Fraude au changement de RIB : protéger votre PME

Comment un courriel familier provenant d'un fournisseur se transforme en un risque commercial à cinq chiffres — et les contrôles simples que les PME peuvent mettre en place dès aujourd'hui.

Rédigé par l'équipe éditoriale de Safegram

20 octobre 2026 • Dublin, Irlande

Une conversation financière de routine peut être la dernière chance de remettre en question une modification d'instruction de paiement. Illustration éditoriale générée par IA, il ne s'agit pas d'une photographie d'un incident signalé.

Les petites entreprises irlandaises ont perdu 18,9 millions d'euros à cause d'escroqueries par courriel sur une période de deux ans, selon les chiffres publiés par la Banking & Payments Federation Ireland en mars 2026. En ce mois d'octobre, alors que l'Europe se concentre sur la cybersécurité au travail, la réponse la plus utile n'est peut-être pas un autre outil complexe. Il s'agit peut-être d'une règle : ne jamais modifier les coordonnées bancaires d'un fournisseur sans confirmation indépendante.

Points clés à retenir

• FraudSMART/BPFI a fait état de 18,9 millions d'euros de pertes pour les PME suite à des escroqueries par courriel au cours des deux années précédentes ; les pertes moyennes constatées par les institutions participantes ont dépassé 22 000 € par incident.
• La fraude au changement de RIB peut commencer par une simple demande de mise à jour de l'IBAN d'un fournisseur. La facture authentique suivante risque alors d'être payée sur le mauvais compte.
• Une petite enquête menée en février-mars 2026 auprès des membres de l'ISME a révélé que 53 % des répondants n'avaient aucune directive ou formation dédiée à la sensibilisation des employés à la fraude ; son échantillon était de 65 entreprises, et non un recensement national.
• Les rappels téléphoniques indépendants aux fournisseurs, la double approbation des paiements, l'authentification multifacteur et un processus écrit de modification des bénéficiaires constituent des défenses pratiques.
• Les profils en ligne vérifiés peuvent améliorer les signaux d'identité lors de la recherche, mais aucun badge ne remplace la vérification de la destination d'un paiement.

Une facture légitime peut porter une destination erronée

Prenons l'exemple hypothétique d'un café de Dublin qui commande des produits frais au même grossiste chaque semaine. La relation est établie, le bon de commande est attendu et le montant de la facture est normal. Mais avant que la facture n'arrive, une personne représentant apparemment le grossiste demande au café de mettre à jour le compte bancaire utilisé pour les paiements futurs.

Rien d'autre dans la relation commerciale n'a besoin de changer. La livraison arrive toujours. La facture est authentique. L'argent est simplement acheminé vers un compte qui n'appartient pas au fournisseur.

Il s'agit d'une fraude au changement de RIB : une escroquerie dans laquelle une entreprise est incitée à modifier le compte sur lequel elle paie un fournisseur réel ou supposé. C'est une forme courante de compromission de messagerie professionnelle (BEC - Business Email Compromise), une catégorie d'attaques plus large impliquant l'usurpation d'identité de contacts de confiance. Un criminel peut usurper une adresse ou exploiter un compte déjà compromis. Le danger n'est pas toujours une facture manifestement fausse ; c'est la confiance mal placée créée par une relation de travail existante.

Le National Cyber Security Centre (NCSC) d'Irlande décrit le BEC comme l'usurpation d'identité d'un cadre, d'un fournisseur ou d'un employé pour obtenir de l'argent ou des informations sensibles. FraudSMART conseille aux entreprises de vérifier les modifications proposées aux coordonnées bancaires en utilisant un contact qu'elles connaissent déjà — et non le numéro de téléphone fourni dans la demande de modification. [2, 3]

Les chiffres sont trop importants pour qu'il s'agisse d'un problème purement informatique

Le 27 mars 2026, FraudSMART, l'initiative menée par la Banking & Payments Federation Ireland (BPFI), a rapporté que les PME irlandaises avaient perdu 18,9 millions d'euros à cause de la fraude par courriel au cours des deux années précédentes. Ses institutions membres ont constaté des pertes moyennes supérieures à 22 000 € par incident. Le détournement de factures et l'usurpation d'identité de PDG ont été identifiés comme des risques majeurs. [1]

