prendre rendez-vous

Cabinet comptable : fraude au faux RIB et au président, comment sécuriser vos paiements

Un cabinet comptable reçoit régulièrement le même appel, un lundi matin : « Nous avons payé une facture fournisseur sur un nouveau RIB, et le fournisseur nous relance. » Ou bien : « Notre assistante a fait un virement urgent à la demande du gérant, sauf que le gérant n’a rien demandé. » Fraude au faux RIB et fraude au président sont deux variantes d’une même escroquerie, le faux ordre de virement (FOVI), et elles visent en priorité les structures où une seule personne saisit et valide les paiements.

Vous trouverez ici les deux mécanismes et les chiffres publiés en 2026 par la Banque de France, les raisons pour lesquelles les TPE et PME sont exposées, et les signaux d’alerte à repérer. La partie pratique détaille une procédure de validation des virements et des changements de RIB, avec la vérification du bénéficiaire obligatoire depuis octobre 2025. Suivent les réflexes des 48 premières heures si le virement est parti, le traitement comptable et fiscal de la perte, et le rôle du Cabinet Cantini pour verrouiller votre chaîne de paiement.

1. Faux RIB, faux président : comprendre les deux arnaques

Les deux fraudes ont le même objectif : obtenir de votre entreprise un virement qu’elle croit légitime, vers un compte contrôlé par l’escroc. Elles diffèrent par l’identité usurpée et par le levier psychologique utilisé.

1.1 La fraude au faux RIB : le faux fournisseur et le faux salarié

Le scénario le plus fréquent part d’une facture réelle. L’escroc sait que vous devez payer un fournisseur, parfois parce qu’il a pris le contrôle de la messagerie de ce fournisseur, parfois parce qu’il a simplement deviné une relation commerciale à partir d’informations publiques. Il vous écrit, depuis une adresse identique ou presque, pour annoncer un changement de banque et vous transmet un nouveau RIB.

La lettre est soignée, le logo est le bon, la facture jointe est authentique, et la demande arrive parfois par courrier recommandé. La fiche fournisseur est mise à jour, le règlement part sur le nouveau compte, et rien n’apparaît avant la relance du vrai fournisseur, quelques semaines plus tard.

La même mécanique vise la paie. Un salarié, ou plutôt quelqu’un qui se fait passer pour lui, demande par courriel que son salaire soit versé sur un nouveau compte. La fiche réflexe de Cybermalveillance.gouv.fr consacrée aux faux ordres de virement range explicitement cette usurpation de salarié parmi les variantes du FOVI.

1.2 La fraude au président et ses variantes

Ici, l’escroc se fait passer pour le dirigeant ou pour quelqu’un qui parle en son nom (avocat, consultant, banquier). Il demande à un collaborateur qui a accès aux paiements un virement exceptionnel, en insistant sur l’urgence et la confidentialité. Le prétexte varie (acquisition en cours, contrôle fiscal à régler discrètement, acompte à un partenaire étranger), la consigne reste : n’en parler à personne.

Bpifrance Création recense plusieurs déclinaisons dans sa fiche sur les fraudes aux entreprises : faux conseiller bancaire qui vous fait valider une opération « pour la sécuriser », faux changement d’adresse de livraison. Un message reprenant le nom de votre interlocuteur au cabinet comptable et réclamant un paiement « pour régulariser une échéance fiscale » appelle la même méfiance.

1.3 Ce que disent les chiffres publiés en 2026

Le rapport annuel 2025 de l’Observatoire de la sécurité des moyens de paiement, publié par la Banque de France en septembre 2026, donne trois repères :

Ces chiffres ne mesurent que ce qui est signalé : beaucoup de petites entreprises ne portent pas plainte pour quelques milliers d’euros.

2. Pourquoi ces fraudes réussissent dans les TPE et PME

Le discours habituel consiste à dire que « les gens se font avoir ». C’est inexact. Les fraudeurs exploitent des failles d’organisation bien plus que des faiblesses individuelles.

2.1 L’ingénierie sociale : urgence, confidentialité, autorité

Toute fraude par manipulation repose sur trois ressorts. L’urgence empêche de prendre le temps de vérifier. La confidentialité isole la personne ciblée et l’empêche d’en parler à un collègue qui aurait pu tiquer. L’autorité, celle du dirigeant, d’un avocat ou d’une administration, rend la désobéissance coûteuse pour un salarié.

