Facture avec un nouvel IBAN : déjouer l'arnaque au faux fournisseur

L'e-mail a l'air parfaitement normal. Il vient de votre grossiste habituel, reprend le bon numéro de commande et le ton de vos échanges, et précise simplement : « Suite à un changement de banque, merci d'effectuer vos prochains paiements sur notre nouveau compte. » Vous payez la facture, comme d'habitude. Trois semaines plus tard, le vrai fournisseur vous relance : il n'a jamais rien reçu. C'est l'arnaque au faux fournisseur, l'une des escroqueries les plus coûteuses pour les indépendants, les PME et les asbl. Elle se déjoue pourtant avec quelques réflexes simples.

Comment fonctionne l'arnaque

Le scénario repose rarement sur une prouesse technique. Il exploite la confiance et la routine. Les escrocs procèdent généralement de deux manières.

La boîte mail piratée. Les fraudeurs prennent le contrôle de la messagerie d'un fournisseur, ou parfois de la vôtre, par exemple après un e-mail d'hameçonnage. Ils lisent les échanges en silence pendant des semaines, repèrent les factures en attente, puis interviennent au bon moment, depuis la vraie adresse, avec un nouveau numéro de compte.

L'adresse imitée. Les escrocs créent une adresse qui ressemble à s'y méprendre à celle du fournisseur : une lettre changée, un tiret ajouté, une extension différente (.com au lieu de .be). Dans une boîte de réception chargée, la différence passe inaperçue.

Dans les deux cas, la facture jointe est souvent une copie fidèle de l'originale, avec un seul détail modifié : l'IBAN, le numéro de compte bancaire.

Une variante vise directement l'intérieur de l'entreprise : un faux message du gérant demande à un employé un virement urgent et confidentiel. C'est la « fraude au président ». Les réflexes de protection sont les mêmes.

Les signaux qui doivent alerter

Pris isolément, aucun signal n'est une preuve. Mais chacun justifie de s'arrêter :

• un changement de coordonnées bancaires annoncé par e-mail, surtout s'il est présenté comme anodin ;
• un nouveau compte à l'étranger, ou au nom d'une autre société que votre fournisseur ;
• une urgence inhabituelle : pénalités, blocage de livraison, audit en cours ;
• une demande de discrétion (« ne passez pas par la comptabilité ») ou l'impossibilité de joindre l'interlocuteur par téléphone ;
• de petites différences dans l'adresse e-mail, la signature, le ton ou la langue ;
• un avertissement de votre banque indiquant que le nom du bénéficiaire ne correspond pas au compte.

La règle d'or : vérifier par un autre canal

Face à toute demande de changement d'IBAN, une seule règle suffit à bloquer l'immense majorité des tentatives : vérifiez par téléphone, à un numéro que vous connaissez déjà. Pas celui qui figure dans l'e-mail suspect ni sur la facture jointe, mais celui de votre fiche fournisseur, d'un ancien bon de commande ou du site officiel de l'entreprise.

Posez une question simple : « Avez-vous bien changé de compte bancaire ? » Si la réponse est non, vous venez d'éviter une perte qui peut se compter en milliers d'euros.

Isabelle, 47 ans, gère une petite entreprise de rénovation à Arlon. « Un e-mail de notre fournisseur de carrelage annonçait un nouveau compte au Portugal. Tout semblait juste, jusqu'à la signature. J'ai appelé notre commercial sur son portable habituel : il n'était au courant de rien. Leur messagerie avait été piratée. On a évité de payer 14 000 euros. »

La vérification du nom du bénéficiaire : un filet de sécurité utile

Depuis le 9 octobre 2025, une protection européenne s'applique aux virements en euros dans la zone SEPA : avant d'exécuter un virement, votre banque vérifie si le nom du bénéficiaire que vous avez encodé correspond au titulaire du compte. Elle vous indique si le nom correspond, s'il est proche ou s'il ne correspond pas.

