Faux RIB, arnaque au président : la procédure qui évite le virement à un escroc

Un fournisseur annonce un nouveau RIB, un dirigeant exige un virement urgent et confidentiel, un « conseiller » de la banque vous demande de valider une opération. Le ressort n'est pas technique : c'est un salarié de bonne foi qui fait lui-même le virement. Voici comment ces fraudes fonctionnent, la procédure qui les arrête, l'apport de la vérification du bénéficiaire et que faire si l'argent est parti. Pour repérer un faux message, voyez nos 10 signes d'hameçonnage.

01Trois scénarios, un même but

Les forces de l'ordre parlent de « faux ordres de virement » (FOVI) : obtenir de la victime « un virement qu'elle pense légitime vers un compte bancaire géré par l'escroc ». En 2025, la police judiciaire a été informée de 640 affaires visant des entreprises, administrations et collectivités, pour 43 millions d'euros de préjudice (rapport 2025 de l'Observatoire de la sécurité des moyens de paiement, Banque de France, septembre 2026). Les demandes d'assistance des entreprises et associations pour fraude au virement ont bondi de 93 % en un an chez Cybermalveillance.gouv.fr (bilan 2025, publié le 6 mai 2026).

Le faux fournisseur et son « nouveau RIB »

L'escroc se fait passer pour un fournisseur et annonce un changement de coordonnées bancaires. Son message vient d'une adresse imitée, avec une lettre changée ou une autre extension (CNIL, avril 2021), ou de la vraie messagerie du fournisseur, piratée. Variante : un faux salarié demande de verser son salaire sur un autre compte (fiche réflexe Cybermalveillance.gouv.fr, version d'avril 2023).

Le faux président

L'escroc usurpe l'identité d'un dirigeant, ou de son avocat, et obtient d'un collaborateur un virement vers un nouveau compte en insistant sur l'urgence et la confidentialité. L'Observatoire prévient que l'intelligence artificielle, capable d'imiter la voix ou l'image d'un dirigeant, pourrait entretenir ces escroqueries.

Le faux conseiller bancaire

Un prétendu agent antifraude de votre banque, qui usurpe parfois son numéro, signale des opérations suspectes et demande des codes ou une validation dans l'application. Ces actions servent en réalité à valider ses propres virements (fiche réflexe Cybermalveillance.gouv.fr, février 2024). Or une banque n'a jamais besoin de demander à son client « quelque manœuvre que ce soit » pour arrêter un paiement suspect (communiqué de l'Observatoire, 7 septembre 2026).

02Les signaux qui doivent tout arrêter

• Un changement de coordonnées bancaires, quel que soit le motif.
• Une demande urgente, confidentielle, ou qui contourne la procédure habituelle.
• Un compte à l'étranger : celui de l'escroc l'est souvent, note Cybermalveillance.gouv.fr.
• Une invitation à poursuivre l'échange sur WhatsApp, Signal ou Telegram, procédé courant selon l'Observatoire.

03La procédure interne qui protège

Cybermalveillance.gouv.fr recommande une procédure de vérification et de validation « non dérogeable » pour les virements imprévus et les changements de coordonnées bancaires. Cinq règles, écrites et validées par la direction :

1. Tenez un registre des RIB de vos fournisseurs et salariés, avec pour chacun un numéro de téléphone connu. La CNIL conseille de tenir à jour une liste des contacts fournisseurs.
2. Faites un contre-appel au numéro déjà connu : celui du registre, d'un ancien dossier ou du site officiel, jamais celui du message ou de la facture reçue.
3. Imposez un délai à tout changement de coordonnées : aucun paiement sur un nouveau RIB avant le contre-appel et la seconde validation, même si l'échéance presse. « Ne réalisez jamais d'opération sous la pression et dans la précipitation », insiste l'Observatoire.
4. Exigez une double validation au-delà d'un seuil : l'Observatoire conseille de confier la saisie et la validation des paiements à des personnes distinctes. Demandez aussi à votre banque des plafonds par opération, par bénéficiaire ou par jour.
5. Aucune exception, même pour le dirigeant. Appliquer la procédure à un « président » pressé mérite des félicitations, jamais un reproche.

Côté messagerie, la double authentification protège vos comptes, et les réglages SPF, DKIM et DMARC compliquent l'envoi de faux messages au nom de votre domaine.

À retenir

La procédure ne vaut que si personne ne peut la contourner « parce que c'est urgent ». L'urgence et la confidentialité sont précisément les leviers de l'escroc.