Une assistante qui reçoit un appel du « président » un vendredi à 17 heures, avec consigne de discrétion, se retrouve seule face à un dilemme : désobéir ou exécuter. La procédure de validation décrite plus loin lui retire ce dilemme : c’est la règle interne qui interdit d’exécuter.

2.2 Les informations publiques et la messagerie compromise

L’escroc prépare son attaque : noms des dirigeants dans les registres publics, organigramme reconstitué via les réseaux sociaux professionnels, clients et fournisseurs affichés dans la rubrique « références » du site internet.

La variante la plus redoutable passe par une messagerie piratée. L’escroc lit les échanges en cours dans la boîte d’un fournisseur (ou la vôtre) et s’insère dans une conversation existante, avec les bons montants et les bons numéros de commande. Rien ne distingue ce message d’un message authentique : seul un contrôle par un canal indépendant le déjoue.

2.3 Les failles d’organisation typiques d’une petite structure

Dans une entreprise de huit salariés installée dans une zone d’activité de Mérignac ou de Bruges, la même personne reçoit souvent les factures, crée les fiches fournisseurs, saisit les virements dans la banque en ligne et les valide avec le code du dirigeant, qu’on lui a confié « pour gagner du temps ». Aucune malhonnêteté là-dedans : c’est la réalité d’une petite structure.

Le problème est mécanique : sans séparation entre saisie et validation, une seule erreur suffit ; sans traçabilité des fiches fournisseurs, un changement de RIB passe inaperçu ; sans visibilité du dirigeant sur les virements émis, la fraude n’apparaît qu’à la relance du vrai créancier.

2.4 L’intelligence artificielle change la donne

Le rapport de l’Observatoire le note sans détour : les outils d’intelligence artificielle permettent désormais de produire des courriels parfaitement rédigés, et des voix ou des images qui usurpent l’identité d’un dirigeant. Les fautes d’orthographe, longtemps présentées comme le signe d’une arnaque, ne sont plus un indicateur fiable.

Une procédure qui repose sur « je reconnais la voix du patron » ne protège plus. Seule une règle formelle (contre-appel sur un numéro connu, deuxième validation) tient face à ce type d’attaque. Nous revenons sur les usages, utiles ou risqués, de ces outils dans notre article sur ce que change l’intelligence artificielle dans votre relation avec votre comptable.

3. Les signaux d’alerte à repérer avant de valider un virement

Aucun signal n’est suffisant seul, mais leur accumulation doit déclencher l’arrêt immédiat de l’opération.

3.1 Dans le message lui-même

3.2 Dans la demande

3.3 Dans le contexte

Les fraudeurs choisissent leur moment : congés du dirigeant, veilles de week-end, fin de mois quand salaires et fournisseurs s’accumulent, période de clôture. L’arrivée d’un nouveau collaborateur au poste administratif est un autre moment sensible, car il ne peut pas repérer qu’une demande sort de l’ordinaire.

4. Mettre en place une procédure de validation des virements

Une bonne procédure tient sur une page et s’applique à tout le monde, dirigeant compris.

4.1 Séparer la saisie et la validation

Le principe de base du contrôle interne s’appelle la séparation des tâches : la personne qui prépare un paiement n’est pas celle qui l’autorise. Dans une TPE, cela peut se traduire très simplement :

Le point qui fâche : le code d’authentification du dirigeant ne doit jamais être confié à un collaborateur, contournement fréquent qui annule toute double validation. Les banques proposent des profils aux droits différenciés (saisie, validation, consultation) : demandez ce paramétrage à votre chargé de clientèle.

