Que faire si un virement est déjà parti sur un RIB frauduleux ?

Chaque heure compte. Contactez immédiatement votre banque pour demander le blocage du virement et le rappel des fonds (recall) — les chances de récupération chutent fortement après 48 à 72 heures. Prévenez le vrai fournisseur par téléphone, conservez toutes les preuves (emails, en-têtes, RIB frauduleux), déposez plainte rapidement — c'est aussi une condition d'indemnisation par l'assurance cyber, avec l'obligation de dépôt sous 72 heures issue de la loi LOPMI pour être couvert. Signalez les faits via Cybermalveillance.gouv.fr, et si des comptes email ont été compromis, changez les mots de passe et activez la double authentification.

La double authentification sur les boîtes email protège-t-elle de cette fraude ?

Elle en réduit fortement une des deux portes d'entrée. Beaucoup de fraudes au RIB commencent par la compromission d'une boîte email — celle du fournisseur ou la vôtre — d'où le fraudeur observe les échanges de facturation avant d'intervenir au moment idéal. Cybermalveillance.gouv.fr recommande la double authentification précisément « pour limiter les risques de piratage » des messageries. Mais elle ne bloque pas l'autre porte : le domaine sosie, qui n'exige aucun piratage. La protection complète combine sécurisation des messageries, procédure de contre-appel non dérogeable et entraînement des équipes comptables.

Qui est responsable si l'entreprise paie sur un faux RIB : elle ou sa banque ?

En principe, l'entreprise : contrairement à un virement non autorisé, le paiement a été ordonné par elle — c'est un virement autorisé vers un mauvais bénéficiaire, que la banque n'a pas l'obligation générale de rembourser. La récupération dépend du rappel interbancaire des fonds, de la plainte pénale et, le cas échéant, de la garantie fraude de l'assurance cyber — laquelle vérifie souvent que des procédures de vérification existaient. D'où l'enjeu : cette fraude se gagne avant le virement, par la procédure, pas après.

Anatomie d'une arnaque : la fraude au RIB fournisseur

Q: Qu'est-ce que la fraude au RIB fournisseur ?

C'est une variante de l'escroquerie aux faux ordres de virement (FOVI), que Cybermalveillance.gouv.fr définit comme « un type d'arnaque qui, par persuasion, menaces ou pressions diverses, vise à amener la victime à réaliser un virement de fonds non planifié ». Ici, le fraudeur usurpe l'identité d'un fournisseur habituel de l'entreprise « pour communiquer de nouvelles coordonnées bancaires (changement de RIB) sur lesquelles il faut effectuer un règlement ». Les factures suivantes — réelles et attendues — sont alors payées sur un compte contrôlé par les escrocs, souvent pendant des semaines avant que le vrai fournisseur ne réclame son dû.

Q: Comment vérifier un changement de RIB annoncé par email ?

Par un contre-appel systématique : téléphonez à votre contact habituel chez le fournisseur, sur un numéro que vous possédez déjà (contrat, bon de commande, base fournisseurs) — jamais sur un numéro fourni dans le message annonçant le changement, qui peut être celui des fraudeurs. Obtenez une confirmation orale explicite avant toute modification dans le système. Aucune vérification par retour d'email ne suffit : si la boîte du fournisseur est compromise, c'est l'escroc qui répondra. Cette règle doit être écrite dans une procédure opposable, appliquée sans exception, y compris sous pression d'urgence.

Q: Pourquoi cette fraude est-elle si difficile à détecter ?

Parce qu'elle ne présente aucune anomalie apparente au moment du paiement : la facture est vraie, la prestation a été livrée, le montant est exact, l'échéance est normale. Seule la destination des fonds a changé. Contrairement à la fraude au président, il n'y a ni urgence spectaculaire ni montant inhabituel — la demande s'insère dans la routine comptable. La détection n'intervient souvent qu'à la relance du vrai fournisseur pour impayé, des semaines plus tard, quand les fonds ont déjà transité vers l'étranger.

C’est l’arnaque la plus silencieuse de cette série. Pas d’écran qui clignote, pas de menace de majoration, pas de colis fantôme : juste un email professionnel, poli et banal, annonçant qu’un fournisseur a changé de banque. La comptable met à jour la fiche, règle les factures en attente — vraies, celles-là — et la vie continue. Jusqu’à la relance du vrai fournisseur, des semaines plus tard, pour des factures « impayées » qui ont pourtant bien été réglées… sur le compte des escrocs.

Troisième volet de notre série Anatomie d’une arnaque, la fraude au RIB fournisseur est le seul scénario nativement B2B du lot — et probablement le plus coûteux par victime. Nous lui avons déjà consacré un dossier complet avec cas réels et protocole de vérification ; cette page en est la dissection courte : le déroulé, les signaux, les réflexes.

