# Fournisseur demandant un changement de coordonnées bancaires

> L’e-mail semble normal, l’expéditeur est le bon, la facture correspond.

Canonical: https://vetthisvendor.com/fr/guide/supplier-changed-bank-details
Published: 2026-08-02. Updated: 2026-09-09.
Author: Jose Pollman, VetThisVendor.

Si vous avez devant vous un e-mail d’un fournisseur indiquant que ses coordonnées bancaires
ont changé, arrêtez-vous avant de modifier quoi que ce soit. Cette demande est la forme la
plus courante de fraude à la facture en Europe, et la version qui fonctionne n’a rien de
suspect.
Si la demande est arrivée par courriel, la [vérification de courriel fournisseur](/fr/tools/supplier-email-check) lit ce message dans votre navigateur et vous dit s’il vient vraiment du domaine de votre fournisseur.

**La seule chose à faire : appelez-les sur un numéro que vous aviez déjà.** Pas le numéro
de l’e-mail, pas celui de la signature, pas celui de la nouvelle facture. Un numéro d’une
ancienne facture, de votre logiciel comptable, ou de leur site web auquel vous avez accédé
vous-même. Tout ce qui suit explique pourquoi c’est précisément cette étape qui compte.

## Pourquoi l’e-mail paraît tout à fait normal

La version de cette fraude qui réussit n’est pas un inconnu avec un domaine sosie. C’est un
**vrai e-mail, depuis la vraie boîte du vrai fournisseur**, parce que quelqu’un est entré
dans cette boîte — généralement avec un mot de passe issu d’une fuite sans rapport, ou via
une page d’hameçonnage qui l’a collecté des semaines plus tôt.

Une fois à l’intérieur, l’attaquant lit le fil de discussion. Il voit vos numéros de
commande, vos conditions de paiement, le nom de la personne qui vous écrit habituellement,
la façon dont elle signe. Il attend souvent qu’une vraie facture soit envoyée, puis relance
dans le même fil avec de nouvelles coordonnées. Parfois il crée une règle de boîte pour que
vos réponses soient cachées au vrai fournisseur — c’est pourquoi « j’ai écrit pour vérifier
et ils ont confirmé » n’est pas une confirmation.

Cela signifie que les vérifications habituelles réussissent :

- Le **domaine d’envoi est authentique** — c’est leur domaine, donc SPF et DKIM passent.
- L’**adresse e-mail est correcte**, caractère par caractère.
- Le **numéro de TVA sur la facture est réel et immatriculé**, car c’est le leur.
- L’**historique du fil est réel**, car c’est le vrai fil.
- Le **nouvel IBAN passe sa clé de contrôle**, car un compte fonctionnel a été ouvert pour
  recevoir l’argent.

Rien sur la facture n’est falsifié. Seule la destination a changé.

## Pourquoi l’appel n’est pas une formalité

Chaque vérification automatique répond à une question d’*identité* : est-ce une vraie
entreprise, une vraie immatriculation à la TVA, un numéro de compte bien formé. Aucune ne
répond à la seule question qui compte ici, celle de l’*autorisation* : cette entreprise
vous a-t-elle réellement demandé d’envoyer l’argent ailleurs ?

Aucune source publique ne peut y répondre. La propriété d’un compte bancaire n’est pas
publique dans l’UE ni au Royaume-Uni — la Pologne est la seule exception —, donc presque
aucune consultation ne vous dira à quel nom est le compte. Un être humain chez le
fournisseur le peut, en une minute environ.

Utilisez un numéro que vous aviez déjà — c’est tout l’enjeu. Un attaquant qui contrôle la
boîte contrôle aussi le numéro de téléphone dans la signature de l’e-mail qu’il a envoyé.

## Que vérifier en attendant le rappel

Rien de tout cela ne remplace l’appel. C’est utile parce que cela transforme parfois un
« probablement bon » en réponse évidente, et parce que cela coûte une minute.

- **Le pays de l’IBAN correspond-il au lieu d’immatriculation du fournisseur ?** Un
  fournisseur allemand dont le compte est soudain dans un autre pays mérite d’être
  mentionné lors de l’appel. C’est souvent innocent — trésorerie de groupe, affacturage ou
  prestataire de paiement comme Wise ou Revolut — mais c’est un fait à énoncer à voix
  haute. Voir [le pays de l’IBAN diffère du pays de TVA](/fr/guide/iban-country-mismatch).
- **Le nom du registre correspond-il au nom sur la facture ?** Voir
  [numéro de TVA valide, nom différent](/fr/guide/vat-name-mismatch).
- **Le domaine est-il exactement correct ?** Lisez-le caractère par caractère, de droite à
  gauche. `rn` ressemble à `m`, `l` ressemble à `I`, et un trait d’union ajouté ou retiré
  est invisible quand vous savez déjà ce que le mot dit.
- **Le domaine applique-t-il DMARC ?** Sinon, n’importe qui peut usurper son courrier, ce
  qui élargit l’éventail des façons dont cet e-mail a pu vous parvenir. Voir
  [aucune politique DMARC](/fr/guide/no-dmarc-policy).

Vous pouvez vérifier le numéro de TVA, le nouvel IBAN et le domaine ensemble sur
[la page d’accueil](/fr) en une seule soumission.

