Fraude au président, faux RIB : vérifier l’expéditeur d’un mail

Réponse rapide

La compromission de messagerie professionnelle (BEC, ou FOVI en France) est une arnaque où des criminels envoient des e-mails qui semblent venir de votre patron, d’un fournisseur ou d’un avocat, pour vous faire payer ou changer un RIB. C’est le principe de la fraude au président et du faux RIB. Pour vérifier l’expéditeur, contrôlez l’adresse et le domaine lettre par lettre, cherchez « pass » pour SPF, DKIM et DMARC dans les détails du message, et n’exécutez aucune demande de paiement avant d’avoir rappelé la personne sur un numéro que vous aviez déjà. Si vous avez payé, appelez votre banque et signalez-le immédiatement.

Chiffres clés

3,05 milliards de dollarsperdus en compromission de messagerie professionnelle signalée au FBI en 2025, sur 24 768 plaintesFBI IC3 2025 Internet Crime Report
679 millions de dollarsgelés pour les victimes par la Recovery Asset Team du FBI en 2025, soit 58 % de réussite sur 1,16 milliard de dollars signalésFBI IC3 2025 Internet Crime Report
41,3 millions £perdus en fraudes à la facture et au changement de mandat au Royaume-Uni en 2025, sur 2 305 casUK Finance Annual Fraud Report 2026
55,5 milliards de dollarsde pertes BEC exposées dans le monde d’octobre 2013 à décembre 2023, sur 305 033 incidentsFBI IC3 PSA, septembre 2024

Un e-mail arrive d’un fournisseur que vous payez tous les mois. Il a changé de banque, et la prochaine facture doit être réglée sur le nouveau compte. Ou bien votre PDG vous écrit depuis un aéroport : un paiement urgent et confidentiel doit partir avant ce soir. Le nom est le bon, le ton est le bon, le logo est le bon. La seule question est de savoir si la personne que vous croyez être l’expéditeur l’a vraiment envoyé.

C’est la compromission de messagerie professionnelle (BEC, pour « business email compromise »), qui regroupe la fraude au président, la fraude au faux fournisseur et le faux RIB, ce que la France appelle aussi FOVI (faux ordre de virement). C’est l’un des délits les plus coûteux suivis par le FBI. Entreprises et particuliers ont déclaré avoir perdu 3,05 milliards de dollars en BEC en 2025, sur 24 768 plaintes déposées auprès de l’Internet Crime Complaint Center du FBI. La parade est simple mais stricte : quelques vérifications sur l’e-mail, et une règle de rappel que personne ne saute.

Qu’est-ce que la fraude au président et au faux RIB (BEC) ?

La compromission de messagerie professionnelle est une arnaque où des criminels se font passer par e-mail pour quelqu’un en qui vous avez confiance, comme un fournisseur, un dirigeant, un salarié ou un avocat, afin de vous faire envoyer de l’argent ou des données sensibles. Le FBI explique qu’elle cible les personnes et les entreprises qui font régulièrement des virements, en utilisant des comptes e-mail piratés ou usurpés et, de plus en plus, des numéros de téléphone et des applis de visioconférence. Le National Cyber Security Centre irlandais en distingue quatre formes courantes :

Fraude au faux fournisseur ou à la facture : l’e-mail d’un vrai fournisseur est piraté, ou imité avec un domaine sosie, pour envoyer de fausses factures ou un « nouveau RIB ».
Fraude au président : un faux dirigeant demande un virement urgent et secret, ou des cartes cadeaux.
Détournement de salaire : un faux salarié demande aux RH de verser son salaire sur un nouveau compte.
Usurpation d’avocat : un faux avocat ou un faux notaire envoie des instructions de virement pour une transaction ou l’achat d’un logement.

Au Royaume-Uni, les banques ont enregistré 41,3 millions de livres perdus en fraudes à la facture et au changement de mandat en 2025, sur 2 305 cas, et 5,6 millions de livres supplémentaires en fraude au président.

