La fraude au virement bancaire est aujourd'hui la première menace financière qui pèse sur les entreprises, des TPE aux ETI. Les escroqueries dites « aux faux ordres de virement » (FOVI) représentent chaque année des montants détournés considérables et figurent, année après année, parmi les principales fraudes visant les entreprises françaises. La bonne nouvelle : derrière la quasi-totalité de ces fraudes se cachent quatre schémas connus, et une poignée de contrôles simples — double-validation, vérification du RIB, due diligence de la contrepartie — suffit à neutraliser l'écrasante majorité des tentatives. Ce guide détaille les typologies, la procédure à mettre en place, et les spécificités d'un paiement vers le Maroc.
Fraude au virement : de quoi parle-t-on ?
La fraude au virement regroupe toutes les manœuvres visant à détourner un paiement légitime vers un compte contrôlé par un escroc. Le point commun de ces attaques n'est pas technique mais humain : elles reposent sur l'ingénierie sociale (social engineering), c'est-à-dire la manipulation d'un collaborateur disposant du pouvoir d'ordonner ou de saisir un virement. Le fraudeur n'attaque pas le système d'information de la banque ; il attaque le maillon qui valide l'ordre. C'est pourquoi la prévention de la fraude au paiement est d'abord une question de procédure, pas de logiciel.
Les 4 typologies de fraude au virement
1. La fraude au président (FOVI classique)
Le fraudeur usurpe l'identité du dirigeant ou d'un responsable de haut niveau et exige par e-mail ou téléphone un virement urgent et confidentiel, justifié par une acquisition en cours, un investissement stratégique ou un règlement amiable secret. Les deux leviers sont toujours les mêmes : l'autorité (« c'est le PDG qui demande ») et la pression temporelle (« avant 17 h, sinon on perd le deal »). Nous lui consacrons un guide dédié : Fraude au Président (FOVI) : la détecter et la prévenir.
Signaux : adresse e-mail très proche mais inexacte (president@entreprise-fr.com au lieu de president@entreprise.fr), exigence de confidentialité absolue, urgence non expliquée, bénéficiaire à l'étranger inhabituel.
2. La fraude au changement de coordonnées bancaires (faux RIB fournisseur)
C'est aujourd'hui la typologie la plus coûteuse. Le fraudeur se fait passer pour un fournisseur habituel et transmet un nouveau RIB, prétendument lié à un changement de banque ou à un « problème administratif ». Les factures légitimes suivantes sont alors réglées sur le compte de l'escroc. Le schéma est redoutable parce qu'il exploite une relation commerciale réelle : la demande paraît parfaitement crédible. Pour comprendre le mécanisme en détail, voir Arnaque au faux RIB : mécanisme, signaux et protection.
Signaux : e-mail provenant d'un serveur légèrement différent, RIB domicilié dans un pays différent du siège du fournisseur, refus de validation téléphonique, ton pressant ou menace de suspension du service.
3. L'usurpation d'identité bancaire (compromission directe)
Le fraudeur obtient les accès à la banque en ligne de l'entreprise par phishing, SIM-swapping ou malware, puis initie lui-même les virements. Moins fréquent, ce schéma est aussi le plus difficile à inverser une fois le virement parti, car aucun collaborateur n'a « validé » l'ordre : il faut détecter l'anomalie a posteriori.
4. La fraude au deepfake vocal et vidéo
Apparue à grande échelle en 2024-2026, cette variante augmente la fraude au président. À partir de quelques secondes de voix publiques (interviews, webinaires, messages vocaux), un escroc clone la voix du dirigeant et passe un appel téléphonique synthétique, voire organise une visioconférence avec un avatar généré par IA. Le collaborateur « entend » son patron — le second canal téléphonique, longtemps considéré comme infaillible, n'est plus une preuve d'identité suffisante. La même logique de falsification touche désormais les pièces justificatives : voir Détecter les faux documents commerciaux avec l'IA.
Tableau récapitulatif des typologies
| Typologie | Levier | Cible interne | Contrôle qui bloque |
|---|---|---|---|
| Fraude au président | Autorité + urgence | Assistant·e direction, trésorier | Double-validation hors hiérarchie |
| Changement de RIB (faux RIB) | Relation existante | Comptabilité fournisseurs | Callback au numéro officiel + contrôle IBAN |
| Usurpation bancaire | Compromission technique | Détenteurs d'accès e-banking | MFA, séparation des rôles, surveillance |
| Deepfake voix/vidéo | Confiance sensorielle | Toute personne autorisée | Mot de passe partagé + canal écrit certifié |
Les signaux d'alerte universels
- Urgence injustifiée : tout virement « à faire dans l'heure » pour un motif flou est suspect par construction.
- Confidentialité imposée : aucune opération légitime n'a besoin d'être cachée des équipes internes.
