« Notre RIB a changé » : le mail qui détourne vos paiements

Un fournisseur que vous payez depuis des années vous annonce par courriel un changement de coordonnées bancaires. Le message reprend sa signature, son logo, parfois le fil de discussion réel. Vous payez la prochaine facture sur le nouveau RIB. L’argent part chez un escroc, et votre fournisseur, lui, attend toujours son règlement. La seule barrière efficace ne se trouve pas dans un logiciel : c’est un appel sur le numéro que vous connaissiez déjà.

Le scénario type

Prenons un cas illustratif. Une entreprise de Baie-Mahault reçoit un courriel de son fournisseur de matériel, avec qui elle travaille depuis six ans. Le message annonce un changement de banque « suite à une réorganisation interne », s’excuse de la gêne, et joint un nouveau RIB au format habituel. L’adresse d’expédition est celle du commercial, à une lettre près. La facture jointe est authentique — elle a réellement été émise.

Le comptable enregistre le nouveau RIB dans le logiciel et règle 4 800 €. Trois semaines plus tard, le fournisseur relance pour impayé. Le compte destinataire a été vidé le jour même.

Ce n’est pas un scénario improbable : l’usurpation d’un fournisseur qui communique de « nouvelles coordonnées bancaires » est une variante décrite par Cybermalveillance.gouv.fr de la fraude aux faux ordres de virement (FOVI), qui « concerne tous les types d’organisation ». Elle est d’autant plus facile qu’une seule personne saisit les règlements, sans procédure de contrôle formalisée.

Pourquoi ces courriels sont si convaincants

Deux mécanismes se combinent, et le second est celui que l’on sous-estime.

Le premier est l’usurpation d’identité : l’escroc imite l’adresse d’expédition en changeant un caractère, ou en remplaçant un domaine par un autre visuellement proche. Un rn remplace un m, un .fr devient un .net. Personne ne lit une adresse caractère par caractère.

Le second est plus redoutable : dans certains cas, la fraude fait suite au piratage réel de la messagerie du fournisseur, ou de la vôtre (Cybermalveillance.gouv.fr). L’attaquant lit alors les échanges pendant des semaines, apprend les montants habituels, les prénoms, les habitudes, et attend une vraie facture pour intervenir dans un fil de discussion existant. Aucun indice ne cloche parce qu’il n’y a rien d’inventé — sauf le RIB.

C’est ce qui explique qu’une équipe attentive se fasse prendre : elle cherche un faux, et tout est vrai.

La variante « fraude au président »

Le même mécanisme existe en interne. Un collaborateur du service comptable reçoit une demande pressante, présentée comme venant du dirigeant : un virement important, urgent, confidentiel, souvent justifié par une opération à ne pas ébruiter. La pression hiérarchique et l’urgence servent précisément à empêcher la vérification.

Le signal n’est pas le montant, c’est la combinaison urgence + confidentialité + demande inhabituelle. Une consigne qui interdit d’en parler à un collègue est, en soi, l’anomalie.

Les trois barrières qui tiennent

1. Le rappel sur l’ancien numéro. Tout changement de coordonnées bancaires reçu par message se vérifie par téléphone, sur le numéro que vous aviez déjà dans vos fiches — jamais sur celui indiqué dans le courriel. Cybermalveillance demande des règles claires de confirmation des changements de coordonnées bancaires ; le rappel sur un numéro déjà connu en est la forme la plus simple, et la seule qui résiste à un fil de discussion piraté. Un escroc contrôle le message ; il ne contrôle pas la ligne du fournisseur.

2. La double validation, sans exception. Au-delà d’un seuil que vous fixez — 1 000 €, 2 000 €, ce que vous voulez — un second regard valide le virement. La règle n’a de valeur que si elle est non dérogeable — c’est le terme employé par Cybermalveillance : une procédure qui saute quand c’est urgent ne protège de rien, puisque l’urgence est justement l’outil de l’escroc.

3. La règle écrite, connue de tous. Les personnes habilitées à payer doivent savoir, avant l’incident, qu’aucune demande de virement urgente et confidentielle ne se traite sans rappel. Cela retire au collaborateur le poids de la décision : il n’a pas à juger, il applique.

Si c’est déjà parti

L’ordre des gestes compte, et les premières heures décident du reste :

1. Appeler la banque immédiatement et demander le retour des fonds. Cybermalveillance demande d’alerter « au plus vite » : chaque heure perdue laisse aux escrocs le temps de vider ou de transférer le compte.
2. Bloquer le RIB frauduleux dans le logiciel comptable et vérifier s’il n’a pas déjà servi à d’autres règlements, ou s’il n’est pas enregistré pour des virements à venir.
3. Conserver toutes les preuves : le courriel avec ses en-têtes complets, le RIB, l’ordre de virement, les échanges téléphoniques.
4. Changer le mot de passe de la messagerie concernée si la fraude a pu passer par un compte piraté — sinon l’attaquant lit encore vos réponses pendant que vous gérez l’incident.
5. Déposer plainte : selon Cybermalveillance, la plainte sera nécessaire et augmente les chances de récupérer les fonds auprès de la banque.

Et si des données personnelles ont pu être consultées, modifiées ou détruites lors du piratage de la messagerie, l’incident doit être notifié à la CNIL dans les 72 heures, conformément à l’article 33 du RGPD (Cybermalveillance.gouv.fr).

À retenir

Cette fraude ne se déjoue pas par la technologie : ni l’antivirus, ni le filtre anti-spam ne bloquent un vrai courriel envoyé depuis une vraie boîte piratée. Elle se déjoue par une règle simple, écrite et sans exception — tout changement de RIB se confirme par un appel sur le numéro déjà connu. C’est aussi le type de procédure qu’un accompagnement en infogérance et sécurité met en place une fois pour toutes, avec la double authentification des messageries, que Cybermalveillance recommande pour limiter les risques de piratage.

Sources : Cybermalveillance.gouv.fr, « La fraude au virement bancaire (FOVI) ou au faux ordre de virement » ; Cybermalveillance.gouv.fr, « Rançongiciel ou ransomware : que faire si votre organisation est victime d’une attaque ? » (notification CNIL sous 72 h, article 33 du RGPD).