Un e-mail de votre fournisseur habituel vous informe qu'il a changé de banque et vous transmet son nouveau RIB. Le message est poli, le logo est le bon, la signature aussi. Vous mettez à jour les coordonnées et réglez la facture suivante… qui n'arrivera jamais chez votre fournisseur. Vous venez d'être victime d'une fraude au faux RIB. Ce type d'arnaque, avec ses cousines la fraude au faux fournisseur et la fraude au président, touche des entreprises de toutes tailles, des collectivités et des associations. Elle repose moins sur la technique que sur la manipulation. Bonne nouvelle : des procédures simples permettent de s'en protéger efficacement.
Les principales fraudes au virement
La fraude au faux RIB (ou au changement de coordonnées bancaires)
Un fraudeur se fait passer pour un fournisseur, un prestataire, un bailleur ou même un salarié, et demande la modification des coordonnées bancaires enregistrées. Les paiements suivants sont détournés vers son compte.
La fraude au faux fournisseur
Variante de la précédente : le fraudeur envoie une fausse facture, très ressemblante à celles d'un vrai fournisseur, avec ses propres coordonnées bancaires.
La fraude au président
Le fraudeur se fait passer pour le dirigeant de l'entreprise (ou un dirigeant du groupe) et demande en urgence à un collaborateur d'effectuer un virement confidentiel : rachat d'entreprise, dossier sensible, contrôle fiscal… La pression et le secret empêchent la victime de vérifier.
La fraude au faux salarié
Un fraudeur se fait passer pour un salarié et demande au service paie de verser son salaire sur un nouveau compte.
Comment les fraudeurs s'y prennent
Le piratage d'une messagerie
Souvent, le fraudeur a réellement pris le contrôle de la boîte e-mail d'un fournisseur ou d'un client, grâce à un mot de passe volé. Il observe les échanges, attend le bon moment, puis envoie un message depuis la vraie adresse. C'est pour cela que le message paraît si crédible.
L'usurpation d'adresse
Dans d'autres cas, le fraudeur utilise une adresse très proche de la vraie : une lettre changée, un tiret ajouté, une extension différente. À première vue, la différence est invisible.
La collecte d'informations
Organigramme, noms des fournisseurs, période de congés du dirigeant : les fraudeurs puisent dans les informations publiques (site, réseaux sociaux, LinkedIn) pour rendre leurs messages crédibles.
L'ingénierie sociale
Urgence, confidentialité, flatterie, autorité : les fraudeurs jouent sur les émotions pour pousser à agir vite, sans réfléchir ni vérifier.
Les signaux d'alerte
- une demande de changement de coordonnées bancaires, quelle qu'en soit la raison ;
- un compte bancaire à l'étranger ou dans une banque inhabituelle ;
- un caractère urgent ou confidentiel inhabituel ;
- une demande de contourner les procédures habituelles ;
- une adresse e-mail légèrement différente de l'habituelle ;
- un changement de ton ou de style dans les messages ;
- un interlocuteur qui refuse d'être rappelé ou ne donne qu'un numéro inconnu.
Les procédures à mettre en place
Toujours vérifier les changements de RIB par un autre canal
C'est la règle d'or. Toute demande de modification de coordonnées bancaires doit être vérifiée par téléphone, en appelant votre contact habituel au numéro que vous connaissez déjà (dans votre carnet d'adresses, sur un ancien devis), jamais au numéro indiqué dans le message suspect.
Instaurer une double validation
Pour les virements importants ou inhabituels, et pour toute modification de coordonnées bancaires, prévoyez une validation par deux personnes. Dans une petite structure, cela peut simplement être le dirigeant et le comptable.
Former et sensibiliser les équipes
Les personnes chargées de la comptabilité, des achats et de la paie sont en première ligne. Expliquez-leur ces fraudes, les signaux d'alerte et la procédure à suivre. Et surtout, dites-leur clairement qu'on ne leur reprochera jamais d'avoir vérifié une demande, même venant du dirigeant.
Sécuriser vos messageries
Une grande partie de ces fraudes commence par le piratage d'une boîte e-mail. Activez la double authentification sur toutes les messageries de l'entreprise et utilisez des mots de passe solides et uniques. Nos conseils détaillés sont dans l'article sur les mots de passe en entreprise.
Limiter les informations publiques
Sans tomber dans la paranoïa, évitez de publier des informations qui facilitent l'usurpation : organigramme détaillé des fonctions financières, dates d'absence du dirigeant, noms des fournisseurs principaux.
Utiliser les outils de votre banque
De nombreuses banques proposent des services de vérification des coordonnées bancaires des bénéficiaires, des plafonds ou des validations renforcées. Renseignez-vous auprès de votre conseiller.
Que faire si vous êtes victime ?
Le temps est déterminant. Agissez immédiatement :
- Contactez votre banque pour tenter de bloquer ou de rappeler le virement. Plus vous êtes rapide, plus les chances de récupérer les fonds sont élevées.
- Prévenez le fournisseur ou le partenaire dont l'identité a été usurpée : sa messagerie est peut-être compromise.
- Déposez plainte auprès de la police ou de la gendarmerie, en conservant tous les éléments (e-mails avec leurs en-têtes, factures, preuves de virement).
- Signalez l'incident et faites-vous accompagner : le dispositif national 17Cyber et le site cybermalveillance.gouv.fr proposent conseils et mise en relation avec des professionnels.
- Changez les mots de passe des comptes potentiellement compromis et vérifiez les règles de transfert automatique dans vos messageries.
Questions fréquentes
La banque est-elle responsable si j'ai effectué le virement ?
En règle générale, un virement ordonné par vous-même, même à la suite d'une manipulation, est difficile à contester. C'est pourquoi la prévention et la rapidité de réaction sont essentielles.
Les petites entreprises sont-elles vraiment ciblées ?
Oui. Elles disposent souvent de procédures moins formalisées que les grands groupes, ce qui en fait des cibles intéressantes pour les fraudeurs.
Comment vérifier une adresse e-mail suspecte ?
Regardez attentivement l'adresse complète de l'expéditeur, pas seulement le nom affiché. En cas de doute, ne répondez pas au message : appelez votre contact par un canal connu.
Sécuriser vos outils numériques
Chez Milady, la sécurité fait partie de chacun de nos projets, et nous pouvons vous aider à faire le point sur vos accès et vos outils. Pour compléter ces conseils, relisez notre article sur le phishing et les sites d'hameçonnage, et contactez-nous pour toute question.
