Un courriel courtois annonce un nouveau compte bancaire pour une facture habituelle. Une vérification par téléphone évite de payer l'escroc.
La fraude au changement de coordonnées bancaires est l'une des plus simples à mettre en œuvre et l'une des plus difficiles à rattraper. Le schéma est presque toujours le même. Un message arrive au service comptable, au nom d'un fournisseur habituel, indiquant que ses coordonnées bancaires ont changé pour des raisons internes. La facture suivante doit donc être réglée sur un nouveau compte. Le message est propre, le ton est courtois, le fournisseur est réel. Seul le compte de destination est faux.
Ce type d'escroquerie repose sur la confiance dans une relation existante, pas sur une faille technique. C'est pourquoi les parades sont avant tout organisationnelles. Elles coûtent peu, mais elles demandent que toute l'équipe les connaisse et les applique, même quand le dirigeant est pressé.
Les fraudeurs obtiennent souvent les informations nécessaires en observant les échanges. Ils savent quel fournisseur travaille avec l'entreprise, quel montant est habituel, qui valide les paiements. Parfois, ils ont accédé à la messagerie d'un fournisseur, et leur courriel s'insère dans une conversation existante. D'autres fois, ils écrivent à partir d'une adresse très proche de la véritable, avec une lettre changée ou un domaine voisin.
Le message demande une confidentialité particulière ou une urgence, pour éviter que la personne ne vérifie avec un tiers. La facture modifiée arrive ensuite, parfois accompagnée d'un relevé d'identité bancaire qui semble authentique. Si le paiement part, il est généralement impossible à récupérer une fois les fonds transférés.
Tout changement de coordonnées bancaires d'un fournisseur doit être confirmé par un appel téléphonique à un numéro déjà connu de l'entreprise, c'est-à-dire un numéro figurant sur un ancien contrat, une ancienne facture ou un annuaire fiable, jamais celui indiqué dans le courriel demandant le changement. Notez dans le dossier fournisseur la date de l'appel, l'identité de l'interlocuteur et la nouvelle référence bancaire confirmée.
Cette règle s'applique aussi bien aux petits fournisseurs qu'aux grands, et elle doit valoir même lorsque le message semble émaner d'une personne que l'on connaît bien. Un collègue ou un dirigeant dont le compte de messagerie a été usurpé peut en effet demander la même chose.
Dans une petite structure, une seule personne cumule souvent la saisie des factures et leur règlement. Cette concentration est le premier facteur de risque. Lorsque c'est possible, une seconde personne doit valider chaque nouveau bénéficiaire et chaque paiement au-delà d'un montant défini. Le seuil dépend de votre activité : l'essentiel est qu'il soit écrit et connu de tous.
La réaction doit être immédiate. Contactez votre banque en lui indiquant le numéro de compte bénéficiaire et le montant, et demandez explicitement un rappel de fonds ou une opposition sur le virement. Plus la demande est rapide, plus les chances de récupération sont élevées. Conservez le message frauduleux, la facture et tous les échanges, en l'état, sans les modifier.
Déposez ensuite une plainte, car la plupart des établissements bancaires et des services d'enquête le demandent pour instruire le dossier. Prévenez aussi le fournisseur dont l'identité a été usurpée : il pourra vérifier si sa messagerie a été compromise et alerter ses autres clients. Cybermalveillance.gouv.fr propose des fiches pratiques sur les escroqueries aux virements et sur les démarches à suivre.
Une procédure d'une page est plus efficace qu'une vigilance diffuse. Elle indique qui peut modifier un bénéficiaire, comment la modification est confirmée, à partir de quel montant une double validation s'impose et qui contacter en cas de doute. Elle doit être affichée là où les paiements se font, et relue au moins une fois par an.
La CNIL, sur cnil.fr, rappelle par ailleurs que les données bancaires des fournisseurs et des clients sont des données personnelles à protéger. Les conserver dans un fichier partagé sans contrôle d'accès ajoute donc un risque qui n'est pas seulement financier.
Cette fraude ne demande ni compétence informatique ni moyens importants. Elle demande de la méthode. Une entreprise qui applique une simple vérification téléphonique rend l'escroquerie beaucoup moins rentable, et c'est souvent la seule protection réellement efficace.