Un email arrive, en apparence anodin : votre fournisseur habituel vous informe d'un changement de coordonnées bancaires et vous prie de régler la prochaine facture sur un nouveau compte. Le logo est le bon, le ton est familier, la facture jointe est authentique. Vous payez. Sauf que l'email ne venait pas de votre fournisseur — et l'argent vient de partir chez un escroc.
C'est la fraude au faux fournisseur, l'une des escroqueries les plus efficaces visant les entreprises. Selon le rapport annuel de Cybermalveillance.gouv.fr, la fraude au virement a progressé de 93 % en un an et représente désormais une part majeure des demandes d'assistance des professionnels. Elle ne vise pas que les grands groupes : TPE, PME, associations et collectivités sont en première ligne. Comprendre sa mécanique, le partage de responsabilité avec la banque et les réflexes qui la coupent est devenu un enjeu de gestion courante.
Le mécanisme : usurper un fournisseur pour détourner le paiement
Le principe est simple, l'exécution soignée. Le fraudeur se fait passer pour un fournisseur légitime et annonce un changement de RIB, afin que les paiements à venir soient dirigés vers un compte qu'il contrôle. Plusieurs ingrédients renforcent la crédibilité :
- une adresse email très proche de celle du fournisseur réel (une lettre changée, un nom de domaine voisin), voire une vraie boîte compromise ;
- une facture authentique, parfois interceptée dans un échange réel ;
- un prétexte de relance ou une légère pression sur les délais de règlement.
Cette fraude se distingue de la fraude au président, qui usurpe l'identité d'un dirigeant pour faire exécuter un virement urgent : nous l'avons traitée dans notre article sur la fraude au président à l'ère de l'IA générative. Ici, la cible n'est pas l'autorité hiérarchique mais la routine comptable : un changement de RIB n'a rien d'extraordinaire, et c'est précisément ce qui le rend dangereux.
Une fraude en forte croissance
Les chiffres officiels confirment l'ampleur du phénomène. Au-delà de la progression de 93 % relevée par Cybermalveillance.gouv.fr, les faux ordres de virement (FOVI) représentent un préjudice massif : les services de l'État ont recensé, pour une seule année de référence, plusieurs centaines d'affaires pour un montant dépassant cent millions d'euros, selon les données diffusées par Tracfin et le ministère de l'Économie. La Banque de France, via son Observatoire de la sécurité des moyens de paiement, suit de près cette typologie qui pèse lourd dans la fraude scripturale.
La tendance de fond est claire : l'usurpation d'identité, dont la fraude au faux fournisseur est l'une des déclinaisons, structure aujourd'hui une large part des tentatives. La généralisation des vraies factures dans le scénario, et l'usage d'outils d'imitation toujours plus convaincants, rendent la vigilance humaine seule insuffisante.
Les variantes à connaître
La fraude au faux fournisseur appartient à la famille des faux ordres de virement (FOVI), qui en compte plusieurs déclinaisons souvent combinées :
- la fraude au président, où l'escroc se fait passer pour un dirigeant et exige un virement urgent et confidentiel ;
- la fraude au faux conseiller bancaire (ou spoofing), où le fraudeur usurpe le numéro de la banque pour faire valider une opération à la victime ;
- la fraude au changement de RIB d'un salarié, où c'est le compte de versement du salaire qui est détourné ;
- la fraude au test, où un premier petit virement « de vérification » sert à valider le compte frauduleux avant un transfert important.
Toutes reposent sur le même ressort : l'usurpation d'identité au service d'un détournement de paiement. Les fraudeurs n'hésitent pas à enchaîner les techniques — un email de faux fournisseur appuyé par un faux appel de « conseiller », par exemple. Identifier la variante en cause oriente à la fois la réponse immédiate et l'analyse des responsabilités. Les manipulations conduisant la victime à valider elle-même l'ordre représentent désormais une part importante des montants fraudés, ce qui déplace le débat vers la qualité des procédures internes plus que vers la seule sécurité technique.
Qui supporte la perte ? Le partage de responsabilité avec la banque
C'est la question qui fâche. Lorsque l'entreprise a elle-même ordonné le virement, même abusée, elle en supporte en principe la charge : il ne s'agit pas, juridiquement, d'une opération « non autorisée ». La perte ne se reporte donc pas automatiquement sur la banque.
La responsabilité de l'établissement ne peut être engagée que sur son devoir de vigilance. La jurisprudence rappelle que le banquier doit réagir face à des anomalies apparentes : ordres au caractère rapproché et répété, montants élevés, virements au bénéfice de sociétés ne faisant pas partie des relations d'affaires habituelles. Dans une décision rendue en 2025, une PME ayant subi onze virements frauduleux totalisant 1,3 million d'euros en un mois a ainsi obtenu la condamnation de sa banque pour manquement à son obligation de prudence, en raison de la répétition, des montants et du contexte incohérent des opérations.