À quoi ressemble un e-mail de fraude au président ou au faux RIB ?

Il a l’air ordinaire, et c’est tout l’enjeu. Ces e-mails contiennent rarement un logiciel malveillant ou un lien. Ils misent sur une histoire crédible, une échéance et un petit changement. Voici des exemples typiques, reformulés :

Bonjour, nous avons changé d’établissement bancaire. Vous trouverez notre nouveau RIB en pièce jointe. Merci de l’utiliser pour la facture n° 4471 et tous les règlements à venir. Notre ancien compte est clôturé.

Vous êtes à votre bureau ? J’ai besoin que vous gériez aujourd’hui un paiement confidentiel lié à une acquisition. N’en parlez à personne pour l’instant. Je suis en réunion, donc uniquement par e-mail.

Bonjour, j’ai changé de banque. Pouvez-vous mettre à jour mon RIB avant le prochain virement des salaires ? Nouvelles coordonnées ci-dessous.

Le FBI note que l’IA rend ces e-mails plus soignés : les outils conversationnels imitent le style d’écriture d’un dirigeant, et le clonage de voix peut appuyer une demande par téléphone. Les entreprises ont déclaré plus de 30 millions de dollars de pertes BEC impliquant l’IA en 2025.

Comment vérifier l’expéditeur d’un e-mail ?

Vérifiez l’adresse réelle, le domaine et les résultats d’authentification, puis confirmez par téléphone avec un numéro que vous aviez déjà. Procédez dans cet ordre.

Affichez l’adresse complète. Le nom affiché (« Sarah Lee, Comptabilité ») peut dire n’importe quoi. Touchez-le ou survolez-le pour voir la vraie adresse. Sur téléphone, cette étape passe facilement à la trappe, c’est pourquoi le FBI conseille de configurer sa messagerie pour afficher les adresses complètes.
Lisez le domaine lettre par lettre. Cherchez les caractères inversés ou ajoutés : « acme-corp.com » au lieu de « acmecorp.com », « rn » pour « m », « l » pour « i », « .co » au lieu de « .com », ou une adresse gratuite type Gmail pour une entreprise qui a son propre domaine.
Vérifiez l’adresse de réponse. Cliquez sur « Répondre » et regardez le champ « À » avant d’écrire. S’il affiche une autre adresse, l’e-mail est conçu pour détourner votre réponse.
Contrôlez les résultats d’authentification (SPF, DKIM, DMARC), expliqués ci-dessous.
Regardez l’historique de la conversation. S’agit-il d’un nouveau fil qui « prolonge » un ancien échange ? La signature, le numéro de téléphone ou le ton ont-ils changé ?
Rappelez pour confirmer avec un numéro tiré de vos propres dossiers, jamais celui de l’e-mail. C’est cette étape qui évite réellement la perte.

Un vrai e-mail envoyé depuis un compte piraté passera toutes les vérifications techniques. C’est pourquoi l’étape 6 n’est jamais facultative pour un paiement ou un changement de RIB.

Comment vérifier SPF, DKIM et DMARC sur un e-mail ?

Ouvrez les détails complets ou les en-têtes du message et cherchez les mots « pass » ou « fail » à côté de SPF, DKIM et DMARC. Dans Gmail, ouvrez l’e-mail, cliquez sur le menu à trois points et choisissez « Afficher l’original ». Dans Outlook, ouvrez les propriétés du message ou « Afficher la source du message » et cherchez la ligne « Authentication-Results ».