04La vérification du bénéficiaire : un filet, pas une garantie

Depuis le 9 octobre 2025, les banques de la zone euro doivent proposer gratuitement la vérification du bénéficiaire, en application du règlement (UE) 2024/886 (Service Public, 29 septembre 2025). Avant que vous ne validiez un virement SEPA (en euros), classique ou instantané, votre banque demande à celle du bénéficiaire si le nom saisi correspond au titulaire de l'IBAN. Quatre réponses : concordance, concordance partielle (avec le vrai nom), absence de concordance, vérification impossible. Le service vaut aussi pour les entreprises, qui peuvent y renoncer pour des remises de virements groupés, précise le guide du CFONB, l'instance de normalisation bancaire française (septembre 2025).

Ses limites :

• vous pouvez valider malgré une alerte, mais les conséquences sont alors pour vous, rappelle le CFONB ;
• elle n'est pas disponible, par exemple, pour les virements internationaux ou en devises, précise l'Observatoire ;
• elle vérifie un nom, pas la légitimité d'une demande : si le faux président vous donne le nom exact du titulaire du compte, la réponse sera « concordance ».

Attention

Une absence de concordance sur le RIB « mis à jour » d'un fournisseur habituel est un signal d'alarme. Ne retouchez pas le nom pour faire passer le virement : faites le contre-appel.

05Ce que la banque fait, et ne fait pas

D'après la foire aux questions de la Banque de France (consultée le 30 octobre 2026) :

• Pas d'annulation : un ordre de virement ne peut plus être annulé dès que votre banque l'a reçu.
• Pas de responsabilité sur l'IBAN que vous avez fourni : si vous avez saisi vous-même le RIB de l'escroc, la banque n'est pas responsable. La Cour de cassation l'a confirmé le 15 janvier 2025, pour un IBAN remplacé via une messagerie piratée, en écartant tout reproche de défaut de vigilance (Service Public, 13 février 2025).
• Une tentative de récupération : votre banque peut demander à celle du bénéficiaire un retour des fonds (« recall ») pour fraude, sans garantie : le résultat peut dépendre d'une procédure judiciaire.
• Les opérations non autorisées, passées sans votre consentement, doivent en principe être remboursées immédiatement, sauf si la banque prouve une négligence grave ou une fraude de votre part. Pour une entreprise, la convention de compte peut toutefois prévoir d'autres règles : relisez-la.

06Le virement est parti : les bons réflexes

D'après les fiches réflexes de Cybermalveillance.gouv.fr :

1. Appelez votre banque immédiatement et demandez le retour des fonds.
2. Identifiez tous les virements exécutés, en attente ou à venir vers l'escroc, faites suspendre ceux qui peuvent l'être et bloquez ses coordonnées dans vos logiciels.
3. Conservez les preuves : numéros de téléphone, messages, ordres de virement, factures.
4. Portez plainte au commissariat, à la gendarmerie ou par écrit au procureur de la République. Votre banque pourra l'exiger pour récupérer les sommes. Ces escroqueries ne relèvent pas de la plainte en ligne THESEE, précise l'Observatoire.
5. Si une messagerie a été piratée, changez son mot de passe et suivez notre article messagerie piratée : que faire. Le service public 17Cyber, ouvert aux entreprises et accessible à toute heure, établit un diagnostic et peut vous orienter vers un prestataire (Cybermalveillance.gouv.fr, mise à jour le 6 novembre 2025).

Bon à savoir

Si la fraude est passée par le piratage d'une messagerie et que vous comptez sur une assurance cyber, l'indemnisation exige une plainte déposée au plus tard 72 heures après la connaissance de l'atteinte (article L12-10-1 du Code des assurances).

En résumé

• Faux fournisseur, faux président, faux conseiller : la victime fait ou valide elle-même le virement, sous la pression.
• Une procédure écrite et sans exception : registre des RIB, contre-appel au numéro connu, délai sur tout changement de coordonnées, double validation au-delà d'un seuil.
• La vérification du bénéficiaire aide, mais ne contrôle qu'un nom et ne couvre pas les virements internationaux.
• Virement parti : appelez votre banque sans attendre pour tenter un retour des fonds, puis portez plainte.

Pour protéger vos messageries et former vos équipes à repérer ces demandes, découvrez nos solutions de cybersécurité. Vous pouvez aussi nous contacter du lundi au vendredi, de 9 h à 18 h.