Un virement part. Il est validé par la bonne personne, depuis le bon poste, avec les bons identifiants, vers un IBAN qui n’est pas le bon. Aucun logiciel de sécurité n’a rien vu passer, et c’est normal : il n’y avait rien à voir. La fraude au virement est aujourd’hui la troisième cybermenace des entreprises françaises, et la contre-mesure la plus efficace ne s’achète pas.
Une menace qui a presque doublé en un an
Cybermalveillance.gouv.fr, le dispositif national d’assistance aux victimes, a publié son rapport d’activité 2025 le 26 mars 2026. La fraude au virement y fait son entrée dans les trois principales menaces des entreprises et des associations : elle représente 13,5 % des parcours d’assistance, avec un nombre de diagnostics en progression de 93 % par rapport à 2024.
Une précision s’impose, parce que ce genre de pourcentage circule souvent déformé. Ce chiffre mesure la part des demandes d’assistance reçues sur la plateforme, pas la part des cyberattaques commises en France. C’est un indicateur de ce qui amène les victimes à chercher de l’aide, ce qui reste un signal robuste sur la tendance, mais ce n’est pas un recensement.
Le reste du tableau est cohérent. Sur l’ensemble des publics, particuliers compris, Cybermalveillance.gouv.fr relève une intensification de 170 % des fraudes au virement, et note qu’elles sont « souvent consécutives à un piratage de compte ». Du côté des collectivités et des administrations, la progression atteint 262 %. Ce n’est pas une menace de grande entreprise qui déborderait un peu : c’est la plus forte accélération du paysage.
Trois scénarios, un seul mécanisme
Le mécanisme est toujours le même : faire réaliser un paiement légitime en apparence vers un compte qui appartient à l’escroc. Seule la mise en scène change.
L’arnaque au président. La DGCCRF la décrit précisément : le fraudeur contacte l’entreprise en se faisant passer pour le dirigeant de la maison mère ou du groupe, par courriel ou par téléphone. Après quelques échanges destinés à installer la confiance, il demande un virement non planifié, urgent et confidentiel. Le caractère confidentiel n’est pas un détail : il sert à empêcher la personne de vérifier auprès d’un tiers.
Le changement de RIB fournisseur. Un courriel annonce de nouvelles coordonnées bancaires pour un prestataire que vous payez depuis des années. La prochaine facture, bien réelle, part sur le compte de l’escroc. C’est la variante la plus discrète, parce que rien dans le montant ni dans le calendrier n’attire l’œil.
La fraude au virement de salaire. La CNIL en a publié une reconstitution détaillée le 23 juillet 2025. Un service RH reçoit un courriel signé du nom d’un salarié demandant un changement de coordonnées bancaires. Le nom affiché est le bon, l’adresse d’envoi est une boîte gratuite externe. Le salaire part ailleurs, et le salarié le découvre quand son paiement est refusé chez le boulanger. Dans le cas décrit, les personnes ciblées avaient été mises en avant dans le magazine de l’entreprise le mois précédent : les identités venaient de là.
Pourquoi la technique ne suffit pas ici
Reprenez le déroulé d’une fraude réussie. Aucun fichier malveillant n’a été ouvert. Aucun poste n’a été chiffré. Personne n’est entré dans votre réseau. Le virement a été saisi par une personne habilitée à le faire, depuis un poste sain, avec ses identifiants légitimes, via l’interface bancaire habituelle.
Une protection endpoint, même de niveau EDR, cherche un comportement anormal sur une machine. Ici, il n’y en a pas. Un pare-feu filtre des flux réseau. Ici, ils sont normaux. Le seul point d’appui de l’attaque est humain et organisationnel : une demande crédible, une pression temporelle, et l’absence d’un contrôle indépendant du canal d’origine.
Ce constat a une conséquence agréable. Si le problème est organisationnel, la solution l’est aussi, et elle est gratuite.
Ce que vous pouvez mettre en place cette semaine, sans rien acheter
Cybermalveillance.gouv.fr recommande une procédure de vérification et de validation interne « non dérogeable » pour les demandes de virement imprévues et les changements de coordonnées bancaires. Voici à quoi cela peut ressembler concrètement dans une structure de cinq à trente personnes. Le texte ci-dessous est fait pour être adapté, signé par la direction, et affiché à côté du poste de la personne qui paie.
Règle de rappel, validation des paiements
- Tout changement de coordonnées bancaires d’un fournisseur, d’un salarié ou d’un client est confirmé par un appel téléphonique avant toute modification dans nos outils.
