Le message vient souvent de la vraie boîte du vrai fournisseur. Vérifier l’adresse d’expéditeur ne sert alors à rien : seul un rappel sur un numéro déjà connu tranche.
La fraude au virement se joue avant le virement : l’escroc lit votre messagerie pendant des semaines, puis reprend un fil de discussion existant pour annoncer un changement de coordonnées bancaires. Le message part souvent de la vraie boîte du vrai fournisseur, donc examiner l’adresse d’expéditeur ne prouve rien. Le seul contrôle efficace est un appel sur un numéro connu avant l’incident, jamais celui du message. Une fois parti, un virement ne revient qu’avec l’accord du bénéficiaire, et la dette envers votre fournisseur reste due.
Jeudi, 17 h 10. Dans le fil de discussion ouvert depuis trois semaines avec votre fournisseur de matériel, un message arrive. Même interlocutrice, même signature, même orthographe, la citation des échanges précédents en dessous. Elle s’excuse : leur établissement bancaire a changé, voici le nouveau relevé d’identité bancaire, merci d’en tenir compte pour la facture de 8 400 euros échue lundi.
Vous regardez l’adresse d’expéditeur. Elle est exacte, caractère pour caractère. Et pour cause : le message part vraiment de la boîte de votre fournisseur. Quelqu’un d’autre la lit depuis un mois.
Cette fraude ne repose pas sur une faille technique de votre côté. Elle repose sur une règle d’organisation qui manque : le moment où un changement de coordonnées bancaires est vérifié par un canal différent de celui qui l’a annoncé.
Les professionnels rangent ces escroqueries sous le sigle FOVI, pour faux ordre de virement. Elles se déclinent en trois versions qui partagent le même ressort : faire exécuter un paiement régulier en apparence, par une personne autorisée, en contournant le contrôle habituel.
| Faux fournisseur | Faux dirigeant | Faux banquier | |
|---|---|---|---|
| Point d’entrée | Messagerie du fournisseur ou la vôtre, compromise | Informations publiques sur l’entreprise et ses dirigeants | Données issues d’une fuite, plus un appel téléphonique |
| Prétexte | Changement de domiciliation bancaire | Opération confidentielle, urgence, avance de frais | Test de sécurité, virement à annuler, compte à sécuriser |
| Cible dans la structure | Comptabilité, service achats | Personne disposant des accès bancaires, hors comité de direction | Dirigeant ou trésorier, directement |
| Moment choisi | Échéance de facture, veille de week-end | Absence ou déplacement annoncé du dirigeant | Fin de journée, après la fermeture de l’agence |
| Ce qui la détecte | Rappel du fournisseur sur un numéro antérieur | Refus de la confidentialité, validation à deux | Raccrocher et rappeler le numéro figurant sur la carte |
La troisième colonne vise surtout les particuliers et les dirigeants à titre personnel : elle est traitée à part, dans l’arnaque au faux conseiller bancaire. Les deux premières visent la structure elle-même et se préparent longtemps à l’avance.
Avant d’écrire, l’escroc lit. Les mentions légales de votre site donnent la forme juridique, le nom du gérant et le numéro d’immatriculation. Les registres d’annonces légales indiquent les changements de dirigeant, les augmentations de capital et les procédures en cours. Les réseaux professionnels donnent l’organigramme, les arrivées récentes, et parfois la date des congés. Les appels d’offres publics publient des documents qui nomment vos interlocuteurs.
Il manque une pièce : vos fournisseurs, vos échéances et le ton de vos échanges. C’est exactement ce qu’apporte l’accès à une boîte aux lettres, la vôtre ou celle d’un partenaire. D’où l’ordre des opérations : compromission d’abord, fraude ensuite, avec des semaines d’intervalle.
Le conseil classique consiste à examiner l’adresse de l’expéditeur. Il a perdu l’essentiel de sa valeur, parce que le cas le plus fréquent aujourd’hui est celui du compte authentique détourné. Rien à repérer : ni faute, ni domaine bizarre, ni en-tête suspect.
Les variantes restent utiles à connaître, car elles apparaissent quand l’escroc n’a pas réussi à entrer. Le domaine sosie remplace une lettre par un groupe qui lui ressemble à l’écran, rn pour m, l minuscule pour I majuscule, ou change simplement l’extension, .com au lieu de .fr. Le champ de réponse peut aussi différer de l’expéditeur affiché : le message semble venir du fournisseur, mais votre réponse part ailleurs. Ces mécanismes sont les mêmes que ceux décrits dans l’anatomie d’un hameçonnage, appliqués à une relation commerciale réelle.
