Vous recevez un message de votre fournisseur habituel : changement de banque, voici le nouveau RIB, merci d’en tenir compte pour la prochaine échéance. Le ton est juste, la signature ressemble, la pièce jointe est propre — et le virement partira sur un compte qui n’a rien à voir avec lui. C’est l’attaque la plus rentable contre une petite entreprise, parce qu’elle n’exige aucune compétence technique.
L’essentiel en cinq points
- L’attaque ne casse rien : elle imite un correspondant que vous connaissez et attend une échéance réelle.
- La seule défense fiable est le rappel sortant : vous rappelez, sur un numéro que vous déteniez déjà.
- Ne validez jamais par le canal de la demande, ni par un numéro figurant dans le message.
- Le moment le plus dangereux est l’urgence, et l’urgence fait partie du scénario.
- La procédure s’écrit avant l’incident, parce qu’après, la discussion porte sur les responsabilités.
1. Comment l’attaque fonctionne réellement
Il n’y a ni piratage de votre banque ni intrusion dans vos systèmes. L’attaquant travaille sur la confiance et le calendrier, ce qui la rend difficile à repérer par des moyens techniques.
- L’attaquant apprend qui sont vos fournisseurs — souvent par une boîte mail déjà compromise, parfois par des informations publiques.
- Il attend une facture réelle, ou en fabrique une cohérente avec vos habitudes.
- Il écrit depuis une adresse très proche de la vraie, à un caractère près, ou depuis la vraie si elle est compromise.
- Il annonce un changement de coordonnées bancaires, avec un motif plausible : nouvelle banque, restructuration, contrôle interne.
- Il ajoute une pression de calendrier : échéance proche, risque de pénalité, interlocuteur habituel absent.
- Le virement part, et les fonds sont dispersés avant que qui que ce soit ne s’en aperçoive.
Le point critique est la cinquième ligne. L’urgence n’est pas un hasard du calendrier, c’est un élément du dispositif : elle sert précisément à vous faire sauter la vérification que vous auriez faite avec deux jours devant vous.
2. La règle du rappel sortant
Une seule règle protège réellement, et elle tient en une phrase : toute modification de coordonnées bancaires se confirme par un appel que vous passez, sur un numéro que vous déteniez avant la demande.
| Ce qui est proposé | Fiabilité | Pourquoi |
|---|---|---|
| Répondre à l’e-mail reçu | Nulle | La réponse arrive à l’attaquant |
| Appeler le numéro indiqué dans le message | Nulle | Le numéro fait partie du scénario |
| Vérifier que l’adresse d’expéditeur semble correcte | Faible | Un caractère suffit, et la vraie boîte peut être compromise |
| Comparer la signature et la mise en page | Faible | Tout cela se copie en quelques minutes |
| Rappeler un numéro de votre fiche fournisseur | Bonne | Le canal n’a pas été choisi par l’attaquant |
| Confirmer avec une personne connue, en la nommant | Bonne | L’imitation résiste mal à une conversation réelle |
La différence entre les deux blocs n’est pas le degré de prudence, c’est qui a choisi le canal. Tant que vous utilisez une coordonnée fournie par la demande, vous parlez à celui qui l’a envoyée, quelle que soit votre vigilance.
3. La procédure à écrire
Une règle connue d’une seule personne ne protège pas une entreprise. Elle doit être écrite, courte, et applicable par la personne qui paie, y compris quand le dirigeant est injoignable.
- Tout changement de RIB déclenche la procédure, sans exception et quel que soit le montant.
- La confirmation se fait par appel sortant sur un numéro de la fiche fournisseur.
- La personne appelée est identifiée par son nom, pas seulement par la fonction.
- Le changement est enregistré dans la fiche par une personne différente de celle qui paie.
- Le premier virement sur le nouveau compte est suivi d’une confirmation de réception.
- L’appel, sa date et l’interlocuteur sont notés dans le dossier fournisseur.
La quatrième ligne est celle qui gêne dans une petite équipe et celle qui protège le plus. Si la même personne reçoit la demande, modifie la fiche et lance le paiement, aucun contrôle n’existe réellement — c’est le même raisonnement que la séparation des rôles évoquée dans la prévention de la fraude.
