Arnaque au président et faux RIB : quand c'est votre entreprise qui vire

En bref : l'arnaque au président, c'est un mail (ou un WhatsApp) qui prétend venir de votre DG ou d'un fournisseur habituel, avec urgence et discrétion, pour faire virer de l'argent sur un IBAN qui vient d'être modifié. En B2B, les montants font mal : 40 000 €, 200 000 €, parfois plus. Trustpair et des outils similaires existent pour vérifier les RIB avant chaque paiement — mais une PME peut déjà beaucoup se protéger avec des règles simples. Si le virement est parti, recall immédiat, plainte, et préparez-vous à un bras de fer juridique.

Un client m'avait raconté ça un mardi matin : la comptable reçoit un mail de la directrice financière, adresse quasi identique au vrai domaine, objet « virement confidentiel — ne pas en parler au reste de l'équipe ». Pièce jointe : facture d'un prestataire connu. Nouveau RIB en footer. 67 000 €. Virement SEPA instantané validé à 9h14. À 11h, la vraie DAF appelle pour autre chose. Silence. Puis la panique.

Personne n'était « bête ». C'était une boîte de 35 personnes, des process propres, une comptable expérimentée. Le mail était crédible, le fournisseur existait vraiment, seul le RIB avait changé.

Deux arnaques différentes, même idée

On mélange souvent tout sous « arnaque au président ». En pratique, il y a deux scénarios :

1. Le faux ordre interne

Le message prétend venir du PDG, du DG ou de la DAF. Ton sec, urgence, confidentialité. « Finalisez ce virement avant la clôture, je suis en réunion. » Parfois un numéro de mobile inconnu en relance. L'IBAN pointe vers un compte ouvert au nom d'une SARL fantôme ou d'un particulier.

C'est la version classique « CEO fraud », importée des États-Unis, très répandue en France depuis 2018-2019.

2. Le faux changement de RIB fournisseur

Là, le mail se fait passer pour un fournisseur réel : même logo, même signature, parfois la vraie facture modifiée. « Suite à un changement de banque, merci d'utiliser ce nouveau RIB pour le règlement de la facture F-2024-884. » Le comptable met à jour le référentiel tiers et paie. L'argent ne va jamais chez le fournisseur.

Les deux arnaques exploitent la même faille : le virement est initié par quelqu'un de légitime dans l'entreprise, avec les bons accès, sur un IBAN qui n'a pas été vérifié hors du canal frauduleux.

Signal	Faux ordre interne	Faux RIB fournisseur
Expéditeur	DG, DAF, « président »	Compta du fournisseur
Urgence	« Avant 12h », « confidentiel »	« Facture impayée », « nouveau RIB »
Montant	Souvent rond, parfois élevé	Correspond à une vraie facture en cours
IBAN	Compte récemment ouvert, parfois étranger	Idem

Pourquoi ça passe encore en 2026

Les arnaqueurs ne cassent plus les systèmes bancaires. Ils cassent les habitudes.

L'email spoofé ou le domaine proche. direction@acme-france.com au lieu de acme-france.com. Ou une adresse Gmail avec le nom du patron en affichage. Un coup d'œil rapide suffit à convaincre.

La recherche OSINT. LinkedIn pour savoir qui est comptable, qui part en vacances, qui vient de publier un post sur une levée de fonds. Les montants sont calibrés : assez gros pour valoir le coup, assez crédibles pour passer dans un plafond de validation interne.

L'urgence. « Ne prévenez pas X, je gère. » Ça court-circuite la double validation. La personne qui exécute a l'impression de rendre service, pas de se faire avoir.

Le virement instantané. Dix secondes, fonds sur un compte mule, ressortie immédiate. Le recall devient un pari.

Les entreprises qui se croient trop petites pour être visées se trompent. Les arnaqueurs automatisent le ciblage. Une ETI de 200 salariés et une PME de 20 personnes avec un gros fournisseur unique sont des cibles pareilles.

Trustpair et les outils du même genre : à quoi ça sert vraiment

Trustpair est une solution française (fondée en 2017) qui automatise le contrôle des coordonnées bancaires des tiers : est-ce que cet IBAN appartient bien à cette entreprise ? Le RIB a-t-il changé récemment de façon suspecte ? La société existe-t-elle au SIREN indiqué ?

