Fraude au président, faux fournisseur, faux RIB : pourquoi les PME sont visées et comment ne pas y laisser votre trésorerie

La fraude au président, ou faux ordre de virement international (FOVI), est le scénario historique. Un escroc se fait passer pour le dirigeant, par téléphone ou par courriel, auprès d'un comptable ou d'un assistant, et exige un virement urgent et confidentiel : acquisition secrète, contrôle fiscal à régler, avocat qui va appeler. Le ton est autoritaire, la demande flatteuse (vous êtes la seule personne de confiance), le calendrier serré, souvent un vendredi après-midi ou pendant les congés du dirigeant. Les escrocs connaissent l'organigramme, le nom de l'expert-comptable, les habitudes de signature : tout cela se trouve dans les registres publics, sur le site de l'entreprise et sur les réseaux professionnels.

La fraude au faux fournisseur, ou fraude au changement de RIB, est aujourd'hui la plus fréquente et la plus difficile à détecter. L'escroc usurpe l'identité d'un fournisseur réel, souvent après avoir pris connaissance d'une relation commerciale existante, et informe le service comptable que les coordonnées bancaires ont changé, avec un courrier à en-tête et un RIB crédibles. Les factures suivantes, parfaitement légitimes, sont alors réglées sur le compte de l'escroc. La fraude n'apparaît que lorsque le vrai fournisseur réclame son paiement, parfois plusieurs mois plus tard, et les montants cumulés peuvent dépasser de loin ceux d'un faux ordre unique.

La fraude au faux technicien ou faux conseiller bancaire s'est développée avec la généralisation de l'authentification forte. L'escroc appelle en se présentant comme le service anti-fraude de la banque, parfois en affichant le vrai numéro de l'agence (spoofing), annonce des opérations suspectes en cours et demande au comptable de valider sur son application des opérations d'annulation, qui sont en réalité des virements sortants, ou de communiquer des codes reçus par SMS. Ici, la victime ne décide pas d'un paiement : elle croit en bloquer un. Cette différence compte pour les recours contre la banque.

La compromission de messagerie professionnelle (en anglais business email compromise) est le socle technique des trois précédents. Après un hameçonnage ou un mot de passe réutilisé, l'escroc lit la boîte du dirigeant ou du comptable pendant des semaines, repère les factures en attente, les fournisseurs, le style d'écriture, puis intervient au bon moment : il envoie depuis la vraie adresse un ordre de virement, ou intercepte une facture pour y substituer un RIB. Une règle de redirection discrète lui permet de continuer à recevoir les réponses. Parce qu'elle part de la messagerie réelle, cette variante déjoue la plupart des vérifications par courriel.

Les grandes entreprises ont des circuits de paiement à plusieurs niveaux, des outils de contrôle des tiers et des équipes formées ; elles restent attaquées, mais la fraude y échoue plus souvent. Dans une PME, une seule personne cumule fréquemment la création des fournisseurs, la saisie des virements et leur validation, avec une délégation bancaire complète ; le dirigeant, lui, est joignable, connu, et son emploi du temps (déplacements, congés) se devine sur les réseaux. Il n'y a pas de double signature, pas de seuil, pas de procédure écrite pour un changement de RIB. L'escroc n'a besoin que d'un moment de pression sur une personne isolée, et ce moment existe toutes les semaines.

Les chiffres publics confirment le basculement de la fraude vers la manipulation des payeurs plutôt que vers le piratage des moyens de paiement. Dans son rapport 2025 publié en septembre 2026, l'Observatoire de la sécurité des moyens de paiement de la Banque de France relève un préjudice total de 1,241 milliard d'euros, en hausse de 3,8 %, dont 516 millions pour la fraude par manipulation (faux conseiller, faux dirigeant, faux fournisseur), en progression de 34 % sur un an et représentant désormais 41,6 % du total. Le virement, qui affiche pourtant le taux de fraude le plus bas rapporté aux montants échangés, concentre un préjudice moyen supérieur à 2 000 € par opération frauduleuse, contre moins de 100 € pour une fraude à la carte. Ces chiffres agrègent particuliers et entreprises, mais la logique est la même : les montants importants se volent par la parole, pas par la technique.

