Facture avec un nouvel IBAN : le message qui détourne votre virement

Une facture attendue arrive dans votre boîte mail. Le nom du fournisseur est correct, le montant correspond au devis et la signature ressemble aux échanges précédents. Une seule information a changé : l’IBAN. Le message explique que l’entreprise utilise désormais un nouveau compte et demande d’y envoyer le règlement. Tout paraît cohérent, mais le virement peut partir directement chez un escroc.

Cette méthode porte un nom : la fraude au faux ordre de virement. Elle vise les entreprises, mais aussi les particuliers qui règlent un artisan, un loyer, un achat important, une prestation ou une opération immobilière. Les fraudeurs n’ont pas toujours besoin de fabriquer une histoire complète. Il leur suffit de s’insérer au bon moment dans une relation réelle et de remplacer les coordonnées bancaires du véritable bénéficiaire.

Le piège est particulièrement convaincant lorsqu’une messagerie a été piratée. L’escroc peut alors lire les échanges, repérer une facture prochaine, reprendre le ton habituel et envoyer sa demande depuis une adresse légitime. Dans d’autres cas, il crée une adresse presque identique, avec une lettre ajoutée, remplacée ou déplacée. Sur un téléphone, cette différence peut passer totalement inaperçue.

La pièce jointe n’est pas une garantie. Un PDF peut reprendre le vrai logo, le numéro de facture, l’adresse du professionnel et le montant exact, tout en affichant l’IBAN du fraudeur. Comparer uniquement la mise en page ou la signature ne suffit donc pas. Le point sensible est le changement de coordonnées de paiement, surtout lorsqu’il intervient peu avant l’échéance.

Certains messages ajoutent de l’urgence : compte temporairement indisponible, clôture comptable, retard à éviter ou remise valable jusqu’au soir. D’autres demandent de garder l’opération confidentielle ou de ne pas rappeler l’interlocuteur, prétendument en déplacement. Ces explications servent à empêcher la seule vérification qui peut réellement déjouer le piège.

Avant tout virement vers un nouvel IBAN, contactez la personne ou l’entreprise avec un moyen déjà connu. Utilisez le numéro enregistré avant le message, celui du contrat ou celui trouvé sur le site officiel que vous ouvrez vous-même. N’appelez pas le numéro ajouté dans le courriel : il peut appartenir à un complice. Demandez une confirmation claire du changement et relisez plusieurs caractères de l’IBAN à voix haute.

Si vous êtes un particulier, appliquez cette règle même lorsque le montant semble modeste. Un premier paiement peut servir de test avant une demande plus importante. Si vous gérez une entreprise ou une association, imposez une validation à deux personnes pour tout nouveau bénéficiaire et pour toute modification de RIB. La procédure doit rester obligatoire, même lorsqu’un dirigeant, un fournisseur régulier ou un collègue invoque l’urgence.

Le pays associé à l’IBAN peut fournir un indice, mais pas une preuve. Un compte étranger inattendu mérite une vérification renforcée, tandis qu’un IBAN français ne garantit pas que le bénéficiaire est honnête. Lorsque votre banque affiche le nom associé au compte ou signale une incohérence, ne contournez jamais l’avertissement sous la pression du message.

Évitez aussi le « petit virement de test » proposé par l’expéditeur. Il confirme aux fraudeurs que vous suivez leurs instructions et ne prouve pas l’identité du bénéficiaire. La bonne vérification ne consiste pas à envoyer moins d’argent, mais à confirmer la demande par un canal indépendant.

Si le virement vient d’être effectué, contactez immédiatement votre banque. Demandez si l’opération peut être suspendue et sollicitez un retour des fonds. N’attendez pas la réponse du fournisseur ni le lendemain ouvré : les sommes peuvent être transférées rapidement vers d’autres comptes. Préparez le montant, l’heure, l’IBAN destinataire et la référence de l’opération.

Conservez le courriel original, la facture, les coordonnées du compte, les SMS, les numéros de téléphone et toutes les réponses reçues. Ces éléments seront utiles pour la banque et pour le dépôt de plainte. Prévenez également le véritable professionnel en utilisant ses coordonnées habituelles, afin qu’il puisse sécuriser sa messagerie et avertir d’autres clients potentiellement ciblés.

Si une boîte mail semble avoir été compromise, changez son mot de passe depuis un appareil sain, choisissez une combinaison unique, activez la double authentification et déconnectez les sessions inconnues. Vérifiez les règles de transfert automatique et les adresses de récupération : un fraudeur peut les modifier pour continuer à lire les messages sans se faire remarquer.

Enfin, ne supposez pas que la personne qui a effectué le virement a simplement manqué d’attention. Cette fraude exploite des informations exactes et une confiance déjà installée. Le meilleur rempart est une règle simple, connue de tous et appliquée sans exception : tout changement d’IBAN se confirme hors du message reçu, avant le moindre paiement.