La fraude au virement est devenue en quelques années la première menace financière pour les entreprises. Selon la Banque de France, les montants détournés dépassent désormais 300 millions d'euros par an en France, avec une forte progression sur les PME. La bonne nouvelle : la quasi-totalité de ces fraudes reposent sur 3 schémas connus, et des contrôles simples suffisent à bloquer 95% des tentatives. Ce guide détaille les trois typologies, les signaux d'alerte, et le protocole à mettre en place.
Les 3 typologies principales
1. Fraude au président (FOVI simple)
Le fraudeur se fait passer pour le dirigeant ou un responsable de haut niveau et demande par email ou téléphone un virement urgent et confidentiel, souvent justifié par une acquisition en cours, un investissement stratégique ou un règlement judiciaire. La pression temporelle et l'autorité sont les deux leviers utilisés.
Signaux : adresse email très proche mais pas exacte (président@entreprise-fr.com au lieu de president@entreprise.fr), demande de confidentialité absolue, urgence non expliquée, pays de destination inhabituel.
2. Changement de RIB fournisseur (FOVI avancé)
Le fraudeur se fait passer pour un fournisseur habituel de l'entreprise et transmet un nouveau RIB soi-disant lié à un changement de banque ou à un problème administratif. Les factures légitimes suivantes sont alors payées sur le compte du fraudeur. Ce schéma est particulièrement efficace parce qu'il exploite une relation commerciale existante — la demande paraît légitime.
Signaux : email provenant d'un serveur légèrement différent, RIB d'un pays différent du siège du fournisseur, demande de ne pas valider par téléphone, urgence ou menace de suspension du service.
3. Usurpation d'identité bancaire
Le fraudeur obtient les accès à la banque en ligne de l'entreprise par phishing, SIM-swapping ou malware. Il initie ensuite les virements directement. Ce schéma est moins fréquent mais beaucoup plus difficile à récupérer une fois le virement parti.
Gagnez 3 jours sur chaque dossier. RiskSonnar agrège 24 sources officielles (sanctions, registres, presse) et produit un rapport de due diligence en 60 secondes. Essayer gratuitement →
Les signaux d'alerte universels
- Urgence injustifiée : tout virement "à faire dans l'heure" pour un motif flou est suspect par définition
- Demande de confidentialité : aucune opération légitime ne doit être cachée des équipes internes
- Changement de canal : l'interlocuteur demande de communiquer par SMS personnel plutôt que par email professionnel
- Changement de coordonnées bancaires : RIB modifié, changement de banque, compte offshore
- Montant inhabituel : virement significativement plus important que les flux habituels avec ce bénéficiaire
- Pays à risque : destination dans un juridiction à fiscalité privilégiée ou à faible régulation
- Erreurs subtiles dans l'adresse email : lettre inversée, extension différente, accent particulier
Le protocole anti-fraude en 5 règles
Règle 1 — Validation par un second canal
Tout changement de RIB fournisseur, et tout virement supérieur à un seuil défini (par exemple 10 K€), doit être validé par un second canal indépendant : appel téléphonique au numéro officiel (pas celui indiqué dans l'email), visite physique, email vers l'adresse vérifiée précédemment. Cette règle seule bloquerait 80% des fraudes au président.
Règle 2 — Double signature
Les virements significatifs doivent systématiquement requérir deux signatures (dirigeant + DAF, par exemple). Cette exigence doit être configurée dans la banque et ne jamais être contournée, même pour les demandes "urgentes".
Règle 3 — Liste blanche des bénéficiaires
Les virements nationaux habituels peuvent être pré-autorisés dans une liste blanche, pour accélérer les traitements récurrents. Tout virement vers un nouveau bénéficiaire ou vers un RIB modifié doit passer par une validation renforcée (48h de délai, multiple signature).
Règle 4 — Formation des équipes
Les assistantes, comptables et trésoriers sont les cibles principales. Une formation annuelle, avec exemples concrets de tentatives récentes, augmente drastiquement le taux de détection. Les tests de phishing interne renforcent la vigilance.
Règle 5 — Vérification du fournisseur
Avant tout premier virement vers un nouveau fournisseur, vérifier son existence légale (Kbis, RC), son ancienneté, son adresse physique, et croiser les coordonnées fournies avec les sources publiques. Un fournisseur sans site web, sans téléphone fixe et sans adresse physique vérifiable est à haut risque.
Que faire si la fraude a eu lieu
Le temps est critique. Les chances de récupération baissent de moitié toutes les 24 heures :
- Immédiatement : appeler la banque émettrice et demander le rappel du virement (recall SWIFT). Cela ne garantit pas la récupération mais augmente significativement les chances si l'argent n'a pas été retiré.
- Dans les 24h : déposer plainte au commissariat ou à la gendarmerie. Fournir tous les éléments (emails, RIB, montant, contact).
- Dans les 48h : signaler à la DGCCRF, à la plateforme Perceval, et à Cybermalveillance.gouv.fr.
- Dans la semaine : vérifier l'intégralité des paiements récents pour détecter d'éventuelles fraudes non encore identifiées. Auditer les accès aux systèmes bancaires et changer les mots de passe.
- Informer les autres interlocuteurs (commissaire aux comptes, assurance, éventuellement TRACFIN selon le contexte).
Assurance fraude et cyber
Les polices d'assurance fraude (qui couvrent spécifiquement les virements frauduleux) sont désormais accessibles aux PME, avec des primes annuelles de 1 500 à 6 000 €. Elles couvrent en général jusqu'à 500 K€ par sinistre, sous réserve que le protocole anti-fraude minimum soit documenté. L'assureur refusera l'indemnisation si les règles basiques de validation n'ont pas été respectées.
Vérification des bénéficiaires : un réflexe, pas une corvée
Toute nouvelle contrepartie significative mérite 2 minutes de vérification avant le premier virement. Les outils de due diligence automatisée permettent de faire ce check en quelques secondes : existence légale, dirigeants, sanctions, signaux de presse, cohérence digitale.
RiskSonnar automatise ce type de vérification en quelques secondes : filtrage sanctions, screening PEP, analyse financière, presse économique. À partir de 4,90 € par analyse, sans engagement. Découvrir →