Trois éléments aggravent l'exposition des PME. L'information nécessaire à l'attaque est publique ou facile à obtenir : statuts et dirigeants sur les registres, organigramme et adresses sur le site, habitudes de paiement dans toute boîte de messagerie compromise. La pression commerciale pousse à payer vite un fournisseur qui menace de suspendre une livraison. Et le montant unitaire d'un virement de PME, de quelques milliers à quelques dizaines de milliers d'euros, est assez élevé pour intéresser les réseaux et assez bas pour passer sous les seuils d'alerte des banques.

Les quatre scénarios partagent une grammaire commune : urgence, confidentialité, changement et contournement. Une demande qui cumule au moins deux de ces caractéristiques doit déclencher une vérification hors du canal par lequel elle est arrivée, quel que soit l'expéditeur apparent. Les signaux ci-dessous sont ceux que les victimes citent le plus souvent après coup, en reconnaissant qu'ils étaient visibles.

Le signal le plus fiable reste le changement de coordonnées bancaires, quelle qu'en soit la forme : nouveau RIB sur une facture, courrier annonçant un changement de banque, compte dans un pays sans rapport avec le fournisseur, titulaire du compte différent de la raison sociale. Un fournisseur sérieux change rarement de banque, et jamais par simple courriel. Tout changement de RIB non confirmé par un appel sur un numéro connu doit être traité comme une tentative de fraude jusqu'à preuve du contraire.

Aucune des parades efficaces contre la fraude au virement ne nécessite d'investissement. Elles reposent sur quatre principes : séparer les tâches, imposer un délai, vérifier par un canal indépendant et fixer des seuils. Leur seul coût est la discipline nécessaire pour les appliquer sans exception, y compris quand la demande vient du dirigeant lui-même : une procédure qui tolère une exception pour le patron est une procédure que l'escroc utilisera en se faisant passer pour lui.

La double validation au-dessus d'un seuil est la mesure la plus rentable. Au-delà d'un montant fixé (5 000 € ou 10 000 € selon la taille de l'entreprise), tout virement exige deux personnes distinctes, l'une qui saisit, l'autre qui valide, avec des accès bancaires séparés. La plupart des banques professionnelles permettent de paramétrer cette double signature gratuitement dans l'espace en ligne, avec des plafonds par utilisateur et par jour. Le délai de 24 heures sur tout virement présenté comme urgent complète le dispositif : aucune opération légitime d'une PME ne supporte réellement moins d'une journée d'attente, alors que presque toutes les fraudes reposent sur l'immédiateté.

Le contre-appel sur un numéro connu règle la fraude au faux fournisseur : tout changement de coordonnées bancaires est confirmé par téléphone auprès d'un interlocuteur habituel, en composant le numéro enregistré dans le dossier fournisseur, jamais celui indiqué dans le courrier ou le courriel annonçant le changement. Le premier paiement sur un nouveau RIB peut en outre être limité à un petit montant de test. Ces règles doivent être écrites, signées par le dirigeant, affichées dans le service comptable et rappelées au moins une fois par an, parce que la fraude cible précisément les remplaçants, les nouveaux arrivants et les périodes de congés.

Le droit des services de paiement, issu de la directive européenne DSP2 et transposé dans le Code monétaire et financier, distingue deux situations. Une opération non autorisée, c'est-à-dire exécutée sans le consentement du payeur (carte volée, accès piraté, virement passé par un tiers), doit être remboursée par la banque immédiatement, au plus tard à la fin du jour ouvrable suivant la contestation, sauf si elle prouve une fraude ou une négligence grave du client ; le titulaire dispose de 13 mois pour contester, délai que les conventions de compte professionnelles peuvent réduire. Une opération autorisée, en revanche, est acquise : la banque a exécuté l'ordre que son client lui a donné.

La fraude au président et la fraude au faux fournisseur relèvent de la seconde catégorie. Le virement a été saisi et validé par une personne habilitée, avec les moyens d'authentification de l'entreprise : aux yeux de la banque, l'ordre émane bien de la société, même si le consentement a été obtenu par tromperie. La Cour de cassation l'a rappelé dans deux arrêts de sa chambre commerciale du 12 juin 2025 : le régime de remboursement des opérations non autorisées ne s'applique pas, et la banque n'engage sa responsabilité que si elle a manqué à son devoir de vigilance en laissant passer une anomalie apparente, par exemple un montant ou une fréquence de virements sans rapport avec le fonctionnement habituel du compte, ou un pays destinataire inhabituel. Le principe de non-ingérence lui interdit par ailleurs de s'immiscer dans la gestion de son client : elle n'a pas à juger l'opportunité d'un paiement.