4.2 La procédure de changement de RIB fournisseur

C’est la règle qui déjoue la majorité des fraudes au faux RIB. Elle se formule en cinq points :

  1. Aucun changement de coordonnées bancaires n’est enregistré sur la seule foi d’un courriel ou d’un courrier, quelle que soit sa qualité apparente.
  2. Un contre-appel est passé au fournisseur sur un numéro déjà connu : celui qui figure dans votre fiche fournisseur, sur un ancien bon de commande, sur son site officiel. Jamais celui indiqué dans le message qui annonce le changement.
  3. L’interlocuteur joint confirme oralement le nouvel IBAN, en le lisant lui-même, plutôt que de répondre « oui » à celui que vous lui lisez.
  4. La modification de la fiche fournisseur est faite par une personne habilitée, et tracée : date, auteur, nom de la personne jointe au téléphone.
  5. Le premier paiement sur le nouveau compte fait l’objet d’une attention particulière : validation par le dirigeant, et idéalement confirmation de réception auprès du fournisseur.

La même règle s’applique, sans exception, aux demandes de changement de RIB des salariés : vérification en face à face ou par un appel au numéro personnel déjà connu, et production d’un RIB au nom du salarié.

4.3 La vérification du bénéficiaire, obligatoire depuis le 9 octobre 2025

Depuis le 9 octobre 2025, les banques de la zone euro doivent assurer gratuitement la vérification du bénéficiaire (VoP, pour Verification of Payee) avant tout virement SEPA, classique ou instantané, en application du règlement (UE) n° 260/2012 modifié par le règlement (UE) 2024/886 du 13 mars 2024. Le guide d’utilisation publié par la Banque de France et le Comité national des paiements scripturaux en détaille le fonctionnement : votre banque compare le nom saisi avec celui du titulaire de l’IBAN (raison sociale ou nom commercial pour une société). Quatre résultats sont possibles :

Résultat Ce que vous voyez Ce qu’il faut faire
Concordance Le virement suit son cours Rien de particulier
Concordance partielle La banque vous indique le nom exact connu Corriger s’il s’agit d’une faute de frappe, vérifier sinon
Absence de concordance Aucun détail communiqué Suspendre et contre-appeler le bénéficiaire
Vérification impossible Aucun détail communiqué Vérifier les coordonnées avant de valider

Deux points à connaître. Même sans concordance, vous pouvez valider le virement, mais vous en assumez alors le risque, sauf manquement de votre banque à ses obligations. Et les personnes morales peuvent renoncer à la vérification pour les virements groupés (par lot ou par fichier), fréquents pour la paie et les règlements fournisseurs : vérifiez avec votre banque le choix fait lors du paramétrage.

La VoP ne remplace pas le contre-appel : un escroc qui a ouvert un compte sous une dénomination proche de celle de votre fournisseur peut obtenir une concordance partielle, voire totale.

4.4 Les paramétrages à demander à votre banque

Au-delà de la VoP, plusieurs réglages réduisent l’exposition :

Depuis mai 2026, les banques partagent aussi un fichier national des comptes signalés pour risque de fraude : un filet de sécurité supplémentaire, pas une raison de relâcher vos contrôles.

4.5 Écrire la procédure et la faire signer

Une procédure orale ne résiste ni au départ d’un collaborateur ni à la pression d’un faux président. La note signée par le dirigeant doit contenir une phrase explicite du type : « Aucun virement ne sera jamais demandé par moi en dehors de cette procédure, même en cas d’urgence. Toute demande contraire doit être considérée comme une tentative de fraude. »

Cette phrase protège le salarié : en refusant un virement « urgent et confidentiel », il applique une consigne écrite du dirigeant lui-même.

5. Sécuriser la chaîne comptable et documentaire

Les contrôles en amont et en aval du paiement rendent la procédure de validation beaucoup plus efficace, et c’est là que le cabinet comptable intervient au quotidien.

5.1 Un référentiel fournisseurs maîtrisé

Dans un logiciel de gestion ou de comptabilité, la fiche fournisseur contient l’IBAN utilisé pour les règlements. Trois règles simples la protègent : limiter le nombre de personnes autorisées à la modifier, conserver un historique des modifications (la plupart des logiciels le proposent, encore faut-il l’activer), et éditer chaque mois la liste des IBAN modifiés pour une relecture rapide par le dirigeant. Un fichier de virements doit aussi être transmis à la banque sans manipulation manuelle entre sa génération et son envoi.

5.2 Le rapprochement bancaire, détecteur de fraude sous-estimé

Le rapprochement bancaire vérifie que chaque opération du relevé correspond à une écriture justifiée. Souvent perçu comme une formalité, c’est l’un des meilleurs détecteurs : un paiement à un IBAN inhabituel ou un virement sans facture ressort immédiatement.

