La fraude au changement de RIB ne vise pas un paiement : elle vise votre fichier fournisseurs. Il suffit qu'un IBAN soit modifié dans la fiche d'un fournisseur réel pour que toutes les factures suivantes, parfaitement légitimes, partent vers le compte du fraudeur. Rien ne se voit côté comptabilité : la facture est juste, le virement part, le fournisseur relance trois semaines plus tard. Le contrôle ne se joue donc pas au moment de payer, mais au moment où l'on accepte de toucher aux coordonnées bancaires d'un tiers.

Le scénario, presque toujours le même

La demande arrive par courriel, au nom d'un fournisseur avec qui vous travaillez vraiment. Elle annonce un changement de banque, joint un RIB sur papier à en-tête, et s'appuie souvent sur une facture en attente de règlement, réelle elle aussi. Plusieurs signaux reviennent :

  • l'adresse d'envoi : un domaine qui ressemble à celui du fournisseur à une lettre près, ou une vraie boîte piratée, auquel cas rien ne distingue le message d'un envoi normal ;
  • le motif : changement d'établissement bancaire, audit en cours, recours à l'affacturage, compte « temporairement bloqué » ;
  • l'urgence : un règlement à faire avant une date, une relance déjà insistante ;
  • le pays : une banque située ailleurs que dans le pays du fournisseur, sans raison apparente ;
  • l'interlocuteur : un contact nouveau, ou l'interlocuteur habituel soudain injoignable par téléphone.

Variante plus récente : la demande s'appuie sur un Kbis du jour, authentique, qui désigne un nouveau dirigeant. C'est la fraude au Kbis : le registre a été modifié avec de faux documents, et le Kbis ne prouve plus rien.

Le point qui piège le plus souvent : la facture elle-même peut être authentique, interceptée dans une boîte compromise. La vérifier ne protège de rien. C'est la modification de la fiche qu'il faut contrôler.

Un IBAN valide ne prouve rien

La clé d'un IBAN, calculée selon l'algorithme « modulo 97 », écarte les erreurs de saisie : chiffre faux, chiffres intervertis. La longueur, elle, se contrôle à part, selon le format de chaque pays (27 caractères en France). Ni l'une ni l'autre ne dit rien du titulaire. Les comptes utilisés par les fraudeurs sont de vrais comptes, ouverts dans de vraies banques, et leurs IBAN passent tous les contrôles de forme.

Ces contrôles restent utiles, mais pour une autre raison : ils écartent les erreurs de saisie, qui font elles aussi échouer des virements. Ce qui ressemble davantage à un signal, ce sont les incohérences :

  • un IBAN et un BIC qui ne désignent pas le même pays ;
  • un fournisseur français dont la banque passe soudain à l'étranger ;
  • un BIC qui se présente comme français mais que le registre des établissements ne connaît pas ;
  • un même IBAN porté par deux fournisseurs différents : c'est parfois un copier-coller malheureux, c'est aussi la trace typique d'un détournement.

La vérification du bénéficiaire, depuis octobre 2025

Depuis le 9 octobre 2025, les banques de la zone euro doivent proposer, avant d'exécuter un virement SEPA, de vérifier que le nom du bénéficiaire correspond à l'IBAN. La réponse distingue la correspondance, la correspondance approchante, qui renvoie le nom réel du titulaire, l'absence de correspondance, et la vérification impossible, par exemple quand la banque du bénéficiaire ne répond pas.

C'est un vrai progrès contre ce type de fraude, avec trois limites à connaître :

  • une correspondance approchante n'est pas un feu vert : un compte ouvert sous une raison sociale proche de celle du fournisseur la déclenchera, et c'est exactement le genre d'alerte qu'on valide sans lire au milieu d'une campagne de paiements ;
  • les entreprises peuvent y renoncer pour leurs virements groupés, qui sont justement le mode habituel de règlement des fournisseurs (un fichier qui ne contient qu'un seul ordre reste vérifié) ;
  • l'obligation couvre aujourd'hui les banques de la zone euro : celles des pays de l'Union hors zone euro n'y seront soumises qu'en juillet 2027, et les pays de l'espace SEPA hors Union, comme le Royaume-Uni ou la Suisse, n'y sont pas soumis. Un virement vers ces banques n'en bénéficie donc pas.

