Fausse facture et arnaque au changement de RIB : les réflexes qui sauvent ta trésorerie

En bref

La fraude aux faux fournisseurs et au changement de RIB guette ta trésorerie, particulièrement en fin d'année où les virements s'enchaînent. Un simple coup de fil à ton contact habituel est souvent ta meilleure défense. Si un virement frauduleux est parti, ta rapidité de réaction et une procédure claire pour demander le rappel des fonds sont tes atouts majeurs. Comprendre la distinction entre un virement autorisé et une opération non autorisée est essentiel pour savoir ce que tu peux réellement attendre de ta banque.

Comment l'arnaque au faux RIB te prend au dépourvu

Cette arnaque est une des tactiques de la fraude aux faux ordres de virement (FOVI), au même titre que l'arnaque au président (où un escroc se fait passer pour ton dirigeant pour exiger un virement urgent et confidentiel) ou l'usurpation d'identité d'un salarié pour faire modifier ses coordonnées de salaire. Mais celle qui nous intéresse ici, c'est l'usurpation d'identité d'un fournisseur, et elle est redoutable car elle cible directement tes paiements quotidiens.

Concrètement, l'escroc est à l'affût. Il identifie une transaction que tu es sur le point de réaliser avec l'un de tes créanciers habituels, un fournisseur avec qui tu as l'habitude de travailler. Il va alors usurper l'identité de ce dernier. Cela peut prendre la forme d'un e-mail qui semble provenir de ton fournisseur, voire d'une fausse facture qui imite à la perfection les documents que tu reçois d'habitude.

Le piège est là : dans ce message ou sur cette fausse facture, un nouveau RIB est communiqué. Ce RIB, bien sûr, n'est pas celui de ton vrai fournisseur, mais celui du fraudeur. Tu penses régler une facture légitime, tu as confiance, et ton argent part directement sur le compte de l'escroc. C'est une manipulation fine, car c'est toi qui donnes l'ordre de virement, sans savoir que tu envoies ton argent au mauvais destinataire.

Les signaux qui doivent t'alerter

Heureusement, certains détails sont de vrais drapeaux rouges. Ton instinct doit te souffler qu'il y a quelque chose qui cloche. Si une demande de virement te parvient pour un RIB que tu n'as jamais utilisé auparavant pour ce fournisseur, même si la facture semble anodine, la méfiance est de mise.

Méfie-toi aussi de toute demande inhabituelle te sommant de communiquer tes mots de passe, quel que soit le prétexte. Un fournisseur n'aura jamais besoin de tes identifiants pour que tu le paies. Ce type de requête est un signe quasi certain d'une tentative d'hameçonnage.

Enfin, sois vigilant si tu reçois un message qui semble provenir d'un de tes créanciers habituels – que ce soit ton artisan partenaire, ton notaire pour un acte à venir, ou même ton propriétaire pour le loyer – et que le ton, la formulation, ou les coordonnées bancaires semblent avoir changé sans raison valable. Par exemple, une adresse e-mail légèrement différente (un "l" remplacé par un "I" majuscule, ou un ".fr" devenu un ".com" suspect) doit t'alerter immédiatement. L'escroc compte sur ton automatisme et ton manque de temps.

La parade qui coûte deux minutes : appeler au numéro connu

Le réflexe le plus simple et le plus efficace pour déjouer ces arnaques, c'est aussi le plus rapide. Avant d'exécuter un virement vers un nouveau RIB ou suite à une demande que tu juges inhabituelle, prends quelques instants pour passer un coup de fil.

Contacte directement ton fournisseur. Mais attention, utilise le numéro que tu as déjà dans tes contacts, sur une ancienne facture validée, ou sur son site web officiel. Surtout, ne rappelle pas le numéro qui figurerait sur le message suspect que tu viens de recevoir, car il pourrait bien être celui des fraudeurs. Ton contact habituel peut te confirmer, en deux phrases, si le changement est légitime ou non.

Pour toi qui bosses seul ou en petite équipe, c'est la règle d'or à graver dans le marbre : "un nouveau RIB, un appel de vérification systématique". Ce petit coup de fil te prendra littéralement deux minutes et peut te sauver de milliers d'euros de pertes. Ce n'est pas de la paranoïa, c'est de la gestion de risque intelligente.

Ta procédure interne, même si tu es seul, et tes réglages messagerie

Une règle d'or pour tes virements

Même en solo, avoir une procédure, même informelle, est vital. Fixe-toi une règle non dérogeable : toute demande de changement de coordonnées bancaires, ou tout virement imprévu (même une avance ou un acompte sur une commande à venir), doit être vérifié via un canal indépendant. Cela signifie un appel téléphonique, ou un message via un canal que tu sais sûr (et certainement pas une réponse à l'e-mail que tu viens de recevoir). Il faut casser la chaîne digitale potentiellement vérolée.