Contrôle	Ce que cela veut dire, en clair	Ce qu’un échec suggère
SPF	Le serveur qui a envoyé l’e-mail est autorisé à envoyer pour ce domaine	Le serveur de quelqu’un d’autre a envoyé un e-mail en se réclamant de ce domaine
DKIM	L’e-mail porte une signature numérique valide du domaine et n’a pas été modifié en route	Le message n’a pas été signé par ce domaine, ou il a été altéré
DMARC	Le domaine affiché dans le champ « De » correspond à celui qui a passé SPF ou DKIM	L’expéditeur affiché est probablement usurpé

Un échec sur un e-mail de paiement est un signal d’arrêt. Un succès prouve seulement que l’e-mail vient de ce domaine. Il ne prouve pas que c’est le bon domaine (un domaine sosie peut passer les trois contrôles) ni que le compte n’a pas été piraté. Considérez ces contrôles comme un filtre, pas comme un verdict.

Comment savoir à qui appartient un domaine ou une adresse e-mail ?

Consultez la date d’enregistrement du domaine, puis vérifiez la personne derrière l’adresse. Utilisez l’outil gratuit de l’ICANN pour consulter les données d’enregistrement. Un domaine fournisseur vieux de dix ans, c’est normal. Un domaine sosie enregistré la semaine dernière, c’est une arnaque. Le NCSC irlandais recommande justement de bloquer ou de signaler les e-mails venant de domaines récemment enregistrés.

Pour un nouveau contact, un nouveau fournisseur ou un nom que vous ne connaissez pas, une recherche pro Search A-Z vous aide. Saisissez le nom complet et le pays de l’expéditeur, choisissez « Contact pro », puis ajoutez l’adresse e-mail et l’entreprise. Le rapport vérifie si l’e-mail est réel et son risque de fraude, et affiche l’e-mail professionnel de la personne, son poste et son entreprise actuels, son parcours, ses profils professionnels publics, l’immatriculation de l’entreprise (fonctions au Companies House britannique et registre mondial LEI), les actualités et mentions sur le web, et les éventuelles alertes publiques d’arnaque ou de fraude. Si la « nouvelle responsable des comptes clients » n’a aucune trace chez le fournisseur, vous avez votre réponse. La personne n’est jamais informée de votre recherche.

Qu’est-ce qu’une procédure de contre-appel ?

Une procédure de contre-appel est une règle écrite selon laquelle tout nouveau paiement, changement de RIB ou demande de virement urgent est confirmé par un appel sortant vers un numéro déjà enregistré, avant que l’argent ne parte. C’est la protection la plus efficace contre le BEC, à condition de l’appliquer correctement. Le guide de JPMorgan sur les contre-appels qui tournent mal liste les erreurs habituelles : faire confiance à un appel entrant qui « confirme » l’e-mail, utiliser le numéro imprimé dans l’e-mail ou la facture, et parler à quelqu’un qui n’est pas la bonne personne.

Une procédure simple que vous pouvez reprendre :

Tout changement des coordonnées bancaires d’un fournisseur ou d’un salarié est confirmé par un appel sortant vers un numéro tiré de votre fichier fournisseurs, du contrat ou du site officiel du fournisseur, jamais de la demande elle-même.
L’appel est passé à une personne nommée avec qui vous avez déjà travaillé.
Les demandes marquées urgentes ou confidentielles font l’objet de plus de vérifications, pas de moins.
Au-delà d’un certain montant, un paiement exige la validation de deux personnes.
Un nouveau RIB est soumis à un délai de carence (par exemple 24 à 48 heures) avant le premier paiement.
Les équipes savent, par écrit, que personne, PDG compris, ne leur reprochera d’avoir retardé un paiement pour le vérifier.

Un script pour l’appel :

Bonjour, Alex, du service comptable de Northfield. Nous avons reçu un e-mail nous indiquant un nouveau RIB pour vos factures. Avant de modifier quoi que ce soit, pouvez-vous me confirmer que c’est bien vous qui l’avez envoyé, et me lire les quatre derniers chiffres du nouveau numéro de compte ?

Comment une entreprise doit-elle traiter une demande de changement de RIB ?