C'est un vrai progrès contre l'arnaque au faux fournisseur, mais pas une garantie :

• l'avertissement n'empêche pas d'envoyer le virement : c'est à vous de décider ;
• un escroc peut ouvrir un compte au nom d'une société au nom proche, ce qui peut produire une correspondance partielle ;
• les entreprises qui envoient des virements groupés peuvent, selon leur banque, avoir renoncé à cette vérification.

Lisez donc chaque avertissement attentivement, et ne le contournez jamais parce qu'un e-mail vous a prévenu qu'il « risquait d'apparaître ». Les escrocs utilisent aussi cette ficelle.

Mettre en place une procédure simple, même à deux

Dans une petite structure, une procédure écrite de quelques lignes protège mieux que la vigilance d'un jour de fatigue. Elle peut tenir en quatre règles :

1. Aucun changement d'IBAN n'est encodé sans vérification téléphonique auprès d'un contact connu, notée avec la date et le nom de la personne jointe.
2. Deux personnes valident les nouveaux bénéficiaires et les paiements importants, lorsque c'est possible : le gérant et la comptable, par exemple.
3. Les urgences et demandes confidentielles font l'objet d'une vérification renforcée, jamais d'une exception.
4. Les coordonnées bancaires des fournisseurs sont conservées dans une liste tenue à jour, consultée avant chaque premier paiement sur un nouveau compte.

La généralisation de la facturation électronique structurée entre entreprises, via le réseau Peppol, apporte aussi un peu plus de traçabilité. Mais une demande de changement de compte qui arrive par e-mail, en dehors du circuit habituel, reste suspecte par principe. Notre article sur les factures électroniques Peppol détaille ce qui change pour les indépendants.

Protéger sa propre messagerie

L'arnaque peut aussi partir de chez vous : si votre boîte mail est piratée, ce sont vos clients qui recevront de fausses factures en votre nom. Quelques mesures réduisent fortement ce risque :

• activez la double authentification sur la messagerie professionnelle et sur la banque en ligne : c'est la mesure la plus efficace, comme nous l'expliquons dans notre guide sur les mots de passe et la double authentification ;
• vérifiez régulièrement les règles de transfert et de filtrage de votre messagerie : les pirates en ajoutent souvent une pour détourner ou masquer certains messages ;
• indiquez sur vos factures que vos coordonnées bancaires ne changent jamais par simple e-mail, et invitez vos clients à vous appeler en cas de doute ;
• formez vos collaborateurs : dix minutes de discussion autour d'un exemple réel valent mieux qu'un long règlement.

Le virement est parti : les gestes qui comptent

Si vous découvrez que vous avez payé un escroc, chaque heure compte. Dans l'ordre :

1. Appelez immédiatement votre banque pour demander le blocage ou le rappel du virement. Si l'argent est encore sur le compte destinataire, il peut parfois être récupéré.
2. Portez plainte à la police, avec les e-mails frauduleux, les factures, la preuve du virement et vos échanges. La plainte est généralement demandée par la banque et l'assureur.
3. Prévenez le vrai fournisseur : sa messagerie est peut-être compromise, et d'autres clients sont peut-être visés.
4. Contactez votre assureur si vous disposez d'une assurance couvrant la fraude ou les risques informatiques.
5. Transférez les e-mails frauduleux à Safeonweb, à l'adresse suspicious@safeonweb.be.
6. Faites vérifier votre propre messagerie si le moindre doute existe sur son intégrité.

Sur le plan comptable, la facture du vrai fournisseur reste due : parlez-en avec votre comptable et avec le fournisseur pour trouver un arrangement, le temps que la banque et la police fassent leur travail.

À retenir : un changement d'IBAN annoncé par e-mail est suspect par principe. Vérifiez-le toujours par téléphone, à un numéro que vous connaissez déjà, et jamais à celui indiqué dans le message. Lisez attentivement l'avertissement de votre banque lorsque le nom du bénéficiaire ne correspond pas. Mettez en place une règle simple de double validation, protégez votre messagerie par la double authentification, et si le virement est parti, appelez votre banque sans attendre puis portez plainte.