Fraude à la facture email : vérifier le faux IBAN

Une procédure sûre avant d’ouvrir ou de payer

La bonne méthode doit être simple à répéter. Elle doit fonctionner même lorsque la demande semble urgente.

1. 1Mettez la demande en pause, surtout si elle change un compte ou une échéance.
2. 2Inspectez l’expéditeur, l’objet, le montant et la pièce jointe sans cliquer.
3. 3Vérifiez le fournisseur par un canal indépendant déjà connu.
4. 4Comparez l’IBAN avec vos données fiables et le bénéficiaire affiché par la banque.
5. 5Signalez la demande ou payez seulement après confirmation documentée.

1. Mettez le paiement en pause

Ne répondez pas immédiatement. Ne cliquez pas sur un lien contenu dans le message et ne composez pas un numéro ajouté sur la facture si vous avez un doute.

Conservez le message original, l’adresse complète de l’expéditeur et la pièce jointe. Ces éléments pourront aider votre banque, votre responsable informatique ou les autorités à comprendre ce qui s’est passé.

2. Inspectez la demande

Notez ce qui a changé par rapport aux habitudes :

• le compte bancaire ;
• le montant ;
• la devise ;
• la personne qui demande le paiement ;
• le délai ;
• la facture ou le bon de commande associé.

Si vous devez examiner une pièce jointe, faites-le avec prudence. Un antivirus intégré peut analyser le fichier avant son ouverture, mais aucune analyse ne garantit à elle seule que le contenu commercial est authentique. La sécurité technique et la vérification du fournisseur sont deux étapes différentes.

Mailamber propose justement une vérification intégrée des pièces jointes avant leur ouverture. Elle peut aider à repérer certains risques techniques, mais elle ne remplace pas la confirmation du fournisseur ni le contrôle de l’IBAN.

3. Utilisez un canal indépendant

Appelez le fournisseur avec le numéro déjà présent dans votre annuaire, votre contrat ou une facture antérieure fiable. N’utilisez pas le numéro figurant uniquement dans le message suspect.

Vous pouvez aussi vous connecter au portail fournisseur en saisissant vous-même son adresse connue, ou demander une confirmation par un contact habituel. Demandez clairement : « Confirmez-vous le nouvel IBAN et le montant de cette facture ? »

Ne demandez pas seulement si « le mail est vrai ». Faites confirmer l’information qui engage l’entreprise : le compte bénéficiaire, la référence et le montant.

4. Comparez l’IBAN avec vos données fiables

Un IBAN ne doit pas être validé parce qu’il ressemble à un autre. Comparez-le caractère par caractère avec la fiche fournisseur approuvée et avec la confirmation obtenue par téléphone ou sur un portail officiel.

Faites attention aux copier-coller. Une erreur d’espace, un caractère manquant ou un IBAN remplacé dans votre logiciel peut créer un nouveau risque. Pour un changement de coordonnées bancaires, prévoyez une règle interne : double validation par une personne qui ne prépare pas seule le paiement.

5. Gardez une trace de la décision

Notez la date, le nom de la personne contactée, le numéro utilisé et la confirmation obtenue. Vous n’avez pas besoin d’un long rapport. Une note courte dans le dossier fournisseur suffit souvent à expliquer pourquoi le compte a été accepté ou refusé.

Si la demande est suspecte, transférez-la au responsable désigné sans la modifier. Signalez également l’incident à votre banque si des coordonnées bancaires ont été communiquées ou si un virement est parti.

La CNIL rappelle les bons réflexes face aux messages frauduleux, notamment la prudence devant les demandes inhabituelles et les liens inattendus. Pour les autres démarches, suivez les consignes de votre banque et les procédures locales.

Que faire si la pièce jointe ou la demande semble suspecte ?

Ne l’ouvrez pas à plusieurs reprises pour « voir ce qu’elle contient ». Ne la transférez pas à des collègues sans avertissement : vous pourriez étendre le risque.

Placez le message dans un dossier réservé aux vérifications ou demandez conseil à votre prestataire informatique. Si la pièce jointe déclenche une alerte, ne cherchez pas à la contourner. L’alerte est un signal pour changer de méthode, pas un obstacle à forcer.

Si vous avez ouvert le fichier mais n’avez pas payé, fermez-le, déconnectez si une procédure interne le prévoit et prévenez la personne responsable de la sécurité. Changez un mot de passe seulement si vous l’avez saisi sur un site douteux, et faites-le depuis un appareil sûr.

Si un virement a déjà été effectué, contactez immédiatement la banque. Demandez si une suspension ou un rappel est encore possible. Prévenez ensuite le fournisseur par un canal indépendant, conservez toutes les preuves et suivez la procédure de signalement applicable dans votre pays.

