Fraude au faux RIB : comment fonctionne l'arnaque et comment s'en protéger

La fraude au faux RIB repose sur un mécanisme très simple : un fraudeur vous convainc de verser un paiement que vous devez réellement sur un compte qu'il contrôle. Pas de virus à installer, pas de système à pirater. Un e-mail annonçant de nouvelles coordonnées bancaires, envoyé au moment où un paiement est attendu, peut suffire. On parle aussi de fraude au changement de RIB, d'arnaque au RIB ou, plus largement, de fraude au virement : une forme d'usurpation d'identité par e-mail, cousine de la fraude au président.

Cette arnaque vise les personnes qui paient, pas le service informatique. Les parades efficaces sont donc d'abord des procédures : qui vérifie un changement de RIB, comment et par quel canal. Ce guide détaille le déroulement de la fraude, les signaux d'alerte, les mesures de prévention pour votre entreprise et vos clients, et les réflexes à avoir si un virement est déjà parti.

Comment se déroule une fraude au faux RIB

Les détails varient d'un cas à l'autre, mais le scénario suit généralement les mêmes étapes.

1. Le repérage. Le fraudeur identifie vos fournisseurs, vos clients et vos échéances : site web, annuaires d'entreprises, réseaux sociaux, et parfois e-mails lus dans une messagerie piratée.
2. L'adresse d'envoi. Soit il prend le contrôle d'une vraie boîte mail (mot de passe volé, pas de double authentification), soit il enregistre un domaine sosie, par exemple dupont-imm0.fr ou dupont-immo-facture.com pour une entreprise qui utilise dupont-immo.fr.
3. Le bon moment. Le message arrive quand un paiement est attendu : échéance d'une facture, encaissement des loyers, dépôt de garantie, solde d'une vente. Le montant et le contexte sont exacts, seul le RIB a changé.
4. Le prétexte et la pression. Changement de banque, audit, compte bloqué. Le ton est pressant : le virement doit partir aujourd'hui, l'interlocuteur habituel est injoignable, l'ancien compte ne doit plus être utilisé.
5. Les réponses interceptées. Si la victime pose une question, c'est le fraudeur qui répond. Les réponses envoyées au domaine sosie arrivent dans sa propre boîte. Dans une messagerie piratée, des règles de transfert ou de tri peuvent cacher l'échange au vrai titulaire.
6. Le virement. Le paiement part vers le nouveau compte, d'où les fonds sont rapidement déplacés. La fraude n'est souvent découverte que lorsque le vrai fournisseur relance pour une facture impayée.

Messagerie piratée ou domaine sosie

Les deux scénarios n'appellent pas les mêmes défenses. Avec une messagerie piratée, l'e-mail vient réellement de l'adresse de votre fournisseur ou de la vôtre : tous les contrôles techniques passent, et seule une procédure de rappel téléphonique permet de déjouer la fraude. Avec un domaine sosie, l'adresse ressemble à la vraie sans être identique, et cette différence peut être détectée avant comme après l'envoi.

Les entreprises qui encaissent des paiements récurrents auprès de nombreux clients sont particulièrement exposées. Les agences immobilières en sont l'exemple le plus net : nous leur consacrons un guide sur la fraude au faux RIB en agence immobilière.

Usurpation exacte ou domaine sosie : ce que DMARC peut bloquer

Deux techniques sont souvent confondues. L'usurpation exacte consiste à falsifier l'adresse d'expéditeur de votre vrai domaine : le message prétend venir de compta@dupont-immo.fr sans passer par vos serveurs. Le domaine sosie est un autre domaine, enregistré par le fraudeur, qu'un lecteur pressé confond avec le vôtre.

De : Comptabilité <compta@dupont-immo.fr>     domaine exact, falsifié : bloqué par DMARC p=reject
De : Comptabilité <compta@dupont-imm0.fr>     sosie (zéro au lieu du o) : passe ses propres contrôles
De : Comptabilité <compta@dupont-immo.com>    sosie (autre extension) : passe ses propres contrôles

DMARC est un enregistrement DNS qui indique aux serveurs destinataires quoi faire des messages qui utilisent votre domaine sans réussir l'authentification (SPF et DKIM). En p=reject, les serveurs qui appliquent DMARC refusent les messages falsifiés à votre nom. C'est la première porte à fermer, et toute entreprise devrait y parvenir : notre guide DMARC p=reject détaille les étapes depuis p=none.

Contre un domaine sosie, en revanche, le DMARC de votre domaine ne peut rien. Le fraudeur possède dupont-imm0.fr, publie ses propres enregistrements SPF, DKIM et DMARC, et ses e-mails passent l'authentification sans difficulté. Les seules réponses consistent à détecter le sosie, idéalement avant qu'il ne serve, puis à le faire supprimer par le registrar ou l'hébergeur. Notre guide sur la détection des domaines sosies décrit les techniques utilisées pour les fabriquer.

Arnaque au RIB : les signaux d'alerte

Aucun signe ne prouve à lui seul une fraude, mais chacun justifie de s'arrêter et de vérifier avant de payer.

