Fraude au faux RIB : se protéger de l'arnaque.

Fraude au faux RIB : quand l'IA rend l'arnaque presque indétectable

Un fournisseur vous écrit : son RIB a changé. Le message est impeccable, le ton habituel, la signature identique. La fiche est mise à jour, le virement part. Trois semaines plus tard, le vrai fournisseur réclame son paiement.

Cette fraude touche les entreprises de toute taille, tous secteurs confondus, ainsi que les collectivités. Avec l'IA, les faux messages n'ont plus de fautes, les voix se clonent et les faux documents paraissent authentiques. Cet article explique comment fonctionne la fraude au faux RIB, comment la repérer et quelle procédure mettre en place. Il prolonge notre analyse de l'arnaque au président par deepfake.

Faux RIB

La fraude au faux RIB est une escroquerie dans laquelle un fraudeur usurpe l'identité d'un fournisseur, d'un prestataire ou d'un salarié pour faire remplacer ses coordonnées bancaires par les siennes. Le virement attendu est alors détourné vers un compte frauduleux.

Elle appartient à la famille des faux ordres de virement, appelés FOVI. Cette famille regroupe aussi l'arnaque au président.

Les questions clés sur la fraude au faux RIB

Qu'est-ce qu'une fraude au faux RIB ?

C'est une demande frauduleuse de changement de coordonnées bancaires. Le fraudeur se fait passer pour un créancier légitime et fournit un nouvel IBAN. L'entreprise paie sa facture, mais l'argent arrive sur le compte du fraudeur.

Le scénario est simple et efficace, car il ne demande aucun virement inhabituel : la facture est réelle, seul le compte de destination est faux.

Mon entreprise est-elle concernée ?

Oui, dès lors que vous payez des fournisseurs, des prestataires ou des salaires par virement. Aucune taille, aucun secteur n'est épargné. Les services comptables, les directions financières et les achats sont en première ligne.

Les collectivités et les organismes publics sont aussi visés, notamment lorsqu'ils règlent des marchés et des factures de fournisseurs.

Que risque mon entreprise ?

Une perte financière directe, souvent élevée, car le montant correspond à une facture complète. S'y ajoutent un double paiement à régler au vrai fournisseur, une tension de trésorerie et parfois un litige commercial.

Un virement validé par l'entreprise n'est pas remboursé d'office : la banque peut seulement tenter de faire revenir les fonds. La rapidité de réaction conditionne les chances de récupérer les fonds.

Peut-on récupérer l'argent après un faux RIB ?

Parfois, mais seulement si l'on agit dans les heures qui suivent. Il faut alerter immédiatement la banque pour demander le rappel des fonds, puis déposer plainte.

Plus le temps passe, plus l'argent est déplacé vers des comptes de rebond. Selon Tracfin, le service de renseignement financier de Bercy, la réactivité des professionnels est déterminante, et ses actions permettent chaque année de récupérer plusieurs millions d'euros.

Comment se déroule une fraude au faux RIB

La fraude suit presque toujours la même mécanique. Comprendre ces étapes aide à placer les bons contrôles au bon endroit.

Étape 1 : la collecte d'informations

Avant d'agir, le fraudeur se renseigne. Il récupère le nom des fournisseurs, les montants habituels, les factures en cours et les contacts de la comptabilité. Ces informations proviennent du site de l'entreprise, des réseaux sociaux, de fuites de données ou d'une messagerie piratée.

Selon Cybermalveillance.gouv.fr, ces attaques s'appuient très souvent sur l'ingénierie sociale ou le piratage préalable d'un compte de messagerie. Le fraudeur lit alors les échanges réels avant d'intervenir. Un identifiant volé par un logiciel espion suffit parfois, comme l'explique notre article sur les infostealers.

Étape 2 : l'usurpation d'identité

Le fraudeur envoie un message au nom du fournisseur. Il utilise une adresse presque identique, un domaine proche ou la vraie messagerie piratée. Il joint un faux RIB, parfois accompagné d'une attestation bancaire falsifiée.

Étape 3 : la pression

Le message évoque une raison plausible : changement de banque, restructuration, audit, nouveau contrat de trésorerie. Il demande une mise à jour rapide, parfois en pleine période de congés ou de forte charge de travail.

