Temps de lecture : 12 minutes
Mis à jour en octobre 2026
Un e-mail ordinaire. Le logo du fournisseur, sa signature, le numéro de la facture attendue. Une seule ligne change : « Merci de régler désormais sur notre nouveau compte. » La comptable met à jour le RIB, le virement part, et l’argent disparaît. Selon le rapport 2025 de l’Observatoire de la sécurité des moyens de paiement (Banque de France), la fraude par manipulation a atteint 516 millions d’euros en 2025, en hausse de 34 % sur un an.
Vous vous demandez comment éviter la fraude au faux RIB et qui paie si elle réussit ? La réponse tient en une règle : aucune coordonnée bancaire ne change sans un contre-appel au fournisseur, sur un numéro que vous connaissiez déjà, puis une seconde validation par une autre personne. Et si l’escroc encaisse malgré tout, la Cour de cassation a tranché en juin 2026 : vous restez redevable envers le vrai fournisseur. Vous risquez donc de payer deux fois.
Cet article détaille les 7 réflexes qui bloquent l’arnaque au changement de RIB fournisseur, la procédure de contre-appel à mettre en place dès lundi matin, ce que changent les arrêts de 2026 et les gestes à faire dans les premières heures si un virement est déjà parti.
🔍 L’article en bref
- Le piège : un escroc se fait passer pour un fournisseur et transmet un faux RIB, souvent depuis une messagerie piratée ou un domaine sosie.
- La règle d’or : aucun changement de RIB sans contre-appel au fournisseur, sur un numéro déjà connu.
- Double validation : la personne qui modifie le RIB n’est jamais celle qui valide le virement.
- Vérification du bénéficiaire : depuis le 9 octobre 2025, la banque compare IBAN et nom du bénéficiaire ; une alerte doit stopper le paiement.
- Arrêt du 17 juin 2026 : payer un usurpateur ne libère pas de la dette, il faut payer à nouveau le vrai fournisseur.
- La banque : elle exécute l’IBAN fourni, mais doit prouver l’autorisation d’un paiement que vous contestez.
- En cas de fraude : appel immédiat à la banque, preuves conservées, fournisseur prévenu, plainte déposée.
Comment fonctionne la fraude au faux RIB fournisseur
La fraude au faux fournisseur est une variante de l’escroquerie aux faux ordres de virement (FOVI). L’escroc se fait passer pour un fournisseur réel et vous transmet de nouvelles coordonnées bancaires. Vous ne payez pas une fausse facture : vous payez une vraie facture, sur le mauvais compte.
Le scénario type, en quatre temps
- Repérage : l’escroc pirate la messagerie du fournisseur (ou la vôtre) et lit les échanges. Il connaît vos interlocuteurs, vos montants et vos échéances.
- Imitation : il écrit depuis la vraie boîte piratée ou depuis un domaine sosie, qui ne diffère que d’une lettre (« fournisseur-sa.fr » devient « fournisseurs-sa.fr »).
- Prétexte : changement de banque, audit, compte bloqué, passage à la facturation électronique. Le message arrive souvent juste avant une grosse échéance.
- Encaissement : les fonds arrivent sur un compte de passage, souvent à l’étranger, puis sont transférés en quelques heures.
Le piège est d’autant plus efficace que l’escroc peut attendre. Cybermalveillance.gouv.fr rappelle que l’usurpateur passe souvent par le piratage d’une messagerie. Plusieurs mois peuvent séparer le changement de RIB du premier paiement détourné.
📊 39 % des montants fraudés sur les moyens de paiement scripturaux en 2025 concernaient le virement, contre 30 % en 2024 — Observatoire de la sécurité des moyens de paiement, rapport 2025.
