Reconnaître une arnaque au changement d'IBAN
Un e-mail annonce de nouvelles coordonnées bancaires, une facture arrive avec un RIB différent, un « dirigeant » réclame un virement urgent et confidentiel. Cette fraude touche autant les TPE que les grandes entreprises, et un seul virement peut coûter très cher.
Équipe éditoriale Kayzen Security4 min de lecture
Les scénarios les plus fréquents
- Le faux fournisseur : un message, parfois envoyé depuis la vraie boîte piratée du fournisseur, annonce un « changement de banque » et joint un nouveau RIB.
- Le faux dirigeant (ou « fraude au président ») : un prétendu dirigeant demande un virement urgent et confidentiel pour une opération sensible.
- La fausse facture : une facture identique à l'habituelle, mais avec un IBAN modifié, parfois glissée dans un fil d'échanges réel.
- Le faux salarié : une demande de changement de RIB pour le versement du salaire, adressée au service paie.
Les signaux qui doivent vous arrêter
- Une demande de modification de coordonnées bancaires, quelle qu'en soit la justification.
- Une pression sur le délai (« avant ce soir », « sinon la livraison est bloquée »).
- Une demande de discrétion ou de contourner la procédure habituelle.
- Une adresse d'expéditeur légèrement différente (une lettre changée, un autre nom de domaine) ou une réponse qui part vers une autre adresse.
- Un IBAN dans un pays inhabituel pour ce fournisseur, ou un titulaire du compte qui ne correspond pas exactement à l'entreprise.
La procédure de vérification à adopter
La parade la plus efficace est une règle simple, écrite et connue de tous : aucune modification de coordonnées bancaires n'est enregistrée sans contre-appel.
- Contre-appel systématique au numéro figurant dans votre fiche fournisseur ou sur un ancien contrat, jamais à celui du message.
- Double validation : la personne qui saisit le nouvel IBAN n'est pas celle qui valide le premier paiement.
- Délai de carence : pas de paiement important dans les jours qui suivent un changement de coordonnées.
- Vérification du bénéficiaire : depuis le 9 octobre 2025, les banques de la zone euro doivent indiquer, avant un virement SEPA, si le nom du bénéficiaire correspond à l'IBAN (règlement (UE) 2024/886). Lisez attentivement ce résultat : c'est un garde-fou, pas une garantie. Pour les virements groupés transmis en fichier, une entreprise peut avoir renoncé à cette vérification : renseignez-vous auprès de votre banque.
- Sensibilisation : expliquez ces scénarios à la comptabilité, à la paie et à l'assistance de direction, qui sont les plus ciblées.
Si le virement est déjà parti
- Appelez immédiatement votre banque pour demander un rappel des fonds : les chances de récupération diminuent d'heure en heure.
- Conservez toutes les preuves (e-mails avec leurs en-têtes, factures, relevés) sans les modifier.
- Déposez plainte auprès de la police ou de la gendarmerie.
- Prévenez le vrai fournisseur ou le vrai dirigeant : sa messagerie a peut-être été piratée, et d'autres clients peuvent être visés.
- Faites-vous orienter par 17Cyber (17cyber.gouv.fr) et prévenez votre assureur si vous avez une garantie cyber ou fraude ; pour une garantie cyber, l'indemnisation peut supposer une plainte déposée sous 72 heures (code des assurances, article L.12-10-1, à valider avec votre assureur).
Sources officielles
- Cybermalveillance.gouv.fr (nouvel onglet) — Assistance et prévention en sécurité numérique (fiches réflexes, prestataires ExpertCyber)
- 17Cyber (nouvel onglet) — Le réflexe en cas de cybermalveillance (Police nationale, Gendarmerie nationale, Cybermalveillance.gouv.fr)
- EUR-Lex (nouvel onglet) — Règlement (UE) 2024/886 (virements instantanés, vérification du bénéficiaire)
Les ressources citées sont publiées par leurs auteurs, dans leur langue d'origine. Kayzen n'est affilié à aucun de ces organismes.
Ce guide est informatif et général. Il ne remplace ni un conseil juridique ni l'intervention d'un professionnel de la sécurité informatique.