Fraude facture entreprise : comment détecter les arnaques FOVI, 8 vérifications avant tout virement et procédures anti-fraude pour PME. Guide pratique VériSources.
La fraude à la facture entreprise est devenue la première cause de perte financière pour les PME françaises. En 2023, le préjudice moyen par attaque réussie atteignait 91 000 euros, selon les chiffres de Cybermalveillance.gouv.fr. Cette escroquerie — connue sous l'acronyme FOVI (Faux Ordre de Virement International) — cible les services comptabilité et finance en usurpant l'identité d'un fournisseur, d'un dirigeant ou d'un prestataire. La bonne nouvelle : avec les bons réflexes, une grande majorité de ces tentatives peut être déjouée. Ce guide vous donne les outils concrets pour protéger votre PME dès aujourd'hui.
Chiffres clés :
L'escroc se fait passer pour un fournisseur réel de l'entreprise et envoie une facture modifiée avec ses propres coordonnées bancaires. L'email provient d'une adresse quasi-identique à celle du vrai fournisseur (ex. : contact@fournisseur-sas.fr devient contact@fournisseur-sas.com). Le montant est souvent cohérent avec les habitudes de l'entreprise pour éviter d'éveiller les soupçons. Dans les cas les plus élaborés, le fraudeur a d'abord piraté la messagerie du fournisseur légitime pour envoyer depuis le vrai compte.
Signaux d'alerte :
Le fraudeur se fait passer pour le PDG, DG ou directeur financier et contacte directement un collaborateur du service comptabilité. Il crée une pression psychologique forte : opération confidentielle, deadline impérative, demande de discrétion totale. Cette technique exploite le rapport hiérarchique et inhibe le réflexe de vérification. En 2022, une PME lyonnaise a ainsi perdu 480 000 euros suite à une série de virements « confidentiels » validés par sa comptable sans contre-vérification.
Signaux d'alerte :
Dans cette variante, le fraudeur intercepte une vraie conversation email entre votre entreprise et un fournisseur, puis s'y insère pour modifier les coordonnées bancaires au moment du règlement. La technique requiert soit un accès à la messagerie de l'une des deux parties, soit une interception réseau. Le virement est effectué au bon moment, sur la vraie facture, mais vers un IBAN détourné. Ce type d'attaque est particulièrement difficile à détecter car l'échange semble légitime.
Signaux d'alerte :
Le fraudeur se fait passer pour votre prestataire IT, votre hébergeur ou votre éditeur de logiciel. Il envoie une facture de renouvellement ou une « facture corrective » avec un IBAN modifié. Cette fraude profite de la relation de confiance établie et de la nature souvent opaque des factures IT (noms de services techniques peu lisibles). Les cibles privilégiées sont les TPE et PME qui délèguent entièrement leur informatique à un prestataire externe.
Signaux d'alerte :
La détection repose sur l'identification d'anomalies souvent subtiles. Voici les points d'attention à systématiser.
Analysez l'expéditeur email avec rigueur :
fournisseur-sas.com vs fournisseurs-sas.com, rnailto: vs mailto:Repérez les signaux d'alerte dans le contenu :
Contrôlez l'IBAN systématiquement :
Cette checklist doit être appliquée sans exception à chaque changement de coordonnées bancaires, quel que soit le demandeur ou le montant.
Checklist obligatoire :
La protection contre la fraude à la facture ne repose pas sur un outil magique mais sur des procédures systématiques et une culture de la vérification.
Tout virement au-delà d'un seuil défini (adapté à votre taille : 1 000 € pour une TPE, 5 000 € pour une PME) doit être approuvé par deux signataires distincts. Ce seuil doit être intégré dans votre logiciel comptable ou bancaire comme règle de validation automatique. Les banques proposent généralement ce paramétrage dans leur espace professionnel en ligne.
Maintenez une base de données sécurisée (hors email) de tous les IBAN autorisés par fournisseur. Tout virement vers un IBAN non listé déclenche automatiquement une procédure de vérification renforcée. Cette liste doit être mise à jour uniquement sur présentation d'un RIB officiel et avec double validation.
Organisez une session de sensibilisation annuelle avec des exemples réels de tentatives de fraude. Pratiquez des simulations : envoyez de faux emails de « mise à jour IBAN » à votre équipe pour tester leurs réflexes. Documentez la procédure anti-fraude dans un guide interne accessible à tous les collaborateurs concernés.
Activez les alertes SMS/email de votre banque pour tout virement sortant au-delà d'un seuil. Certaines banques pro (BNP, Société Générale, Qonto, Shine) permettent de définir des règles de validation renforcée directement dans l'interface. Ce double filet technologique complète les procédures humaines.
