Un fournisseur change de RIB par courriel : vérifiez par un canal que vous connaissez déjà

Un message reprend le nom de votre fournisseur et demande d’utiliser un nouveau RIB pour la prochaine facture. La signature paraît correcte, le montant correspond et l’échéance est proche. Ces éléments ne suffisent pas à authentifier la demande. Une fraude peut exploiter des informations réelles pour rendre le changement crédible. Le contrôle utile porte sur la confirmation indépendante des coordonnées, avant leur modification dans vos outils.

Reconnaître une demande qui modifie le circuit de paiement

Le changement de compte bancaire mérite un traitement distinct d’une facture ordinaire. Cybermalveillance.gouv.fr décrit notamment l’usurpation d’un fournisseur pour communiquer un nouveau RIB. Un message peut être rédigé sans faute et reprendre une conversation existante ; l’apparence professionnelle n’élimine pas ce scénario.

Repérez aussi la pression : paiement urgent, interlocuteur prétendument indisponible ou demande de confidentialité inhabituelle. Ces signes renforcent la nécessité du contrôle, mais leur absence ne dispense pas de vérifier. La règle doit s’appliquer à tous les changements de coordonnées, y compris ceux qui paraissent parfaitement ordinaires. Sinon, l’attaquant peut simplement imiter le ton habituel.

Utiliser une information de contact antérieure

Appelez le fournisseur à partir de votre dossier validé, d’un contrat ou d’une source que vous aviez déjà contrôlée. Ne reprenez pas le numéro indiqué dans le message à vérifier. Demandez confirmation du changement, de sa date et de la procédure habituelle. Si votre interlocuteur ne connaît pas la demande, stoppez le traitement et informez les personnes responsables du dossier.

Un simple courriel de réponse dans la même conversation ne fournit pas toujours une confirmation indépendante. L’adresse ou la messagerie peut avoir été usurpée ou compromise. Selon vos procédures, plusieurs vérifications peuvent être nécessaires. Documentez le résultat dans un espace interne, sans diffuser inutilement les coordonnées bancaires à tous les destinataires de la chaîne.

Encadrer la modification dans l’outil de gestion

Séparez, lorsque l’organisation le permet, la demande de changement et sa validation. Le contrôle doit porter sur le compte réellement enregistré, pas seulement sur une pièce jointe approuvée. Vérifiez qu’un chiffre n’a pas été mal recopié et que la modification concerne le bon fournisseur. Une seconde personne peut examiner l’opération avant la prochaine exécution de paiement.

Conservez une trace de l’origine de la demande et du contrôle effectué. Évitez de mettre à jour simultanément les coordonnées de contact et le RIB sur la seule base du même message. Vous pourriez alors remplacer le canal de vérification fiable par celui que l’attaquant contrôle. Toute exception à la procédure doit être explicitement validée et rester identifiable.

Réagir immédiatement si le paiement est déjà parti

Si vous suspectez une fraude après le virement, contactez rapidement votre banque par ses canaux officiels et prévenez les responsables internes. Conservez le message, les pièces jointes et les informations de transaction. Suivez les démarches indiquées par les organismes compétents ; la rapidité compte, sans permettre de garantir une récupération des fonds.

Pour prévenir les prochains cas, entraînez l’équipe avec un exemple fictif de changement de RIB. Vérifiez qu’elle sait retrouver le bon contact et suspendre une demande urgente. Une procédure facile à appliquer rend le contrôle plus robuste qu’une consigne générale de vigilance. Le bon réflexe doit rester disponible lorsque la personne habituelle est absente ou que plusieurs factures arrivent en même temps.