Guide pratique — édition d’octobre 2026 · Lecture estimée : 9 minutes · Auteur : [Nom de l’auteur]
Sommaire
- L’essentiel : de quoi parle-t-on ?
- Les trois scénarios les plus courants
- Les ressorts psychologiques de l’escroc
- Les signaux d’alerte à diffuser à vos équipes
- La procédure de double validation, pas à pas
- Les autres mesures de protection
- Que faire si un faux virement est parti ?
- Questions fréquentes
- Pour aller plus loin
- Sources et méthodologie
L’essentiel : de quoi parle-t-on ?
Réponse rapide. L’escroquerie aux faux ordres de virement (FOVI) consiste à pousser un collaborateur, par persuasion ou pression, à faire un virement non prévu vers un compte contrôlé par l’escroc. Quand l’escroc se fait passer pour le dirigeant avec une demande « urgente et confidentielle », on parle de fraude au président ; il peut aussi usurper un fournisseur (faux changement de RIB) ou un salarié. La parade la plus efficace est organisationnelle : une procédure interne de vérification et de double validation, non dérogeable, pour tout virement imprévu et tout changement de coordonnées bancaires. Si un virement frauduleux est parti, appelez votre banque immédiatement pour demander le retour des fonds, puis déposez plainte.
Cybermalveillance.gouv.fr, le dispositif national d’assistance aux victimes, rappelle que cette escroquerie touche tous les types d’organisations, des TPE aux grands groupes en passant par les associations et les collectivités. Elle est généralement menée par téléphone, par messagerie électronique, ou les deux, et le compte bancaire de l’escroc est souvent situé à l’étranger.
Pour une TPE-PME, l’enjeu est direct : un seul virement détourné peut représenter plusieurs mois de trésorerie, et les fonds partis à l’étranger sont difficiles à récupérer. Contrairement à beaucoup d’attaques informatiques, celle-ci ne repose pas sur une faille technique mais sur la confiance et sur l’absence de procédure claire.
Les trois scénarios les plus courants
Cybermalveillance.gouv.fr et Les clés de la banque (le site pédagogique de la Fédération bancaire française) décrivent trois grands modes opératoires.
| Scénario | Qui est usurpé | Ce que l’escroc demande | Cible typique |
|---|---|---|---|
| Fraude au président | Le dirigeant (ou un autre cadre dirigeant) | Un virement urgent et confidentiel, souvent pour une « opération stratégique » | Comptable, assistante de direction, responsable financier |
| Faux fournisseur / changement de RIB | Un fournisseur réel | Payer les prochaines factures sur de « nouvelles coordonnées bancaires » | Service comptable, gérant qui règle lui-même les factures |
| Faux salarié | Un collaborateur | Verser son salaire sur un nouveau compte | Service paie, cabinet comptable |
Exemple réaliste de fraude au président
Un vendredi après-midi de juillet, la comptable d’une PME reçoit un e-mail qui semble venir du gérant : « Je suis en rendez-vous, impossible de parler. Nous finalisons une acquisition confidentielle. Un avocat va vous contacter : faites le virement qu’il vous indiquera avant 17 h. N’en parlez à personne pour l’instant. » Un faux avocat appelle ensuite, très professionnel, et fournit un IBAN étranger.
Exemple réaliste de faux changement de RIB
Un artisan reçoit, depuis l’adresse habituelle de son grossiste, un courrier électronique annonçant un changement de banque, avec un nouveau RIB en pièce jointe et la prochaine facture. Rien ne semble anormal : la messagerie du grossiste a été piratée, et l’escroc a simplement attendu le bon moment pour intervenir dans un échange réel.
Ce second cas illustre un point important souligné par Cybermalveillance.gouv.fr : la fraude fait parfois suite au piratage de la messagerie de la personne ou de l’entité usurpée. L’adresse de l’expéditeur peut donc être authentique ; ce n’est pas un critère de confiance suffisant.
Les ressorts psychologiques de l’escroc
L’escroc ne cherche pas à tromper un système, mais une personne. Il s’appuie sur quelques leviers récurrents :
- l’autorité : la demande semble venir du dirigeant, qu’on n’ose pas contredire ;
- l’urgence : il faut agir « avant ce soir », ce qui empêche de vérifier ;
- la confidentialité : « n’en parlez à personne » isole la victime de ses collègues ;
- la flatterie ou la confiance : « je compte sur vous, vous êtes la seule personne à qui je peux confier ça » ;
- la connaissance du contexte : noms des collaborateurs, fournisseurs, organigramme, souvent glanés sur le site Internet, les réseaux sociaux professionnels ou une messagerie piratée.
