L’arnaque au faux fournisseur (ou “fraude au changement de RIB”) est l’une des fraudes les plus coûteuses pour les commerçants et TPE en France. Elle coûte des millions d’euros chaque année à des entreprises de toutes tailles, et les virements frauduleux sont souvent impossibles à récupérer une fois envoyés. Ce guide vous explique comment cette arnaque fonctionne et comment vous en protéger.
Comment fonctionne l’arnaque
Le schéma classique en 3 étapes :
- L’attaquant surveille vos communications : il a accès à votre messagerie (ou à celle d’un fournisseur) et observe les échanges financiers en cours — une facture attendue, un chantier en cours, une commande régulière
- Il contacte au bon moment : il envoie un email qui semble venir de votre fournisseur habituel, avec une demande de “mise à jour de coordonnées bancaires”. L’email peut imiter parfaitement la mise en page du fournisseur, utiliser une adresse quasi-identique (fournisseur@domain.com vs fournisseur@domain.fr), et se placer dans le bon contexte (référence à la vraie facture en cours)
- Vous effectuez le virement : sur le nouveau RIB fourni, qui appartient à l’attaquant. L’argent disparaît rapidement via des comptes intermédiaires
La variante “BEC” (Business Email Compromise) utilise directement votre messagerie compromise pour envoyer de faux RIB à vos clients — c’est votre messagerie qui envoie la demande frauduleuse, ce qui la rend très crédible.
Vérifier un RIB : la méthode
La règle absolue : vérifier hors de l’email
Si vous recevez une demande de changement de RIB par email, ne répondez pas à cet email et ne cliquez sur aucun lien. Appelez votre fournisseur au numéro que vous avez dans vos dossiers — pas au numéro éventuellement fourni dans l’email suspect. Posez la question directement : “Avez-vous bien changé vos coordonnées bancaires ?”
Cette vérification téléphonique prend 2 minutes et élimine 100% du risque de cette arnaque.
Vérifier le BIC/IBAN de cohérence
Le BIC (Bank Identifier Code) accompagne l’IBAN et identifie la banque. Vous pouvez vérifier la cohérence entre l’IBAN et le BIC sur le site ibantest.com ou via l’outil SEPA de la Banque de France. Une incohérence (IBAN français avec un BIC étranger inhabituel) est un signal d’alarme.
Comparer avec les documents antérieurs
Si votre fournisseur vous envoie régulièrement des factures, ses coordonnées bancaires figurent sur ses documents précédents. Comparez : le nouveau RIB correspond-il à la même banque ? Au même pays ? Si votre artisan local vous envoie soudainement un IBAN roumain, posez la question.
Vérifier l’adresse email de l’expéditeur
Regardez l’adresse complète, pas seulement le nom affiché. “Pierre Dupont Plomberie” peut cacher l’adresse pdupon-plomberie@gmail.com au lieu de pierre.dupont@dupont-plomberie.fr. Sur Gmail, cliquez sur le nom de l’expéditeur pour voir l’adresse complète. Sur Outlook, survolez le nom affiché.
Mettre en place une procédure interne
Pour les commerçants qui ont des salariés qui peuvent effectuer des paiements, établissez une règle écrite :
“Tout changement de coordonnées bancaires d’un fournisseur ou d’un client doit être confirmé par téléphone avant d’être appliqué, au numéro présent dans notre dossier fournisseur — pas au numéro fourni dans la demande. Cette règle s’applique même si la demande semble venir du gérant.”
Cette dernière clause est importante : certaines arnaques imitent un email du gérant demandant un virement urgent. La règle doit s’appliquer uniformément, sans exception basée sur l’urgence apparente.
Si vous avez effectué un virement frauduleux
Agissez dans les premières heures — c’est le délai pendant lequel un recall bancaire est encore possible :
- Appelez votre banque immédiatement, expliquez la fraude et demandez un rappel de virement (recall SEPA). Le délai varie selon les banques mais les premières heures sont critiques
- Déposez plainte à la gendarmerie ou au commissariat — nécessaire pour votre dossier bancaire et pour activer votre assurance si applicable
- Signalez sur cybermalveillance.gouv.fr — la plateforme officielle d’aide aux victimes de cybercriminalité
- Prévenez votre comptable pour les aspects fiscaux et documentaires
Les probabilités de récupérer les fonds sont faibles mais non nulles dans les premières heures. Au-delà de 24-48h, les chances chutent significativement.
Pour les autres aspects de la sécurité financière, voir terminaux de paiement et sécuriser la messagerie.