↓ Aller au contenu
Comptaverse
Comptaverse
  1. Articles/

Fraude au RIB et aux virements : ce qui protège vraiment votre entreprise en 2026

·1807 mots·9 mins·
Sommaire

229 millions d’euros : c’est le montant de la fraude aux virements enregistrée en France sur le seul premier semestre 2025, selon l’Observatoire de la sécurité des moyens de paiement (OSMP) de la Banque de France. Un chiffre qui pèse d’autant plus lourd pour les PME que la fraude au virement ne procède presque jamais d’un piratage technique de leur système d’information : elle repose sur la manipulation d’un salarié ou d’un dirigeant, convaincu à tort de la légitimité d’un changement de coordonnées bancaires. Depuis un an, deux dispositifs réglementaires nouveaux — la vérification du bénéficiaire et le fichier national des comptes signalés — viennent renforcer les filets de sécurité bancaires. Concrètement, que couvrent-ils, et que laissent-ils encore à la vigilance de l’entreprise ?

Le contexte : une fraude qui vise l’humain, pas le système
#

Selon le bilan du premier semestre 2025 de l’OSMP, publié le 27 janvier 2026, la fraude aux moyens de paiement scripturaux a atteint 618,4 millions d’euros en France, en hausse de 7 % sur un an. Le virement, avec 229 millions d’euros de préjudice, représente désormais 37 % du total — une part disproportionnée au regard de son poids réel dans les paiements, puisqu’il reste, en proportion des sommes échangées, le moyen de paiement le moins fraudé. Ce paradoxe s’explique par le mode opératoire : plutôt que de tenter de casser des protocoles bancaires, les fraudeurs ciblent la validation humaine du virement lui-même. L’OSMP range cette catégorie sous l’appellation « fraude par manipulation » : elle a représenté à elle seule 245 millions d’euros, soit 40 % du préjudice total sur la période.

Deux scénarios reviennent le plus souvent, et cybermalveillance.gouv.fr — le dispositif national d’assistance aux victimes de cybermalveillance — les regroupe sous le terme d’escroquerie aux faux ordres de virement (FOVI) :

  • la fraude au président (ou au dirigeant) : un salarié habilité à effectuer des virements reçoit un message ou un appel se faisant passer pour un dirigeant, demandant un virement urgent et confidentiel, souvent hors des circuits habituels de validation ;
  • la fraude au faux fournisseur : l’entreprise reçoit une demande de modification du RIB d’un fournisseur existant, en apparence légitime (papier à en-tête, ton professionnel), pour rediriger le prochain règlement vers un compte contrôlé par le fraudeur.

Dans les deux cas, le virement lui-même est techniquement valide : il n’y a rien à « pirater », puisque c’est un salarié de bonne foi qui l’initie. D’où l’intérêt des nouveaux dispositifs, qui interviennent avant l’exécution de l’opération plutôt qu’après.

La fuite FICOBA, un rappel que les données bancaires circulent plus qu’on ne le pense
#

Le 18 février 2026, la Direction générale des Finances publiques (DGFiP) a annoncé qu’un accès illégitime au fichier national des comptes bancaires (FICOBA) avait permis à un acteur malveillant, ayant usurpé les identifiants d’un agent d’une administration tierce, de consulter et d’extraire les données d’environ 1,2 million de comptes entre fin janvier et le 13 février 2026. Les données concernées : coordonnées bancaires complètes (IBAN), identité et adresse des titulaires — l’identifiant fiscal n’a en revanche pas été consulté selon la DGFiP. L’origine de l’incident n’était pas une faille technique de l’application FICOBA elle-même, mais le détournement d’un accès légitime accordé à une administration partenaire.

Cet épisode ne change rien, en tant que tel, aux obligations comptables ou fiscales d’une entreprise. Mais il illustre un point simple : des IBAN et des identités peuvent circuler frauduleusement même lorsqu’ils n’ont jamais été communiqués directement à un escroc, ce qui nourrit des campagnes de phishing d’autant plus crédibles qu’elles s’appuient sur des données exactes. La DGFiP recommande aux usagers concernés, alertés individuellement, de ne jamais répondre à un message demandant des identifiants ou un numéro de carte — l’administration ne le fait jamais — et de conserver toute preuve en cas de tentative de fraude suspectée, avant de se rapprocher de cybermalveillance.gouv.fr.

Premier filet : la vérification du bénéficiaire (VOP), obligatoire depuis le 9 octobre 2025
#

Le règlement européen 2024/886 du 13 mars 2024, qui a généralisé le virement instantané en euros, a introduit une obligation moins commentée mais tout aussi structurante : la vérification du bénéficiaire, ou Verification of Payee (VOP). Depuis le 9 octobre 2025, tout établissement de crédit ou de paiement opérant en France doit proposer gratuitement, avant l’exécution d’un virement SEPA (y compris instantané), un contrôle automatique de concordance entre le nom du bénéficiaire saisi par l’émetteur et le nom réellement associé à l’IBAN de destination.

Concrètement, si une entreprise donne l’ordre de virer une somme à « Fournisseur Dupont SARL » mais que l’IBAN indiqué appartient en réalité à un compte enregistré sous un autre nom, la banque de l’émetteur doit signaler l’écart avant la validation de l’opération. La banque n’empêche pas techniquement le virement — la décision finale reste à l’émetteur — mais l’alerte doit être suffisamment explicite pour permettre de renoncer à l’opération en cas de doute.