Les clés de la banque note aussi que les escrocs ont tendance à agir pendant les périodes creuses : congés d’été, vacances scolaires, jours fériés, quand les responsables sont absents et les vérifications plus difficiles.
Les signaux d’alerte à diffuser à vos équipes
| Signal d’alerte | Pourquoi c’est suspect |
|---|---|
| Demande de virement imprévue, hors circuit habituel | Une vraie opération passe par le processus normal |
| Insistance sur l’urgence et le secret | Le secret sert à empêcher la vérification |
| Interlocuteur injoignable par les moyens habituels | Il évite que vous puissiez le rappeler |
| Changement de coordonnées bancaires annoncé par e-mail | Le canal le plus facile à usurper ou à pirater |
| IBAN étranger pour un partenaire habituellement français | Selon Les clés de la banque, un IBAN qui ne commence pas par « FR » doit alerter |
| Adresse e-mail très proche de l’adresse réelle | Un caractère modifié suffit à tromper un lecteur pressé |
| Demande pendant les congés ou en fin de journée | Moment choisi pour l’absence des valideurs |
| Ton ou style inhabituel du « dirigeant » | Un détail qui ne colle pas mérite une vérification |
Un seul de ces signaux suffit à déclencher la procédure de vérification décrite ci-dessous.
La procédure de double validation, pas à pas
Cybermalveillance.gouv.fr recommande de mettre en place une procédure de vérification et de validation hiérarchique interne non dérogeable pour les demandes de virement imprévues et l’acceptation de changements de coordonnées bancaires, et de diffuser des procédures claires aux collaborateurs habilités. Voici une procédure simple, adaptée à une TPE-PME.
Étape 1 — Écrire la règle et la faire connaître
Rédigez en une page qui peut ordonner un virement, au-delà de quel montant une seconde validation est nécessaire, et comment se valide un changement de RIB. Le dirigeant doit signer et annoncer lui-même : « Je ne vous demanderai jamais de contourner cette procédure, même en urgence. Si quelqu’un le fait en mon nom, c’est une fraude. »
Étape 2 — Vérifier par un second canal, toujours
Toute demande inhabituelle se vérifie par un canal différent de celui par lequel elle est arrivée : on rappelle le dirigeant ou le fournisseur au numéro déjà connu (annuaire interne, contrat, fiche fournisseur), jamais au numéro indiqué dans le message suspect.
Étape 3 — Exiger deux personnes pour tout virement sensible
Un virement imprévu ou supérieur au seuil fixé est préparé par une personne et validé par une autre. Configurez si possible cette double signature dans votre banque en ligne : la plupart des banques proposent des profils d’utilisateurs avec des droits distincts (saisie, validation).
Étape 4 — Traiter les changements de RIB comme une opération à risque
Un changement de coordonnées bancaires d’un fournisseur ou d’un salarié n’est enregistré qu’après confirmation par téléphone auprès d’un interlocuteur connu, puis validé par une seconde personne. Conservez la trace de cette vérification (date, personne contactée).
Étape 5 — Tirer parti de la vérification du bénéficiaire
Depuis le 9 octobre 2025, selon Service-public.gouv.fr, toutes les banques de la zone euro doivent proposer gratuitement la vérification du bénéficiaire (Verification of Payee, VoP), prévue par le règlement européen 2024/886 : la banque vérifie que le nom saisi correspond à l’IBAN et vous signale une concordance exacte, partielle, une non-concordance ou l’impossibilité de vérifier. Faites de toute alerte un motif d’arrêt automatique. Ce contrôle ne remplace pas votre procédure : le client peut toujours choisir de passer outre, et une alerte ignorée sous la pression ne protège personne.
Étape 6 — Prévoir le cas de l’absence
Désignez à l’avance un valideur de remplacement pour les périodes de congés. L’escroc compte justement sur le « personne n’est là pour valider ».
Les autres mesures de protection
| Mesure | Ce que ça bloque | Comment faire |
|---|---|---|
| Sensibiliser régulièrement les équipes | La manipulation par urgence et autorité | Rappel avant les congés et jours fériés, mise en situation, partage d’exemples réels |
| Sécuriser les messageries | Le piratage de boîte mail qui rend la fraude crédible | Mots de passe solides et double authentification sur tous les comptes de messagerie |
| Limiter les informations publiques | Le repérage des personnes habilitées | Évitez de publier qui gère les paiements, avec leurs coordonnées directes |
| Protéger l’accès à la banque en ligne | L’accès direct de l’escroc au compte | Identifiants personnels, droits limités par utilisateur |
| Encourager le « non » | La peur de déplaire au dirigeant | Félicitez publiquement le collaborateur qui a bloqué une fausse demande |
Ces mesures rejoignent les recommandations de Cybermalveillance.gouv.fr et de Les clés de la banque : sensibiliser les collaborateurs, en particulier à l’approche des vacances, diffuser des procédures claires, établir des règles de vérification et sécuriser les systèmes informatiques.
