La fraude au faux fournisseur est une fraude au virement dans laquelle un fraudeur usurpe l’identité d’un fournisseur afin de faire modifier les coordonnées bancaires utilisées et de détourner les futurs paiements.
Dans la majorité des cas, elle ne repose pas sur un piratage complexe, mais sur un simple changement de coordonnées bancaires.
Elle est devenue l’une des fraudes les plus fréquentes dans les services comptables et financiers. Un fournisseur semble envoyer un nouveau RIB, l’IBAN est techniquement valide, les équipes mettent à jour les coordonnées bancaires du fournisseur… puis le paiement part vers le compte du fraudeur.
Le problème est que beaucoup d’entreprises vérifient les documents, mais pas le titulaire réel du compte bancaire. Or un IBAN valide ne garantit pas que le compte appartient au bon fournisseur.
Il existe aujourd’hui des méthodes concrètes pour sécuriser les virements fournisseurs et se prémunir contre cette fraude de plus en plus fréquente.
À retenir
- Un IBAN valide ne garantit pas que le compte appartient au bon fournisseur.
- La fraude au faux fournisseur repose souvent sur un simple changement de RIB.
- Les contrôles visuels et validations par email ne suffisent plus.
- La vérification du titulaire de l’IBAN est aujourd’hui le contrôle le plus efficace.
- Le VoP bancaire est utile mais limité aux virements manuels et au moment du paiement. Des solutions spécialisées peuvent être mises en place pour des contrôles en amont et sur des volumes importants.
Comment fonctionne la fraude au faux fournisseur ?
Le scénario type
Le fraudeur identifie un fournisseur réel avec lequel vous travaillez. Cette information est souvent accessible publiquement via votre site, LinkedIn ou des appels d’offres.
Il vous envoie un email imitant ce fournisseur pour vous signaler un "changement de coordonnées bancaires". Le service comptable met à jour le fichier fournisseur avec le nouveau RIB, visuellement identique à l'original. Le règlement de la prochaine facture part alors sur le compte du fraudeur.
Dans la pratique, les équipes comptables ne découvrent souvent la fraude qu'après plusieurs cycles de paiement, quand le vrai fournisseur relance pour impayé. Les chances de récupérer des fonds deviennent alors très faibles.
Un IBAN frauduleux peut aussi entrer dans votre système dès la création d'un fournisseur : le fraudeur se substitue à un prestataire que vous venez de sélectionner et vous transmet ses propres coordonnées bancaires avant le premier virement.
Création ou modification du fournisseur : les deux étapes sont critiques et représentent des portes d'entrées pour les fraudeurs.
Pourquoi les entreprises se font piéger
La fraude fonctionne parce qu'elle exploite des points de faiblesse structurels, pas des négligences.
Les emails sont devenus très convaincants. L'IA générative permet d'imiter parfaitement le style, la signature et le vocabulaire d'un interlocuteur habituel à partir de quelques échanges accessibles en ligne. Un nom de domaine proche complète l'illusion visuelle. La détection par lecture attentive de l'email ne suffit plus.
Une demande de changement de RIB est une démarche banale. Les fournisseurs changent effectivement de banque, fusionnent, ouvrent de nouveaux comptes. Le réflexe de méfiance systématique est difficile à maintenir sur des dizaines ou des centaines de fournisseurs actifs. C'est précisément sur cette habitude que joue le fraudeur.
La pression opérationnelle favorise les erreurs. Les demandes arrivent souvent en fin de mois, en période de clôture, ou juste avant un règlement prévu. Le fraudeur choisit délibérément ce moment, le délai de traitement est réduit, la vérification raccourcie.
Le faux RIB est souvent impossible à distinguer visuellement de l’original. Un document PDF parfaitement mis en page, avec le bon logo et les bonnes informations. Seul l'IBAN est modifié par celui du fraudeur.
Pourquoi les contrôles habituels ne suffisent pas
Le réflexe naturel face à ce type de fraude est de renforcer les vérifications existantes. Mais les contrôles les plus répandus ont chacun une limite qui les rend insuffisants, ou contournables.
Le contrôle visuel du RIB n'apporte aucune protection. Un faux RIB est conçu pour être visuellement identique à un vrai et l'IA générative permet maintenant de générer en quelques secondes un RIB identique au document original en modifiant simplement l'IBAN qui figure dessus.