- Le numéro appelé est celui de notre fiche contact interne ou du contrat. Jamais celui figurant dans le message qui demande le changement.
- Toute demande de virement imprévue, urgente ou présentée comme confidentielle est validée par une seconde personne désignée. L’urgence n’est jamais un motif de dérogation.
- La personne qui applique cette règle ne peut pas se le voir reprocher, quel que soit l’émetteur de la demande. La direction s’y engage par écrit.
- En cas de doute et d’impossibilité de joindre le contact, le paiement attend.
Le point 4 est le plus important et le plus souvent oublié. Une procédure qu’un comptable n’ose pas appliquer face à un message signé du dirigeant ne sert à rien. C’est la direction qui doit lever ce blocage, explicitement.
Deux compléments qui ne coûtent rien non plus. Constituez un annuaire de rappel : une liste des contacts bancaires de vos dix principaux fournisseurs, avec des numéros vérifiés à la source, conservée hors de la messagerie. Et vérifiez ce que votre entreprise publie : la DGCCRF comme la CNIL soulignent que les fraudeurs s’appuient sur les informations publiques pour identifier qui contacter et sous quelle identité. Un organigramme détaillé en ligne est une commodité pour vos clients et une carte au trésor pour un escroc.
Une dernière remarque de calendrier. La DGCCRF observe que ces arnaques sont plus fréquentes pendant les périodes de congés, quand les responsables comptables et les décideurs sont absents. La fin du mois d’août est exactement ce moment.
Depuis le 9 octobre 2025, votre banque vous donne un indice de plus
C’est une nouveauté que beaucoup de dirigeants n’ont pas encore intégrée. Depuis le 9 octobre 2025, en application du règlement européen 2024/886, tous les prestataires de services de paiement de la zone euro doivent proposer un service de vérification du bénéficiaire, souvent désigné par son sigle anglais VoP. Le service est gratuit.
Avant l’exécution d’un virement, votre banque interroge celle du bénéficiaire pour vérifier que le nom que vous avez saisi correspond bien à l’IBAN. Service-Public en décrit les quatre réponses possibles : concordance exacte, non-concordance, concordance partielle avec affichage du nom réellement associé au compte, ou vérification impossible. Dans tous les cas, vous restez libre d’exécuter le virement, mais, selon la formule officielle, « en toute connaissance de cause ».
Trois conséquences pratiques. Saisissez le nom exact et complet du bénéficiaire, sans abréviation ni raccourci : une saisie approximative produit des concordances partielles à répétition, et l’on finit par ne plus les lire. Traitez une non-concordance sur un fournisseur payé depuis dix ans comme un signal, pas comme un bug. Et si votre logiciel de comptabilité transmet vos paiements par fichiers groupés, demandez à votre banque comment le résultat de la vérification vous est restitué dans ce cas précis : le fonctionnement diffère d’un établissement à l’autre, et c’est le moment de poser la question, pas après.
Si le virement est parti
Cybermalveillance.gouv.fr décrit une marche à suivre. En résumé : identifier tous les virements concernés, exécutés ou en attente, et bloquer les coordonnées frauduleuses dans vos outils ; alerter immédiatement la banque et demander le retour des fonds ; suspendre ce qui peut encore l’être auprès du service ou du cabinet comptable ; conserver les preuves, messages, numéros et ordres de virement ; changer le mot de passe de la messagerie si elle a pu être compromise et activer l’authentification multifacteur ; déposer plainte sans attendre.
Deux échéances de 72 heures méritent d’être connues avant l’incident, pas pendant.
La première concerne l’assurance. L’article 5 de la loi du 24 janvier 2023 d’orientation et de programmation du ministère de l’Intérieur subordonne l’indemnisation des pertes causées par une cyberattaque dans le cadre professionnel au dépôt d’une plainte dans les 72 heures suivant la connaissance de l’atteinte. Le délai court à partir de la découverte, pas de l’attaque. Cette condition ne suffit pas à elle seule : encore faut-il que votre contrat couvre le risque cyber. Nous ne sommes pas assureurs, et cette lecture ne remplace pas celle de votre contrat.
La seconde concerne les données personnelles. Une fraude au virement de salaire s’accompagne en général d’une violation de données personnelles, ce qui ouvre un délai de 72 heures pour notifier la CNIL. C’est exactement la démarche décrite dans le cas publié par la CNIL en juillet 2025.