Les signaux qui doivent vous arrêter
Aucun signal ne suffit seul. C’est leur accumulation qui doit déclencher la procédure de vérification. Gardez ce tableau près du poste qui saisit les paiements.
| Signal d’alerte | Pourquoi c’est suspect | Réflexe |
|---|---|---|
| Nouveau RIB reçu par e-mail seul | Le canal le plus facile à usurper | Contre-appel obligatoire |
| Adresse d’expéditeur légèrement différente | Domaine sosie créé pour l’occasion | Lire l’adresse complète, pas le nom affiché |
| Urgence ou confidentialité demandée | Empêcher toute vérification | Ralentir, jamais accélérer |
| Banque à l’étranger ou nom de titulaire différent | Compte de passage d’un tiers | Exiger une confirmation du fournisseur par un canal connu |
| Changement annoncé juste avant une grosse échéance | Maximiser le gain en un seul virement | Geler le paiement le temps de vérifier |
| Interlocuteur nouveau ou injoignable | Impossible de recouper | Remonter au contact habituel |
⚠️ Point de vigilance : une fuite de données facilite ces fraudes. Après la cyberattaque visant la DGFiP, les escrocs disposent de coordonnées crédibles pour se faire passer pour un fournisseur ou une administration.
Vous voulez savoir si votre procédure fournisseurs tient la route ? Échangez avec un expert Extencia.
Les 7 réflexes contre la fraude au faux RIB
Ces réflexes ne demandent ni logiciel coûteux ni service dédié. Ils reposent sur une idée simple : un changement de coordonnées bancaires est l’opération la plus risquée de la comptabilité fournisseurs. Elle mérite donc un circuit à part.
Réflexe 1 : aucun changement de RIB sur la foi d’un seul e-mail
Un RIB joint à un e-mail ou à une facture n’est qu’une information à vérifier. Ne le saisissez jamais directement dans le fichier fournisseurs. Le paiement continue sur l’ancien compte tant que la vérification n’est pas faite.
Réflexe 2 : le contre-appel sur un numéro déjà connu
Appelez votre contact habituel au numéro de votre fichier, du contrat ou d’une ancienne facture. Jamais celui qui figure dans le message suspect : il mène directement à l’escroc. C’est la recommandation centrale de Cybermalveillance.gouv.fr et de Bpifrance Création.
Réflexe 3 : deux personnes, deux rôles
La personne qui modifie le RIB n’est pas celle qui valide le virement. Cette séparation des tâches est le principe de base du contrôle interne. Dans une TPE, le dirigeant peut tenir le rôle de second valideur.
Réflexe 4 : lire la vérification du bénéficiaire
Depuis le 9 octobre 2025, votre banque compare l’IBAN saisi avec le nom du bénéficiaire avant chaque virement SEPA en euros. Le guide de la Banque de France précise que, pour une entreprise, la comparaison porte sur la raison sociale ou le nom commercial. Une alerte « nom non concordant » est un stop, pas une formalité.
💡 Le savoir-clé : pour les virements groupés ou transmis par fichier, une personne morale peut renoncer à la vérification du bénéficiaire. Vérifiez auprès de votre banque si votre logiciel de paiement l’a désactivée sans que vous le sachiez.
Réflexe 5 : un délai de carence avant le premier paiement
Fixez une règle écrite : aucun virement vers un RIB modifié depuis moins de 48 heures, sauf validation du dirigeant. Ce délai casse l’urgence fabriquée par l’escroc. Il laisse aussi le temps au vrai fournisseur de réagir s’il n’est au courant de rien.
Réflexe 6 : verrouiller les messageries
Activez la double authentification sur toutes les boîtes qui échangent avec les fournisseurs. Contrôlez régulièrement les règles de transfert et de filtrage, que les pirates utilisent pour masquer les réponses du vrai fournisseur. Ces points font partie d’un bon socle de solutions informatiques pour une PME.
Réflexe 7 : tracer chaque modification et former l’équipe
Tenez un journal des changements de coordonnées : date, demandeur, canal, personne rappelée, valideur. Cette trace protège l’entreprise en cas de litige avec la banque ou le fournisseur. Formez aussi les remplaçants : les escrocs visent les congés et les fins d’année.
✅ Bonne pratique : imprimez les 7 réflexes sur une page et affichez-la près du poste de saisie des paiements. Une règle visible est une règle appliquée, surtout par un intérimaire ou un remplaçant.