Pour une entreprise, il est utile de définir à l’avance qui vérifie les changements d’IBAN. La page dédiée aux entreprises et aux équipes peut aussi aider à réfléchir à un cadre de travail commun autour des boîtes mail et des responsabilités.

Exemple : vérifier un nouveau compte bancaire

L’entreprise fictive Atelier Lune reçoit une facture de 2 480 € de son fournisseur de papier, « Papeterie du Parc ». Le message arrive dans un fil utilisé depuis plusieurs mois. Le PDF comporte le logo habituel et indique un nouvel IBAN, avec la mention : « Merci d’utiliser ce compte pour tous les prochains règlements. »

Sophie, responsable administrative, remarque trois détails. Le message demande une confirmation le jour même, l’adresse d’expédition contient une variante du domaine habituel et l’IBAN n’apparaît pas dans la fiche fournisseur.

Elle ne répond pas au fil. Elle consulte son logiciel comptable et retrouve l’ancienne facture de Papeterie du Parc, avec un autre IBAN. Elle appelle ensuite le numéro figurant dans le contrat signé, et non celui indiqué dans le nouveau PDF.

Le fournisseur confirme qu’il n’a demandé aucun changement. Sophie transmet le message au prestataire informatique et à la banque. Elle prévient aussi Papeterie du Parc qu’une usurpation circule.

Dans cet exemple, aucun indice n’a été traité seul comme une preuve. C’est la rupture de la chaîne qui a permis de détecter le faux : canal indépendant, comparaison avec une donnée fiable, puis signalement.

Si le fournisseur avait réellement changé de banque, Sophie aurait demandé un document confirmé par un contact connu, fait mettre à jour la fiche fournisseur selon la procédure interne et obtenu une seconde validation avant le paiement.

Les erreurs courantes qui facilitent la fraude

Faire confiance au fil de discussion

Un fil ancien donne une impression de continuité. Il peut pourtant être contrôlé par un compte compromis. Utilisez-le comme contexte, jamais comme unique preuve.

Appeler le numéro de la facture

Si la facture est fausse, le numéro peut l’être aussi. Conservez des coordonnées validées dans votre annuaire, vos contrats ou vos dossiers fournisseurs.

Modifier l’IBAN sans seconde validation

Une seule personne peut préparer une modification par erreur ou sous pression. Séparez la saisie et l’approbation lorsque cela est possible.

Se fier au logo ou à la mise en page

Les logos se copient facilement. Une présentation professionnelle ne confirme ni l’identité de l’expéditeur ni la destination du paiement.

Payer d’abord et vérifier ensuite

Un virement peut être difficile à récupérer. La vérification doit précéder l’ordre de paiement, même lorsque le montant semble modeste.

Confondre analyse antivirus et validation commerciale

Un fichier sans alerte technique peut toujours contenir un faux IBAN. L’analyse protège contre certains risques liés à la pièce jointe ; elle ne confirme pas le fournisseur.

Enfin, évitez de multiplier les règles compliquées. Une procédure courte, connue de tous et appliquée à chaque changement de coordonnées bancaires sera plus utile qu’un long document rarement consulté.

Questions fréquentes

Un IBAN qui commence par le bon pays est-il fiable ?

Non. Le pays et la structure de l’IBAN peuvent sembler corrects alors que le compte appartient à un fraudeur. Comparez toujours l’IBAN à une donnée fiable et confirmez le changement avec le fournisseur.

Peut-on se fier à l’adresse email habituelle du fournisseur ?

Pas entièrement. Une boîte mail peut être compromise, et une adresse proche peut imiter l’originale. Pour une demande sensible, utilisez un numéro ou un portail déjà connu, indépendamment du message reçu.

Que faire si le fournisseur confirme vraiment le changement ?

Demandez une confirmation claire du nouvel IBAN, de la facture concernée et de la date d’entrée en vigueur. Faites ensuite appliquer votre procédure interne, avec une seconde validation si elle existe, avant de modifier la fiche fournisseur ou de payer.

Faut-il ouvrir la facture pour vérifier si elle est fausse ?

Pas nécessairement. Commencez par inspecter l’expéditeur et la demande, puis vérifiez le fournisseur par un canal indépendant. Si vous devez examiner le fichier, utilisez une analyse de sécurité et n’activez jamais de contenu ou de programme demandé de façon inattendue.

Une entreprise peut-elle se protéger avec une seule règle ?

Une règle unique ne suffit pas à tous les cas, mais une consigne simple réduit les erreurs : tout changement d’IBAN doit être confirmé hors du fil email avant paiement. Ajoutez une trace de la confirmation et une seconde validation lorsque le contexte le permet.