La synchronisation bancaire automatique proposée par un cabinet comptable digital raccourcit ce délai de détection de plusieurs semaines à quelques jours. Nous en détaillons le fonctionnement dans notre article sur la manière de connecter vos comptes bancaires pour un suivi en temps réel.

5.3 La messagerie, maillon le plus exposé

Une large part des fraudes au faux RIB commence par une boîte courriel compromise. Quelques mesures réduisent fortement ce risque :

Ces mesures relèvent de votre prestataire informatique, mais elles conditionnent directement la sécurité des paiements.

5.4 Facturation électronique : ce qu’elle change et ce qu’elle ne change pas

La réforme de la facturation électronique, en application depuis le 1er septembre 2026, fait circuler les factures par des plateformes agréées plutôt que par courriel. Ce n’est pas pour autant une protection contre la fraude au RIB : une demande de changement de coordonnées peut toujours arriver par un autre canal, et le contre-appel reste la règle. Pour les aspects pratiques de la réforme, voyez notre article sur la facturation électronique et l’accompagnement des PME bordelaises.

5.5 Sensibiliser les équipes, sans dramatiser

Une demi-heure par an suffit souvent pour faire connaître les deux scénarios types, la procédure écrite et le nom de la personne à prévenir en cas de doute. Raconter en réunion une tentative réelle reçue par l’entreprise marque davantage qu’une liste de consignes.

6. Si la fraude a eu lieu : les 48 premières heures

Lorsque le virement est parti, chaque heure compte : les chances de récupération chutent dès que les fonds sont transférés ou retirés.

6.1 Appeler la banque immédiatement

Le premier geste est un appel à votre banque, à son service fraude ou à votre conseiller, pour demander le blocage et le rappel des fonds (procédure de retour, parfois appelée recall). Si d’autres virements vers le même IBAN sont programmés ou en attente, ils doivent être suspendus dans la foulée. Confirmez ensuite la demande par écrit, en gardant une trace horodatée.

Même lorsque le virement a été exécuté correctement du point de vue technique, l’article L133-21 du code monétaire et financier impose à votre banque de s’efforcer de récupérer les fonds, et à la banque du bénéficiaire de coopérer en lui communiquant les informations utiles. Si la récupération échoue, votre banque doit vous transmettre les informations dont elle dispose pour vous permettre d’agir en justice. Des frais de recouvrement peuvent vous être facturés si votre convention de compte le prévoit.

6.2 Conserver les preuves et sécuriser les accès

Ne supprimez rien : courriels (avec leurs en-têtes complets), numéros de téléphone, ordres de virement, factures et RIB reçus serviront pour la plainte, la banque et l’assureur.

Si une messagerie a été piratée, changez immédiatement les mots de passe concernés et activez l’authentification à deux facteurs. Prévenez le fournisseur dont l’identité a été usurpée : sa propre messagerie est peut-être compromise, et d’autres clients sont peut-être visés.

6.3 Porter plainte

La plainte se dépose au commissariat, à la gendarmerie, ou par courrier adressé au procureur de la République du tribunal judiciaire. Le dépôt est gratuit et les différentes modalités sont décrites sur la page Porter plainte de Service-Public. Pour une entreprise de Gironde, le parquet compétent est en principe celui du tribunal judiciaire de Bordeaux.

Les faits relèvent le plus souvent de l’escroquerie (article 313-1 du code pénal, jusqu’à cinq ans d’emprisonnement et 375 000 euros d’amende), parfois combinée avec l’usurpation d’identité et l’accès frauduleux à un système informatique lorsque la messagerie a été piratée. La plainte est indispensable : la banque, l’assureur et l’administration fiscale la demanderont.

6.4 Déclarer le sinistre à l’assureur

Vérifiez votre contrat multirisque et, si vous en avez un, votre contrat d’assurance cyber ou fraude. Certaines polices couvrent le détournement de fonds par un tiers, d’autres l’excluent expressément. Déclarez le sinistre sans attendre, dans le délai prévu au contrat.