• Une demande de changement de RIB, surtout à l'approche d'une échéance ou pour un montant important.
• L'urgence ou la confidentialité : payer aujourd'hui, ne pas appeler, interlocuteur en déplacement, ancien compte gelé.
• Une adresse d'expéditeur qui diffère d'un caractère, d'une extension ou d'un mot ajouté (dupont-immo-paiement.fr, dupont-imm0.fr, dupont-immo.com).
• Une adresse de réponse (Reply-To) différente de l'adresse d'expéditeur : votre réponse partirait ailleurs.
• Un titulaire de compte qui ne correspond pas à l'entreprise, ou un IBAN dont le code pays ne correspond pas au pays du fournisseur.
• Une alerte de votre banque lors de l'ajout du bénéficiaire, lorsque la vérification du nom du bénéficiaire signale une différence.
• Un nouveau RIB ou une facture en PDF qui reprend la mise en page habituelle, avec seulement les coordonnées bancaires modifiées.
• De légères différences de ton, de signature ou de numéro de téléphone par rapport aux messages précédents.

Un message qui s'inscrit dans une vraie conversation n'est pas une garantie. Un fraudeur qui a lu l'échange, grâce à une messagerie piratée d'un côté ou de l'autre, peut le reproduire mot pour mot.

Prévenir la fraude au faux RIB : les procédures qui fonctionnent

La prévention repose sur quelques règles qui tiennent même face à un e-mail parfait. Elles vous protègent quand vous payez, et protègent vos clients quand ils vous paient.

Rappeler sur un numéro déjà connu

Tout changement de RIB se confirme par téléphone, sur un numéro que vous aviez avant la demande : contrat, facture précédente, fiche fournisseur. Jamais celui de l'e-mail ou de sa signature, qui peut mener directement au fraudeur. Décrivez la demande reçue et laissez votre interlocuteur la confirmer ou la démentir, plutôt que de lui demander si « tout va bien ».

Imposer une double validation

La modification des coordonnées bancaires d'un tiers dans votre logiciel comptable ou votre banque en ligne doit mobiliser deux personnes : l'une saisit le changement, l'autre vérifie que le rappel a bien eu lieu et valide. Notez qui a appelé qui, sur quel numéro et quand. La règle vaut aussi pour le dirigeant, ce qui protège au passage contre la fraude au président.

Écrire la procédure et la faire connaître

Formalisez la règle et communiquez-la à vos clients et fournisseurs : vous ne changez jamais de coordonnées bancaires par e-mail, et tout changement se confirme par un canal qu'ils connaissent déjà. Ajoutez-la à vos factures, à vos contrats et à vos signatures d'e-mail. Un client qui connaît la règle a une bonne raison de vous appeler avant de régler une fausse facture.

Protéger votre domaine et vos messageries

Activez la double authentification sur toutes les boîtes mail et vérifiez régulièrement les règles de transfert que personne ne se souvient avoir créées. Publiez SPF et DKIM, puis passez DMARC en p=reject pour que personne ne puisse envoyer d'e-mail sous votre nom de domaine exact.

Surveiller les domaines sosies

Un domaine sosie s'enregistre publiquement : il peut donc être repéré. L'analyse gratuite des domaines sosies de Spamr génère plusieurs centaines de variantes de votre domaine (fautes de frappe sur claviers AZERTY et QWERTY, caractères qui se ressemblent, y compris cyrilliques, autres extensions, mots ajoutés comme facture ou paiement) et consulte uniquement les données DNS publiques et les dates d'enregistrement, sans jamais visiter les sites. Un sosie récent équipé d'un serveur de messagerie (enregistrement MX) mérite une attention immédiate : il peut recevoir les réponses aux e-mails qu'il envoie. L'analyse vérifie aussi votre propre SPF et DMARC et indique la prochaine étape.

La surveillance continue ajoute une nouvelle analyse chaque jour, une alerte par e-mail dès qu'un sosie apparaît et des demandes de retrait assistées (voir les offres de surveillance).

Fraude au virement : que faire si le paiement est parti

La rapidité compte plus que tout. Agissez dans cet ordre.

1. Appelez immédiatement votre banque, au numéro figurant sur votre carte ou dans votre application, et demandez-lui de tenter un rappel des fonds. Elle peut contacter la banque destinataire. Rien n'est garanti, mais plus la demande est rapide, meilleures sont les chances.
2. Conservez toutes les preuves : les e-mails avec leurs en-têtes complets (exportez-les plutôt que de les transférer), les pièces jointes, le RIB reçu, l'ordre de virement, les notes d'appels. Ne supprimez rien, même dans une messagerie piratée.
3. Portez plainte auprès de la police ou de la gendarmerie. Le dispositif Cybermalveillance.gouv.fr accompagne les victimes avec des conseils et une mise en relation avec des professionnels.
4. Prévenez le vrai fournisseur ou le vrai client, ainsi que les autres personnes de l'échange : ils peuvent être la prochaine cible, ou le piratage peut venir de leur côté.
5. Identifiez le point d'entrée. Pour une messagerie : changez les mots de passe, activez la double authentification, supprimez les règles de transfert inconnues, contrôlez les connexions récentes. Pour un domaine sosie : demandez sa suppression au registrar et à l'hébergeur, comme expliqué dans notre guide pour faire supprimer un domaine frauduleux.
6. Consultez un avocat et votre assureur pour connaître vos recours et vos éventuelles garanties.

À retenir

• La fraude au faux RIB tient en un e-mail, envoyé au bon moment, avec de nouvelles coordonnées bancaires.
• N'acceptez jamais un changement de RIB par simple e-mail : rappel sur un numéro connu et double validation.
• DMARC en p=reject bloque l'usurpation de votre domaine exact, pas les domaines sosies.
• Les sosies sont publics : repérez-les tôt et faites supprimer les plus dangereux.
• Si l'argent est parti, appelez d'abord votre banque, puis conservez les preuves et portez plainte.