À retenir

La fraude au RIB est une variante documentée de l’escroquerie aux faux ordres de virement (FOVI) : « un type d’arnaque qui, par persuasion, menaces ou pressions diverses, vise à amener la victime à réaliser un virement de fonds non planifié » (Cybermalveillance.gouv.fr, fiche réflexe FOVI, mise à jour le 03/08/2026).
Le mode opératoire précis y est décrit : « usurper l’identité d’un fournisseur pour communiquer de nouvelles coordonnées bancaires (changement de RIB) sur lesquelles il faut effectuer un règlement » (même source).
Sa force : aucune anomalie apparente — le paiement correspond à une vraie facture, pour une vraie prestation. Seule la destination des fonds a changé.
La parade tient en un geste : le contre-appel systématique au fournisseur sur un numéro déjà connu, jamais sur celui fourni dans le message — formalisé dans notre procédure anti-fraude au virement.
Le contexte : 62 % des violations de données impliquent le facteur humain (Verizon DBIR 2026), et en France 55 % des cyberattaques significatives ont le phishing comme vecteur d’entrée (baromètre CESIN 2026).

À quoi ressemble l’arnaque

L’amont : l’observation. Contrairement aux campagnes de masse des volets précédents, cette fraude se prépare. Deux portes d’entrée dominent. La première : la compromission d’une boîte email — celle du fournisseur, ou une boîte de votre service comptable — souvent obtenue par un phishing classique. Le fraudeur lit alors les échanges pendant des semaines : qui facture quoi, à quelle échéance, sur quel ton, avec quelles signatures. La seconde : le domaine sosie — un nom de domaine quasi identique à celui du fournisseur, enregistré pour l’occasion, qui n’exige aucun piratage. Dans les deux cas, le fraudeur connaît le contexte réel de la relation commerciale ; c’est ce qui rendra son message indétectable au premier regard. La fiche FOVI recommande d’ailleurs de « limiter la publication d’informations » permettant d’identifier les collaborateurs habilités à exécuter des virements — l’organigramme public est une carte au trésor.

Le message. Un email annonce un changement de coordonnées bancaires : changement de banque, « mise à jour administrative », parfois consécutif à une prétendue fusion ou migration comptable. Il arrive dans un fil de discussion existant (boîte compromise) ou depuis le domaine sosie, avec un RIB en pièce jointe — souvent un vrai compte, ouvert par des mules, parfois à l’étranger mais plausible. Le ton est neutre : pas d’urgence criarde, c’est une formalité.

Le paiement. À l’échéance suivante, la comptabilité règle les factures réelles sur le nouveau RIB. Aucun contrôle automatique ne bronche : montant exact, fournisseur référencé, facture légitime.

La découverte. Des semaines plus tard, le vrai fournisseur relance pour impayé. Entre-temps, les fonds ont été dispersés vers d’autres comptes, souvent à l’étranger. Les montants se comptent en dizaines, parfois en centaines de milliers d’euros — une à trois échéances fournisseur.

Les signaux d’alerte, un par un

Tout changement de RIB, en soi. C’est le renversement mental à opérer : un changement de coordonnées bancaires n’est pas une information à traiter, c’est une alerte à vérifier. L’événement est rare dans la vie d’un vrai fournisseur et central dans le scénario de fraude — le simple fait qu’il survienne justifie la procédure complète, sans exception.
Un domaine expéditeur légèrement différent. Lettre doublée, tiret ajouté, extension changée : le domaine sosie se repère en lisant l’adresse complète, caractère par caractère — pas le nom d’affichage. Pour un email douteux, l’analyse des en-têtes révèle le serveur d’envoi réel : notre analyseur d’en-têtes email fait cette vérification, et notre guide reconnaître un email frauduleux détaille la méthode. Attention : un domaine parfaitement authentique ne prouve rien si la boîte du fournisseur est compromise — d’où le signal suivant.
Un changement d’interlocuteur ou de circuit. Nouveau signataire, nouvelle adresse en copie, demande de basculer la conversation vers une autre boîte, interlocuteur habituel « en congé » : les fraudeurs isolent leur cible du canal historique.
L’évitement du téléphone. L’interlocuteur privilégie l’écrit, ne décroche pas, rappelle depuis un numéro inconnu ou fournit lui-même « son » numéro de vérification. Un numéro fourni dans le message qui annonce le changement ne vérifie rien : il boucle sur le fraudeur.
Une pression douce sur le calendrier. Pas de panique théâtrale, mais une insistance à régler « avant la fin du mois », une relance légèrement plus rapide que d’habitude, une facture opportunément à échéance. L’urgence discrète est celle qui passe les contrôles.
Des incohérences périphériques. Domiciliation bancaire sans rapport avec le fournisseur, IBAN d’un pays inattendu, RIB au nom d’une entité tierce « pour raisons de trésorerie » : chacune isolément s’explique ; ensemble, elles condamnent.