Deux mesures réduisent la surface. Côté entrant, savoir lire un nom de domaine aide, et la méthode tient en trois secondes une fois comprise, comme l’explique la lecture d’une URL. Côté sortant, publier les enregistrements SPF, DKIM et DMARC de votre domaine empêche qu’on écrive à vos clients sous votre nom, ce qui est le miroir exact de ce que vous subissez. Reste le cas du compte authentique, contre lequel aucun filtre ne peut rien, puisque le message est légitime au sens du protocole. Comprendre le trajet d’un courriel aide à voir pourquoi.
Le texte du message frauduleux est construit. On y retrouve quatre leviers, presque toujours les mêmes.
La conséquence pratique est contre-intuitive : la formation qui marche ne porte pas sur les indices techniques, mais sur l’autorisation de désobéir. Dans une structure où l’on ne rappelle pas le dirigeant quand il écrit « ne m’appelez pas », la fraude passe. Une phrase suffit à l’écrit, signée du dirigeant lui-même : aucune demande de paiement ne dispense du rappel, y compris quand elle vient de moi.
Le contrôle par appel a longtemps suffi parce qu’imiter une voix demandait du talent. Ce n’est plus le cas. Quelques dizaines de secondes d’enregistrement suffisent aux outils de synthèse actuels, et l’échantillon est facile à obtenir : message d’accueil du standard, intervention en conférence, vidéo de présentation sur le site. Le mécanisme et ses limites sont détaillés dans le clonage vocal.
La visioconférence n’est plus une preuve non plus, même si la fabrication d’un visage animé en direct reste coûteuse et se réserve à des montants élevés. Les indices de détection existent et sont décrits dans les deepfakes, mais un contrôle qui repose sur l’acuité visuelle d’une personne pressée n’est pas un contrôle.
D’où la règle qui survit à ces outils : ce n’est pas la voix qui authentifie, c’est le canal. Un appel que vous passez vers un numéro connu avant l’incident vaut preuve. Un appel que vous recevez, ou que vous passez vers un numéro fourni par le message, ne vaut rien. La différence est celle du sens de l’appel, et elle est absolue.
Depuis octobre 2025, le règlement européen sur les virements instantanés en euros impose aux banques de la zone euro un service de vérification du bénéficiaire. Avant validation, la banque compare le nom que vous saisissez avec le titulaire réel du compte associé à l’IBAN, et affiche une correspondance exacte, une correspondance approchante avec le nom détenu, une absence de correspondance, ou une impossibilité de vérifier. Le même texte généralise le virement instantané au prix du virement ordinaire.
C’est un progrès réel contre le faux IBAN, puisque l’escroc doit désormais disposer d’un compte ouvert au nom exact du fournisseur qu’il imite. Trois limites subsistent.
Le virement instantané, lui, supprime la fenêtre de rattrapage. Un virement classique laisse quelques heures, parfois une nuit. Un virement instantané est exécuté en moins de dix secondes et devient irrévocable, ce que détaille le fonctionnement du virement instantané. Demandez à votre banque de plafonner l’instantané et de conserver un délai sur les nouveaux bénéficiaires.
Aucune de ces fraudes ne survit à une séparation claire entre celui qui engage la dépense et celui qui l’exécute. Dans une structure de cinq personnes, la séparation existe : il suffit de l’écrire et de la rendre obligatoire au-delà d’un seuil. Cette procédure de paiement fait partie des trois documents qui constituent le socle de sécurité d’une petite structure.
Ajoutez deux réglages bancaires souvent ignorés : un plafond de virement adapté à votre activité réelle plutôt qu’au maximum proposé, et une double validation par deux porteurs de dispositifs distincts pour les montants importants. La double authentification protège l’accès au compte, elle ne protège pas d’un ordre que vous validez vous-même : ce sont deux couches différentes.
Quand le doute apparaît, la course est engagée. Les fonds sont retirés ou redirigés en cascade très vite, parfois en moins d’une heure.
Appelez d’abord votre banque, par téléphone et non par messagerie sécurisée, en demandant explicitement l’émission d’une demande de rappel de fonds vers la banque du bénéficiaire. Cette demande n’oblige personne : les fonds ne reviennent que s’ils sont encore là et si le titulaire consent, ou si le compte a été gelé. Confirmez par écrit dans la foulée.
Déposez plainte ensuite, sans attendre d’avoir tout compris. Le délai de soixante-douze heures après la connaissance des faits conditionne l’indemnisation par une assurance des pertes causées par une atteinte à un système d’information. Prévenez le vrai fournisseur, qui est probablement la source de la fuite et qui ignore que sa boîte est lue. Vérifiez enfin votre propre messagerie : règles de transfert inconnues, délégations, connexions inhabituelles, puis changez les mots de passe concernés selon la marche à suivre après un mot de passe volé. Si l’intrusion dépasse la messagerie, la capacité à repartir dépend de la sauvegarde de la structure.