Étape 4 : le virement et la dispersion des fonds

Le virement est exécuté vers le compte indiqué. Les fonds sont ensuite transférés vers d'autres comptes, souvent à l'étranger, pour brouiller les pistes. Le fraudeur espère que la supercherie ne sera découverte que lorsque le vrai fournisseur relancera.

Ce que l'IA change pour les fraudeurs

L'intelligence artificielle ne crée pas cette fraude, elle la rend plus crédible et plus facile à industrialiser. Les autorités et le dispositif Cybermalveillance.gouv.fr alertent sur la sophistication croissante des cyberattaques ciblant les entreprises.

Des messages sans faute et au bon ton

Les outils d'IA générative rédigent un français parfait. Ils imitent le style d'un interlocuteur à partir de quelques échanges volés. Le critère « le message est mal écrit » ne protège donc plus.

Des voix clonées pour « confirmer » la demande

Un appel téléphonique rassure souvent le comptable. Or une voix peut aujourd'hui être clonée à partir d'un court extrait audio. Notre article sur le vishing et la voix clonée par IA détaille cette technique. Retenez ceci : un appel entrant ne prouve jamais l'identité de l'interlocuteur.

Des faux documents plus convaincants

Faux RIB, fausses attestations bancaires, fausses factures, faux extraits d'immatriculation : l'IA produit des documents propres, cohérents et personnalisés. Un document bien présenté n'est pas une preuve.

Une fraude à plus grande échelle

L'automatisation permet de cibler des centaines d'entreprises avec des messages sur mesure. Le coût d'une tentative baisse, le nombre de tentatives augmente.

Les variantes de la fraude au faux RIB

Le faux RIB prend plusieurs visages. Le tableau ci-dessous résume les cas les plus fréquents.

Dans un cas relayé par Tracfin, les escrocs avaient volé des données auprès d'une étude notariale, puis envoyé un courriel reprenant le format et le style de communication du cabinet. Un signalement de faux ordre de virement de 1,2 million d'euros émis par une société privée a également été traité.

Faux RIB et arnaque au président : les différences

Les deux fraudes relèvent des faux ordres de virement, mais elles ne se combattent pas tout à fait de la même façon.

Les signaux d'alerte à repérer

Aucun signal ne suffit seul, mais leur combinaison doit déclencher une vérification. Voici les principaux :

• Une demande de changement de RIB reçue par e-mail, par téléphone ou par messagerie instantanée ;
• Une urgence ou une confidentialité inhabituelle ;
• Un nouvel IBAN domicilié dans un autre pays que celui du fournisseur ;
• Une adresse d'expéditeur légèrement différente de l'habituelle ;
• Une insistance pour éviter tout appel de vérification ;
• Une relance de confirmation de la date de paiement ;
• Une demande formulée pendant les congés ou un pic d'activité ;
• Un changement de banque sans justification cohérente.

Le point commun reste la pression. Le fraudeur cherche à réduire le temps de réflexion pour empêcher la vérification.

Mettre en place une procédure de vérification

D'après Cybermalveillance.gouv.fr, il faut appliquer une procédure de vérification et de validation interne sans dérogation possible pour les demandes de virement imprévues et les changements de coordonnées bancaires. L'objectif est que la décision ne repose jamais sur une seule personne ni sur un seul message.

Le contre-appel systématique

Pour chaque changement de RIB, appelez le fournisseur. Utilisez un numéro déjà enregistré dans votre base, un contrat ou une ancienne facture. N'utilisez jamais le numéro indiqué dans le message reçu.

Voici quatre phrases à utiliser lors de cet appel :

• « Je vous appelle au sujet d'une demande de changement de RIB reçue aujourd'hui, pouvez-vous me la confirmer ? »
• « Qui, chez vous, a émis cette demande ? »
• « Pouvez-vous me rappeler le nom de votre banque actuelle ? »
• « Je rappelle ce numéro après vérification, et je vous confirme la prise en compte du nouvel IBAN. »

La double validation

Une personne reçoit la demande, une autre la valide. Ce principe de séparation des tâches empêche qu'une seule erreur suffise à déclencher un paiement frauduleux.