N’utilisez jamais un contact fourni par la demande elle-même
C’est la seule erreur qui compte vraiment, et elle annule toutes les autres précautions. Répondre à l’e-mail, appeler le numéro figurant dans le message, écrire à l’adresse de la signature : dans les trois cas, la vérification est faite auprès de la personne qu’on cherchait à vérifier. Le contrôle n’a de valeur que si le canal a été choisi par vous, avant la demande, et se trouve déjà dans votre fiche fournisseur.
4. Si le virement est déjà parti
Les premières heures comptent davantage que tout le reste. L’ordre des actions est plus important que leur exhaustivité.
- Appelez votre banque immédiatement pour demander le rappel des fonds, avant tout autre geste.
- Prévenez le vrai fournisseur, par un canal sûr, car sa facture reste due.
- Conservez les messages, en-têtes compris, sans les transférer ni les modifier.
- Vérifiez si d’autres fiches fournisseurs ont été modifiées récemment.
- Changez les accès de la boîte mail concernée si elle a pu être compromise.
- Faites le nécessaire auprès des autorités compétentes, avec les pièces conservées.
Le deuxième point surprend et il est essentiel : le fait d’avoir payé un escroc n’éteint pas votre dette envers le fournisseur. Vous devez toujours la somme, ce qui explique pourquoi cette fraude fait perdre deux fois le même montant.
Les erreurs à éviter
- Confirmer un changement de RIB en répondant au message reçu.
- Appeler le numéro de téléphone indiqué dans la demande.
- Considérer qu’une adresse d’expéditeur correcte suffit à authentifier.
- Céder à l’urgence annoncée et sauter la vérification.
- Laisser la même personne recevoir la demande, modifier la fiche et payer.
- Ne pas prévenir le vrai fournisseur, dont la facture reste due.
Questions fréquentes
Comment vérifier un changement de coordonnées bancaires ?
Par un appel que vous passez vous-même, sur un numéro qui figurait déjà dans votre fiche fournisseur avant la demande, en identifiant votre interlocuteur par son nom. Tout autre canal a pu être choisi par l’attaquant.
L’adresse d’expéditeur est correcte, est-ce suffisant ?
Non. Une adresse peut différer d’un seul caractère et passer inaperçue, et une vraie boîte mail compromise envoie des messages parfaitement authentiques. L’apparence de l’e-mail ne prouve rien.
Doit-on appliquer la procédure même pour un petit montant ?
Oui. Le seuil est le premier élément qu’un attaquant teste, et une exception connue devient la voie d’entrée. Une règle sans exception est aussi plus simple à appliquer sous pression.
Si nous avons payé l’escroc, la facture est-elle éteinte ?
Non. Le paiement n’a pas atteint votre fournisseur, sa créance subsiste, et vous restez redevable. C’est ce qui rend cette fraude particulièrement coûteuse : la même somme est perdue deux fois.
BelloPOS protège-t-il de ce risque ?
Pas directement : la fraude vise le paiement, pas la caisse. BelloPOS conserve les fiches fournisseurs et l’historique des achats à partir de Go, ce qui donne le contact de référence à rappeler. La procédure de validation, elle, est humaine.
À retenir
Cette fraude ne se détecte pas, elle se prévient par une règle unique et sans exception : aucun changement de coordonnées bancaires sans un appel sortant vers un numéro que vous déteniez déjà. Écrivez-la, faites-la appliquer par quelqu’un d’autre que celui qui paie, et tenez-la même — surtout — quand on vous dit que c’est urgent.
Sources
Les chiffres et les règles cités ci-dessus viennent de ces pages, consultées à la date indiquée dans l’article.
- Direction générale des impôts, Code général des impôts 2026
- Ministère de l’Économie et des Finances, Code général de la normalisation comptable, consulté le 1er septembre 2026
Vos fiches fournisseurs, à jour et retrouvables
BelloPOS conserve les fiches fournisseurs et l’historique des achats à partir de Go : le contact de référence que vous rappellerez, plutôt que celui qu’on vous propose.
Pour aller plus loin
D’autres guides pratiques sur le même sujet :