Considérez tout changement de coordonnées de paiement comme suspect tant qu’il n’a pas été vérifié par un autre canal, et consignez chaque étape. Cette procédure convient aux petites comme aux grandes structures :

Enregistrez la demande avec la date, l’adresse de l’expéditeur et les coordonnées demandées. N’y répondez pas encore.
Appelez le fournisseur au numéro déjà présent dans votre système, et confirmez avec votre contact habituel.
Vérifiez le nom du titulaire du nouveau compte. Au Royaume-Uni, le service Confirmation of Payee indique si le nom du compte correspond. Dans la zone euro, la vérification du bénéficiaire (Verification of Payee) fait de même pour les virements en euros depuis le 9 octobre 2025. Une réponse « ne correspond pas » ou « correspondance proche » doit vous alerter.
Faites valider le changement par une deuxième personne.
Envoyez un petit virement test et confirmez par téléphone qu’il est bien arrivé, avant le montant total.
Surveillez les relances. Une pression pour sauter l’une de ces étapes est en soi un signal d’alerte.

Les mêmes règles vous protègent quand vous êtes le fournisseur : indiquez par écrit à vos clients que vous ne changerez jamais de RIB par simple e-mail. Pour les nouveaux clients, notre guide pour vérifier un nouveau client avant de commencer couvre les autres vérifications.

Que faire si vous avez payé une fausse facture ?

Appelez immédiatement votre banque pour lui demander de rappeler le virement, puis signalez les faits au FBI ou à votre police nationale le jour même. La rapidité compte plus que tout. Le NCSC irlandais prévient que la plupart des fonds deviennent irrécupérables s’ils ne sont pas signalés dans les toutes premières heures.

Appelez tout de suite le service fraude de votre banque. Demandez le rappel du virement et le gel des fonds par la banque destinataire. Donnez le montant, la date, le compte bénéficiaire et toute référence.
États-Unis : déposez un signalement sur ic3.gov avec tous les détails de la transaction, quel que soit le montant. La Recovery Asset Team du FBI utilise la Financial Fraud Kill Chain pour travailler avec les banques et geler l’argent. En 2025, elle a traité 3 900 incidents et gelé 679 millions de dollars, soit 58 % de réussite. Elle peut suivre les virements « de second rebond » si vous les fournissez, et travaille avec le FinCEN sur les virements internationaux.
Royaume-Uni : signalez-le à Report Fraud, qui a remplacé Action Fraud en décembre 2025, au 0300 123 2040, ou à Police Scotland au 101. Votre banque lancera aussi sa propre procédure de récupération.
UE : signalez-le à votre police nationale et à votre banque. En Irlande, le NCSC demande aussi à être informé. En France, demandez à votre banque le retour des fonds, déposez plainte au commissariat, à la gendarmerie ou par écrit au procureur de la République, et suivez la fiche FOVI de Cybermalveillance.gouv.fr ou faites-vous orienter par 17Cyber.
Sécurisez le compte e-mail. Changez les mots de passe, activez l’authentification multifacteur et cherchez les règles de transfert ou les règles de boîte de réception qui masquent des réponses. C’est un signe fréquent de prise de contrôle du compte.
Gardez les preuves. Conservez les e-mails avec leurs en-têtes complets, les factures, les journaux d’appels et les relevés de transaction. Ne supprimez rien.
Prévenez le vrai fournisseur ou client. Son compte, ou le vôtre, est peut-être encore compromis.

Si un « service de récupération » vous contacte en proposant de récupérer l’argent contre des frais, c’est une autre arnaque. La vraie récupération passe par votre banque et les forces de l’ordre.

Comment protéger votre entreprise contre la fraude par e-mail ?

Associez une procédure de paiement stricte à quelques bases techniques. Le FBI et le NCSC irlandais recommandent tous deux :

L’authentification multifacteur sur chaque compte e-mail.
SPF, DKIM et DMARC configurés sur vos propres domaines, pour que les criminels ne puissent pas facilement usurper votre identité auprès de vos clients.
Une messagerie qui affiche les adresses complètes des expéditeurs et signale les expéditeurs externes.
L’enregistrement des sosies évidents de votre propre domaine, ou leur surveillance.
Une liste de fournisseurs vérifiés avec des contacts téléphoniques connus.
Une formation régulière des équipes à partir d’exemples réels comme ceux ci-dessus.

