Fraude au RIB : un fournisseur vous envoie un nouveau RIB. Vrai ou faux ?
Un fournisseur vous envoie un nouveau RIB juste avant un virement. QoBot vous dit quoi vérifier, quel numéro appeler, et rédige une règle simple pour tout changement de coordonnées bancaires. Si l'argent est déjà parti, il vous guide pendant la première heure.
Ne payez pas tout de suite. Trois éléments ne collent pas : les réponses partent vers une adresse Gmail, le nouveau compte est en Lituanie alors que Cartonnages Morel facture depuis Angers, et l'e-mail demande de confirmer par retour. Avant le virement de 14 000 € prévu vendredi :
- Sophie (comptabilité): appeler Cartonnages Morel au numéro du contrat et leur faire lire l'IBAN à voix haute · ~5 minÀ vous
- Vous: valider le changement une fois que Sophie a noté l'appel · deuxième validationVotre accord
- Karim (prestataire informatique): publier l'enregistrement DMARC de votre domaine · consignes rédigées · ~15 minÀ vous
Faux RIB : qui fait quoi
Ce que fait QoBot
- Lit l'e-mail avec vous et liste les signaux d'alerte, en langage clair.
- Vous dit quel numéro appeler : celui de votre contrat ou de votre fiche fournisseur, jamais celui de l'e-mail.
- Rédige votre règle de changement de RIB d'après la façon dont votre équipe paie aujourd'hui, avec le nom de la personne qui vérifie et de celle qui valide.
- Prépare le message qui prévient vos fournisseurs que vous n'acceptez aucun changement de RIB par e-mail.
- Écrit, pour la personne qui gère votre domaine, les enregistrements DNS qui empêchent des inconnus d'envoyer des e-mails en votre nom.
- Si l'argent est parti, donne un par un les gestes de la première heure et prépare le dossier pour la plainte et l'assureur.
Ce que fait votre équipe
- Faire le contre-appel, et retenir le virement tant que l'appel n'est pas passé.
- Valider la procédure et la transmettre aux personnes qui font les virements.
- Appeler votre banque tout de suite si un virement est déjà parti.
- Déposer plainte et déclarer le sinistre à votre assureur.
L’e-mail est-il faux ? Les signes à vérifier
Le faux RIB arrive par e-mail, souvent avec une nouvelle facture ou un courrier à l’en-tête du fournisseur. Avant tout, cherchez ces signes :
- Les réponses partent ailleurs. L’adresse de réponse (Reply-To) diffère de l’expéditeur, ou c’est une adresse de messagerie gratuite.
- L’adresse est presque la bonne. Une lettre changée (
cartonnages-more1.fr), un mot ajouté (cartonnages-morel-compta.fr), une autre extension. - Le nouveau compte est dans un autre pays que celui du fournisseur, ou dans une banque qu’il n’a jamais utilisée.
- Une explication toute prête : un audit, une fusion de banques, un compte bloqué, un nouveau directeur financier.
- La pression : le paiement est dû aujourd’hui, le sujet est confidentiel, « merci de confirmer par retour de mail ».
Un e-mail sans aucun de ces signes peut quand même être faux. La messagerie d’un fournisseur peut être piratée : l’e-mail part alors de la vraie adresse et passe tous les contrôles techniques. Seul le contre-appel tranche.
La règle qui arrête la fraude
Trois réflexes, mis par écrit et connus de tous ceux qui font des paiements :
- Rappeler à un numéro que vous aviez déjà. Celui du contrat, d’une facture reçue avant la demande, ou du site du fournisseur tapé à la main. Jamais le numéro, l’adresse ou le lien de la demande. Demandez au fournisseur de lire le nouvel IBAN à voix haute, et comparez.
- Deux personnes pour tout changement de RIB. Une personne saisit les nouvelles coordonnées, une autre valide le premier virement. Dans une petite équipe, c’est le dirigeant qui valide.
- Bloquer le virement tant que l’appel n’est pas noté : date, numéro appelé, personne jointe. Un vrai fournisseur accepte d’attendre un jour ; un fraudeur insiste.
Votre banque peut aussi vous aider. Dans la zone euro, depuis le 9 octobre 2025, elle vérifie que le nom saisi correspond bien au compte avant d’envoyer un virement en euros. Les autres pays de l’UE suivent au plus tard le 9 juillet 2027, et les banques britanniques ont un contrôle comparable. Si la banque signale que le nom ne correspond pas, arrêtez tout et rappelez. Si le nom correspond, faites quand même le contre-appel.
La même règle vaut pour un salarié qui change de compte pour sa paie, un client qui demande un remboursement sur un nouveau compte, ou un « virement urgent » demandé par un dirigeant (la fraude au président). Dans tous les cas, appelez la personne au numéro que vous connaissez. Si plusieurs sociétés ou sites de votre groupe paient des fournisseurs, QoBot rédige la règle avec, pour chacun, le nom de la personne qui vérifie et de celle qui valide.
L’argent est parti : la première heure
Chaque heure compte, alors n’attendez pas d’être sûr.
- Appelez votre banque maintenant, au numéro de son site ou de votre carte. Donnez le montant, la date et l’heure, et le compte destinataire. Demandez le rappel des fonds, ou le blocage si le virement n’est pas encore parti.
- Gardez les preuves : les e-mails avec leurs en-têtes complets, la facture, l’ordre de virement. N’effacez rien.
- Prévenez le vrai fournisseur par téléphone. Sa messagerie est peut-être piratée, et ses autres clients sont peut-être visés.