Des produits d'assurance spécifiques couvrent les pertes liées à la fraude aux virements (ex. : garantie « fraude et cybercriminalité » proposée par Hiscox, AXA XL, Allianz). Vérifiez que votre contrat multirisque pro inclut cette couverture ou souscrivez un avenant dédié.
Les premières 48 heures sont critiques. Plus vous agissez vite, plus les chances de récupérer les fonds sont élevées.
Actions immédiates (dans l'heure) :
Contactez votre banque en urgence — Demandez le rappel du virement (procédure de « recall »). Si le virement n'a pas encore été crédité sur le compte bénéficiaire, la banque peut bloquer les fonds. Le délai moyen d'action efficace est de 24 à 72 heures.
Déposez plainte à la gendarmerie ou au commissariat — Apportez tous les éléments : emails frauduleux, relevés bancaires, facture falsifiée. Une plainte formelle est indispensable pour activer votre assurance et entamer des poursuites.
Signalez sur Cybermalveillance.gouv.fr — La plateforme nationale offre une mise en relation avec des prestataires spécialisés et un accompagnement juridique. Le signalement alimente aussi la base nationale de suivi des fraudes.
Contactez le parquet via Signal-Spam ou l'OCLCTIC — Pour les fraudes d'envergure (> 100 000 €), l'Office Central de Lutte contre la Criminalité liée aux Technologies de l'Information et de la Communication (OCLCTIC) peut être saisi.
Actions à moyen terme :
Q : La fraude à la facture est-elle couverte par l'assurance professionnelle classique ?
Généralement non. L'assurance multirisque pro standard ne couvre pas les fraudes aux virements. Il faut souscrire spécifiquement une garantie « fraude » ou « cybercriminalité financière ». Vérifiez les exclusions de votre contrat actuel et demandez un avenant si nécessaire.
Q : Mon banquier peut-il bloquer un virement frauduleux après envoi ?
Oui, mais sous conditions. La procédure de « recall » (rappel de virement) est possible si le virement n'a pas encore été crédité ou si la banque destinataire coopère. Le taux de succès est plus élevé pour les virements intra-européens (SEPA) que pour les virements internationaux. Agissez dans les 24 heures.
Q : Un dirigeant peut-il être personnellement responsable en cas de fraude non détectée ?
Dans certains cas, oui. Si le dirigeant n'a pas mis en place de procédures minimales de contrôle interne, sa responsabilité civile peut être engagée vis-à-vis des associés ou actionnaires. Les commissaires aux comptes recommandent systématiquement des procédures anti-fraude documentées pour limiter cette exposition.
Q : Comment vérifier rapidement qu'un email provient bien de mon fournisseur ?
Plusieurs méthodes complémentaires : vérifiez l'adresse complète (pas juste le nom affiché), regardez les en-têtes DKIM/SPF (via l'option « afficher le message original » de Gmail ou Outlook), appelez votre contact sur le numéro enregistré, et comparez avec les emails reçus précédemment. En cas de doute, ne cliquez sur aucun lien.
Q : Les PME sont-elles plus ciblées que les grandes entreprises ?
Paradoxalement, oui. Les grandes entreprises ont des services de contrôle interne plus développés et des outils anti-fraude plus robustes. Les PME présentent souvent une équipe comptable réduite, des processus moins formalisés et une autorité concentrée sur peu de personnes — des conditions favorables aux fraudeurs. Elles sont également perçues comme des cibles « à faible résistance ».
Q : Est-il possible de récupérer les fonds perdus ?
C'est rare mais pas impossible. La récupération dépend de la rapidité de réaction, de la localisation des fonds (un compte dans un pays coopératif est plus facile à bloquer) et de la qualité de la plainte. En moyenne, moins de 20% des fonds perdus dans une fraude FOVI sont récupérés. C'est pourquoi la prévention reste la meilleure stratégie.
Q : Dois-je signaler la fraude à la CNIL si des données personnelles ont été compromises ?
Oui, si la fraude a impliqué une violation de données personnelles (accès à votre messagerie, fichiers clients exposés, etc.). Vous avez 72 heures pour notifier la CNIL après avoir pris connaissance de la violation (article 33 du RGPD). En cas de risque élevé pour les personnes concernées, vous devez aussi les notifier directement.
La fraude à la facture n'est pas une fatalité. Avec les bons réflexes et des procédures adaptées, la grande majorité des tentatives peut être neutralisée avant qu'elles causent des dégâts.
Les 3 piliers d'une PME protégée :
VériSources vous aide à protéger votre entreprise. Utilisez notre outil de vérification d'entreprise pour authentifier vos fournisseurs, consultez notre guide complet sur les arnaques pour identifier les schémas frauduleux les plus récents, ou explorez notre bibliothèque de guides OSINT pour renforcer votre culture de la vérification.
Nouvelles méthodes OSINT, alertes arnaques et analyses — chaque semaine dans votre boîte mail.