Fournisseur demandant un changement de coordonnées bancaires

Si vous avez devant vous un e-mail d’un fournisseur indiquant que ses coordonnées bancaires ont changé, arrêtez-vous avant de modifier quoi que ce soit. Cette demande est la forme la plus courante de fraude à la facture en Europe, et la version qui fonctionne n’a rien de suspect. Si la demande est arrivée par courriel, la vérification de courriel fournisseur lit ce message dans votre navigateur et vous dit s’il vient vraiment du domaine de votre fournisseur.

La seule chose à faire : appelez-les sur un numéro que vous aviez déjà. Pas le numéro de l’e-mail, pas celui de la signature, pas celui de la nouvelle facture. Un numéro d’une ancienne facture, de votre logiciel comptable, ou de leur site web auquel vous avez accédé vous-même. Tout ce qui suit explique pourquoi c’est précisément cette étape qui compte.

Pourquoi l’e-mail paraît tout à fait normal

La version de cette fraude qui réussit n’est pas un inconnu avec un domaine sosie. C’est un vrai e-mail, depuis la vraie boîte du vrai fournisseur, parce que quelqu’un est entré dans cette boîte — généralement avec un mot de passe issu d’une fuite sans rapport, ou via une page d’hameçonnage qui l’a collecté des semaines plus tôt.

Une fois à l’intérieur, l’attaquant lit le fil de discussion. Il voit vos numéros de commande, vos conditions de paiement, le nom de la personne qui vous écrit habituellement, la façon dont elle signe. Il attend souvent qu’une vraie facture soit envoyée, puis relance dans le même fil avec de nouvelles coordonnées. Parfois il crée une règle de boîte pour que vos réponses soient cachées au vrai fournisseur — c’est pourquoi « j’ai écrit pour vérifier et ils ont confirmé » n’est pas une confirmation.

Cela signifie que les vérifications habituelles réussissent :

• Le domaine d’envoi est authentique — c’est leur domaine, donc SPF et DKIM passent.
• L’adresse e-mail est correcte, caractère par caractère.
• Le numéro de TVA sur la facture est réel et immatriculé, car c’est le leur.
• L’historique du fil est réel, car c’est le vrai fil.
• Le nouvel IBAN passe sa clé de contrôle, car un compte fonctionnel a été ouvert pour recevoir l’argent.

Rien sur la facture n’est falsifié. Seule la destination a changé.

Pourquoi l’appel n’est pas une formalité

Chaque vérification automatique répond à une question d’identité : est-ce une vraie entreprise, une vraie immatriculation à la TVA, un numéro de compte bien formé. Aucune ne répond à la seule question qui compte ici, celle de l’autorisation : cette entreprise vous a-t-elle réellement demandé d’envoyer l’argent ailleurs ?

Aucune source publique ne peut y répondre. La propriété d’un compte bancaire n’est pas publique dans l’UE ni au Royaume-Uni — la Pologne est la seule exception —, donc presque aucune consultation ne vous dira à quel nom est le compte. Un être humain chez le fournisseur le peut, en une minute environ.

Utilisez un numéro que vous aviez déjà — c’est tout l’enjeu. Un attaquant qui contrôle la boîte contrôle aussi le numéro de téléphone dans la signature de l’e-mail qu’il a envoyé.

Que vérifier en attendant le rappel

Rien de tout cela ne remplace l’appel. C’est utile parce que cela transforme parfois un « probablement bon » en réponse évidente, et parce que cela coûte une minute.

• Le pays de l’IBAN correspond-il au lieu d’immatriculation du fournisseur ? Un fournisseur allemand dont le compte est soudain dans un autre pays mérite d’être mentionné lors de l’appel. C’est souvent innocent — trésorerie de groupe, affacturage ou prestataire de paiement comme Wise ou Revolut — mais c’est un fait à énoncer à voix haute. Voir le pays de l’IBAN diffère du pays de TVA.
• Le nom du registre correspond-il au nom sur la facture ? Voir numéro de TVA valide, nom différent.
• Le domaine est-il exactement correct ? Lisez-le caractère par caractère, de droite à gauche. rn ressemble à m, l ressemble à I, et un trait d’union ajouté ou retiré est invisible quand vous savez déjà ce que le mot dit.
• Le domaine applique-t-il DMARC ? Sinon, n’importe qui peut usurper son courrier, ce qui élargit l’éventail des façons dont cet e-mail a pu vous parvenir. Voir aucune politique DMARC.

Vous pouvez vérifier le numéro de TVA, le nouvel IBAN et le domaine ensemble sur la page d’accueil en une seule soumission.