Une enquête distincte menée auprès des membres de l'ISME en février et mars 2026 a révélé que 67 % des 65 répondants ont déclaré que leur entreprise avait été la cible d'une escroquerie financière au cours des 12 derniers mois. Parmi les répondants, 53 % ont déclaré n'avoir aucune directive ou formation spécifique pour les employés en matière de sensibilisation à la fraude. L'échantillon est restreint et ne doit pas être traité comme une estimation représentative pour chaque PME irlandaise ; il offre néanmoins aux propriétaires une lacune qu'ils peuvent tester sur leur propre lieu de travail. [1]

Le moment est opportun. Le Mois européen de la cybersécurité se déroule tout au long d'octobre 2026, avec un accent mis cette année sur les compétences et la préparation au travail. Le message est particulièrement important pour les détaillants indépendants, les artisans, les entreprises de l'hôtellerie, les agences de création et les entrepreneurs individuels qui gèrent des messages commerciaux par courriel, applications de messagerie et réseaux sociaux sans département financier dédié. [4]

Pourquoi la réponse la plus sûre est parfois d'interrompre la conversation

Une instruction de paiement suspecte peut arriver au sein d'une conversation par ailleurs normale. C'est précisément pourquoi répondre au même courriel ou appeler le numéro figurant dans sa signature peut ne rien établir. Si le compte de l'expéditeur est compromis, l'attaquant peut voir ou influencer la réponse. Si un message a fait l'objet d'une usurpation d'identité, les coordonnées peuvent mener directement au fraudeur.

La vérification indépendante consiste à entamer une nouvelle conversation en utilisant un numéro ou une méthode de contact que l'entreprise avait enregistré avant la demande. Contactez une personne connue chez le fournisseur, confirmez le changement, enregistrez le résultat et ne libérez pas le paiement tant que la vérification n'est pas terminée. Appliquez la même règle lorsqu'une demande semble provenir du propriétaire, du comptable ou de la personne la plus haut placée dans l'entreprise. [2, 3]

Une équipe de construction de Dublin vérifie directement auprès du fournisseur avant de modifier les coordonnées de paiement. Illustration éditoriale générée par IA.

Un exercice de sécurité des paiements en sept minutes

Une petite organisation n'a pas besoin d'un département de cybersécurité complexe pour pratiquer sa première défense. Elle a besoin d'un processus reproductible qui survit à un vendredi après-midi chargé, à l'absence d'un membre du personnel ou à un message urgent d'un client familier.

Minute 1 : décidez qui peut modifier les coordonnées des fournisseurs

Confiez la responsabilité du registre des fournisseurs à un employé responsable. Enregistrez la manière dont les nouveaux bénéficiaires sont approuvés, qui peut modifier un IBAN et où sont conservées les coordonnées vérifiées indépendamment. Les feuilles de calcul partagées sans autorisations appropriées ni historique des modifications créent une incertitude inutile.

Minutes 2–3 : établissez le rappel téléphonique indépendant

Exigez un appel téléphonique à un numéro de fournisseur préalablement enregistré pour chaque modification de coordonnées bancaires, y compris les demandes provenant d'employés familiers ou de fournisseurs de longue date. Ne vous fiez jamais uniquement au numéro figurant dans le nouveau courriel, le message de chat ou la facture. Enregistrez la date, la personne contactée et le résultat de la confirmation.

Minute 4 : ajoutez une deuxième paire d'yeux

Utilisez la double approbation pour les virements importants et les premiers paiements sur un compte récemment modifié. Le deuxième approbateur doit examiner le bénéficiaire de manière indépendante, et non simplement appuyer sur « approuver ». FraudSMART recommande spécifiquement l'autorisation électronique double pour les paiements à des tiers. [1]

Minute 5 : sécurisez les canaux utilisés par les collaborateurs

Activez l'authentification multifacteur sur les comptes de messagerie et de finance de l'entreprise ; utilisez des mots de passe uniques et complexes, maintenez les appareils à jour et limitez l'accès aux systèmes de paiement. Le chiffrement et la vérification de l'identité peuvent répondre à certains risques, mais ne peuvent pas garantir que chaque instruction de paiement est correcte.

Minutes 6–7 : répétez le scénario

Demandez à un collègue de jouer le rôle du fournisseur et à un autre de répondre à une demande fictive de changement de compte. Le destinataire peut-il trouver le numéro stocké indépendamment ? La demande reste-t-elle en attente jusqu'à la confirmation ? Un deuxième approbateur sait-il quoi vérifier ? Si ce n'est pas le cas, améliorez la procédure et testez-la à nouveau. Il s'agit d'une formation avec un résultat pratique, pas d'un diaporama oublié.