Ce dispositif cible directement le scénario du faux RIB : un fraudeur qui usurpe l’identité d’un fournisseur peut difficilement faire enregistrer son propre compte sous la raison sociale exacte de l’entreprise usurpée. Il a cependant une limite pratique importante pour les PME : l’alerte VOP ne bloque rien automatiquement, elle affiche une divergence que l’utilisateur peut choisir d’ignorer — notamment sous la pression d’un scénario d’urgence savamment construit par le fraudeur. La vérification du bénéficiaire est donc un garde-fou technique, pas un substitut à la vigilance humaine.

Second filet : le fichier national des comptes signalés pour risque de fraude, opérationnel depuis mai 2026
#

La loi n° 2025-1058 du 6 novembre 2025, visant à renforcer la lutte contre la fraude bancaire, a créé un nouvel outil : le fichier national des comptes signalés pour risque de fraude (FNC-RF), codifié à l’article L. 521-6-1 du code monétaire et financier. Entré en vigueur six mois après la promulgation de la loi, soit le 6 mai 2026 — ses modalités techniques de fonctionnement ayant été précisées par un arrêté du 24 avril 2026 —, ce fichier est géré par la Banque de France, qui en a officiellement annoncé le lancement le 11 mai 2026.

Son principe : les prestataires de services de paiement (banques, établissements de paiement) ont désormais l’obligation de signaler dans ce fichier les comptes qu’ils soupçonnent, sur la base de leurs propres contrôles internes, d’être utilisés à des fins frauduleuses — par exemple un compte ouvert après usurpation d’identité ou ayant déjà servi à recevoir des fonds détournés. Dès qu’un IBAN y figure, l’ensemble des établissements participant au dispositif peut en être informé et adapter ses propres contrôles, ce qui permet en théorie de repérer plus vite un compte déjà utilisé dans un autre dossier de fraude, même chez une banque différente. La loi encadre toutefois strictement les effets du signalement : l’inscription seule n’entraîne ni blocage automatique ni résiliation du contrat bancaire, et impose au contraire des diligences renforcées avant toute mesure, pour éviter qu’un signalement erroné ne pénalise un client de bonne foi.

Pour une entreprise victime d’une fraude avérée, ce fichier constitue un outil supplémentaire à mobiliser rapidement auprès de sa banque : plus un compte frauduleux est signalé tôt après la découverte de la fraude, plus vite le réseau bancaire peut restreindre les opérations ultérieures vers ce compte — sans toutefois garantir la récupération des fonds déjà transférés, qui dépend toujours de la rapidité de blocage effective.

Ce que ces deux dispositifs ne couvrent pas — et qui reste de votre ressort
#

Ni la vérification du bénéficiaire ni le fichier national des comptes signalés n’empêchent une entreprise de virer volontairement des fonds vers un compte qui n’a encore jamais été signalé et dont le nom correspond formellement à celui indiqué — ce qui est précisément le cas lors d’une première tentative de fraude bien préparée. Les recommandations officielles de cybermalveillance.gouv.fr pour se prémunir des escroqueries aux faux ordres de virement restent donc d’actualité pour toute PME, indépendamment de ces nouveaux filets bancaires :

  • sensibiliser les collaborateurs, en particulier ceux habilités à effectuer des virements, aux techniques de manipulation et aux messages de phishing visant à voler des identifiants ;
  • formaliser une procédure de validation hiérarchique pour toute demande de virement inhabituelle ou toute demande de changement de coordonnées bancaires d’un fournisseur, avant exécution ;
  • vérifier par un canal indépendant — un appel téléphonique au numéro habituel du fournisseur, et non celui indiqué dans le message suspect — toute demande de changement de RIB, aussi officielle en apparence qu’elle paraisse ;
  • limiter la diffusion publique des noms et fonctions des personnes habilitées à valider des virements ou des changements de coordonnées bancaires (organigrammes en ligne, signatures d’e-mails détaillées) ;
  • activer l’authentification à deux facteurs sur les messageries professionnelles, une boîte mail compromise étant souvent le point d’entrée d’une fraude au faux fournisseur bien informée.

Ce qu’il faut retenir pour la rentrée
#

L’arsenal réglementaire contre la fraude au virement s’est incontestablement renforcé en un peu moins d’un an : vérification automatique du bénéficiaire depuis octobre 2025, fichier national des comptes signalés depuis mai 2026, dans un contexte où la généralisation de la facturation électronique va encore accroître la part des échanges de données de facturation et de paiement dématérialisés entre entreprises. Ces dispositifs réduisent le risque, mais ne le suppriment pas : ils reposent sur des signalements a posteriori ou des alertes que l’utilisateur final peut toujours choisir de contourner sous la pression d’un scénario d’urgence. Pour un dirigeant de PME, l’enjeu de rentrée est donc moins de vérifier que sa banque applique bien ces dispositifs — c’est une obligation légale qui s’impose à elle — que de s’assurer que sa propre procédure interne de validation des virements et des changements de RIB fournisseurs est réellement formalisée et suivie, y compris lorsque la demande semble venir d’en haut.

Sources
#

Articles connexes