Le cadre s'est par ailleurs clarifié : la chambre commerciale de la Cour de cassation, en janvier 2025, a jugé que ce contentieux relève du régime spécial du Code monétaire et financier (articles L133-18 et suivants), à l'exclusion de la responsabilité contractuelle de droit commun. Point essentiel pour la victime : lorsqu'un remboursement est en jeu, la charge de prouver une négligence grave du client incombe à la banque, et non l'inverse (articles L133-19 et L133-23 du même code). Reste que, dans la fraude au faux fournisseur, la marge de discussion est étroite — d'où le poids déterminant de la prévention.
Prévenir : les réflexes qui coupent la fraude
Aucune technologie ne remplace une procédure interne disciplinée. Quatre mesures concentrent l'essentiel de l'efficacité :
- Séparer les tâches : la personne qui enregistre un nouveau RIB ne doit jamais être celle qui valide le virement. Ce double contrôle est le premier rempart.
- Rappeler le fournisseur sur le numéro que vous détenez déjà — jamais celui indiqué dans l'email de demande — pour confirmer tout changement de coordonnées.
- Contrôler l'IBAN : vérifier la cohérence du pays (un IBAN soudain étranger pour un fournisseur français doit alerter). Depuis octobre 2025, les banques vérifient gratuitement et en temps réel la correspondance entre l'IBAN et le nom du bénéficiaire avant l'exécution d'un virement, un filet de sécurité supplémentaire.
- Vérifier le fournisseur en amont : avant un premier paiement à fort enjeu, s'assurer de la réalité et de la cohérence de la structure. Cette due diligence d'intégrité prolonge ce que nous exposons dans notre article sur la société écran et le bénéficiaire effectif.
La sensibilisation des équipes comptables et la fiche réflexe FOVI de Cybermalveillance.gouv.fr complètent utilement ce dispositif.
Réagir vite en cas de fraude avérée
Si le virement est parti, chaque heure compte :
- Contacter immédiatement la banque pour demander le rappel du virement (procédure de recall). Tant que les fonds n'ont pas été retirés, ils peuvent parfois être bloqués.
- Déposer plainte sans délai pour escroquerie (article 313-1 du Code pénal).
- Signaler les faits sur Cybermalveillance.gouv.fr ; pour les montants importants, le signalement permet parfois une saisie rapide via le circuit court de Bercy.
- Conserver toutes les preuves : emails, en-têtes techniques, factures, RIB, échanges, journaux de connexion.
Au-delà de l'urgence, l'identification du bénéficiaire des fonds est souvent la clé du dossier. Le compte récepteur est rarement celui de l'escroc : c'est un compte de passage, un prête-nom ou une société écran. Une investigation en sources ouvertes, factuelle et tracée, permet de documenter la structure destinataire et de constituer un dossier exploitable pour la plainte et l'action civile — la même rigueur que celle décrite dans notre méthodologie et appliquée à l'identification des auteurs d'une escroquerie en ligne.
Ce qu'il faut retenir
La fraude au faux fournisseur n'exploite pas une faille informatique, mais une faille de procédure : la confiance routinière accordée à un changement de RIB. Le droit pénal la réprime sévèrement et la jurisprudence encadre la responsabilité bancaire, mais l'entreprise abusée supporte le plus souvent la perte. La parade est organisationnelle : double contrôle, rappel téléphonique, vérification de l'IBAN et du fournisseur. Et lorsque la fraude a réussi, la rapidité de réaction et la qualité de l'investigation déterminent les chances de récupération.
Sources
- Code pénal, article 313-1 (escroquerie) — Légifrance
- Code pénal, article 441-1 (faux et usage de faux) — Légifrance
- Code monétaire et financier, articles L133-18 à L133-24 (régime des opérations de paiement, remboursement, négligence grave, charge de la preuve) — Légifrance
- Cour de cassation, chambre commerciale, janvier 2025 (responsabilité bancaire en cas de virement frauduleux — régime spécial du Code monétaire et financier)
- Cybermalveillance.gouv.fr — Escroquerie aux faux ordres de virement (FOVI), fiche réflexe et rapport annuel d'activité — cybermalveillance.gouv.fr
- Ministère de l'Économie / Tracfin — Alerte aux faux ordres de virement (FOVI) — economie.gouv.fr
- Banque de France — Observatoire de la sécurité des moyens de paiement (OSMP), rapport sur la fraude — banque-france.fr
- Règlement (UE) 2024/886 sur les virements instantanés (vérification du bénéficiaire — Verification of Payee, applicable depuis octobre 2025)
Questions fréquentes
Qu'est-ce que la fraude au faux fournisseur ?
