Un faux procès-verbal d'assemblée, une fausse cession de parts, et le dirigeant d'une société change au registre en quelques jours. Le Kbis qui sort du greffe est authentique : c'est ce qu'il dit qui est faux. Nous avons décrit le mécanisme de la fraude au Kbis du point de vue d'un client ou d'un fournisseur. Cet article prend celui du dirigeant, dont la société est la cible.

Ce qu'un dirigeant ne peut pas empêcher

Le dépôt d'un faux acte ne s'empêche pas. Selon un cabinet d'avocats, le greffe contrôle la régularité formelle des pièces, pas leur authenticité, et le Kbis est modifié aussitôt. Le recours, lui, prend des mois.

Ce qui se gagne, c'est le délai entre le dépôt et la découverte. Plus il est court, moins le fraudeur a le temps d'ouvrir des comptes, de faire réexpédier le courrier ou de demander des accès. Les dix contrôles qui suivent ne promettent pas d'empêcher une fraude : ils réduisent ce délai et ce que le fraudeur peut faire pendant qu'il court.

Six de ces points se vérifient de l'extérieur. Les quatre derniers ne dépendent que de vous. Le check-up de Sentinelle reprend les dix, sans les noter : il dit ce qui est à jour, ce qui reste à faire, et ce qu'il ne sait pas voir.

Six points qui se vérifient de l'extérieur

1. Savoir dans la journée que le registre bouge

Un changement de dirigeant, un acte déposé, un transfert de siège : ces informations sont publiques, mais personne ne les lit pour vous. Le BODACC les publie après coup. Le Registre national des entreprises les enregistre en général avant : dans notre mesure du 29 octobre 2026, sur 25 sociétés dont le changement de dirigeant a paru au BODACC la veille, la fiche du registre avait été mise à jour 9 jours plus tôt en médiane, et 6 à 7 jours en écartant une mise à jour de masse du 19 octobre. L'échantillon est petit : c'est un ordre de grandeur, pas une règle. Un acte déposé devient lisible au registre un à six jours après son dépôt.

2. Un domaine e-mail difficile à imiter

Un fraudeur qui écrit à vos clients « en votre nom » utilise souvent une adresse qui imite la vôtre, ou la vôtre elle-même si rien ne l'en empêche. Trois enregistrements du DNS de votre domaine y répondent : SPF (quels serveurs peuvent envoyer pour vous), DKIM (une signature des messages) et DMARC (ce que le destinataire doit faire d'un message qui échoue aux deux premiers). Une politique DMARC en quarantine ou en reject fait écarter les messages qui vous imitent depuis l'extérieur.

Vous pouvez la lire vous-même : c'est un enregistrement TXT sur _dmarc.votredomaine.fr. DKIM ne se vérifie pas de l'extérieur : il se contrôle chez le prestataire qui envoie vos e-mails. Et rien de cela ne protège d'une messagerie réellement prise en main.

3. Une deuxième personne reçoit l'alerte

Si l'alerte n'arrive que dans votre boîte, elle ne protège pas le jour où cette boîte est la cible, ou le jour où vous êtes absent. Un associé ou l'expert-comptable, déclaré comme destinataire, double la chance qu'elle soit lue.

4. Une double authentification sur le compte qui reçoit l'alerte

Quelqu'un qui obtient votre mot de passe peut couper l'alerte ou en changer les destinataires. La double authentification se met en place en quelques minutes, sur ce compte comme sur votre messagerie.

5. Aucune alerte sans réponse

Une alerte lue trois jours plus tard vaut peu. Sentinelle relance une alerte sur votre société que personne n'a prise en compte, quatre heures puis vingt-quatre heures après son envoi, à toute heure et tous les jours. Un « j'ai vu » dans la relance l'arrête pour tous les destinataires, et chacun est prévenu de qui a répondu.

6. Une adresse de facturation électronique active à l'annuaire

Depuis le 1er septembre 2026, toute entreprise assujettie à la TVA doit avoir choisi une plateforme agréée pour recevoir ses factures électroniques, et son adresse figure à l'annuaire de la facturation électronique. Une adresse qui disparaît, ou une plateforme qui change sans que vous l'ayez demandé, est à éclaircir : vos clients ne pourraient plus vous adresser de factures. Aucune source ne documente aujourd'hui un détournement de la réception par ce biais : c'est une question de continuité, et un changement que personne n'a voulu mérite au moins un appel à votre plateforme.

Quatre points qui ne dépendent que de vous

7. Une deuxième personne valide les virements et les changements de RIB

C'est la mesure de base de la fiche réflexe de Cybermalveillance sur les faux ordres de virement : une validation hiérarchique interne, qui ne souffre pas d'exception, même sous la pression d'une demande urgente. Un fraudeur qui contrôle un seul compte de messagerie n'en contrôle pas deux.

8. La messagerie du dirigeant et de la comptabilité est protégée

Un mot de passe solide et une double authentification, selon la même fiche. C'est par la messagerie que passent les demandes de virement, les codes de confirmation et les réinitialisations de mot de passe de presque tous vos autres accès.

9. Les accès en ligne sont revus

Banque, Chorus Pro, plateforme agréée, espace professionnel sur impots.gouv.fr : qui est rattaché à votre société, avec quels droits ? Le guide d'hygiène informatique de l'ANSSI (en anglais) demande, dans sa mesure 5, de tenir l'inventaire des comptes à privilèges, de le revoir périodiquement et de retirer les droits devenus inutiles. Côté impôts, la fiche consulter vos services et vos habilitations dit où regarder.

10. Vous savez qui prévenir, et quelles preuves garder

Sa banque, le greffe, la gendarmerie ou la police pour la plainte, son assureur, ses clients et fournisseurs : l'ordre compte, et le moment de le chercher n'est pas celui où le Kbis a déjà changé. Gardez dès maintenant de quoi dater ce que vous savez : l'extrait du registre avant et après, les e-mails, les relevés. La page société usurpée liste les démarches dans l'ordre où nous les proposons. C'est une information générale, pas un conseil juridique, et elle parle d'un soupçon d'usurpation, jamais d'une certitude.

Ce que ce check-up ne voit pas

Tout au vert veut seulement dire « rien à traiter parmi ce que nous savons contrôler ». Quatre choses restent invisibles de l'extérieur : un faux procès-verbal pas encore inscrit au registre, la signature DKIM chez votre prestataire d'e-mail, vos accès bancaires et vos mots de passe. Les quatre points qui ne dépendent que de vous sont déclarés, pas vérifiés : une case cochée ne devient jamais « à jour » pour nous, et se revoit au bout de douze mois.

Le faire pour votre société

La veille de votre propre société est gratuite sur Sentinelle : une alerte le jour où un changement ou un acte devient lisible au registre, des relances si personne n'y répond, et le check-up en dix points sur la fiche de chaque société suivie. Pour une société que l'on soupçonne déjà d'être visée, la page des démarches est le bon point de départ.

Sources