Fraude au faux fournisseur

Le message arrive un mardi matin. Il porte le nom d'un fournisseur réglé depuis trois ans, reprend sa signature, son logo, parfois le fil de discussion de la semaine précédente. Il annonce un changement de coordonnées bancaires et demande que la prochaine facture soit virée sur un nouvel IBAN. Rien ne semble anormal, la personne qui prépare les paiements enregistre le changement, et le virement part. La fraude au faux fournisseur commence presque toujours ainsi : par un message ordinaire, adressé à la bonne personne, au bon moment du mois.

Qu'est-ce que la fraude au faux fournisseur ?

La fraude au faux fournisseur consiste, pour un escroc, à se faire passer pour un fournisseur habituel de l'entreprise afin d'obtenir le paiement d'une facture sur des coordonnées bancaires qu'il contrôle.

Elle appartient à la famille des fraudes aux virements, aux côtés de la fraude au dirigeant et de la fraude au faux conseiller bancaire. Toutes reposent sur le même ressort : obtenir qu'une personne autorisée ordonne elle-même le paiement, plutôt que de tenter de forcer un système informatique.

C'est ce qui la rend redoutable. Le virement est régulier, validé par un salarié habilité, exécuté par la banque selon les règles. Aucun dispositif technique n'a été contourné. Juridiquement, il s'agit d'une escroquerie, définie par le code pénal comme le fait d'obtenir la remise de fonds par l'usage d'un faux nom ou d'une fausse qualité.

Les entreprises visées ne sont pas seulement les grands groupes. Une société de quelques salariés, qui règle chaque mois une poignée de fournisseurs pour des montants à quatre ou cinq chiffres, présente un profil intéressant : les sommes justifient l'effort et les procédures de contrôle y sont souvent informelles.

Le scénario type, étape par étape

La mécanique varie peu, et la connaître suffit souvent à la repérer.

La reconnaissance. L'escroc identifie les fournisseurs de l'entreprise. L'information est plus accessible qu'on ne le croit : mentions sur le site, communiqués, profils professionnels des salariés, documents déposés au greffe, annonces légales, voire une facture récupérée dans une boîte mail compromise en amont, chez le fournisseur lui-même.

La mise en scène. Un nom de domaine très proche de celui du fournisseur est enregistré, avec une lettre doublée, un tiret ajouté ou une extension différente. L'adresse d'expédition paraît familière au premier coup d'oeil. Le message reprend la charte graphique, les formules habituelles, parfois la signature exacte d'un interlocuteur réel.

L'annonce du changement. Le nouvel IBAN est présenté avec une justification plausible : changement d'établissement bancaire, réorganisation du groupe, recours à l'affacturage, régularisation à la suite d'un audit. Un relevé d'identité bancaire est joint, souvent authentique dans sa forme.

La pression sur le calendrier. Le message invoque une échéance, un retard à rattraper, une relance comptable. L'urgence n'est pas là pour convaincre mais pour empêcher la vérification.

L'encaissement. Une fois les fonds reçus, ils sont immédiatement transférés vers d'autres comptes, souvent à l'étranger, puis retirés ou convertis. La chaîne est conçue pour que le rappel du virement arrive trop tard.

Les signaux qui doivent alerter

Aucun de ces signaux ne prouve la fraude au faux fournisseur, mais chacun justifie une vérification avant paiement.

• Une adresse d'expéditeur qui diffère d'un seul caractère de l'adresse habituelle, ou dont le domaine a changé d'extension.
• Un changement de coordonnées bancaires annoncé par courriel seul, sans courrier ni appel préalable.
• Un IBAN domicilié dans un pays sans rapport avec l'activité du fournisseur, alors que les règlements précédents partaient vers un compte français.
• Un interlocuteur nouveau, qui se présente comme le remplaçant du contact habituel et se dit injoignable par téléphone.
• Une demande de discrétion, ou un refus de passer par le canal de communication ordinaire.
• Un ton d'urgence sur une facture qui n'avait rien d'urgent la semaine précédente.
• Une facture identique aux précédentes à l'exception du pavé bancaire, parfois d'une police ou d'un alignement légèrement différent.