## Des signes à prendre au sérieux

Aucun n’est une preuve, et leur absence n’est pas rassurante. Ils déplacent les
probabilités :

- **L’urgence associée au changement.** « Avant la fin du mois », « l’ancien compte est
  clos depuis aujourd’hui », « le paiement a échoué, veuillez le renvoyer ». L’urgence
  existe pour vous empêcher d’appeler.
- **Un changement qui arrive avec une facture** plutôt que comme une notification distincte
  depuis un compte que vous connaissez déjà.
- **Une demande de garder le changement discret**, ou de faire passer la confirmation par
  le même fil e-mail plutôt que par un autre canal.
- **Reply-to différent de From.** Cela vaut un coup d’œil dans les en-têtes, même si son
  absence ne signifie rien quand la boîte elle-même est compromise.
- **Le montant est inhabituellement rond, ou inhabituellement élevé**, par rapport à ce que
  ce fournisseur facture normalement.
- **Le premier contact est un changement bancaire.** Un fournisseur que vous n’avez jamais
  payé et dont le premier e-mail de fond contient de nouvelles coordonnées.

## Si vous avez déjà payé

La rapidité décide de l’issue, faites donc ceci avant tout le reste.

1. **Appelez immédiatement votre banque** et demandez une tentative de rappel de fonds.
   L’argent peut parfois être arrêté en quelques heures ; après un ou deux jours, il est
   généralement perdu. Employez les mots « fraude au virement autorisé » — c’est le terme
   qui vous oriente vers la bonne équipe.
2. **Appelez le fournisseur** sur un numéro connu, pour qu’il apprenne que sa boîte est
   compromise. Il est victime lui aussi, et ses autres clients reçoivent le même e-mail
   aujourd’hui.
3. **Signalez-le.** En France, via la plateforme officielle de signalement ou en déposant
   plainte ; la plupart des polices européennes acceptent les signalements en ligne. Une
   référence de plainte est généralement exigée avant qu’une banque n’envisage un
   remboursement.
4. **Conservez tout** — l’e-mail avec les en-têtes complets, la facture, la confirmation de
   paiement, et une note de qui vous avez eu au téléphone et quand.

## Ce que la Verification of Payee couvre et ne couvre pas

Depuis le **9 octobre 2025**, toute banque de la zone euro doit vérifier le nom du
bénéficiaire par rapport à l’IBAN avant que vous ne confirmiez un virement. Vous saisissez le
compte et votre banque vous indique si le nom qui y est attaché correspond à celui que vous
avez tapé. L’obligation découle du règlement européen sur les paiements instantanés et
s’applique aux virements ordinaires comme aux virements instantanés.

C’est le meilleur contrôle qui ait jamais existé contre cette fraude précise, et il change
l’objet de l’appel téléphonique plutôt que de le remplacer.

**Ce qu’il attrape.** Le compte est au nom de quelqu’un d’autre. C’est la forme ordinaire de
cette fraude, et la banque vous le dira désormais avant que l’argent ne parte.

**Ce qu’il n’attrape pas, et c’est la partie qu’il faut connaître :**

- **Une « correspondance approchante ».** Les banques signalent aussi les quasi-correspondances,
  et une quasi-correspondance ressemble exactement à une différence légitime de nom
  commercial — comme à un nom de compte délibérément similaire. L’écran ne les distingue pas.
- **Un compte mule ouvert au nom du fournisseur.** Si le compte est réellement à ce nom, le
  contrôle passe. Il porte sur le compte, pas sur qui vous a demandé de payer.
- **Tout ce qui se situe hors de la zone euro.** Le Royaume-Uni dispose du Confirmation of
  Payee depuis 2020 ; une grande partie du reste du monde n’a rien.
- **Un paiement par toute autre voie.** Un changement de prélèvement, un paiement par carte,
  un virement permanent modifié dans un portail.

La règle ne change donc pas : **un changement de coordonnées bancaires se vérifie de vive
voix, sur un numéro que vous aviez déjà.** La Verification of Payee vous dit à qui appartient
le compte. Elle ne peut pas vous dire si votre fournisseur vous a demandé d’y payer, et c’est
là que reste la question.

[Ce que couvre la vérification du nom du bénéficiaire](/fr/guide/verification-of-payee)
détaille tout cela.

## Pour que cela ne se reproduise pas

Le contrôle qui fonctionne est une règle, pas une habitude : **les changements de
coordonnées bancaires sont vérifiés de vive voix sur un numéro enregistré, à chaque fois,
par une personne autre que celle qui a reçu la demande.** Écrite, appliquée à tous, sans
exception pour les gens que l’on apprécie.

Stockez les numéros de téléphone des fournisseurs dans votre logiciel comptable, pas dans
votre messagerie, afin que le numéro que vous appelez ne puisse pas être modifié par celui
qui a envoyé l’e-mail. Et considérez un changement confirmé uniquement par e-mail comme
absolument pas confirmé — y compris une réponse arrivant de la bonne adresse.

Il existe pour cela une [liste de vérification d’une page](/fr/guide/bank-change-checklist) — qui a appelé qui, sur quel numéro, qui a validé — à imprimer et à conserver avec le paiement.