Vous souhaitez formaliser ces réflexes dans une procédure écrite adaptée à votre entreprise ? Réservez votre consultation gratuite.
La procédure de contre-appel à installer lundi matin
Un réflexe qui dépend de la mémoire de chacun finit par sauter un jour de rush. Il faut donc une procédure écrite, courte, que tout le monde applique sans exception, y compris le dirigeant. Voici une trame en six étapes.
Qui fait quoi, étape par étape
| Étape | Action | Qui | Trace à conserver |
|---|---|---|---|
| 1. Réception | Toute demande de changement de RIB est mise en attente, sans saisie | Comptabilité | Demande archivée (e-mail complet, en-têtes) |
| 2. Contre-appel | Appel au contact habituel, sur le numéro du fichier fournisseurs | Comptabilité | Date, heure, nom de la personne jointe |
| 3. Confirmation écrite | RIB officiel demandé par un canal connu (espace client, courrier signé) | Comptabilité | RIB et attestation de titularité |
| 4. Validation | Contrôle du dossier et validation du nouveau RIB | Dirigeant ou responsable | Visa daté |
| 5. Saisie | Mise à jour du fichier fournisseurs, puis délai de carence | Personne habilitée | Journal des modifications |
| 6. Premier paiement | Vérification du bénéficiaire lue, puis confirmation de réception auprès du fournisseur | Comptabilité | Accusé de réception du fournisseur |
Le script du contre-appel
Ne demandez pas « Vous avez bien changé de banque ? ». La question fermée invite au « oui ». Faites plutôt confirmer les informations par votre interlocuteur.
- Ouvrir : « Nous avons reçu une demande de modification de vos coordonnées bancaires. Pouvez-vous me dire si elle vient de vous ? »
- Faire dicter : demandez le nom de la banque et les quatre derniers chiffres de l’IBAN, sans les lire vous-même.
- Recouper : demandez qui a envoyé la demande et depuis quelle adresse.
- Alerter : si le fournisseur ne sait rien, prévenez-le que sa messagerie est peut-être piratée.
Adapter la procédure à une TPE
Dans une petite structure, une seule personne gère souvent toute la comptabilité. La double validation reste possible : le dirigeant valide chaque nouveau RIB depuis l’espace de banque en ligne. Les secteurs qui paient des montants élevés à de nombreux sous-traitants, comme le BTP ou le commerce et négoce, ont tout intérêt à appliquer la procédure à chaque fournisseur.
✅ Bonne pratique : demandez à votre banque de plafonner les virements vers un bénéficiaire nouvellement ajouté et d’exiger une double signature au-delà d’un montant fixé par vous.
Besoin d’un regard extérieur sur votre circuit de paiement fournisseurs ? Contactez nos experts Extencia.
Faux RIB payé : ce que changent les arrêts de 2026
Quand le virement frauduleux est parti, trois acteurs peuvent supporter la perte : vous, votre fournisseur, votre banque. Deux décisions de la chambre commerciale de la Cour de cassation, rendues en 2026, précisent la répartition.
Payer l’escroc ne vous libère pas de votre dette
Le Code civil protège le débiteur qui paie de bonne foi un « créancier apparent » (article 1342-3). Mais dans un arrêt du 17 juin 2026 (pourvoi n° 24-13.306), la Cour de cassation juge que l’escroc qui usurpe l’identité du fournisseur n’est pas un créancier apparent. Dans cette affaire, l’e-mail frauduleux venait d’une adresse qui ne différait que d’une lettre de celle du vendeur.
« Le paiement fait de bonne foi à un créancier apparent est valable. » — Article 1342-3 du Code civil. Depuis le 17 juin 2026, cette protection ne joue plus quand l’« apparence » a été fabriquée par un usurpateur, comme l’explique Bpifrance Création.
La banque : responsabilité limitée, mais preuve à sa charge
Votre banque exécute le virement selon l’IBAN que vous lui donnez. Si cet IBAN est celui de l’escroc, elle n’est en principe pas responsable : elle doit seulement faire des efforts raisonnables pour récupérer les fonds. En revanche, si vous contestez avoir autorisé un paiement, c’est à elle d’apporter la preuve de l’ordre.