- Changement de canal : l'interlocuteur bascule vers un SMS ou un numéro personnel plutôt que le canal professionnel habituel.
- Changement de coordonnées bancaires : nouveau RIB, changement de banque, compte à l'étranger ou offshore.
- Montant inhabituel : virement nettement supérieur aux flux habituels avec ce bénéficiaire.
- Juridiction à risque : destination à fiscalité privilégiée ou à faible régulation (voir GAFI liste grise et noire 2026).
- Erreurs subtiles dans l'adresse e-mail : lettre inversée, extension différente, caractère accentué trompeur.
La procédure de double-validation : votre meilleure défense
La double-validation (ou principe des « quatre yeux ») est le contrôle le plus rentable contre la fraude au virement. Son principe : aucun paiement sensible ne repose sur une seule personne ni sur un seul canal d'information.
Règle 1 — Validation par un second canal indépendant
Tout changement de RIB fournisseur, et tout virement au-dessus d'un seuil défini (par exemple 5 000 €), doit être confirmé via un canal indépendant de la demande : rappel au numéro officiel du fournisseur (jamais celui indiqué dans l'e-mail suspect), connu et enregistré au préalable. Cette règle, à elle seule, neutralise la majorité des fraudes au président comme des faux RIB. Face au deepfake vocal, complétez par un mot de passe partagé convenu à l'avance, qu'une voix clonée ne pourra pas connaître.
Règle 2 — Double signature bancaire
Les virements significatifs doivent exiger deux signataires distincts (par exemple dirigeant + DAF), configuration paramétrée directement dans l'outil bancaire et jamais contournée, même sous prétexte d'urgence. La séparation des rôles fait qu'un seul compte compromis ne suffit plus à sortir des fonds.
Règle 3 — Liste blanche des bénéficiaires
Les bénéficiaires récurrents et déjà contrôlés sont pré-autorisés pour fluidifier les paiements habituels. À l'inverse, tout nouveau bénéficiaire ou tout RIB modifié bascule en validation renforcée : délai de carence de 24 à 48 h, double signature, contrôle de la contrepartie.
Règle 4 — Contrôle technique de l'IBAN et du nom
Vérifiez la cohérence entre le nom du titulaire du compte et la raison sociale du fournisseur (services de « confirmation de bénéficiaire » / VoP — Verification of Payee, généralisés dans la zone SEPA). Contrôlez aussi que le code pays de l'IBAN correspond bien au pays d'établissement du fournisseur : un fournisseur français facturant depuis Lyon mais réclamant un virement sur un IBAN hongrois ou letton est un drapeau rouge.
Règle 5 — Formation et tests internes
Comptables, assistant·es et trésoriers sont les cibles prioritaires. Une formation annuelle nourrie d'exemples récents, complétée par des campagnes de phishing simulé, augmente nettement le taux de détection. La fraude exploite la routine : la vigilance s'entretient.
Contrôler la contrepartie AVANT le paiement
La double-validation protège le geste de paiement ; la due diligence protège la relation. Avant tout premier virement vers un nouveau fournisseur, vérifiez son existence légale et sa cohérence :
- Existence et ancienneté : Kbis / extrait RNE en France, immatriculation réelle, date de création (méfiance sur les sociétés très récentes — voir société dormante vs fictive).
- Cohérence d'adresse : siège physique vérifiable, pas une simple domiciliation suspecte (12 signaux d'une société-écran).
- Dirigeants et bénéficiaire effectif : qui contrôle réellement la société (identifier l'UBO en France et au Maroc).
- Sanctions, PEP et presse : filtrage contre les listes officielles et signaux réputationnels.
Cette logique s'inscrit dans une démarche plus large de maîtrise du risque de contrepartie sur vos paiements B2B et de notation du risque fournisseur. Un fournisseur sans site, sans ligne fixe et sans adresse vérifiable est, par défaut, à haut risque.
Spécificité : sécuriser un paiement vers le Maroc
Le corridor d'affaires France-Maroc (de l'ordre de plusieurs milliards d'euros d'échanges annuels selon les douanes) concentre des flux fournisseurs intenses — et donc une exposition particulière aux faux RIB. Quelques points de vigilance propres à un virement vers le Maroc :
- Identifiants locaux à recouper : exigez et vérifiez l'ICE (Identifiant Commun de l'Entreprise) et le numéro de Registre du Commerce auprès des sources officielles (voir vérifier l'ICE d'une entreprise marocaine et RC, ICE, OMPIC).
- Réglementation des changes : les paiements transfrontaliers passent par le cadre de l'Office des Changes ; un fournisseur marocain sérieux maîtrise ces formalités (OMPIC, DGI, CNSS, Office des Changes).