Quand une réservation locale se transforme en risque de paiement

Le même défi apparaît dans l'économie des créateurs et le commerce local. Un vidéaste reçoit une demande d'un restaurant ; un photographe établit un devis pour un lieu de mariage ; un entrepreneur négocie un acompte pour une rénovation. La première interaction peut commencer sur une plateforme sociale, se poursuivre par messages directs et se terminer par un virement. Chaque étape laisse place à la confusion.

Un faux compte peut imiter un créateur familier ; un client authentique peut recevoir un changement de paiement falsifié ; une agence peut traiter un IBAN figurant sur une capture d'écran comme s'il était à jour. La confiance numérique ne peut donc pas s'arrêter à la découverte. Elle doit être maintenue au moment où la transaction a réellement lieu.

Safegram poursuit un modèle qui réunit des profils vérifiés, la découverte locale et des listes de services pour créateurs ou entreprises au sein de Safegram Exchange (une place de marché vérifiée). Cela peut aider un client potentiel à voir qui propose un service. Son ambition à plus long terme est de connecter une plus grande partie du parcours de demande, de réservation et de paiement autour d'une couche de confiance persistante, plutôt que d'éparpiller la relation entre des outils non liés. Mais un profil vérifié n'est pas une garantie contre les comptes compromis, les instructions de paiement frauduleuses ou les erreurs de virement.

La distinction est importante tant pour les jeunes plateformes que pour les places de marché établies. La vérification peut aider à établir qui a ouvert un compte ; la sécurité des paiements nécessite des contrôles appropriés au moment où l'argent circule, des processus de litige clairs et des explications transparentes sur ce qui est — et n'est pas — protégé.

La confiance se construit dans le flux de travail, pas seulement sur le profil

Les services établis présentent de véritables atouts : les banques proposent des équipes de lutte contre la fraude et des contrôles de transactions ; les places de marché spécialisées peuvent fournir une intégration structurée des marchands ; les réseaux sociaux apportent une découverte étendue ; les logiciels de réservation dédiés résolvent les problèmes spécifiques au secteur. Ces avantages méritent d'être reconnus.

Pourtant, le parcours entre la découverte sociale, la messagerie, la facturation, le paiement et le service après-vente reste fragmenté pour de nombreuses petites équipes. Safegram a l'intention, au fil du temps, de réduire cette fragmentation à travers l'identité de confiance, la communauté, les produits, les services et les Circles (groupes de discussion et de partage par centres d'intérêt). La question de savoir si une expérience unifiée sera manifestement plus sûre dépendra d'opérations responsables et de contrôles mesurables — et non d'une promesse marketing.

Un détaillant indépendant examine une demande avant qu'elle n'entre dans le processus de paiement. Illustration éditoriale générée par IA.

Que faire si vous avez déjà payé sur le mauvais compte

Agissez vite. Contactez immédiatement votre banque ou votre prestataire de services de paiement, expliquez que le virement peut être frauduleux et demandez s'il peut être rappelé ou arrêté. Le recouvrement n'est pas garanti, en particulier pour un virement bancaire autorisé. Conservez les messages originaux, les en-têtes de courriel complets, les factures, les coordonnées bancaires et les références de transaction. Signalez toute fraude criminelle suspectée à l'An Garda Síochána et consultez les conseils du NCSC en matière de signalement d'incidents si une compromission informatique est en cause. [3, 5]

Sécurisez les comptes affectés, examinez les connexions récentes et prévenez les fournisseurs ou clients légitimes si les communications ont pu faire l'objet d'une usurpation d'identité. N'enquêtez pas uniquement à partir d'une boîte aux lettres que vous soupçonnez d'être compromise. Si des données à caractère personnel ont été exposées, examinez séparément les obligations de notification de l'organisation en matière de protection des données.

La prévention ne doit pas se réduire à dire aux employés d'être « plus prudents ». Un employé pressé doit pouvoir compter sur une règle qui empêche un paiement douteux tant que quelqu'un ne l'a pas vérifié. Des procédures bien conçues protègent les personnes précisément lorsqu'elles sont occupées.