Concrètement, ça se branche sur l'ERP, la trésorerie ou le portail achats. Avant qu'un fichier de virement parte, chaque bénéficiaire est passé au crible. Si le RIB d'un fournisseur historique change du jour au lendemain, l'outil bloque ou alerte.

Ce n'est pas de la magie :

ça ne remplace pas une procédure interne ;
c'est pensé pour des ETI et grands comptes (budget annuel significatif, intégration IT) ;
ça ne récupère pas l'argent une fois le virement passé.

Mais pour une entreprise qui paie des centaines de fournisseurs par mois, le contrôle manuel « on rappelle au téléphone » ne tient pas la cadence. C'est là que ce type d'outil a du sens : bloquer avant l'exécution, pas expliquer après.

D'autres acteurs existent (Kyriba, certains modules bancaires pro, des prestataires d'audit fournisseurs). Trustpair est souvent cité en France parce qu'il est spécialisé sur ce créneau précis — fraude au virement B2B — et qu'il parle aux DAF en français. Je n'ai pas de lien commercial avec eux ; je les mentionne parce que c'est le nom que les équipes finance connaissent quand elles cherchent « comment éviter l'arnaque au président ».

Ce qu'une PME peut faire sans budget Trustpair

Une boîte de 15 personnes n'a pas toujours 15 000 €/an à mettre dans un SaaS anti-fraude. Les règles suivantes couvrent déjà une grosse partie du risque :

Règle du rappel systématique. Toute modification de RIB, tout ordre de virement « urgent » par mail : rappel au numéro déjà connu (annuaire interne, pas le numéro dans le mail). Pas de SMS, pas de WhatsApp pour valider un IBAN.

Double validation au-delà d'un seuil. Exemple : tout virement > 5 000 € vers un nouveau bénéficiaire ou un RIB modifié depuis moins de 30 jours = deux signatures, dont une hors compta (DAF, DG, office manager).

Interdiction de changer un RIB sur la seule base d'un email. Le changement passe par un canal signé (courrier, portail fournisseur avec login, ou confirmation téléphonique enregistrée).

Délai de carence. Même après validation téléphonique, attendre 24-48 h avant le premier virement important vers le nouveau RIB. Les arnaqueurs jouent l'urgence ; vous imposez la lenteur.

Former les personnes qui paient. Pas un PowerPoint une fois tous les trois ans. Un exemple concret par trimestre : « voilà à quoi ressemble le mail de la semaine dernière ciblant des cabinets d'expertise comptable ».

Séparer les rôles. La personne qui saisit le RIB ne valide pas seule le virement. Dans les petites structures c'est dur ; à minima, un mail automatique au DG à chaque nouveau IBAN enregistré.

C'est moins sexy qu'une IA qui vérifie 190 pays. C'est aussi ce qui aurait stoppé la majorité des arnaques au président que j'ai vues remonter.

Le virement est parti : les 2 premières heures

1. Recall immédiat

Appelez la banque. Mot exact : recall (rappel de virement SEPA). Donnez montant, heure, IBAN bénéficiaire, référence. Plus c'est tôt, mieux c'est — surtout si c'était un instantané.

La banque du bénéficiaire n'est pas obligée de renvoyer les fonds. Si le compte est vidé, c'est fini côté recall. Mais tentez quand même, maintenant.

2. Geler les accès et tracer

Coupez les sessions mail de la personne ciblée si compromission suspectée. Changez les mots de passe de la messagerie. Conservez le mail frauduleux avec en-têtes complets (pas une capture : l'original .eml si possible).

3. Prévenir le vrai fournisseur ou le vrai DG

Si c'était un faux RIB fournisseur, le vrai fournisseur ignore peut-être encore que sa facture n'a pas été payée. Évitez le double dommage : arnaque + impayé réel + pénalités.

4. Plainte

THESEE pour escroquerie en ligne (article 313-1 Code pénal). Joignez le relevé, le mail, l'identification du compte bénéficiaire. Le récépissé sert pour l'assurance cyber si vous en avez une, et pour la banque.

5. Assureur et banque

Certaines polices « fraude informatique » ou « cyber » couvrent l'arnaque au président. Beaucoup excluent les cas sans double validation. Lisez votre contrat avant d'appeler, et demandez par écrit les motifs si refus.