Le verrouillage de la fiche fournisseur

Appliquez le principe du moindre privilège : limitez le nombre de personnes autorisées à modifier les coordonnées bancaires. Conservez l'historique des modifications. Imposez un délai avant le premier paiement sur un nouvel IBAN, avec contrôle renforcé au-delà d'un seuil de montant.

La sensibilisation des équipes concernées

Comptabilité, achats, RH, assistants de direction : ces équipes doivent connaître le scénario et oser dire non à la pression. Des formations de sensibilisation et des simulations de phishing permettent de mesurer la vigilance réelle. La protection des utilisateurs complète ce dispositif au quotidien.

Sécuriser la messagerie et le nom de domaine

Cette section s'adresse aux responsables informatiques, DSI et RSSI. La procédure humaine reste la défense principale, mais plusieurs mesures techniques réduisent l'exposition.

• Activer l'authentification multifacteur sur toutes les messageries, en suivant les bonnes pratiques de l'authentification multifacteur ;
• Configurer SPF, DKIM et DMARC pour compliquer l'usurpation de votre domaine grâce à la protection de domaine et d'e-mail ;
• Déployer un filtrage anti-phishing avec une solution de sécurité de messagerie ;
• Alerter sur les règles de transfert ou de masquage créées dans les boîtes e-mail ;
• Surveiller les connexions inhabituelles et les nouveaux appareils ;
• Réserver aux administrateurs la création de domaines et d'alias proches du vôtre.

Pour configurer ces mesures, appuyez-vous sur les guides de bonnes pratiques de l'ANSSI. Rappelons qu'un antivirus n'arrête pas une fraude fondée sur la persuasion. Les contrôles techniques limitent la compromission, la vérification humaine bloque le paiement.

Que faire si le virement est déjà parti : les étapes dans l'ordre

Chaque heure compte. Suivez ces étapes dans l'ordre :

1. Contactez immédiatement votre banque pour demander le rappel des fonds et le blocage du compte destinataire ;
2. Conservez les preuves : e-mails complets avec en-têtes, RIB reçus, journaux d'appels, ordre de virement ;
3. Déposez plainte auprès de la gendarmerie ou de la police sans attendre ;
4. Prévenez votre assureur, car les contrats cyber imposent un délai de déclaration et une plainte sous 72 heures pour prétendre à une indemnisation, comme détaillé dans notre article sur l'assurance cyber et ses exclusions ;
5. Informez le vrai fournisseur et confirmez avec lui les coordonnées bancaires exactes ;
6. Vérifiez si une messagerie a été piratée, changez les mots de passe et activez l'authentification multifacteur ;
7. Signalez l'incident sur Cybermalveillance.gouv.fr pour obtenir de l'assistance ;
8. Évaluez l'obligation de notification à la CNIL si des données personnelles ont été exposées, avec un délai de 72 heures.

Si le fournisseur est lui-même victime d'une cyberattaque, consultez aussi notre guide sur les obligations légales en cas d'attaque chez un prestataire.

Résumé : les points clés à retenir

• Le faux RIB détourne un virement légitime vers le compte d'un fraudeur ;
• Toutes les entreprises et les collectivités sont concernées ;
• L'IA supprime les fautes, clone les voix et falsifie les documents ;
• Un message ou un appel ne prouve jamais l'identité de l'émetteur ;
• Le contre-appel au numéro connu est le contrôle le plus efficace ;
• La double validation et le verrouillage des fiches fournisseurs réduisent le risque ;
• En cas de virement parti, la banque doit être alertée dans l'heure.

Conclusion : faites du contrôle un réflexe, pas une option

La fraude au faux RIB ne s'appuie pas sur une faille informatique spectaculaire. Elle exploite la confiance, la routine et l'urgence. Les outils d'IA ne changent pas le principe, ils rendent la tromperie plus difficile à détecter. La meilleure réponse reste une règle simple, écrite et appliquée à tous : aucune modification de coordonnées bancaires sans vérification indépendante.

Pour savoir si vos processus de paiement, votre messagerie et vos équipes résisteraient à une tentative, faites réaliser un diagnostic cybersécurité par un expert certifié ISO 27001 et ISO 27005, ou contactez les experts de CORE SECURITY pour être accompagné.