Prévenir la fraude à la facture : trois vérifications avant de payer un nouvel IBAN

La fraude à la facture est banale, simple et terriblement coûteuse. Voici comment l'éviter grâce à trois vérifications rapides et une règle d'appel infaillible.

Vous demandez un devis à un nouveau fournisseur. Quelques jours plus tard, vous recevez un e-mail avec un IBAN et une demande de virement pour l'acompte. Ça paraît normal. Mais comment être sûr que cet IBAN est le bon — et qu'il n'a pas été modifié en route par quelqu'un qui intercepte vos e-mails ?

La fraude à la facture est l'une des formes de cybercriminalité les plus banales, mais aussi les plus coûteuses pour les PME. Pas de piratage spectaculaire, pas d'écran de ransomware. Juste une somme virée sur le mauvais compte, et qui disparaît. Dans cet article, nous vous montrons comment l'éviter en quelques minutes — sans rien installer de compliqué.

Comment fonctionne la fraude à la facture en pratique

La variante la plus courante s'appelle fraude au président ou BEC (Business Email Compromise). Le scénario est presque toujours le même :

1. Quelqu'un accède à la boîte mail d'un fournisseur (ou se fait passer pour ce fournisseur avec un domaine quasi identique, par exemple fournis-seur.fr au lieu de fournisseur.fr).
2. Une vraie facture est interceptée ou imitée.
3. Seul l'IBAN est modifié. Le reste de la facture est identique : logo, mise en page, numéro de TVA, tout y est.
4. Vous payez. Quelques jours plus tard, le vrai fournisseur vous appelle pour savoir où est son argent.

Cet argent a généralement déjà transité par un compte prête-nom et se trouve à l'étranger. Le récupérer est rarement possible.

Trois vérifications à toujours effectuer

Pas besoin d'un service financier pour ça. Pour tout paiement dépassant un montant que vous jugez significatif (nous suggérons souvent : 500 €), effectuez ces trois contrôles.

1. L'IBAN est-il techniquement valide ?

Un IBAN intègre un calcul de clé de contrôle. Si quelqu'un tape un chiffre de travers en vitesse, ça se voit. Mais si un fraudeur utilise délibérément un IBAN valide, il passe sans problème. Le contrôle technique détecte donc les fautes de frappe, pas la malveillance.

Utile quand même : un IBAN permet d'identifier la banque et le pays associés. Si votre fournisseur est depuis des années à la BNP et que vous recevez soudain un IBAN lituanien commençant par LT, quelque chose cloche. Notre vérificateur IBAN vous le confirme en deux secondes.

2. Le numéro de TVA correspond-il à la raison sociale ?

Pour les nouveaux fournisseurs ou les montants importants, vous voulez vérifier que le numéro de TVA correspond bien à l'entreprise indiquée sur la facture. La base de données européenne VIES apporte la réponse. Notre vérificateur TVA effectue ce contrôle à votre place et affiche la raison sociale ainsi que l'adresse enregistrées auprès de l'administration fiscale. Une divergence avec la facture ? Appelez, ne répondez pas par e-mail.

3. L'adresse correspond-elle au code postal ?

Ça peut sembler trivial, mais c'est une vérification étonnamment efficace contre les fausses factures. Avec le vérificateur de code postal, vous voyez immédiatement si l'adresse indiquée existe et à quel endroit elle se situe. Une facture dont le code postal ne correspond pas à la rue indiquée ne mérite pas d'autres questions.

Vérifiez tout changement via un second canal

La règle d'or : si un fournisseur modifie son numéro de compte, appelez le numéro que vous avez déjà dans votre répertoire. Pas le numéro en bas de l'e-mail (il peut lui aussi avoir été modifié). Pas WhatsApp (facilement usurpable). Un appel téléphonique, à votre contact habituel, avec une simple question : « C'est bien vous qui avez changé d'IBAN ? »

Ce coup de fil de deux minutes a déjà permis à de nombreuses PME d'économiser des sommes considérables. Faites-en une règle interne et assurez-vous que toute personne effectuant des paiements la connaît.

Le principe des quatre yeux pour les paiements

Deuxième règle : tout paiement dépassant un certain seuil doit être validé par une autre personne. Dans quasiment tous les outils bancaires modernes — Rabo, ING, ABN, Knab, bunq Pro — vous pouvez configurer un second approbateur. La personne qui prépare le virement ne peut pas l'approuver elle-même. Une autre personne vérifie encore une fois l'IBAN avant d'appuyer sur envoyer.

C'est particulièrement utile parce que le système impose lui-même une courte pause. Et dans cette pause, 90 % des tentatives de fraude s'effondrent, car l'urgence est la principale arme de l'escroc (« c'est possible de virer ça aujourd'hui ? »).

Sécuriser votre messagerie évite que vous soyez le maillon faible

Jusqu'ici, nous avons vu comment éviter que vous payiez un fraudeur. Mais l'inverse est aussi possible : un criminel détourne votre messagerie ou se fait passer pour vous, et vos clients virent leur argent sur le mauvais compte. Votre relation client et votre réputation en prennent un coup sévère.

Les mesures techniques qui préviennent cela s'appellent SPF, DKIM et DMARC. Ensemble, ces trois mécanismes permettent au serveur de messagerie du destinataire de vérifier qu'un e-mail provient bien de votre domaine. Nous le mettons régulièrement en place pour des clients PME dans le cadre de notre service de sécurisation de la messagerie. En général, c'est fait en moins d'une journée.

Une courte checklist pour lundi matin

• Définissez un montant seuil au-delà duquel une vérification supplémentaire est toujours requise.
• Activez le second approbateur dans votre environnement bancaire.
• Instaurez la règle : changement d'IBAN ? Appel téléphonique via un numéro connu, jamais uniquement par e-mail.
• Vérifiez systématiquement les nouveaux fournisseurs avec le vérificateur IBAN, TVA et code postal avant le premier paiement.
• Vérifiez que SPF, DKIM et DMARC sont correctement configurés sur votre propre domaine.

Vous souhaitez valider une facture dès maintenant ? Commencez par notre vérificateur IBAN et notre vérificateur TVA. Deux minutes suffisent pour être certain que votre argent arrive au bon endroit.