Mets en place des règles claires pour authentifier l'émetteur d'un e-mail : est-ce bien le bon expéditeur ? L'adresse e-mail est-elle strictement identique à celle que tu connais ? Le logo est-il un peu flou ou différent ? Sois conscient des risques de hameçonnage, ces messages qui tentent de t'inciter à cliquer sur des liens malveillants ou à révéler des informations. Ces petits détails peuvent te sauver la mise.

Sécurise tes accès numériques

Active la double authentification (ou authentification à deux facteurs) sur ta messagerie professionnelle. C'est un rempart très efficace qui ajoute une couche de sécurité : même si un fraudeur récupère ton mot de passe, il ne pourra pas se connecter sans un deuxième code (envoyé sur ton téléphone, par exemple). Utilise des mots de passe complexes et différents pour chaque service clé (banque en ligne, messagerie, logiciels de facturation). Pense aussi à faire régulièrement les mises à jour de sécurité sur tes appareils et logiciels, elles corrigent les failles que les escrocs pourraient exploiter.

Enfin, et c'est souvent oublié, vérifie les paramètres de ta messagerie. Rends-toi dans les réglages de ton compte e-mail, cherche la section "Transfert", "Redirection" ou "Règles". Assure-toi qu'aucune règle n'a été mise en place à ton insu pour transférer tes e-mails vers une adresse inconnue. Les escrocs peuvent pirater ta boîte mail juste pour installer ce type de redirection et intercepter tes correspondances avec tes fournisseurs.

Le virement est parti : la checklist de la première heure

Si le pire est arrivé et que tu as validé un virement vers un faux RIB, chaque seconde compte. Agis vite, et dans l'ordre pour maximiser tes chances de récupérer les fonds :

1. Bloque tout ce qui peut l'être : Identifie immédiatement tous les virements exécutés, en instance ou à venir vers ces coordonnées bancaires frauduleuses et demande sans délai leur blocage à ta banque.
2. Alerte ta banque : Contacte ta banque au plus vite, via le numéro d'urgence ou celui de ton conseiller. Signale-leur la transaction frauduleuse et demande un "rappel de fonds". La course contre la montre est lancée pour que ta banque tente de bloquer l'argent avant qu'il ne soit retiré du compte du fraudeur.
3. Suspends l'avenir : Si d'autres virements étaient programmés vers ce RIB, suspends-les sans tarder. Ne les annule pas, suspends-les.
4. Garde toutes les preuves : Conserve précieusement tous les messages, e-mails (y compris les en-têtes qui prouvent l'origine), numéros de téléphone utilisés par le fraudeur, ordres de virement, captures d'écran et fausses factures liés à cette fraude. Chaque détail peut être utile pour la suite.
5. Informe ton vrai fournisseur : Préviens le créancier dont l'identité a été usurpée. Il est lui aussi victime de cette fraude, et pourra parfois t'aider ou te donner des informations complémentaires.
6. Sécurise tes accès : Vérifie immédiatement les paramètres de ta messagerie (comme expliqué plus haut) pour supprimer toute éventuelle redirection et change tous tes mots de passe, en commençant par celui de ton e-mail professionnel et de ta banque.
7. Porte plainte : Dépose plainte sans tarder. Tu peux le faire au commissariat, à la brigade de gendarmerie, par écrit au procureur de la République, ou en ligne via le dispositif THESEE (pour la cybermalveillance). La banque pourra te demander une copie du dépôt de plainte.

Le vrai sujet du remboursement : opération autorisée contre non autorisée

C'est un point crucial et souvent mal compris. Un virement que tu as toi-même ordonné et validé, même si tu as été manipulé par une arnaque, est considéré juridiquement comme une opération autorisée. C'est une distinction fondamentale qui change tout.

Les articles L133-18 et L133-24 du code monétaire et financier, qui prévoient un remboursement rapide et presque automatique, concernent les opérations non autorisées. C'est le cas, par exemple, si quelqu'un utilise ta carte bancaire ou accède à ton compte sans que tu n'aies donné ton accord pour la transaction. Dans ce cas, tu as jusqu'à treize mois après la date de débit pour signaler l'opération, sous peine de forclusion, et ta banque te rembourse immédiatement après en avoir pris connaissance, au plus tard à la fin du premier jour ouvrable suivant — sauf si elle a de bonnes raisons de soupçonner une fraude de ta part.

