La fraude au changement d'IBAN est le schéma le plus courant en France — et celui qui coûte le plus cher. Le principe : intercepter une facture légitime, changer l'IBAN, et renvoyer le PDF modifié. Le comptable paie, croit avoir réglé son fournisseur, mais l'argent part sur le compte du fraudeur.
La mécanique de l'attaque
L'attaque suit presque toujours le même pattern :
- Étape 1 — Reconnaissance. Le fraudeur identifie une relation commerciale récurrente (A paie B chaque mois). LinkedIn, sites d'entreprise, ou emails déjà piratés lui donnent les infos.
- Étape 2 — Interception. Soit il pirate la boîte mail du fournisseur (phishing), soit il usurpe un domaine proche (
acme-sas.frau lieu deacme.fr). - Étape 3 — Substitution. Il intercepte une facture en attente, modifie l'IBAN dans le PDF, renvoie la facture "corrigée" au client avec un message du type « notre banque a changé, merci de mettre à jour vos coordonnées ».
- Étape 4 — Blanchiment. L'argent arrive sur un compte mule (ouvert dans un pays à supervision laxiste), puis est aussitôt fractionné et viré ailleurs.
Taux de récupération après virement frauduleux : 8% seulement. L'argent quitte le compte mule dans les 2-6 heures. La seule défense efficace est la prévention avant paiement.
Les 5 signaux d'une fraude au changement d'IBAN
Si vous recevez une facture d'un fournisseur connu avec un IBAN différent, vérifiez ces points :
- Pays IBAN incohérent — fournisseur français mais IBAN MT, LT, EE, BG ? Très suspect.
- Urgence injustifiée — « à régler dès réception », « avant fin de journée », alors que les délais habituels sont 30-60 jours.
- Email expéditeur légèrement modifié —
compta@acme.frdevientcomptabilite@acme-sas.fr. Typosquat classique. - Pas de contact téléphonique spontané — un vrai fournisseur appelle pour prévenir d'un changement de RIB.
- Nouveau titulaire de compte — l'IBAN appartient à un nom qui n'a rien à voir avec votre fournisseur (particulier, holding étrangère…).
La procédure de vérification en 3 étapes
Règle absolue : avant tout virement sur un IBAN modifié, appliquer ces 3 vérifications. Temps nécessaire : 5 minutes. Économies potentielles : 66 000€.
1. Rappeler le fournisseur — sur l'ancien numéro
Appelez le contact habituel sur un numéro que vous aviez déjà dans vos archives. Jamais le numéro indiqué sur la nouvelle facture (potentiellement modifié par le fraudeur). Demandez confirmation du changement d'IBAN directement.
2. Vérifier l'IBAN techniquement
Vérifications automatiques à faire :
- Format ISO 13616 — longueur correcte pour le pays (FR=27, DE=22, BE=16…)
- Mod-97 checksum — clé de contrôle IBAN valide
- Cohérence BIC/IBAN — le pays du BIC doit matcher le pays de l'IBAN
- Verification of Payee (VoP) — le titulaire du compte correspond-il au nom du fournisseur ? Obligatoire au niveau UE depuis octobre 2025.
3. Lire l'email avec méfiance
Survolez (sans cliquer) les liens. Comparez l'adresse expéditeur caractère par caractère avec vos emails précédents. Attention aux lettres visuellement similaires : 0/O, 1/l/I, rn/m.
Qoovert stocke l'historique IBAN de chaque fournisseur. Dès qu'une facture arrive avec un IBAN différent de celui connu, vous recevez une alerte rouge instantanée avant le paiement. Plus de vérification manuelle à oublier. Essayer gratuitement →
Pourquoi la réforme 2026 augmente le risque
La réforme de la facturation électronique impose à partir de septembre 2026 de recevoir les factures via des Plateformes de Dématérialisation (PDP). Cette transition crée une fenêtre d'attaque de 12 mois pendant laquelle :
- Les entreprises changent d'outils (PDF → Factur-X) — confusion exploitable par les fraudeurs
- Les emails « merci de mettre à jour votre système de réception factures » deviennent légitimes en apparence
- Les fournisseurs annoncent effectivement de nouveaux RIB (migration vers des PDP). Le vrai et le faux se mélangent.
Les escroqueries au faux fournisseur devraient tripler entre septembre 2026 et septembre 2027 selon les projections de la DGFiP et de l'Observatoire Banque de France.
Que faire si la fraude est déjà commise ?
Si le virement est déjà parti :
- Immédiatement — contactez votre banque pour bloquer ou tenter un rappel de fonds (recall). Succès possible uniquement si l'argent n'a pas encore été retiré du compte destinataire.
- Sous 24h — déposez plainte au commissariat ou via cybermalveillance.gouv.fr. Votre plainte permet de geler le compte mule.
- Sous 48h — déclarez l'incident à votre assureur (si cyber-risques couvert).
- Sous 72h — notifiez la CNIL si des données personnelles ont fuité lors de l'attaque.
La conclusion
La fraude au changement d'IBAN est la première cause de perte financière B2B en France, avec 66 000€ en moyenne par cas. Elle est quasi-toujours détectable en 5 minutes si les bons réflexes sont en place.
En 2026, avec la réforme de la facturation électronique, les risques explosent. Les entreprises qui ne mettent pas en place de vérifications automatiques vont se faire piéger.
Je construis Qoovert pour rendre la détection de fraude aux factures accessible à toutes les entreprises françaises. Auparavant, dev produit et conformité fiscale.