C'est une escroquerie par laquelle un fraudeur usurpe l'identité d'un fournisseur habituel de l'entreprise pour lui demander de modifier les coordonnées bancaires de règlement. L'entreprise, croyant payer son fournisseur, exécute le virement sur le compte de l'escroc. La fraude s'appuie souvent sur une vraie facture interceptée et sur une adresse email très proche de celle du fournisseur réel (lettre modifiée, nom de domaine voisin), ce qui la rend difficile à repérer. Elle se distingue de la fraude au président, qui usurpe l'identité d'un dirigeant pour ordonner un virement urgent.
Que risque pénalement l'auteur d'une telle fraude ?
L'escroquerie est punie par l'article 313-1 du Code pénal de cinq ans d'emprisonnement et 375 000 euros d'amende, peines aggravées en bande organisée. La fabrication ou l'usage d'un faux RIB ou de faux documents relève en outre du faux et usage de faux, réprimé par l'article 441-1 du Code pénal. Encore faut-il identifier les auteurs, souvent dissimulés derrière des comptes de passage, des prête-noms ou des sociétés écrans, fréquemment à l'étranger, ce qui rend l'enquête et le recouvrement complexes.
Si mon entreprise paie le mauvais compte, la banque doit-elle rembourser ?
Pas automatiquement. Lorsque l'entreprise a elle-même ordonné le virement, même trompée, elle supporte en principe la perte : il ne s'agit pas d'une opération non autorisée au sens strict. La responsabilité de la banque ne peut être engagée que sur son devoir de vigilance, lorsque les ordres présentaient des anomalies apparentes — montants élevés, opérations rapprochées et répétées, bénéficiaires étrangers à vos relations d'affaires. La chambre commerciale de la Cour de cassation a confirmé, en janvier 2025, que ce contentieux relève du régime spécial du Code monétaire et financier. La charge de prouver une négligence grave du client incombe à la banque.
Quels sont les bons réflexes pour éviter cette fraude ?
Trois mesures sont déterminantes. D'abord, la séparation des tâches : la personne qui saisit un nouveau RIB ne doit jamais être celle qui exécute le virement. Ensuite, la vérification systématique de toute demande de changement de coordonnées par un appel direct au fournisseur, sur le numéro que vous détenez déjà — jamais celui figurant dans l'email suspect. Enfin, le contrôle de cohérence de l'IBAN, notamment de son pays. Depuis octobre 2025, les banques vérifient en outre gratuitement la correspondance entre l'IBAN et le nom du bénéficiaire avant un virement, ce qui ajoute un filet de sécurité.
Que faire si le virement frauduleux est déjà parti ?
Agir dans l'heure. Contactez immédiatement votre banque pour demander le rappel du virement (procédure de recall) : si les fonds n'ont pas encore été retirés, ils peuvent parfois être bloqués. Déposez plainte sans délai pour escroquerie (article 313-1 du Code pénal). Signalez les faits sur la plateforme Cybermalveillance.gouv.fr et, pour les montants significatifs, le signalement de Tracfin permet parfois une saisie rapide des fonds. Conservez l'intégralité des preuves : emails, factures, RIB, échanges, journaux de connexion.
Comment retrouver le bénéficiaire des fonds détournés ?
Le compte récepteur est rarement celui de l'escroc en personne : il s'agit souvent d'un compte de passage, d'un prête-nom ou d'une société écran, parfois à l'étranger. Une investigation en sources ouvertes permet de documenter la structure destinataire — dirigeants, bénéficiaire effectif, cohérence d'activité — et de constituer un dossier exploitable pour la plainte et l'action civile. C'est la même logique d'identification du contrôle réel d'une structure que celle exposée dans notre article sur la société écran et le bénéficiaire effectif.
Comment vérifier un fournisseur avant de travailler avec lui ?
La prévention commence en amont de toute relation commerciale. Vérifier l'existence et la cohérence d'un fournisseur — immatriculation, dirigeants, ancienneté, réalité d'exploitation — réduit le risque de traiter avec une structure de façade. Cette due diligence d'intégrité, conduite en sources ouvertes et dans le respect du RGPD, complète l'enquête de solvabilité classique. Elle est particulièrement recommandée avant un premier paiement à fort enjeu ou l'ouverture d'un compte fournisseur à encours élevé.
Président du Cabinet Normazur · Détective privé agréé CNAPS
Fondateur du Cabinet Normazur basé à Antibes. Plus de 25 ans d'expérience en investigations privées pour entreprises, professionnels du droit et particuliers en PACA et Normandie.