Qui paie : entreprise, employé, banque ?

Question qui revient toujours, et qui fout la ambiance.

L'entreprise supporte en principe la perte si le virement a été exécuté dans le cadre du travail, sauf faute lourde ou dol de l'employé. Un comptable qui ignore une procédure écrite existante peut être engagé ; un comptable seul sans procédure, c'est plus flou et souvent l'employeur assume.

La banque n'a pas le même régime que pour une fraude carte (L133-18). Ici, c'est l'entreprise cliente qui a validé le virement. La banque peut aider au recall, pas rembourser par défaut.

L'arnaqueur, si identifié et jugé, peut être condamné à réparer. En pratique, les comptes mules sont au nom de préte-noms, souvent à l'étranger. Ne comptez pas dessus pour récupérer vite.

Recours civil contre le fraudeur ou parfois contre la banque du bénéficiaire si négligence prouvée (KYC insuffisant) : possible, long, coûteux. Au-delà de 50 000 €, un avocat spécialisé fraude économique vaut le coup.

Côté prévention juridique

Procédure interne écrite sur les virements et changements de RIB, avec seuils et double validation. Signée, diffusée, appliquée.
Clause dans les contrats fournisseurs : les changements de coordonnées bancaires doivent être notifiés par un canal défini.
Audit annuel d'un échantillon de RIB (même manuel : appeler dix gros fournisseurs pour vérifier que l'IBAN en base est le bon).
Signal interne : la personne qui hésite sur un mail bizarre doit pouvoir escalader sans se faire gronder.

Sapin II, Loi de vigilance : pour les grosses structures, la cartographie risque fraude fournisseur entre dans le paysage compliance. Pour une PME, une page A4 affichée dans la compta fait déjà la moitié du boulot.

Ce que les arnaqueurs testent en ce moment

Quelques variantes récentes, pour calibrer vos filtres mentaux :

Le faux avocat du PDG. « Cabinet X, nous gérons l'acquisition discrète, virement d'acompte notaire. » Avec vocabulaire juridique crédible.

Le faux prestataire IT. « Renouvellement de licences Microsoft urgent, voici le RIB du « distributeur agréé ». » Montants de 8 000 à 25 000 €.

Le deepfake vocal. Encore rare en PME, mais des cas de voix synthétique du DG au téléphone existent. D'où l'intérêt de codes internes ou de questions de vérification (« quel est le nom du chien de la DAF » — bizarre mais efficace).

Le WhatsApp du patron. Message vocal court, numéro étranger, « je change de téléphone, utilise ce RIB pour la facture en attente ».

FAQ

L'arnaque au président concerne-t-elle seulement les grands groupes ? Non. Les PME et TPE sont ciblées précisément parce que les process sont plus souples et qu'une seule personne peut valider un gros virement.

Trustpair est-il obligatoire ? Non. C'est un outil de prévention pour les entreprises avec beaucoup de tiers et de volume de paiements. Les règles manuelles strictes suffisent pour beaucoup de structures plus petites.

Peut-on récupérer l'argent après 48 h ? Parfois, via saisie sur le compte mule si les fonds y sont encore. Plus rare. L'enquête pénale peut aboutir à des gel d'avoirs, mais sur des délais de mois.

Faut-il licencier le comptable ? Dépend du contexte. Licencier la victime sans revoir les process, c'est courir après le symptôme. Beaucoup d'entreprises préfèrent renforcer les contrôles et garder l'expérience du métier.

THESEE ou commissariat ? THESEE suffit pour le récépissé immédiat. Pour des montants très élevés ou des réseaux organisés, une plainte physique complète le dossier.

Et si le vrai fournisseur menace de couper la livraison ? Communiquez vite, montrez la plainte et le recall en cours. Proposez un paiement sur l'ancien IBAN vérifié ou un chèque en main propre. Le fournisseur légitime comprend généralement — il est aussi victime potentielle d'usurpation.

Pour la suite

Virement instantané côté particulier : arnaque au virement instantané
Faux employeur (candidats, pas B2B) : arnaque au faux employeur
Contrôle RIB automatisé : Trustpair (documentation publique)

→ Constituer un dossier plainte et courriers