Selon le commentaire publié par le cabinet Kohen Avocats, un arrêt du 9 septembre 2026 (pourvoi n° 25-15.225) l’illustre. Une SCI avait transféré à sa banque l’e-mail portant le faux RIB : ce premier virement est resté à sa charge, l’e-mail transféré valant ordre de payer. Pour le second, la banque devait produire l’ordre de paiement, ce qu’on ne pouvait exiger du client.
| Situation | Qui supporte la perte, en principe | Ce qui peut changer la donne |
|---|---|---|
| Vous avez saisi vous-même le faux IBAN | Vous : vous devez payer à nouveau le fournisseur | Faute du fournisseur (messagerie mal sécurisée), assurance fraude |
| La banque a exécuté l’IBAN fourni | Vous, la banque n’étant pas tenue | Faute propre de la banque, efforts de récupération insuffisants |
| Vous contestez avoir donné l’ordre | La banque doit prouver l’autorisation | Clauses de votre convention de compte |
| La messagerie du fournisseur était piratée | Discussion à ouvrir avec le fournisseur | Preuve de la négligence de chacun |
Assurance, fournisseur, salariés : les autres pistes
- Assurance : vérifiez si votre contrat cyber ou fraude couvre les « instructions frauduleuses ». Les assureurs demandent souvent la preuve d’une procédure de contre-appel.
- Fournisseur : si sa messagerie a été piratée, ouvrez rapidement et par écrit la discussion sur le partage de la perte.
- Contrôle interne : une procédure écrite et tracée montre votre diligence. Une mission d’audit peut aussi tester vos contrôles de paiement.
⚠️ Point de vigilance : un e-mail transféré à votre banque sans commentaire peut être lu comme un ordre de paiement. Écrivez vos messages à la banque avec précision et conservez chaque ordre tel qu’il a été transmis.
Un virement frauduleux à analyser avec votre banque ou votre fournisseur ? Parlons-en avec un expert Extencia.
Virement frauduleux : les gestes des premières heures
Chaque heure compte. Un virement SEPA classique non encore exécuté peut parfois être bloqué. Un virement instantané part en quelques secondes et ne s’annule pas : il ne reste que la demande de retour des fonds.
- Appeler la banque : demandez le blocage ou le rappel des fonds par téléphone, puis confirmez par écrit. Notez la référence de l’opération et l’IBAN destinataire.
- Stopper les autres paiements : listez les virements en attente vers le même RIB et suspendez-les.
- Prévenir le fournisseur : sa messagerie a peut-être été piratée, d’autres clients sont peut-être visés.
- Conserver les preuves : e-mails avec leurs en-têtes, faux RIB, factures, relevés. Capturez les règles de messagerie suspectes avant de les supprimer.
- Porter plainte : au commissariat, à la gendarmerie ou par écrit au procureur. L’escroquerie est punie de 5 ans d’emprisonnement et 375 000 € d’amende.
- Prévenir votre expert-comptable : il faut traiter la perte en comptabilité, revoir la trésorerie et sécuriser la suite.
💡 Le savoir-clé : un paiement non autorisé doit être signalé à la banque sans tarder et au plus tard dans les 13 mois suivant le débit (article L133-24 du Code monétaire et financier). Entre professionnels, la convention de compte peut prévoir un délai plus court : relisez-la.
Pour un conseil sur les démarches, la plateforme Info Escroqueries du ministère de l’Intérieur répond au 0 805 805 817 (appel gratuit). La fiche de Cybermalveillance.gouv.fr détaille aussi la marche à suivre pas à pas.
⚠️ Point de vigilance : la généralisation de la facturation électronique sert de prétexte à de faux messages du type « nouvelles coordonnées liées à notre plateforme ». Le passage à la facture électronique n’oblige aucun fournisseur à changer de compte bancaire.