La validation par email est le canal même qui est compromis. Envoyer un email de confirmation à l'adresse qui vous a contacté revient à demander au fraudeur de confirmer sa propre demande.
Le contre-appel téléphonique est une bonne pratique, mais avec deux limites. Si le numéro rappelé est celui indiqué dans l'email frauduleux, et non un numéro dont vous êtes certain qu'il appartient à votre fournisseur, vous appelez directement le fraudeur. Et cette procédure n'est pas applicable sur des volumes importants pour une entreprise avec de nombreux fournisseurs actifs.
Les ERP et logiciels comptables vérifient que l'IBAN est structurellement valide ainsi que le code BIC. Ils ne vérifient pas à qui il appartient. Un faux IBAN est un IBAN parfaitement valide en termes de format qui appartient à un compte bancaire réel, mais ce compte bancaire appartient au fraudeur et pas à votre fournisseur.
Le message essentiel : un IBAN dont le format est valide n'est pas un IBAN sûr.
La plupart des fraudes au faux fournisseur ne reposent pas sur un faux IBAN, mais sur un IBAN réel appartenant à un fraudeur.
La seule vérification qui permet vraiment d'éviter les fraudes : le titulaire du compte
Le contrôle du titulaire par interrogation bancaire
La seule vérification efficace contre la fraude est celle du titulaire. Avant d'enregistrer les coordonnées bancaires d'un fournisseur, à la création comme à la modification, il faut s'assurer que l'IBAN fourni appartient bien à l'entreprise concernée. La seule manière fiable et sans équivoque d'effectuer cette vérification est par interrogation directe de la banque qui détient le compte.
Si le contrôle indique que le nom du titulaire détenu par la banque ne correspond pas au fournisseur attendu, les coordonnées bancaires ne doivent pas être enregistrées et aucun virement ne doit partir sur ce compte. Peu importe la qualité du document fourni, peu importe la crédibilité de l'email reçu.
C'est ce que propose notre solution de vérification des IBAN de fournisseurs : une vérification du titulaire d'un IBAN par interrogation bancaire directe, accessible via un portail web et via une API qui s’intègre directement dans les ERP, TMS et outils comptables.
Pour aller plus loin : comparatif des méthodes disponibles, fonctionnement de l'interrogation bancaire et cas où la vérification est indispensable, consultez notre article Comment vérifier le titulaire d'un IBAN : les 5 méthodes.
Le VoP (Verification of Payee) : utile, mais limité
Depuis octobre 2025, la réglementation européenne VoP (Verification of Payee) impose aux banques de vérifier la concordance entre un IBAN et le nom du bénéficiaire au moment d'un virement. Ce service est gratuit et intégré directement dans les interfaces bancaires au moment du virement. (voir notre article complet sur le dispositif Verification of Payee)
Pour les petites structures qui effectuent quelques virements manuels par mois, le VoP est une avancée réelle. Dans ce cas, la vérification s'effectue automatiquement à l'initiation du virement, c'est suffisant.
Mais dans un contexte de gestion fournisseurs, il présente des limites structurelles importantes :
- Il intervient au moment du virement, pas lors de l'enregistrement des nouvelles coordonnées bancaires : un faux IBAN peut rester dans votre ERP plusieurs semaines sans être détecté.
- Il est manuel et unitaire : impossible de vérifier en masse une base fournisseurs ou d'auditer les IBAN déjà enregistrés.
- Il n'expose pas d'API : il ne peut pas s'intégrer dans un ERP ou un TMS.
- Et il ne génère aucune traçabilité : pas d'historique des vérifications, pas de piste d'audit.
Le VoP constitue une sécurité supplémentaire utile au moment du paiement, mais il ne remplace pas un contrôle fournisseur effectué en amont.
Des procédures internes pour que le contrôle soit vraiment appliqué
Disposer d'un outil de vérification ne suffit pas s'il n'est pas utilisé systématiquement. C'est souvent là que le dispositif se fragilise.