- Sanctions et gel d'avoirs : côté marocain, la liste de référence est celle de la CNASNU (qui relaie les désignations ONU et la liste locale), à ne pas confondre avec l'ANRF qui ne publie pas de liste de gel. Détails dans conformité LCB-FT au Maroc.
- IBAN marocain : un IBAN « MA » à 28 caractères est normal pour un fournisseur établi au Maroc ; en revanche, un fournisseur marocain réclamant soudain un compte dans un pays tiers doit déclencher un callback.
Pour une méthode pas-à-pas, voir notre guide complet de vérification d'un fournisseur marocain.
Que faire si la fraude a déjà eu lieu
Le temps est le facteur décisif : les chances de récupération chutent fortement passées les premières 24 heures.
- Immédiatement : appelez la banque émettrice et demandez le rappel du virement (recall SWIFT/SEPA). Aucune garantie, mais des chances réelles si les fonds n'ont pas été retirés.
- Sous 24 h : déposez plainte (commissariat ou gendarmerie) avec toutes les pièces (e-mails, RIB, montant, contacts).
- Sous 48 h : signalez via les plateformes officielles compétentes (Perceval pour les fraudes à la carte, Cybermalveillance.gouv.fr, et le cas échéant la DGCCRF).
- Dans la semaine : auditez tous les paiements récents, révoquez et renouvelez les accès e-banking, changez les mots de passe et activez la MFA partout.
- Informez vos parties prenantes : commissaire aux comptes, assureur, et selon le contexte une déclaration de soupçon (guide TRACFIN).
Assurance fraude et cyber
Les polices couvrant spécifiquement la fraude au virement sont désormais accessibles aux PME, avec des primes annuelles indicatives de quelques milliers d'euros (ordre de grandeur, variable selon le chiffre d'affaires et les garanties). Point essentiel : l'assureur conditionne l'indemnisation au respect d'un protocole anti-fraude documenté. Si la double-validation ou le contrôle du RIB n'ont pas été appliqués, l'indemnisation peut être refusée. Formaliser sa procédure n'est donc pas seulement une bonne pratique, c'est une condition de couverture.
Vérifiez la contrepartie avant de payer. RiskSonnar agrège les registres officiels et les listes de sanctions France + Maroc et produit un rapport de due diligence défendable en 60 secondes. Vérifier un dirigeant →
FAQ — Fraude au virement bancaire
Comment vérifier le RIB d'un fournisseur ?
Confirmez tout RIB — surtout s'il change — par un second canal : appelez le fournisseur au numéro officiel que vous connaissez déjà (jamais celui de l'e-mail), vérifiez que le nom du titulaire correspond à la raison sociale (service VoP/confirmation de bénéficiaire) et contrôlez que le code pays de l'IBAN est cohérent avec son pays d'établissement. Pour un fournisseur marocain, recoupez l'ICE et le RC sur les registres officiels.
Qu'est-ce que la fraude FOVI ?
FOVI signifie « Faux Ordre de VIrement ». Elle recouvre la fraude au président (usurpation du dirigeant) et la fraude au changement de coordonnées bancaires (faux RIB fournisseur). Le ressort est toujours l'ingénierie sociale : manipuler une personne autorisée pour qu'elle exécute un virement vers le compte du fraudeur.
Comment se protéger d'un deepfake vocal du dirigeant ?
Ne traitez plus un appel téléphonique comme une preuve d'identité suffisante. Imposez une double-validation qui ne dépend pas de la voix : mot de passe partagé convenu à l'avance, confirmation écrite sur un canal certifié, et seuils de virement déclenchant une seconde signature. Une voix clonée ne connaît ni vos procédures internes ni vos secrets partagés.
La banque rembourse-t-elle en cas de fraude au virement ?
Pas automatiquement. Lorsque c'est l'entreprise qui a ordonné le virement — même trompée — la banque considère souvent l'opération comme autorisée. Le remboursement dépend de la rapidité du recall, des circonstances et, surtout, de votre assurance fraude, qui exigera la preuve d'un protocole de contrôle respecté.
Quel seuil de montant déclencher pour la double-validation ?
Il n'existe pas de seuil universel : calibrez-le sur vos flux habituels. Beaucoup de PME retiennent un seuil de l'ordre de 5 000 à 10 000 €, mais tout changement de RIB et tout nouveau bénéficiaire doivent passer en validation renforcée quel que soit le montant — les fraudeurs commencent parfois par de petites sommes pour tester vos contrôles.
Conclusion
La fraude au virement n'est ni une fatalité ni un problème purement informatique : c'est une faille de procédure que des contrôles simples referment. Standardisez la double-validation, contrôlez systématiquement les RIB et, surtout, vérifiez la contrepartie avant le premier paiement — en France comme sur le corridor France-Maroc. Pour aller plus loin, consultez notre checklist KYC fournisseur et notre guide KYC fournisseur 2026, ou découvrez directement notre méthodologie et nos sources.