Mais dans le cas d'une fraude au faux RIB, tu as donné l'ordre. Tu as validé le virement, même trompé. C'est pourquoi il n'y a pas de droit automatique au remboursement. Tout se joue sur la rapidité de ta demande de rappel de fonds auprès de ta banque. La banque pourra, et c'est même probable, t'exiger une copie de ton dépôt de plainte pour instruire ta demande de retour des fonds. Le dépôt de plainte augmente tes chances d'obtenir satisfaction, mais il n'y a aucune garantie de remboursement annoncée. La discussion avec ta banque est essentielle, car ce n'est pas un droit automatique, mais un effort de sa part pour tenter de récupérer tes fonds.

La double peine : la dette envers le vrai fournisseur reste due

Et comme si ça ne suffisait pas, il y a un deuxième coup dur qui peut rendre la situation particulièrement pénible. Le fait d'avoir payé un fraudeur sur un faux RIB ne te libère malheureusement pas de ta dette envers ton vrai fournisseur.

La loi est claire sur ce point (Article 1342-2 du Code civil) : le paiement doit être fait au créancier lui-même ou à la personne qu'il a expressément désignée pour le recevoir. Si tu as versé l'argent à une personne qui n'avait pas qualité pour le recevoir, c'est-à-dire l'escroc, ton paiement ne vaut pas paiement de ta dette. Le texte prévoit bien une soupape — le paiement reste valable si le créancier le ratifie ou s'il en a profité — mais autant te dire que l'argent parti chez un escroc, ton fournisseur n'en a jamais profité.

La conséquence pratique est lourde : ton vrai fournisseur, celui à qui tu dois réellement l'argent, peut toujours te réclamer le paiement de sa facture. La perte n'est donc pas seulement le montant que tu as viré par erreur à l'escroc, mais c'est aussi le montant de la facture que tu devras finalement repayer à ton créancier légitime. C'est ce qu'on appelle la double peine, et c'est pour ça que la prévention est si cruciale.

Le message que tu reçois : signal normal ou signal d'alerte ?

Checklist : ta procédure anti-faux RIB

Voici une checklist simple et pragmatique pour te protéger au quotidien :

• J'ai une liste de numéros de contact fiables pour mes principaux fournisseurs, enregistrés dans mon téléphone et dans mes dossiers.
• Je vérifie systématiquement tout nouveau RIB par téléphone, en appelant un numéro que je sais fiable, avant d'effectuer un virement.
• J'ai activé la double authentification sur mon compte de messagerie professionnel (et ma banque en ligne).
• J'utilise des mots de passe différents et complexes pour mes services clés (banque, messagerie, logiciels de facturation, etc.).
• Je fais les mises à jour de sécurité de mes systèmes d'exploitation et logiciels dès qu'elles sont disponibles.
• Je sensibilise ma ou mes collègues (si applicable) aux risques d'hameçonnage et aux procédures de vérification.
• Je connais la procédure à suivre si un virement frauduleux est parti (bloquer, alerter la banque, collecter les preuves, informer le vrai fournisseur, sécuriser les accès, porter plainte).

Face à l'arnaque au faux RIB, la meilleure défense, c'est la vigilance et la rapidité. Mets en place des réflexes simples et une procédure claire, même si tu bosses seul. Si le mal est fait, chaque minute compte pour alerter ta banque et entamer les démarches. C'est en étant préparé que tu protèges ta trésorerie et la pérennité de ton activité. Pour toute question ou aide, tu peux contacter Info Escroqueries au 0 805 805 817, ou France Victimes au 116 006.

Sources

• Que faire en cas de fraude au virement ou au « faux RIB » ? — Cybermalveillance.gouv.fr — le déroulé de l'arnaque, les signaux d'alerte, la prévention et la liste ordonnée des actions à mener
• La fraude au virement bancaire (FOVI) ou au faux ordre de virement — Cybermalveillance.gouv.fr — les trois variantes de la fraude et les procédures internes recommandées aux entreprises
• Article L133-18 du code monétaire et financier — Légifrance — le remboursement des opérations de paiement non autorisées, au plus tard à la fin du premier jour ouvrable suivant le signalement
• Article L133-24 du code monétaire et financier — Légifrance — le délai de treize mois après le débit pour signaler une opération non autorisée, sous peine de forclusion
• Fraude aux moyens de paiement — Banque de France — les délais de contestation et le cas de la victime manipulée pour valider elle-même l'opération
• Article 1342-2 du code civil — Légifrance — le paiement fait à une personne sans qualité pour le recevoir, et les deux cas où il reste néanmoins valable
• Alerte aux faux ordres de virement (FOVI) — Tracfin, economie.gouv.fr — l'alerte officielle sur ce mode opératoire

Catégorie : Paiement Auteur : David Kim — Passionné de hardware et de sécurité, il passe au crible les terminaux de paiement et dit ce que ça vaut vraiment.