Un RIB qui change, un téléphone qui sonne
La fraude au faux RIB ne se combat pas avec un outil miracle, mais avec une règle que personne ne contourne : pas de nouveau RIB sans contre-appel et double validation. Depuis juin 2026, l’enjeu est clair : l’entreprise trompée doit payer une seconde fois son fournisseur.
Depuis 1944, Extencia accompagne les entrepreneurs dans 12 implantations, avec une conviction : des procédures simples protègent mieux qu’un long règlement. Nos experts peuvent vous aider à écrire votre procédure fournisseurs, à revoir vos habilitations bancaires et à former votre équipe.
Un premier échange sans engagement, en 2 clics : réservez votre consultation gratuite.
Fraude au faux RIB : vos questions fréquentes
Comment reconnaître un faux RIB fournisseur ?
Un faux RIB arrive presque toujours par e-mail, avec un prétexte (changement de banque, audit, compte bloqué) et une pression sur le délai. L’adresse de l’expéditeur peut différer d’une lettre de l’adresse habituelle, et la banque peut être située à l’étranger. Le document lui-même peut sembler parfait : c’est la demande de changement qui doit alerter. Seul un contre-appel au fournisseur, sur un numéro déjà connu, permet de trancher.
Que faire si j’ai payé un fournisseur sur un faux RIB ?
Appelez immédiatement votre banque pour demander le blocage ou le rappel des fonds, puis confirmez par écrit. Suspendez les autres virements prévus vers ce compte et prévenez le fournisseur, dont la messagerie a peut-être été piratée. Conservez toutes les preuves : e-mails avec en-têtes, faux RIB, factures, relevés. Portez plainte au commissariat, à la gendarmerie ou par écrit au procureur.
Dois-je payer une seconde fois mon fournisseur après une fraude au faux RIB ?
En principe, oui. Dans un arrêt du 17 juin 2026 (n° 24-13.306), la Cour de cassation a jugé que l’escroc qui usurpe l’identité du créancier n’est pas un créancier apparent. Le paiement fait à l’usurpateur ne libère donc pas le débiteur, même de bonne foi. Une discussion reste possible avec le fournisseur si sa propre négligence a facilité la fraude.
La banque est-elle responsable d’un virement sur un faux RIB ?
La banque exécute le virement selon l’IBAN que vous lui communiquez : si cet IBAN est faux, sa responsabilité n’est en principe pas engagée. Elle doit toutefois faire des efforts raisonnables pour récupérer les fonds. Si vous contestez avoir autorisé un paiement, c’est à elle de prouver l’ordre. Sa responsabilité peut aussi être recherchée en cas de faute propre.
Qu’est-ce que la vérification du bénéficiaire d’un virement ?
Depuis le 9 octobre 2025, les banques de la zone euro comparent l’IBAN saisi avec le nom du bénéficiaire avant d’exécuter un virement SEPA. Pour une entreprise, la comparaison porte sur la raison sociale ou le nom commercial. En cas de discordance, la banque vous alerte avant que vous confirmiez le paiement. Une alerte « nom non concordant » doit déclencher un contre-appel au fournisseur.
Dans quel délai signaler un virement frauduleux à sa banque ?
Le plus vite possible, car les fonds sont souvent transférés en quelques heures. Pour une opération non autorisée, l’article L133-24 du Code monétaire et financier fixe un délai maximum de 13 mois après le débit. Entre professionnels, la convention de compte peut prévoir un délai plus court. Relisez votre convention et signalez toujours par écrit.
Comment mettre en place une procédure de changement de RIB fournisseur ?
Écrivez une règle courte : toute demande est mise en attente, vérifiée par contre-appel sur un numéro déjà connu, puis validée par une seconde personne. Demandez un RIB officiel par un canal fiable et tracez chaque étape dans un journal. Ajoutez un délai de carence avant le premier paiement et faites confirmer sa bonne réception par le fournisseur. Votre expert-comptable peut vous aider à formaliser et tester cette procédure.
⚠️ Cet article fournit une information générale à jour en octobre 2026 et ne constitue pas un conseil personnalisé. Chaque situation étant particulière, rapprochez-vous de votre expert Extencia.