Un point de vigilance : lorsque la fraude passe par une atteinte à un système informatique (piratage de messagerie, par exemple), l’article L12-10-1 du code des assurances subordonne l’indemnisation au dépôt d’une plainte au plus tard 72 heures après la connaissance de l’atteinte. Un dépôt tardif peut faire perdre la garantie.

6.5 Faire le point sur la responsabilité de la banque

Pour un virement autorisé par le client, même trompé, la responsabilité de la banque est limitée. Une discussion s’ouvre si la banque n’a pas fourni la vérification du bénéficiaire alors qu’elle y était tenue, ou si l’opération présentait des anomalies manifestes. Ces questions relèvent d’un avocat ; le cabinet comptable vous aide à reconstituer la chronologie et les pièces.

7. Conséquences comptables et fiscales d’une fraude

Une fois l’urgence passée, la perte doit être traitée correctement dans les comptes.

7.1 Votre dette envers le vrai fournisseur reste entière

Le paiement effectué sur un faux RIB n’éteint pas votre dette : le vrai fournisseur n’a rien reçu et reste en droit d’être payé. Une négociation est parfois possible, surtout si la messagerie compromise était la sienne, mais rien d’automatique. Le choc de trésorerie impose de reconstruire rapidement un prévisionnel pour anticiper les semaines suivantes.

7.2 Comptabiliser la perte

La somme détournée est enregistrée en charge de l’exercice au cours duquel la fraude est constatée. Si une récupération est engagée (rappel de fonds, indemnisation d’assurance, action en justice), les sommes effectivement récupérées sont constatées en produit l’année de leur encaissement ou lorsqu’elles deviennent certaines. La documentation du dossier (plainte, échanges avec la banque, déclaration de sinistre) sert de justificatif comptable.

7.3 La déductibilité fiscale de la perte

Selon la doctrine fiscale, les vols et détournements subis par l’entreprise constituent une charge déductible (BOI-BIC-CHG-60-20-10, § 40), sous réserve de tenir compte ultérieurement des sommes restituées. Une découverte tardive ne fait pas obstacle à la déduction : la perte se déduit de l’exercice au cours duquel le détournement a été découvert (§ 50).

Deux limites doivent être connues. Les détournements commis par un dirigeant, un mandataire social ou un associé ne sont pas déductibles. Et pour les détournements commis par des salariés, la perte n’est pas déductible lorsqu’elle résulte d’une carence manifeste dans l’organisation de la société et la mise en œuvre des dispositifs de contrôle (§ 60). Le texte vise ce cas précis, pas l’escroquerie par un tiers extérieur, mais la logique mérite d’être retenue : une entreprise dépourvue de toute procédure de contrôle s’expose à des discussions. Une procédure écrite et appliquée est aussi un argument devant l’administration.

7.4 Informer les associés et tirer les leçons

Une perte significative est portée à la connaissance des associés. C’est aussi le moment de revoir la procédure : comment l’escroc est-il passé, quel contrôle aurait dû l’arrêter, qu’est-ce qui change dès maintenant.

8. Comment le Cabinet Cantini accompagne sur ce sujet

La sécurité des paiements ne relève pas uniquement de la banque ou du prestataire informatique : elle passe par l’organisation comptable, et c’est là que notre cabinet comptable intervient.

8.1 Un regard extérieur sur votre chaîne de paiement

À la demande du dirigeant, nous passons en revue le circuit d’un paiement fournisseur, de la facture au virement : qui modifie les fiches fournisseurs, qui saisit, qui valide, quels seuils existent. L’objectif est de repérer les points où une personne peut, seule, faire partir de l’argent, puis de rédiger avec vous la procédure d’une page adaptée à votre équipe.

Ce travail prolonge le rôle de l’expert-comptable auprès du dirigeant : garantir des comptes fiables suppose aussi de s’intéresser à la manière dont l’argent sort de l’entreprise.

8.2 Un suivi qui raccourcit le délai de détection

Dans le cadre de la tenue comptable, le rapprochement bancaire régulier fait ressortir un paiement anormal bien avant la clôture : IBAN inconnu, fournisseur réglé deux fois, virement sans pièce. Ce suivi s’inscrit dans l’approche décrite dans notre article sur les avantages d’un cabinet comptable digital pour les dirigeants.