La question que chaque propriétaire devrait poser ce matin

Demandez à la personne qui gère les paiements : que se passe-t-il si notre plus gros fournisseur nous envoie un courriel aujourd'hui pour changer son IBAN ? Si la réponse est « nous mettons à jour la feuille de calcul », l'entreprise a trouvé une amélioration urgente. Si la réponse est « nous appelons le numéro vérifié indépendamment, documentons l'approbation et exigeons une deuxième signature », l'équipe dispose d'une défense qui vaut la peine d'être pratiquée.

Le Mois européen de la cybersécurité se termine le 31 octobre. Un processus de paiement judicieux devrait durer bien plus longtemps.

Foire aux questions

Qu'est-ce que la fraude au changement de RIB ?

Il s'agit d'une escroquerie dans laquelle une personne usurpe l'identité d'un fournisseur ou d'une autre partie de confiance et persuade une entreprise de payer sur un compte bancaire frauduleux, souvent en demandant une modification des coordonnées IBAN enregistrées.

En quoi le détournement de facture est-il différent du phishing ?

Le phishing cherche à inciter les destinataires à révéler des informations, à cliquer sur un lien malveillant ou à entreprendre une autre action dangereuse. Le détournement de facture est une tactique spécifique de diversion de paiement et peut impliquer du phishing ou des courriels professionnels compromis.

Combien les PME irlandaises ont-elles perdu à cause des escroqueries par courriel ?

FraudSMART/BPFI a fait état de 18,9 millions d'euros de pertes au cours des deux années précédant sa publication du 27 mars 2026. Ce chiffre couvre les escroqueries liées aux courriels, et non la seule fraude au changement de RIB.

Est-ce que répondre au courriel d'un fournisseur suffit à vérifier de nouvelles coordonnées bancaires ?

Non. Une réponse peut atteindre une personne contrôlant une boîte aux lettres compromise. Contactez l'entreprise indépendamment en utilisant un numéro de téléphone préalablement vérifié et documentez la réponse.

Quelle est la protection la plus simple pour une petite entreprise ?

Exiger un rappel téléphonique indépendant avant de modifier les coordonnées bancaires d'un fournisseur, une deuxième approbation pour les paiements importants et l'authentification multifacteur sur les courriels professionnels.

Un badge d'entreprise vérifiée signifie-t-il qu'un paiement est sûr ?

Non. La vérification peut fournir des preuves sur l'identité, mais ne valide pas chaque compte bancaire, instruction ou transaction ultérieure.

Où une entreprise irlandaise doit-elle signaler un paiement frauduleux ?

Contactez immédiatement sa banque et signalez la fraude criminelle suspectée à l'An Garda Síochána. Utilisez les ressources du National Cyber Security Centre lorsqu'une compromission de courriel ou de réseau est impliquée.

Agir

Commencez par une amélioration aujourd'hui : rédigez la règle de modification des coordonnées bancaires des fournisseurs, confiez à un collègue la responsabilité de l'appliquer et testez-la avec un scénario réaliste. Les entreprises et créateurs locaux développant une présence professionnelle vérifiée peuvent explorer Safegram Exchange sur https://safegram.com — tout en maintenant des contrôles de paiement indépendants quel que soit le lieu de la transaction.

Sources et références

1. Banking & Payments Federation Ireland / FraudSMART, « Almost €19 million lost by SMEs to email-related scams over the past two years », 27 mars 2026. https://bpfi.ie/almost-e19-million-lost-by-smes-to-email-related-scams-over-the-past-two-years-fraudsmart/

2. FraudSMART, « Invoice Re-Direction Fraud », guide pour les entreprises, consulté le 20 octobre 2026. https://www.fraudsmart.ie/business/fraud-scams/email-fraud/invoice-re-direction-fraud/

3. National Cyber Security Centre, « Protecting Against Business Email Compromise and Payment Fraud Guidance », consulté le 20 octobre 2026. https://www.ncsc.gov.ie/guidance/

4. Commission européenne / Plateforme européenne pour les compétences et les emplois numériques, « Mois européen de la cybersécurité 2026 », octobre 2026. https://digital-skills-jobs.europa.eu/en/latest/news/european-cybersecurity-month-2026

5. National Cyber Security Centre, signalement d'incidents et conseils en cybersécurité, consulté le 20 octobre 2026. https://www.ncsc.gov.ie/npc24/