Le BEC commence souvent par une enquête sur votre équipe : qui valide les paiements, qui sont les fournisseurs, qui est en déplacement. Notre guide pour repérer les faux profils LinkedIn explique comment de faux comptes collectent ces informations.

En résumé

Vous ne pouvez pas distinguer à l’œil un e-mail piraté d’un vrai, alors n’essayez pas. Vérifiez l’adresse et le domaine, utilisez SPF et DKIM comme premier filtre, et confirmez chaque changement de RIB en appelant un numéro que vous aviez déjà. Si l’argent est parti, appelez votre banque et signalez-le dans les heures qui suivent, pas dans les jours.

Questions fréquentes

Qu’est-ce que la compromission de messagerie professionnelle ?

La compromission de messagerie professionnelle (BEC) est une arnaque où des criminels se font passer par e-mail pour un contact de confiance, comme un fournisseur, un dirigeant ou un avocat, pour vous faire envoyer de l’argent ou changer un RIB. Elle englobe la fraude au président et le faux RIB. Le FBI a reçu 24 768 plaintes BEC pour 3,05 milliards de dollars de pertes en 2025.

Comment savoir si un e-mail vient vraiment de la personne indiquée ?

Affichez l’adresse complète de l’expéditeur, lisez le domaine lettre par lettre, regardez où partent les réponses, et cherchez « pass » pour SPF, DKIM et DMARC dans les détails du message. Pour tout ce qui touche à l’argent, confirmez en appelant la personne sur un numéro que vous aviez déjà.

Une vraie adresse e-mail peut-elle servir à une arnaque ?

Oui. Si le compte d’un fournisseur ou d’un collègue est piraté, les e-mails frauduleux partent de sa vraie adresse et passent toutes les vérifications techniques. C’est pourquoi un changement de coordonnées de paiement doit toujours être confirmé par téléphone, avec un numéro tiré de vos propres dossiers.

Que signifie un échec DMARC ?

Cela signifie que le domaine affiché dans le champ « De » ne correspond à aucun domaine ayant passé les contrôles SPF ou DKIM. Sur un e-mail de paiement ou de changement de RIB, considérez un échec DMARC comme un signe fort que l’expéditeur est usurpé.

Puis-je récupérer mon argent après avoir payé une fausse facture ?

Parfois, si vous agissez vite. Appelez votre banque pour demander immédiatement un rappel du virement, et signalez-le sur ic3.gov aux États-Unis ou à Report Fraud au Royaume-Uni. En France, demandez le retour des fonds à votre banque et déposez plainte. La Recovery Asset Team du FBI a gelé 679 millions de dollars pour les victimes en 2025, mais les chances chutent fortement après les premières heures.

Qu’est-ce que la Financial Fraud Kill Chain du FBI ?

C’est la procédure qu’utilise la Recovery Asset Team du FBI pour travailler avec les banques et geler les virements frauduleux, y compris les virements internationaux via le FinCEN. Vous la déclenchez en signalant rapidement les faits sur ic3.gov avec tous les détails de la transaction et en demandant un rappel à votre banque.

Qu’est-ce qu’un domaine sosie ?

Un domaine web ou e-mail conçu pour ressembler à un vrai, comme acme-corp.com au lieu de acmecorp.com, ou une lettre remplacée par une autre qui lui ressemble. Vérifiez la date d’enregistrement avec l’outil de l’ICANN : un domaine sosie n’a généralement que quelques jours ou semaines.

Sources

Les chiffres sont les plus récents publiés par chaque source au moment de la mise à jour de ce guide. Les pertes déclarées sont un minimum : la plupart des fraudes ne sont jamais signalées.

Fraude au président, faux RIB : comment vérifier l’expéditeur d’un e-mail avant de payer