Des signes à prendre au sérieux

Aucun n’est une preuve, et leur absence n’est pas rassurante. Ils déplacent les probabilités :

• L’urgence associée au changement. « Avant la fin du mois », « l’ancien compte est clos depuis aujourd’hui », « le paiement a échoué, veuillez le renvoyer ». L’urgence existe pour vous empêcher d’appeler.
• Un changement qui arrive avec une facture plutôt que comme une notification distincte depuis un compte que vous connaissez déjà.
• Une demande de garder le changement discret, ou de faire passer la confirmation par le même fil e-mail plutôt que par un autre canal.
• Reply-to différent de From. Cela vaut un coup d’œil dans les en-têtes, même si son absence ne signifie rien quand la boîte elle-même est compromise.
• Le montant est inhabituellement rond, ou inhabituellement élevé, par rapport à ce que ce fournisseur facture normalement.
• Le premier contact est un changement bancaire. Un fournisseur que vous n’avez jamais payé et dont le premier e-mail de fond contient de nouvelles coordonnées.

Si vous avez déjà payé

La rapidité décide de l’issue, faites donc ceci avant tout le reste.

1. Appelez immédiatement votre banque et demandez une tentative de rappel de fonds. L’argent peut parfois être arrêté en quelques heures ; après un ou deux jours, il est généralement perdu. Employez les mots « fraude au virement autorisé » — c’est le terme qui vous oriente vers la bonne équipe.
2. Appelez le fournisseur sur un numéro connu, pour qu’il apprenne que sa boîte est compromise. Il est victime lui aussi, et ses autres clients reçoivent le même e-mail aujourd’hui.
3. Signalez-le. En France, via la plateforme officielle de signalement ou en déposant plainte ; la plupart des polices européennes acceptent les signalements en ligne. Une référence de plainte est généralement exigée avant qu’une banque n’envisage un remboursement.
4. Conservez tout — l’e-mail avec les en-têtes complets, la facture, la confirmation de paiement, et une note de qui vous avez eu au téléphone et quand.

Ce que la Verification of Payee couvre et ne couvre pas

Depuis le 9 octobre 2025, toute banque de la zone euro doit vérifier le nom du bénéficiaire par rapport à l’IBAN avant que vous ne confirmiez un virement. Vous saisissez le compte et votre banque vous indique si le nom qui y est attaché correspond à celui que vous avez tapé. L’obligation découle du règlement européen sur les paiements instantanés et s’applique aux virements ordinaires comme aux virements instantanés.

C’est le meilleur contrôle qui ait jamais existé contre cette fraude précise, et il change l’objet de l’appel téléphonique plutôt que de le remplacer.

Ce qu’il attrape. Le compte est au nom de quelqu’un d’autre. C’est la forme ordinaire de cette fraude, et la banque vous le dira désormais avant que l’argent ne parte.

Ce qu’il n’attrape pas, et c’est la partie qu’il faut connaître :

• Une « correspondance approchante ». Les banques signalent aussi les quasi-correspondances, et une quasi-correspondance ressemble exactement à une différence légitime de nom commercial — comme à un nom de compte délibérément similaire. L’écran ne les distingue pas.
• Un compte mule ouvert au nom du fournisseur. Si le compte est réellement à ce nom, le contrôle passe. Il porte sur le compte, pas sur qui vous a demandé de payer.
• Tout ce qui se situe hors de la zone euro. Le Royaume-Uni dispose du Confirmation of Payee depuis 2020 ; une grande partie du reste du monde n’a rien.
• Un paiement par toute autre voie. Un changement de prélèvement, un paiement par carte, un virement permanent modifié dans un portail.

La règle ne change donc pas : un changement de coordonnées bancaires se vérifie de vive voix, sur un numéro que vous aviez déjà. La Verification of Payee vous dit à qui appartient le compte. Elle ne peut pas vous dire si votre fournisseur vous a demandé d’y payer, et c’est là que reste la question.

Ce que couvre la vérification du nom du bénéficiaire détaille tout cela.

Pour que cela ne se reproduise pas

Le contrôle qui fonctionne est une règle, pas une habitude : les changements de coordonnées bancaires sont vérifiés de vive voix sur un numéro enregistré, à chaque fois, par une personne autre que celle qui a reçu la demande. Écrite, appliquée à tous, sans exception pour les gens que l’on apprécie.

Stockez les numéros de téléphone des fournisseurs dans votre logiciel comptable, pas dans votre messagerie, afin que le numéro que vous appelez ne puisse pas être modifié par celui qui a envoyé l’e-mail. Et considérez un changement confirmé uniquement par e-mail comme absolument pas confirmé — y compris une réponse arrivant de la bonne adresse.

Il existe pour cela une liste de vérification d’une page — qui a appelé qui, sur quel numéro, qui a validé — à imprimer et à conserver avec le paiement.