Le message arrive d’un fournisseur que vous payez tous les mois. L’adresse, la signature et le ton sont ceux que vous connaissez. Il vous informe d’un changement de banque et joint son nouveau RIB, avec la facture du mois. Votre comptabilité met le fichier fournisseur à jour, le virement part. Trois semaines plus tard, le vrai fournisseur vous relance : il n’a rien reçu.
On parle de fraude aux faux ordres de virement, dont la fraude au changement de RIB est une variante fréquente. Elle ne vise pas que les grands groupes : le dispositif public Cybermalveillance.gouv.fr rappelle qu’elle « concerne tous les types d’organisation ». Une procédure d’une page, appliquée sans exception, permet de la bloquer.
Trois variantes de la même escroquerie
L’escroc cherche à faire partir un virement vers un compte qu’il contrôle, souvent situé à l’étranger. Il se fait passer pour quelqu’un que vous connaissez :
- un fournisseur, qui annonce de nouvelles coordonnées bancaires pour ses prochaines factures ;
- un dirigeant, qui demande un virement « urgent et confidentiel » : c’est la fraude au président ;
- un salarié, qui demande au service paie de verser son salaire sur un autre compte.
La demande arrive par email, par téléphone, ou les deux à la suite. L’appel sert alors à rassurer : une voix qui confirme l’email semble prouver qu’il est authentique.
Pourquoi vérifier l’adresse de l’expéditeur ne protège pas
L’escroc utilise parfois une adresse presque identique à la vraie, à une lettre près. Dans d’autres cas, il a piraté la messagerie de la personne dont il prend l’identité : l’email part alors de la vraie adresse, dans le fil de discussion habituel, avec les vraies factures. Cybermalveillance.gouv.fr décrit ce scénario, où la fraude « fait suite au piratage et à l’utilisation de la messagerie » de la personne usurpée. Rien, à l’écran, ne distingue ce message d’un message authentique.
La vérification doit donc passer par un autre canal que l’email.
La règle : un contre-appel à un numéro déjà connu
Avant tout changement de RIB et avant tout virement inhabituel, quelqu’un appelle l’interlocuteur à un numéro que vous aviez avant la demande : celui du contrat, de la fiche fournisseur, de l’annuaire interne. Jamais celui qui figure dans l’email, sur la facture ou sur le RIB joints. La CNIL recommande la même chose : joindre les contacts déjà connus de l’entreprise, pas les coordonnées données dans le message.
Cette règle ne fonctionne que si elle ne souffre aucune exception. L’urgence, la confidentialité, l’insistance d’un dirigeant sont justement les leviers de l’escroc. Une demande qui ne supporte pas un appel de vérification de deux minutes doit être traitée comme suspecte.
Écrire la procédure
Une consigne orale s’oublie le jour où la personne habituelle est absente. Mettez-la par écrit, en une page :
- quand elle s’applique : tout changement de coordonnées bancaires (fournisseur, client, salarié) et tout virement qui sort de l’ordinaire ;
- qui fait le contre-appel, et à quel numéro ;
- qui valide ensuite : une deuxième personne pour les changements de RIB et pour les virements au-delà d’un seuil que vous fixez, par exemple 1 000 € ;
- où l’on note la vérification : date, interlocuteur, numéro appelé.
Cybermalveillance.gouv.fr recommande une procédure de validation interne « non dérogeable », connue de tous les collaborateurs habilités à faire des virements.
Les signaux qui doivent alerter
- une demande pressante, à traiter avant la fin de la journée ;
- une demande de discrétion (« n’en parlez pas pour l’instant ») ;
- une banque inconnue ou un compte à l’étranger, pour un fournisseur français ;
- un changement de ton ou de formule, même léger, chez un interlocuteur habituel.
Fermer la porte d’entrée : la messagerie
Une partie de ces fraudes commence par une boîte email piratée, chez vous ou chez votre fournisseur. De votre côté, trois mesures réduisent nettement le risque :
- La double authentification sur toutes les messageries : un mot de passe volé ne permet plus d’entrer.
- Un filtrage des emails qui analyse les liens et les pièces jointes avant qu’ils n’arrivent dans les boîtes. C’est le rôle de notre offre de messagerie sécurisée.
- Des collaborateurs qui reconnaissent une tentative de fraude et savent à qui la signaler. Des modules d’e-learning courts et des simulations de faux emails régulières : c’est ce que nous proposons en sensibilisation des utilisateurs.
Limitez aussi ce que votre site et vos réseaux sociaux disent de vos équipes. Le nom et l’adresse de la personne qui règle les factures aident l’escroc à viser juste.
Si vous découvrez la fraude
La fiche réflexe de Cybermalveillance.gouv.fr liste les gestes à faire sans attendre :
- Repérez les virements déjà exécutés, en cours ou prévus vers le compte de l’escroc. Prévenez la direction et la comptabilité, et bloquez ces coordonnées bancaires dans votre logiciel.
- Faites suspendre le virement par votre comptabilité s’il n’est pas encore parti.
- Appelez votre banque immédiatement s’il est parti, et demandez le retour des fonds.
- Conservez les preuves : emails, numéros de téléphone, ordres de virement, factures.
- Changez le mot de passe de votre messagerie si elle a pu être piratée. Si c’est celle du fournisseur, prévenez-le par téléphone.
- Déposez plainte au commissariat ou à la gendarmerie. Votre banque peut l’exiger pour tenter de récupérer les sommes.
Le service public 17Cyber, proposé par la police, la gendarmerie et Cybermalveillance.gouv.fr, vous guide dans ces démarches. Et si vous pensez que votre messagerie a été piratée, appelez-nous : il faut trouver par où l’escroc est entré avant qu’il ne recommence.
Votre entreprise est-elle protégée ?
Posez la question à la personne qui règle vos factures : « Que fais-tu si un fournisseur nous envoie un nouveau RIB ? » Si la réponse n’est pas « je le rappelle à son numéro habituel », la règle reste à écrire.
Notre test cyber gratuit pose cette question et dix-neuf autres. Vous obtenez un score sur 20 et les mesures à vérifier en priorité.