Le cas du faux conseiller bancaire est plus favorable à la victime, parce qu'elle n'a pas voulu payer : elle a cru annuler une opération ou sécuriser son compte. Dans un arrêt du 23 octobre 2024, la chambre commerciale a jugé que la négligence grave ne se déduit pas du seul fait d'avoir été trompé par un appel affichant le numéro de la banque, et que c'est à la banque de prouver cette négligence. La frontière reste fine : communiquer ses codes d'authentification ou valider plusieurs opérations successives malgré des messages d'alerte peut être retenu comme une négligence grave, et les juridictions apprécient au cas par cas. Pour une entreprise, le niveau d'exigence est en outre plus élevé que pour un particulier.

Les recours pratiques sont limités mais réels. Le rappel de fonds (recall) demandé sans délai par votre banque à la banque du bénéficiaire n'aboutit que si les sommes n'ont pas déjà été retirées ou transférées, ce qui se joue en heures ; les escrocs utilisent des comptes relais vidés en quelques minutes. La plainte pénale permet, si les auteurs sont identifiés, une action en restitution, rarement fructueuse. Une action contre la banque du bénéficiaire pour manquement à ses obligations de vigilance (ouverture d'un compte sur faux documents, par exemple) est possible mais longue et incertaine. Enfin, le règlement européen sur les services de paiement en cours d'adoption devrait étendre les obligations des banques face aux fraudes par usurpation ; tant qu'il n'est pas applicable, la règle reste celle décrite ici.

La perte financière consécutive à une fraude au virement n'est couverte par aucun contrat de base d'une PME : ni la responsabilité civile professionnelle, qui protège les tiers, ni la multirisque, qui couvre les biens, ni la protection juridique, qui finance des procédures. Elle relève d'une garantie spécifique, appelée selon les assureurs garantie fraude, détournement, ou assurance contre les actes malveillants. Pour les grandes entreprises, c'est une police dédiée. Pour les TPE et PME, elle existe surtout en option de la cyberassurance (sous l'intitulé fraude au virement, fraude par ingénierie sociale, ou cyber-fraude) et, plus rarement, en extension de la multirisque professionnelle.

Les conditions sont le point à lire avant la prime. La garantie est presque toujours assortie d'une sous-limite nettement inférieure au plafond général du contrat : certains produits bancaires d'entrée de gamme plafonnent le préjudice financier à 25 000 €, les contrats cyber de PME se situent fréquemment entre 50 000 € et 250 000 €, et seules les polices fraude dédiées montent plus haut ; ces montants sont des ordres de grandeur, à vérifier dans les conditions particulières. Une franchise de quelques milliers d'euros s'applique par sinistre. Surtout, la plupart des contrats subordonnent la garantie à l'existence de procédures internes : double validation, contre-appel pour les changements de RIB, authentification à deux facteurs ; une fraude rendue possible par l'absence de ces contrôles peut être exclue ou réduite.

Les autres exclusions fréquentes méritent d'être connues : la fraude commise par un salarié ou un dirigeant (couverte séparément, ou pas du tout), les pertes indirectes (pénalités, perte d'exploitation, atteinte à la réputation), les virements vers des comptes d'entités liées, et les sinistres déclarés hors délai. Pour les atteintes à un système informatique, la loi impose depuis 2023 un dépôt de plainte dans les 72 heures comme condition de l'indemnisation des pertes ; les assureurs appliquent souvent une exigence similaire à toute fraude. Le prix de l'option fraude est rarement affiché séparément : il se lit dans la prime globale de la cyberassurance, dont les fourchettes et les critères sont détaillés dans l'article sur le prix de la cyberassurance en 2026. Une PME qui n'a pas ces contrôles en place n'obtiendra d'ailleurs qu'une couverture réduite, ou pas de couverture du tout.

