Un artisan de confiance, une facture identique à toutes les précédentes, un montant cohérent avec les travaux réalisés : rien ne laissait présager le piège. Et pourtant, cette victime a viré 4 800 euros vers un compte qui n’appartenait pas à son artisan. Ce type d’arnaque, de plus en plus fréquent à l’approche de la rentrée et alors que les échanges professionnels reprennent leur rythme habituel après l’été, repose sur un détail si minime qu’il échappe à la vigilance de presque tout le monde. Une seule ligne modifiée dans un email, et c’est tout un virement légitime qui part directement dans la poche d’un escroc, sans que la victime ne se doute de rien avant qu’il ne soit trop tard.

Le piège invisible caché dans un mail parfaitement normal

Le scénario est toujours le même, et c’est bien ce qui le rend si redoutable. Un client reçoit une facture de son artisan habituel, avec le même papier à en-tête, la même mise en forme, le même ton dans le message d’accompagnement. Tout semble parfaitement normal. Sauf qu’entre le moment où le professionnel a envoyé son email et celui où le client l’a ouvert, un cybercriminel s’est glissé dans la conversation pour remplacer discrètement le RIB du fournisseur par le sien. La victime, persuadée de régler son artisan, alimente en réalité un compte totalement étranger à la relation commerciale.

Cette technique, connue sous le nom de fraude au faux RIB via boîte mail compromise, ne repose pas sur un piratage massif ou spectaculaire. Elle s’appuie au contraire sur une observation patiente et silencieuse des échanges entre un professionnel et ses clients. Les fraudeurs guettent une transaction imminente ou récurrente, puis interviennent au moment précis où la facture s’apprête à être envoyée. Le contexte actuel n’arrange rien : avec la généralisation de la facturation électronique obligatoire prévue pour les entreprises à partir de septembre 2026, la DGFiP a déjà alerté sur une recrudescence de tentatives exploitant cette transition comme prétexte pour justifier des changements de coordonnées bancaires.

Comment les pirates s’installent dans la boîte mail sans se faire repérer

Pour que la substitution du RIB fonctionne aussi bien, encore faut-il que les cybercriminels aient un accès direct à la messagerie de l’un des deux interlocuteurs, le plus souvent celle de l’artisan ou du fournisseur. Cet accès s’obtient généralement par hameçonnage classique, un email piégé qui récupère les identifiants de connexion sans que la victime ne s’en aperçoive. Une fois entrés, les fraudeurs ne se précipitent pas : ils observent, lisent les échanges, identifient les habitudes de facturation et attendent le bon moment pour agir.

Le plus inquiétant reste la persistance de cet accès. Certains escrocs configurent en effet un renvoi automatique de tous les messages contenant des mots-clés comme « facture » ou « paiement » vers leur propre boîte mail. Résultat : même si la victime change son mot de passe après s’être rendu compte que quelque chose clochait, les fraudeurs continuent de recevoir une copie de chaque échange sensible. Cette mécanique explique en partie pourquoi une éleveuse des Côtes-d’Armor a perdu 18 000 euros après que des cybercriminels ont intercepté ses emails et modifié le RIB joint à une facture destinée à deux de ses clientes. Selon le Baromètre Fraude et Cybercriminalité 2022, 69 % des entreprises déclarent avoir déjà été visées par une tentative de ce type, un chiffre qui donne la mesure du phénomène.

Les signaux faibles que personne ne regarde avant de valider un virement

Ce qui frappe dans la majorité des dossiers de fraude au faux RIB, c’est la présence quasi systématique de signaux d’alerte passés complètement inaperçus. Un email annonçant un changement de coordonnées bancaires sans être confirmé par un autre canal de communication constitue le premier indice à surveiller. Une adresse d’expéditeur légèrement modifiée, avec une lettre en plus ou un domaine presque identique à l’original, doit également éveiller les soupçons. Il en va de même pour un IBAN étranger inhabituel alors que le fournisseur a toujours été domicilié en France, ou pour des justifications un peu trop pratiques comme un « audit interne » ou une « migration bancaire » censée expliquer le changement.

Le problème, c’est que ces détails se noient dans le flot quotidien des emails professionnels, où la confiance accordée à un interlocuteur habituel prend souvent le dessus sur la prudence. Personne ne s’attend à ce qu’une seule ligne d’un document, celle qui contient le RIB, ait pu être modifiée entre l’envoi et la réception. Et c’est précisément cette confiance qui rend l’arnaque si efficace : elle ne cible pas la naïveté, mais l’habitude.

Ce qu’il faut retenir pour ne jamais revivre ce cauchemar bancaire

La bonne pratique la plus universellement recommandée reste d’une simplicité désarmante : vérifier tout changement de coordonnées bancaires par un appel téléphonique au numéro habituel du fournisseur, jamais celui indiqué dans le message suspect. Ce simple réflexe suffit à déjouer la quasi-totalité des tentatives, puisque les fraudeurs n’ont généralement pas accès à la ligne téléphonique de l’entreprise usurpée.

Du côté des professionnels, l’activation de la double authentification sur la messagerie constitue une mesure particulièrement efficace pour bloquer la majorité des piratages à l’origine de ces fraudes. En cas de compromission avérée, Cybermalveillance.gouv.fr recommande de modifier immédiatement le mot de passe de la boîte mail et de le remplacer par un mot de passe solide, différent de ceux utilisés ailleurs. Sur le plan légal, l’accès frauduleux à un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 euros d’amende selon l’article 323-1 du Code pénal, un cadre qui existe mais qui n’efface malheureusement pas le préjudice financier subi.

Car c’est bien là que le bât blesse : une fois le virement parti vers le mauvais compte, la victime se retrouve le plus souvent contrainte de régler une seconde fois la facture au fournisseur réel, sans garantie de recours bancaire pour récupérer les fonds détournés. Une double peine financière qui rappelle combien la vigilance, même face à un email en apparence anodin, reste la meilleure des protections.

Face à des techniques toujours plus discrètes, la question n’est plus de savoir si l’on sera un jour confronté à ce type de tentative, mais bien comment réagir le moment venu. Et si le prochain réflexe à adopter, avant chaque virement important, était simplement de décrocher son téléphone ?