Elle agit comme un filet de sécurité au moment du paiement. Elle ne remplace pas le contrôle de la fiche fournisseur, qui intervient bien avant.

Les contrôles à poser avant tout changement de coordonnées

  1. Contre-appel sur un numéro déjà connu. Jamais celui qui figure dans le message ou dans sa signature : le numéro enregistré dans votre base avant la demande, et de préférence l'interlocuteur habituel. Le site du fournisseur n'est pas un repère sûr quand sa société vient de changer de dirigeant : le nouveau « dirigeant » a pu en modifier les coordonnées.
  2. Séparation des rôles. La personne qui reçoit la demande n'est pas celle qui modifie la fiche, et la modification est tracée : qui, quand, sur quelle pièce, confirmée par quel appel.
  3. Cohérence de la nouvelle banque. Pays de l'IBAN, pays du BIC, pays et identité du fournisseur. Une domiciliation qui change de pays mérite une question explicite, et l'outil gratuit Vérifier un changement de RIB confirme au passage que l'entreprise est toujours en activité, sans changement de dirigeant récent au BODACC.
  4. Période de vigilance. Le premier virement vers les nouvelles coordonnées est suivi, et sa bonne réception confirmée par le fournisseur, par un autre canal que celui de la demande.
  5. Revue régulière du fichier. Les IBAN modifiés récemment, ceux partagés par plusieurs tiers, les fiches sans contact de référence : autant de points à regarder à froid, en dehors de toute demande pressante.

Ce qu'un contrôle de masse peut faire, et ce qu'il ne fait pas

Aucun outil de vérification de fichier ne peut certifier qu'un IBAN appartient à votre fournisseur : seuls le contre-appel et la vérification du bénéficiaire par votre banque répondent à cette question. En revanche, passer le fichier entier au crible fait remonter ce qu'une revue ligne à ligne laisse passer.

C'est ce que fait TierSafe sur les colonnes bancaires de votre fichier : format, longueur et clé de chaque IBAN selon son pays, format du BIC, cohérence des pays entre IBAN et BIC, écart entre le pays de la banque et celui de la TVA pour les tiers étrangers, BIC français inconnu du registre des établissements. Surtout, le fichier est croisé avec lui-même : un IBAN partagé par des entreprises différentes ressort immédiatement, avec les lignes concernées. Le tout s'ajoute au contrôle de l'identité de chaque fournisseur, qui signale les entreprises cessées : un fournisseur radié qui transmet un nouveau RIB est un signal à ne jamais laisser passer.

Le fichier vérifié, reste à savoir quand une demande de changement de RIB tombe au mauvais moment. C'est le rôle des vigilances de Sentinelle, la veille TierSafe : un changement de dirigeant, un transfert de siège, un changement de dénomination ou une procédure collective publiés au BODACC, une cessation, ou une entreprise créée depuis moins de six mois ouvrent une Vigilance RIB sur la fiche du tiers. Pendant cette période, la fiche rappelle la consigne : toute nouvelle coordonnée bancaire se vérifie par un second canal, sur un numéro déjà connu. La vigilance décrit une période propice à la fraude, jamais un fournisseur suspect. Elle est incluse dans toutes les offres Sentinelle, y compris l'offre gratuite, qui surveille votre propre entreprise et dix tiers.

Vous pouvez tester votre fichier gratuitement : le premier import est offert. Pour situer les coordonnées bancaires parmi les autres données à fiabiliser, voir notre article sur le contrôle de cohérence des données tiers.

Sources officielles