Que faire si vous avez cliqué — ou payé

Si vous suspectez la fraude avant le virement : suspendez le règlement, déclenchez le contre-appel sur le numéro historique, et prévenez votre direction — un faux positif coûte cinq minutes, un vrai négatif coûte une échéance fournisseur.

Si le virement est parti :

Appelez votre banque immédiatement pour bloquer le virement et demander le rappel des fonds : les chances de récupération s’effondrent après 48 à 72 heures.
Prévenez le vrai fournisseur par téléphone, sur son numéro connu — sa boîte email est peut-être compromise.
Conservez tout : emails et en-têtes complets, RIB frauduleux, journaux de connexion.
Déposez plainte rapidement — condition d’activation de la garantie fraude de l’assurance cyber, avec le délai de 72 heures prévu par la loi LOPMI.
Si un compte email interne est compromis : changez les mots de passe, activez la double authentification, recherchez les règles de transfert ajoutées par l’attaquant — puis suivez notre guide que faire en cas de phishing.
Signalez les faits via Cybermalveillance.gouv.fr ; si l’affaire commence par un SMS frauduleux, transférez-le au 33700.

Pourquoi ça marche

Les autres volets de cette série exploitent une émotion ; celui-ci exploite son absence. Le message ne demande rien d’anormal, ne presse personne, ne promet rien : il s’insère dans un processus routinier — payer des factures dues — et détourne la seule variable que personne ne revérifie, la destination. Le facteur humain ici n’est pas la crédulité, c’est l’habitude : 62 % des violations impliquent l’humain (Verizon DBIR 2026, voir nos statistiques du phishing en France), et rien n’est plus humain que de traiter la dixième facture du jour comme les neuf précédentes.

S’y ajoute l’asymétrie d’information : le fraudeur qui a lu les échanges connaît les montants, les échéances et le ton de la relation — la victime, elle, n’a aucune raison de se méfier d’un fil de discussion authentique. C’est la même logique que le faux conseiller bancaire, transposée à l’entreprise : la légitimité n’est pas imitée, elle est empruntée à un canal réel. Et c’est pourquoi la parade n’est pas de « mieux regarder l’email », mais de casser le canal : toute modification de coordonnées bancaires déclenche un contre-appel sortant vers un numéro historique — une règle écrite, nominative, non dérogeable, que détaille notre procédure anti-fraude au virement. Pour la dimension humaine, l’entraînement des équipes comptables à ce scénario précis complète le dispositif — au même titre que la reconnaissance des faux colis ou du faux support technique sur les postes de travail.

Questions fréquentes

Qu’est-ce que la fraude au RIB fournisseur ?

Une variante de l’escroquerie aux faux ordres de virement (FOVI) : le fraudeur usurpe l’identité d’un fournisseur pour « communiquer de nouvelles coordonnées bancaires (changement de RIB) » (Cybermalveillance.gouv.fr), et les factures réelles sont payées sur son compte.

Comment vérifier un changement de RIB annoncé par email ?

Uniquement par contre-appel au fournisseur sur un numéro déjà connu (contrat, base fournisseurs) — jamais celui du message. Confirmation orale explicite avant toute modification. Le retour d’email ne vaut rien si la boîte est compromise.

Pourquoi cette fraude est-elle si difficile à détecter ?

Parce que le paiement est légitime en tout point — vraie facture, vrai montant, vraie échéance — sauf la destination. La détection n’arrive souvent qu’à la relance du vrai fournisseur, des semaines après.

Que faire si le virement est déjà parti ?

Banque immédiatement (blocage et rappel des fonds), vrai fournisseur prévenu par téléphone, preuves conservées, plainte sous 72 heures (condition assurance, loi LOPMI), signalement via Cybermalveillance.gouv.fr.

La double authentification protège-t-elle de cette fraude ?

Elle ferme la porte de la compromission de messagerie (recommandation explicite de la fiche FOVI), mais pas celle du domaine sosie. Il faut les trois couches : messageries sécurisées, contre-appel non dérogeable, équipes entraînées.

Qui est responsable si l’entreprise paie sur un faux RIB ?

L’entreprise, en principe : le virement a été autorisé par elle, la banque n’a pas d’obligation générale de remboursement. La récupération passe par le rappel des fonds, la plainte et l’assurance — d’où l’importance de la prévention.

Sources (consultées le 08/09/2026) :

Cybermalveillance.gouv.fr, « Fraude au virement bancaire (FOVI) ou au faux ordre de virement, que faire ? », fiche réflexe mise à jour le 03/08/2026 : cybermalveillance.gouv.fr · fiche PDF (partenariat ministère de l’Intérieur / ANSSI)
Gendarmerie nationale, « Comment se prémunir contre les escroqueries aux faux ordres de virement ? » : gendarmerie.interieur.gouv.fr
Verizon, Data Breach Investigations Report 2026 : verizon.com
CESIN, 11e baromètre annuel de la cybersécurité (OpinionWay, janvier 2026) : cesin.fr