Les dirigeants que nous accompagnons depuis Blanquefort, à Eysines, au Bouscat ou au Taillan-Médoc, comme ceux que nous suivons depuis Fargues-Saint-Hilaire à Tresses ou à Artigues-près-Bordeaux, gèrent pour la plupart leurs paiements avec une équipe administrative réduite. C’est précisément ce profil que ciblent les fraudeurs, et c’est pour lui qu’une procédure simple fait la plus grande différence.

8.3 Après un incident : chiffrer, documenter, régulariser

Si la fraude a eu lieu, nous rassemblons avec vous les pièces utiles à la banque, à l’assureur et à la plainte, puis traitons la perte dans les comptes, examinons sa déductibilité et mettons à jour le prévisionnel de trésorerie. Les perspectives de récupération dépendent de chaque situation et se discutent en rendez-vous.

Pour une vision d’ensemble de notre organisation et de nos missions, consultez la page de notre cabinet d’expertise comptable de la métropole bordelaise.

Questions fréquentes sur la fraude au faux RIB et au président

Quelle est la différence entre fraude au faux RIB et fraude au président ?

Les deux sont des faux ordres de virement (FOVI). Dans la fraude au faux RIB, l’escroc usurpe l’identité d’un fournisseur ou d’un salarié pour détourner un paiement prévu. Dans la fraude au président, il se fait passer pour le dirigeant et obtient un virement exceptionnel en invoquant l’urgence. La parade est commune : contre-appel par un canal indépendant et seconde validation.

Un courrier recommandé annonçant un changement de RIB est-il fiable ?

Non, pas à lui seul : les fraudeurs l’utilisent justement parce qu’il inspire confiance. Quel que soit le support, la règle reste un contre-appel au fournisseur, sur un numéro déjà connu, avant toute modification de sa fiche.

La vérification du bénéficiaire suffit-elle à me protéger ?

Elle réduit fortement le risque sans l’éliminer. Un compte ouvert sous une dénomination proche de celle de votre fournisseur peut donner un résultat rassurant ; valider malgré une alerte vous en fait assumer le risque ; et elle ne joue pas sur les virements groupés si votre entreprise y a renoncé.

Ma banque doit-elle me rembourser un virement fait sur un faux RIB ?

En principe non : un virement exécuté conformément à l’IBAN fourni est réputé correctement exécuté. La banque doit toutefois s’efforcer de récupérer les fonds. Sa responsabilité peut se discuter si elle n’a pas assuré la vérification du bénéficiaire ou si l’opération présentait des anomalies manifestes, un point à voir avec un avocat.

Que faire dans la première heure après avoir découvert la fraude ?

Appeler la banque pour demander le blocage et le rappel des fonds, suspendre tout autre virement vers ce compte, prévenir le dirigeant et votre cabinet comptable. Conservez les preuves, changez les mots de passe de la messagerie, déposez plainte et prévenez votre assureur.

La perte liée à une escroquerie est-elle déductible du résultat ?

Selon la doctrine fiscale, les vols et détournements subis sont en principe déductibles l’année de leur découverte, les sommes récupérées étant ensuite imposées. Les détournements d’un dirigeant ou d’un associé ne le sont pas, ni ceux de salariés en cas de carence manifeste des contrôles. La plainte sert de justificatif.

Pour conclure

La fraude au faux RIB et la fraude au président reposent moins sur une prouesse technique que sur une faille d’organisation : une personne qui peut, seule, modifier un IBAN et faire partir un virement. Les chiffres 2025 de la Banque de France montrent leur progression, et l’intelligence artificielle les rend plus crédibles.

La réponse tient en quelques règles : séparer saisie et validation, ne jamais changer un RIB sans contre-appel, prendre au sérieux chaque alerte de vérification du bénéficiaire, rapprocher régulièrement les comptes, et écrire la procédure. Si le virement est parti, appelez votre banque dans l’heure et déposez plainte.

Vous souhaitez faire relire votre circuit de paiement ou traiter les suites d’un incident ? Contactez-nous dès aujourd’hui : notre fiche Google vous permet aussi de consulter les retours des dirigeants que nous accompagnons en Gironde.

Cabinet Cantini
105 bis avenue du 11 Novembre, 33290 Blanquefort
05 56 35 21 00
cantini.fr

Étiqueté , , , , , ,