Trois réponses, dans l’ordre où elles arrivent. La banque, d’abord : le code monétaire et financier prévoit un remboursement de plein droit pour les opérations de paiement non autorisées, celles que le payeur n’a jamais validées. Un ordre de virement signé et authentifié par vous est une opération autorisée, même obtenue par tromperie. Le remboursement n’est donc pas acquis. Une responsabilité bancaire reste plaidable en cas d’anomalie manifeste au regard de vos habitudes, mais le principe de non-ingérence dans les affaires du client limite l’argument.
L’assurance ensuite. Une garantie de détournement de fonds ou de fraude n’est pas comprise dans un contrat multirisque professionnel standard. Vérifiez la présence de la clause, son plafond, sa franchise et ses exclusions, notamment celle qui vise l’absence de procédure de contrôle interne. C’est le seul mécanisme qui indemnise réellement ce type de perte.
Le fournisseur enfin, et c’est le point que presque personne n’anticipe. Le code civil prévoit que le paiement doit être fait au créancier ou à la personne désignée pour le recevoir. Un versement sur le compte d’un escroc n’est pas libératoire : vous devez toujours les 8 400 euros à votre fournisseur, qui n’a rien reçu. La perte reste chez vous, sauf négligence caractérisée de sa part dans la sécurité de sa propre messagerie, ce qui se discute au cas par cas. Sur le plan pénal, les faits relèvent de l’escroquerie, punie par le code pénal de cinq ans d’emprisonnement et 375 000 euros d’amende, davantage en bande organisée.
Une seule question tranche, et elle ne porte ni sur l’expéditeur, ni sur le ton, ni sur la vraisemblance : cette demande modifie-t-elle une destination d’argent ? Nouveau bénéficiaire, nouvel IBAN, nouveau montant sur une échéance connue, nouveau canal de règlement. Si la réponse est oui, aucune vérification faite dans le canal d’origine ne compte, quelle que soit sa qualité apparente. Vous décrochez, vous composez un numéro que vous déteniez avant, et vous faites énoncer l’information par la personne. Tout le reste, y compris un entraînement collectif avec notre quiz de reconnaissance d’une arnaque, sert à rendre ce réflexe automatique.
Pas automatiquement, et c’est la principale surprise. Le droit distingue l’opération non autorisée, où le payeur n’a rien validé, de l’opération autorisée obtenue par tromperie. Le remboursement de plein droit prévu par le code monétaire et financier vise la première. Dans une fraude au virement, vous avez signé et authentifié l’ordre : vous êtes dans la seconde. Une responsabilité de la banque reste discutable si elle a laissé passer une anomalie manifeste au regard de vos habitudes, mais elle se plaide, elle ne s’obtient pas au guichet. Voir le droit au remboursement d’un paiement frauduleux.
En appelant le fournisseur sur un numéro que vous déteniez avant le message : celui d’une facture ancienne, d’un contrat papier ou de votre fichier fournisseurs. Jamais le numéro écrit dans le message, ni celui de la signature, ni celui du nouveau relevé d’identité bancaire. Demandez la personne par son nom et faites confirmer les quatre derniers chiffres de l’IBAN de vive voix. Un changement de banque est un événement rare : une entreprise qui en annonce un accepte sans difficulté d’être rappelée.
Un virement SEPA classique peut faire l’objet d’une demande de rappel de fonds émise par votre banque vers la banque du bénéficiaire. Cette demande n’est pas un droit : les fonds ne reviennent que s’ils sont encore présents sur le compte et si le titulaire y consent, ou si le compte a été gelé. Les escrocs vident le compte en quelques minutes, souvent par des virements en cascade. Un virement instantané, lui, est irrévocable dès son exécution. Le seul facteur qui joue est la vitesse d’alerte de la banque.
Oui, et elle s’est adaptée. Dans une association ou une entreprise de dix personnes, le prétexte n’est plus une acquisition confidentielle mais une avance de frais, un règlement urgent avant un départ en congés, ou l’achat de cartes cadeaux prépayées à envoyer par photo. Les montants sont plus faibles, de quelques centaines à quelques milliers d’euros, et le volume compense. La cible privilégiée est la personne qui dispose des accès bancaires sans être au comité de direction : assistant de gestion, trésorier bénévole, comptable à temps partiel.
Oui, pour trois raisons. La plainte conditionne l’indemnisation par une assurance des pertes liées à une atteinte à un système d’information, avec un délai de soixante-douze heures après la connaissance des faits. Elle permet le recoupement des IBAN collecteurs par les enquêteurs, qui traitent rarement un dossier isolé mais suivent les comptes récurrents. Elle constitue enfin une pièce utile face à votre fournisseur et à votre expert-comptable pour justifier l’écriture de perte.
Les liens ci-dessus renvoient vers les textes et les organismes cités. Les dates de consultation sont celles de la dernière relecture, le 13 septembre 2026.
Dans ce thème
Dans la rubrique
Mots de passe, arnaques, fuites de données et réflexes qui changent vraiment quelque chose.