Fraude au faux RIB : comment un simple e-mail détourne le paiement d'une facture

Le scénario

Un mardi, un e-mail arrive d'un fournisseur habituel. Même nom, même signature, même ton que d'habitude, parfois en réponse à un vrai fil d'échanges. Le message est banal : « Suite à un changement de banque, merci de mettre à jour nos coordonnées pour vos prochains règlements. Nouveau RIB en pièce jointe. »

La comptable met à jour, la facture suivante est payée sur le nouveau compte. Trois semaines plus tard, le vrai fournisseur relance pour un impayé. L'argent est parti chez un escroc.

C'est la fraude au faux RIB, ou fraude au changement de coordonnées bancaires. Elle touche particulièrement les agences immobilières (versements de dépôts de garantie et de fonds de vente), les cabinets comptables (qui transmettent des RIB à longueur de journée) et toutes les entreprises qui paient des fournisseurs par virement.

Comment l'escroc s'y prend

Le plus souvent, par l'une de ces deux voies :

• -La messagerie du fournisseur, ou la vôtre, a été piratée. L'escroc lit les échanges réels, attend une facture, et répond dans le bon fil au bon moment. C'est pour cela que le message paraît si crédible.
• -Une adresse qui ressemble à s'y méprendre. Une lettre changée dans le nom de domaine, un « rn » à la place d'un « m », un domaine en .com au lieu de .fr. À l'œil, sur un téléphone, on ne voit rien.

Les signaux qui doivent alerter

• -Un changement de coordonnées bancaires annoncé par e-mail, quelle que soit la crédibilité du message ;
• -un IBAN étranger pour un fournisseur français ;
• -une urgence inhabituelle (« merci de traiter avant vendredi ») ou une demande de discrétion ;
• -une adresse d'expéditeur légèrement différente, ou une adresse de réponse qui n'est pas la même que celle d'envoi.

Notre parcours cyberarnaques entraîne à repérer ces signaux sur des exemples réalistes.

La parade qui marche à tous les coups

Aucun changement de RIB sans contre-appel. Appelez le fournisseur à un numéro que vous connaissez déjà : celui de votre fichier, d'un ancien devis, de son site, jamais celui qui figure dans l'e-mail qui annonce le changement. C'est une règle simple, qui ne coûte qu'un appel, et qui bloque la quasi-totalité de ces fraudes.

À compléter par :

• -une double validation pour tout nouveau bénéficiaire ou toute modification de RIB : celui qui saisit n'est pas celui qui valide ;
• -la double authentification sur la messagerie, pour qu'un mot de passe volé ne suffise pas à lire vos échanges ;
• -la protection de votre nom de domaine avec SPF, DKIM et DMARC, pour qu'on ne puisse pas envoyer de faux e-mails en votre nom. Notre audit e-mail gratuit vérifie votre configuration en quelques secondes, et notre guide SPF, DKIM, DMARC explique comment la corriger.

Si le virement est parti

Chaque heure compte.

1. -Appelez votre banque immédiatement et demandez le rappel des fonds. Plus la demande est rapide, plus il y a de chances que l'argent soit encore sur le compte de destination.
2. -Portez plainte auprès de la police ou de la gendarmerie, avec l'e-mail frauduleux et le relevé du virement. Si vous avez une assurance cyber, prévenez votre assureur : l'indemnisation peut être conditionnée au dépôt de plainte dans un délai court.
3. -Prévenez le vrai fournisseur : si sa messagerie a été piratée, d'autres clients sont visés.
4. -Vérifiez votre propre messagerie : règles de transfert inconnues, connexions suspectes. Changez le mot de passe et activez la double authentification.
5. -Faites-vous accompagner : la plateforme publique cybermalveillance.gouv.fr oriente vers des prestataires référencés.

Pour aller plus loin

Lisez comment les pirates attaquent les PME, et découvrez ce que nous faisons pour les agences immobilières et les experts-comptables. Parlons de votre messagerie.