La première heure décide de presque tout. Dès que le doute apparaît, même sans certitude, il faut appeler la banque pour demander le blocage du virement s'il n'est pas encore exécuté, et sinon le rappel de fonds auprès de la banque du bénéficiaire ; les chances de récupération chutent rapidement, parce que les comptes utilisés sont vidés en quelques heures. Il ne faut jamais attendre d'avoir compris le mécanisme ou prévenu le dirigeant pour agir : le comptable qui a validé le virement doit avoir l'autorisation écrite d'alerter la banque immédiatement, sans crainte de sanction.

Les démarches suivantes s'enchaînent dans la journée, puis dans les 48 heures. Elles servent trois objectifs : limiter la perte, préserver les recours contre la banque et l'assureur, et empêcher la répétition, car une entreprise fraudée une fois est souvent ciblée à nouveau dans les semaines qui suivent, les escrocs sachant qu'un dossier existe.

L'assurance n'est pas la première réponse, et pour beaucoup de TPE elle n'est pas la bonne. Une entreprise qui exécute quelques virements par mois, dont le dirigeant valide lui-même chaque paiement et dont les fournisseurs sont stables, réduit son risque à presque rien avec les procédures décrites plus haut ; payer une option fraude plafonnée à 25 000 € pour un préjudice potentiel qui dépasse rarement quelques milliers d'euros n'a pas de sens économique. L'argent de la prime est mieux employé dans l'authentification à deux facteurs, dans une heure de formation de l'équipe et dans une procédure écrite.

À l'inverse, une PME qui règle chaque mois des dizaines de fournisseurs, qui délègue la validation à un service comptable, qui a des flux à l'international ou des montants unitaires élevés, a un risque qui dépasse ce que les procédures suppriment, parce qu'il reste toujours un remplaçant, un vendredi soir et une facture crédible. Pour elle, une garantie fraude avec une sous-limite cohérente avec son plus gros virement mensuel se justifie, à condition que les contrôles exigés par l'assureur soient réellement en place, sans quoi la garantie n'est qu'une ligne sur un contrat.

Dans tous les cas, la question se pose après celle de la cyberassurance elle-même, dont l'intérêt dépend de la dépendance de l'activité aux systèmes informatiques, et après celle des risques plus lourds pour une PME que sont l'arrêt de travail ou le décès du dirigeant. Une fraude au virement de 30 000 € est un très mauvais trimestre ; l'absence de prévoyance du dirigeant peut être la fin de l'entreprise. L'ordre des priorités compte autant que chaque décision prise isolément.

La fraude au virement est le risque financier le plus simple à neutraliser et le moins souvent neutralisé dans les PME. Un virement validé par l'entreprise n'est en principe pas remboursé par la banque ; la seule défense qui fonctionne est organisationnelle, et elle ne coûte rien : double validation au-dessus d'un seuil, contre-appel sur un numéro connu pour tout changement de RIB, délai de 24 heures sur tout ordre urgent, authentification à deux facteurs sur les messageries et l'accès bancaire. L'assurance vient ensuite, en option plafonnée et conditionnée à ces mêmes contrôles.

Le coût de l'inaction se mesure en trésorerie immédiate : le préjudice moyen d'un virement frauduleux dépasse 2 000 € selon la Banque de France, les fraudes au faux fournisseur se chiffrent fréquemment en dizaines de milliers d'euros cumulés sur plusieurs factures, et la fraude au président vise des montants supérieurs, sans remboursement bancaire dans l'immense majorité des cas. Pour une PME à 5 % de marge, un virement détourné de 50 000 € représente un million d'euros de chiffre d'affaires travaillé pour rien.

La prochaine étape tient en une réunion d'une heure avec la personne qui exécute les paiements : fixer le seuil de double validation, écrire la règle du contre-appel, paramétrer les plafonds dans l'espace bancaire, puis vérifier dans vos contrats d'assurance si une garantie fraude existe, avec quelle sous-limite et à quelles conditions. EXP Capital propose un diagnostic gratuit en ligne et un appel découverte de 30 minutes pour situer ce risque parmi les autres risques de l'entreprise ; l'article sur ce que doit faire une PME dans les 72 premières heures d'une cyberattaque complète ce guide pour le volet informatique.