoyé avec un message du type : "Suite à un changement bancaire, merci d'utiliser ces nouvelles coordonnées" ou "Le RIB précédent contenait une erreur, voici le bon". Le ton imite parfaitement celui du correspondant habituel, parce que l'attaquant a observé pendant des semaines.
- Virement effectué par le client — Le service comptable ou la direction financière, qui ne suspecte rien (la facture était attendue, le ton est habituel), exécute le virement. Le montant arrive sur le compte de l'attaquant qui l'extrait immédiatement par retraits cash, transferts crypto, ou sous-virements en cascade.
- Découverte tardive et contestation impossible — Le vrai fournisseur réclame son paiement quelques semaines plus tard. Le client découvre la fraude. Les fonds ont déjà été extraits du compte intermédiaire. La banque réceptrice ne peut plus geler les fonds. Le client doit re-payer le fournisseur ET assume la perte du virement frauduleux.
Un préjudice souvent lourd, des secteurs plus exposés
Une arnaque au faux RIB réussie porte le plus souvent sur le montant d'une facture inter-entreprises, soit régulièrement plusieurs dizaines de milliers d'euros. Les secteurs les plus exposés sont ceux où les paiements réguliers supérieurs à 10 000 € entre entreprises connues sont la norme : BTP, agroalimentaire, conseil, immobilier. Cette fraude est une variante proche de la fraude au président (FOVI), avec laquelle elle partage le même levier : l'usurpation d'un correspondant de confiance.
8 signaux d'alerte à reconnaître immédiatement
Voici les 8 signaux qui doivent déclencher une vérification systématique avant tout virement :
- RIB modifié récemment — Si un fournisseur connu envoie subitement un nouveau RIB après plusieurs mois d'utilisation du précédent, vérifier oralement avant tout paiement.
- IBAN étranger pour fournisseur français — Une SAS française qui demande un virement vers un compte polonais, lituanien, bulgare ou maltais sans justification est presque toujours suspecte.
- Demande urgente par email — "Virement à effectuer aujourd'hui sinon retard de chantier", "RIB à mettre à jour avant 17h" : la pression temporelle est l'arme principale du fraudeur.
- Email du dirigeant en copie — Pour donner du poids à l'instruction, l'attaquant met le faux PDG en copie. Le dirigeant n'a évidemment jamais validé.
- Adresse email légèrement différente —
contact@fournisseur.comvscontact@fournlsseur.com(i remplacé par l). Spoofing de domaine via caractères Unicode similaires. - Pas de justification orale — Le vrai changement de RIB s'accompagne toujours d'un appel ou d'une rencontre. Une demande exclusivement par email est suspecte.
- Bénéficiaire avec nom différent du fournisseur — Le RIB indique "M. Kowalski" alors que le fournisseur s'appelle "Acme SARL". Ne jamais payer un compte personnel pour une facture professionnelle.
- Style ou tournures inhabituelles — L'attaquant traduit parfois maladroitement depuis une autre langue. Tournures francophones bizarres, fautes inhabituelles de la part d'un correspondant régulier = drapeau rouge.
Vrai changement de RIB ou tentative de fraude ?
Face à une demande de modification de coordonnées bancaires, ce tableau aide à distinguer un changement légitime d'une tentative de fraude.
| Critère | Changement légitime | Signal de fraude |
|---|---|---|
| Canal | Annoncé par courrier officiel + confirmé oralement | Uniquement par email, sans appel |
| Délai | Anticipé, sans urgence | « À régler aujourd'hui », pression temporelle |
| Titulaire du compte | Identique à la raison sociale du fournisseur | Nom de personne physique ou société tierce |
| Pays de l'IBAN | Cohérent avec l'implantation du fournisseur | IBAN étranger inattendu, sans justification |
| Adresse email | Domaine exact habituel | Domaine proche mais altéré (lettre substituée) |
| Vérifiabilité | Confirmé sur un numéro connu du CRM | Seul le numéro fourni dans l'email récent « fonctionne » |
Le protocole de vérification en 4 points
Pour ne jamais tomber dans le piège, instaurer un protocole non négociable au sein du service comptable :
- Appel téléphonique sur numéro connu — Pour tout changement de RIB, appeler le fournisseur sur le numéro stocké dans votre CRM (jamais celui dans l'email récent). Demander confirmation orale du changement.