La parade tient en une règle simple, et elle n'a pas besoin d'outil : tout changement de coordonnées bancaires se vérifie par un canal indépendant de celui qui l'a annoncé. On rappelle le fournisseur au numéro déjà connu, celui du contrat ou d'une facture ancienne, jamais celui figurant dans le message suspect.

Questions fréquentes

La banque rembourse-t-elle un virement parti à la suite d'une fraude au faux fournisseur ?
Rarement de plein droit. L'ordre de virement a été donné et authentifié par l'entreprise elle-même : la banque a exécuté une instruction régulière. Un remboursement suppose de démontrer un manquement de l'établissement, par exemple une absence de réaction à une alerte manifeste.

Le virement peut-il être rappelé ?
Une procédure de rappel existe entre banques, mais elle n'a de chances d'aboutir que si les fonds sont encore présents sur le compte bénéficiaire. D'où l'importance des premières heures.

La vérification du nom du bénéficiaire protège-t-elle ?
Le contrôle de cohérence entre le nom du bénéficiaire et l'IBAN, généralisé pour les virements en euros, écarte les cas les plus grossiers. Il ne protège pas lorsque l'escroc a ouvert un compte au nom d'une société homonyme ou très proche de celui du vrai fournisseur.

L'assurance couvre-t-elle ce risque ?
Certains contrats de responsabilité civile ou de cyber-risque comportent une garantie fraude. Elle est généralement assortie de conditions de procédure interne, qu'il faut lire avant le sinistre plutôt qu'après.

Que faire quand le virement est parti

Les heures qui suivent comptent davantage que tout le reste.

Le premier réflexe est d'appeler la banque, sans attendre le lendemain ni passer par la messagerie sécurisée, pour demander le rappel du virement et le signalement du compte bénéficiaire. Le second est de prévenir le vrai fournisseur : il est souvent lui-même victime d'une compromission de sa messagerie et d'autres de ses clients sont visés en parallèle.

Vient ensuite le dépôt de plainte, qui conditionne l'activation d'une éventuelle garantie d'assurance et permet le rapprochement avec d'autres affaires. La plateforme nationale de signalement des escroqueries en ligne permet d'effectuer une démarche préalable avant le passage au commissariat ou à la gendarmerie.

Il faut aussi conserver les éléments : courriels complets avec leurs en-têtes techniques, pièces jointes, relevé du virement, horodatage des échanges. Effacer le message frauduleux par réflexe d'hygiène prive l'enquête de sa principale pièce.

Enfin, l'épisode mérite une conclusion écrite. Une entreprise qui a subi une tentative de fraude au faux fournisseur et qui écrit noir sur blanc la règle du double canal, en désignant qui vérifie et comment, transforme un incident en procédure. C'est la seule protection qui survive au départ de la personne qui a vécu l'affaire.

Fraude au faux fournisseur et Qileo

Aucun compte bancaire ne détecte une fraude au faux fournisseur à la place de celui qui paie : l'opération est régulière, c'est son contexte qui ne l'est pas. Ce qui aide, en revanche, c'est de voir clairement ce qui sort et vers qui.

Chez Qileo, les opérations sont catégorisées au fil de l'eau et les justificatifs peuvent être rattachés directement à chaque mouvement. Un virement vers un bénéficiaire inhabituel ne se noie pas dans une liste que personne ne relit, et le rapprochement entre la facture et le paiement se fait au moment du paiement plutôt qu'en fin de trimestre.

Les droits se règlent par membre de l'équipe : préparer un virement et le valider peuvent rester deux gestes distincts, confiés à deux personnes. C'est exactement la séparation que la fraude au faux fournisseur cherche à contourner.

Enfin, le compte est ouvert avec un IBAN français, et les fonds déposés n'orientent ni vers les énergies fossiles ni vers les industries controversées. Une exigence de traçabilité qui vaut pour l'argent qui dort comme pour celui qui circule.