Que faire si un faux virement est parti ?
Chaque heure compte. Voici l’ordre recommandé par Cybermalveillance.gouv.fr.
- Identifiez tous les virements concernés : exécutés, en attente ou programmés vers les coordonnées frauduleuses. Prévenez la direction et le service comptable, et bloquez ces coordonnées dans vos logiciels.
- Alertez immédiatement votre banque (votre chargé d’affaires) et demandez le retour des fonds. Votre plainte sera nécessaire et augmentera vos chances de les récupérer.
- Faites suspendre les virements non encore exécutés auprès de votre service comptable ou de votre cabinet comptable.
- Conservez les preuves : messages, e-mails, numéros de téléphone, ordres de virement, factures.
- Sécurisez la messagerie si elle a pu être piratée : changement immédiat du mot de passe et activation de la double authentification.
- Déposez plainte au plus vite au commissariat, à la gendarmerie ou par écrit au procureur de la République. Selon Cybermalveillance.gouv.fr, un avocat spécialisé peut faciliter le contact avec la banque étrangère qui a reçu les fonds.
Pour être conseillé sur les démarches, la plateforme Info Escroqueries du ministère de l’Intérieur répond au 0 805 805 817 (appel et service gratuits, du lundi au vendredi de 9 h à 18 h 30), selon Les clés de la banque. Ce guide ne remplace pas un conseil juridique personnalisé, notamment sur la responsabilité de la banque.
Questions fréquentes
Une petite entreprise est-elle vraiment visée ?
Oui. Cybermalveillance.gouv.fr souligne que cette escroquerie concerne tous les types d’organisations. Une TPE dispose souvent de moins de procédures formelles et d’un dirigeant très sollicité, ce qui peut faciliter la manipulation.
L’e-mail vient de la vraie adresse du fournisseur : est-ce une garantie ?
Non. La fraude fait parfois suite au piratage de la messagerie de l’entreprise usurpée. Un changement de RIB se vérifie toujours par téléphone, au numéro que vous connaissez déjà.
La vérification du bénéficiaire suffit-elle à me protéger ?
Elle aide, mais ne suffit pas. Elle vérifie la concordance entre le nom saisi et l’IBAN, et vous laisse libre d’exécuter le virement malgré une alerte. La procédure interne de double validation reste indispensable.
Quelles peines risquent les escrocs ?
Selon Cybermalveillance.gouv.fr, l’escroquerie (article 313-1 du Code pénal) est passible de cinq ans d’emprisonnement et de 375 000 euros d’amende, la tentative étant punie des mêmes peines. D’autres infractions peuvent s’ajouter, comme l’usurpation d’identité ou l’accès frauduleux à un système informatique.
Que dire à un collaborateur qui s’est fait piéger ?
Qu’il a bien fait de le signaler vite, car c’est ce qui maximise les chances de récupérer les fonds. Une culture du blâme pousse au silence ; l’objectif est d’améliorer la procédure, pas de désigner un coupable.
Pour aller plus loin
- Compromission de messagerie (BEC)
- Phishing ciblé (spear phishing)
- Former ses équipes
- Qui prévenir : contacts utiles
Sources et méthodologie
Ce guide s’appuie sur les sources suivantes, consultées le 1er octobre 2026.
- Cybermalveillance.gouv.fr — « La fraude au virement bancaire (FOVI) ou au faux ordre de virement » (fiche réflexe, mise à jour le 15/09/2026) — définition, variantes (président, RIB, salarié), mesures de prévention, procédure de validation non dérogeable, démarches en cas de victime, infractions et peines : https://www.cybermalveillance.gouv.fr/tous-nos-contenus/fiches-reflexes/escroquerie-faux-ordres-virement-fovi
- Les clés de la banque (FBF) — « Fraude aux ordres de virement bancaire : que faire ? » — modes opératoires, indices (périodes creuses, urgence, IBAN étranger), prévention, démarches, Info Escroqueries 0 805 805 817 : https://www.lesclesdelabanque.com/entreprise/fraude-au-faux-virement-bancaire-que-faire/
- Service-public.gouv.fr — « Les virements bancaires plus sécurisés grâce à une nouvelle étape de vérification » — vérification du bénéficiaire obligatoire depuis le 9 octobre 2025, règlement européen 2024/886, résultats possibles, liberté d’exécuter le virement : https://www.service-public.gouv.fr/particuliers/actualites/A18474
[Nom de l’auteur] — [Fonction / expertise]. Remplacez les mentions entre crochets avant publication.