- Double validation DAF + comptable — Aucun virement > 5 000 € ne peut être déclenché par une seule personne. La double signature électronique (intégrée dans la plupart des banques pro) est un garde-fou efficace.
- Période de carence 24h sur RIB modifié — Tout nouveau RIB enregistré doit attendre 24h avant utilisation. Cela laisse le temps de détecter une attaque en cours via un appel de confirmation manqué ou une remontée du fournisseur réel.
- Formation annuelle de l'équipe comptable — Un employé non formé est le maillon faible. Une session annuelle d'1 h avec des exemples réels réduit nettement le risque en apprenant aux équipes à reconnaître les signaux.
Exemple de scénario reconstitué
Pour rendre le mécanisme concret, voici un scénario reconstitué à titre pédagogique, sans lien avec une entreprise identifiée. Une PME du BTP (une quinzaine de salariés) reçoit une facture de fin de chantier d'un sous-traitant habituel. L'attaquant avait compromis la boîte mail d'un sous-traitant régulier 3 mois auparavant. Au moment du paiement d'une facture de fin de chantier, il a renvoyé le RIB modifié vers un compte lituanien le vendredi à 16h30, juste avant la coupure du week-end.
Le service comptable, sans suspecter, a déclenché le virement le lundi matin. Le mardi, les fonds étaient déjà extraits du compte étranger via une cascade de retraits. Lorsque le vrai sous-traitant a appelé plus tard pour réclamer son paiement, la fraude a été découverte : la PME a dû re-payer le sous-traitant ET assumer la perte, l'assurance ne couvrant qu'une partie du montant (franchise et plafond déduits).
Cause principale : aucun protocole d'appel téléphonique de vérification n'était en place. Le coût réel d'un tel incident dépasse la seule perte financière — il inclut le temps de gestion, la relation fournisseur à reconstruire et la réorganisation des procédures.
FAQ — Questions juridiques fréquentes
Ma banque peut-elle récupérer les fonds ?
Très rarement après 48h. Si la fraude est détectée dans les 24-48h, la banque émettrice peut tenter une procédure de "rappel SEPA" auprès de la banque réceptrice. Au-delà, les fonds sont presque toujours déjà extraits. C'est pourquoi la détection précoce et l'appel oral sont critiques.
Suis-je responsable si j'ai payé sur un faux RIB ?
Juridiquement oui, dans la plupart des cas. La jurisprudence considère de longue date que c'est au payeur de s'assurer de l'identité du bénéficiaire réel. La dette envers le vrai fournisseur n'est pas éteinte par le paiement à un faux compte. Vous devez donc re-payer ET assumer la perte. Les assurances "fraude au virement" couvrent partiellement ce risque mais avec franchise + plafond.
Comment former mon équipe comptable ?
Une session de sensibilisation de 1h par an avec : (1) le mécanisme en 5 étapes, (2) 5-10 exemples réels d'emails frauduleux, (3) le protocole de vérification non négociable. Compléter avec des "phishing tests" trimestriels où le DAF envoie un faux email frauduleux pour mesurer le taux de détection. Coût modéré, sans commune mesure avec une seule fraude évitée.
RiskSonnar peut intégrer un score de confiance fournisseur dans votre workflow comptable, alertant automatiquement sur les changements suspects de coordonnées bancaires ou les bénéficiaires apparaissant sur des listes de fraudeurs connus. Pour les paiements vers un fournisseur à l'étranger — notamment dans le corridor France-Maroc — voir aussi : sécuriser un paiement fournisseur au Maroc. Voir les plans →