Formaliser les étapes obligatoires
Un processus non formalisé n'est pas un processus. Si la vérification d'un RIB dépend du niveau d'attention du collaborateur qui traite la demande ce jour-là, elle sera inégale et contournable. Elle doit être une étape explicite et non négociable dans le workflow, au même titre qu'une validation de facture :
- Création d'un nouveau fournisseur → vérification du titulaire avant tout enregistrement dans le référentiel de fournisseurs
- Modification de coordonnées bancaires → vérification immédiate, avant la mise à jour
- Audit ponctuel → vérification en masse des IBAN déjà enregistrés pour identifier d'éventuelles anomalies
Il faut également garder à l'esprit que la fraude ne vient pas toujours de l'extérieur. Un collaborateur peut lui-même modifier un IBAN dans l'ERP sans que cela déclenche d'alerte. La procédure de vérification doit couvrir toutes les modifications, quelle qu'en soit l'origine.
Intégrer la vérification dans les outils
La formalisation des procédures trouve sa limite dans l'humain : une règle peut être oubliée, contournée ou mal appliquée sous pression. L’étape suivante est d’automatiser le contrôle afin qu’il ne repose plus sur une action manuelle optionnelle.
Concrètement, cela signifie qu'un IBAN non vérifié ne peut pas être enregistré ou déclenche une alerte bloquante avant enregistrement. Via une intégration API dans l'ERP ou le logiciel de trésorerie, la vérification devient une étape automatisée, pas une action manuelle optionnelle. Chaque vérification est horodatée et tracée, ce qui permet une piste d'audit complète en cas de contrôle interne ou de litige.
C'est l'approche retenue par les entreprises qui traitent des volumes importants ou qui souhaitent une couverture exhaustive : la vérification est déclenchée automatiquement à chaque création ou modification, sans intervention humaine nécessaire.
Conclusion
La fraude au faux fournisseur repose rarement sur une faille technique complexe. Dans la majorité des cas, elle exploite simplement l'enregistrement d’un IBAN à la création d'un fournisseur ou à l'occasion d'un changement de coordonnées bancaire. Les contrôles visuels et les validations par email ne suffisent plus, et le VoP bancaire ne couvre pas les besoins des entreprises qui veulent vérifier en amont, de manière automatisée ou en masse. La réponse la plus directement efficace est la vérification systématique du titulaire de l'IBAN, intégrée comme étape obligatoire dans vos processus et outils.
Pour mettre en place ce contrôle dans votre gestion fournisseurs, découvrez notre solution de vérification d'IBAN de fournisseurs.
Questions fréquentes
Quelle est la différence entre fraude au faux fournisseur et fraude au président ?
La fraude au président (FOVI) consiste à se faire passer pour un dirigeant interne afin d'obtenir un virement urgent et confidentiel. La fraude fournisseur usurpe l'identité d'un prestataire externe pour détourner des paiements récurrents. Les deux exploitent la confiance, et des méthodes d'ingénierie sociale pour exploiter une faille humaine, mais la fraude au faux fournisseur est plus difficile à détecter : elle s'inscrit dans des flux de paiement habituels et sur des montants qui n'éveillent pas de soupçons.
Comment vérifier un IBAN fournisseur ?
Vérifier un IBAN fournisseur consiste à contrôler non seulement la validité du numéro de compte, mais aussi l’identité du titulaire associé. Un simple contrôle de format ne suffit pas contre la fraude au faux fournisseur. La méthode la plus fiable consiste à utiliser un service capable d’interroger la banque afin de confirmer la correspondance entre l’IBAN et le nom du fournisseur.
Un contre-appel téléphonique ne suffit-il pas ?
C'est une bonne pratique, mais elle présente deux limites. Si le numéro rappelé est celui fourni dans l'email frauduleux et non le numéro enregistré dans vos contacts ou obtenu à partir d'une source fiable, vous contactez directement le fraudeur. Par ailleurs, cette procédure n'est pas applicable à grande échelle pour les entreprises avec de nombreux fournisseurs actifs.
Le VoP suffit-il contre la fraude fournisseur ?
Le VoP (Verification of Payee) améliore fortement la sécurité des virements, surtout pour les paiements manuels. En revanche, ce contrôle intervient très en aval du processus de paiement, au moment de l'exécution du virement. Le VoP reste limité pour les entreprises qui souhaitent effectuer les contrôles en amont ou de manière automatisée et intégrée dans les outils internes afin de fiabiliser leurs référentiels fournisseurs.
Que faire si on a déjà effectué un virement sur un faux RIB ?
Contactez immédiatement votre banque pour tenter un rappel de fonds, les premières heures sont décisives. Déposez ensuite une plainte. Informez votre assurance : certaines polices couvrent la fraude au virement. Conservez l'intégralité des échanges comme preuves.