- Déposez plainte. Votre banque peut en avoir besoin pour traiter le rappel des fonds.
- Déclarez le sinistre à votre assureur, dans le délai de votre contrat.
- Vérifiez votre propre messagerie (règles de transfert, connexions inconnues) et changez le mot de passe. Si elle a été piratée, des données clients ont pu être exposées : suivez les étapes d’un incident.
L’endroit où porter plainte dépend de votre pays :
| Pays | Où signaler |
|---|---|
| Tout pays de l’UE | Europol liste le service de signalement en ligne de chaque pays |
| France | Plainte au commissariat ou à la gendarmerie, ou par courrier au procureur de la République. 17Cyber vous aide 24 h/24. Si la fraude est passée par une messagerie piratée et que vous demandez une indemnisation à votre assureur, portez plainte sous 72 heures, comme l’exige la loi pour indemniser une cyberattaque |
| Allemagne | Le commissariat en ligne (Onlinewache) de votre Land, ou tout commissariat |
| Royaume-Uni | Report Fraud (ex-Action Fraud) pour l’Angleterre, le pays de Galles et l’Irlande du Nord ; Police Scotland au 101 en Écosse |
QoBot donne les étapes une à une et prépare le récapitulatif que la banque, la police et l’assureur vous demanderont : montants, heures, comptes, e-mails reçus. Il ne promet jamais de récupérer l’argent.
Empêcher qu’on usurpe votre domaine
Les fraudeurs se font aussi passer pour vous, en écrivant à vos clients depuis compta@votre-entreprise.fr. Trois enregistrements DNS l’empêchent :
- SPF liste les serveurs autorisés à envoyer des e-mails pour votre domaine.
- DKIM signe chaque e-mail, pour que le destinataire puisse vérifier qu’il n’a pas été falsifié.
- DMARC dit aux destinataires quoi faire d’un e-mail qui échoue aux deux contrôles, et vous envoie des rapports.
DMARC se met en place en trois étapes : observer (p=none) quelques semaines, le temps de configurer chaque outil qui envoie en votre nom, puis mettre en quarantaine, puis rejeter. Seules les deux dernières étapes bloquent quelque chose. QoBot recense les outils qui envoient avec votre domaine, écrit les enregistrements exacts pour votre messagerie et rédige les consignes pour la personne qui gère vos DNS.
Questions fréquentes
L'e-mail vient vraiment de l'adresse de notre fournisseur. On peut payer ?
Pas sur ce seul indice. Les fraudeurs piratent souvent la messagerie du fournisseur et écrivent depuis sa vraie adresse : l'e-mail passe alors tous les contrôles techniques. Seul un appel à un numéro que vous aviez déjà confirme le changement.
La banque va-t-elle nous rembourser ?
Cela dépend de votre pays, du mode de paiement et de la rapidité de votre appel. Votre banque demande à la banque du destinataire de restituer les fonds : plus vous appelez tôt, plus vous avez de chances. Elle peut vous demander une copie de votre plainte.
SPF, DKIM et DMARC arrêtent-ils cette fraude ?
Ils empêchent des inconnus d'envoyer des e-mails qui prétendent venir de votre propre domaine. Contre un domaine qui ressemble à celui du fournisseur ou contre sa messagerie piratée, c'est la règle du contre-appel qui vous protège.
DMARC est-il obligatoire ?
Aucune loi ne le cite nommément. Le RGPD impose une sécurité adaptée au risque, et DMARC est un moyen courant de protéger votre domaine. Certains clients et assureurs le demandent.
QoBot peut-il appeler le fournisseur ou bloquer le virement ?
Non. QoBot vous dit quoi vérifier et prépare les documents ; votre équipe passe l'appel, et seule votre banque peut bloquer ou rappeler un virement.
Sources
- Règlement (UE) 2024/886 (virements instantanés), vérification du bénéficiaireEUR-Lex · la banque vérifie le nom du bénéficiaire avant le virement (art. 5 quater du règlement 260/2012)Texte officiel
- Banque centrale européenne : le règlement sur les paiements instantanésVérification du bénéficiaire : zone euro depuis le 9 octobre 2025, autres pays de l'UE au 9 juillet 2027 (en anglais)Page officielle
- Cybermalveillance.gouv.fr : la fraude aux faux ordres de virement (FOVI)Dispositif national · prévention, que faire si vous êtes victimePage officielle
- Cybermalveillance.gouv.fr : que faire en cas de fraude au faux RIBDispositif national · alerter la banque, garder les preuves, porter plaintePage officielle
- 17CyberGuichet national d'assistance aux victimes, 24 h/24Page officielle
- Code des assurances, article L12-10-1Légifrance · plainte sous 72 heures pour être indemnisé après une cyberattaqueTexte officiel
- Europol : signaler la cybercriminalité en ligneLiens vers le service de signalement en ligne de chaque pays de l'UE (en anglais)Page officielle
- Police allemande : commissariat en ligne (Onlinewache)Plainte en ligne auprès de la police de chaque Land (Allemagne)Page officielle
- Report Fraud (ex-Action Fraud)City of London Police · Angleterre, pays de Galles, Irlande du Nord ; en Écosse, Police Scotland au 101Page officielle
- RFC 7489 : DMARCIETF · avec la RFC 7208 (SPF) et la RFC 6376 (DKIM)Texte officiel
Cette page explique les règles simplement. Ce n'est pas un conseil juridique : pour un cas limite, demandez à un avocat. Signaler une erreur