Et la technique, alors
Elle intervient en amont, et elle compte. Puisque ces fraudes sont souvent consécutives à un piratage de compte, tout ce qui rend une messagerie difficile à compromettre réduit mécaniquement le risque : authentification multifacteur sur la messagerie et sur les accès distants, mots de passe uniques et gérés, sensibilisation des équipes à l’hameçonnage.
Un mot sur votre nom de domaine. Les mécanismes SPF, DKIM et DMARC servent à empêcher qu’on envoie des messages en se faisant passer pour votre entreprise. Ils ne protègent pas votre boîte de réception : ils protègent vos clients, vos fournisseurs et vos salariés de recevoir un faux message à votre nom. Cybermalveillance.gouv.fr met à disposition, avec la Global Cyber Alliance, un guide de configuration DMARC en accès libre. C’est un des rares réglages où l’effort est ponctuel et le bénéfice durable.
En Seine-Maritime
Sur la vallée de la Seine, entre Bolbec, Lillebonne et Le Havre, beaucoup de TPE et de PME travaillent en sous-traitance industrielle ou logistique. Elles émettent et reçoivent des factures régulières, sur des montants stables, avec des interlocuteurs qu’elles connaissent de longue date. C’est précisément ce qui rend un changement de RIB crédible. Un règlement de plus, à une entreprise habituelle, ne déclenche aucune alerte mentale.
Ces structures ont rarement une deuxième personne disponible pour valider un paiement, et c’est le vrai sujet. La règle de rappel décrite plus haut se conçoit alors autrement : le second regard peut être celui d’un associé, du cabinet comptable, ou d’un conjoint associé à la gestion. Ce qui compte n’est pas le niveau hiérarchique, c’est que la vérification passe par un autre canal que celui de la demande.
Faire le point en trente minutes
Vous pouvez appliquer tout ce qui précède sans nous. Si vous préférez le faire accompagné, GAÏA Informatique propose un diagnostic cybersécurité de trente minutes, sans engagement, qui passe en revue vos sauvegardes, vos accès, votre messagerie et vos procédures de paiement. Vous repartez avec un état des lieux écrit, que vous en fassiez quelque chose avec nous ou non.
Pour aller plus loin sur la protection des postes, des accès et de la messagerie, voir notre expertise cybersécurité. Pour regrouper infogérance, sauvegarde, Microsoft 365 et sécurité dans un même cadre, voir l’Offre 360.
Questions fréquentes sur la fraude au virement
La banque rembourse-t-elle un faux ordre de virement ?
Il faut distinguer deux situations. Une opération non autorisée, c’est-à-dire réalisée sans le consentement du titulaire du compte, relève d’un régime de remboursement prévu par le code monétaire et financier. Dans une fraude au virement, l’opération a été autorisée par l’entreprise elle-même, même si elle l’a été sous l’effet d’une tromperie : elle ne relève pas de ce régime. Cybermalveillance.gouv.fr recommande néanmoins d’alerter la banque immédiatement et de demander le retour des fonds, en précisant que le dépôt de plainte augmente les chances d’aboutir. Nous ne sommes pas juristes : pour une situation précise, faites-vous accompagner par un avocat.
Combien de temps pour agir après un virement frauduleux ?
Le plus vite possible, en heures et non en jours. Un virement récent peut parfois encore être rappelé par la banque. Et si vous êtes assuré contre le risque cyber, la loi du 24 janvier 2023 conditionne l’indemnisation à un dépôt de plainte dans les 72 heures suivant la découverte des pertes.
La vérification du bénéficiaire supprime-t-elle le risque ?
Non. Elle vous informe avant d’exécuter le virement, elle ne l’empêche pas. Vous restez libre de passer outre, et un escroc peut ouvrir un compte au nom exact d’une société ressemblante. C’est un filet supplémentaire, pas un filtre.
Faut-il déposer plainte même si le montant est faible ?
Oui. La plainte conditionne l’indemnisation par un assureur cyber, elle appuie la demande de retour des fonds auprès de la banque, et elle alimente la connaissance des services d’enquête sur les comptes utilisés par les escrocs.
Un antivirus ou un EDR peut-il détecter une arnaque au président ?
Non, s’il n’y a ni fichier malveillant ni intrusion. Ces outils protègent les postes et les serveurs. Ils réduisent le risque en amont, en rendant plus difficile le piratage de messagerie qui précède souvent la fraude, mais ils ne voient pas un virement volontaire vers un mauvais IBAN.
Nous sommes cinq, une procédure de double validation est-elle réaliste ?
Oui, à condition de l’adapter. Le second regard peut venir d’un associé ou du cabinet comptable. Le principe à conserver est le changement de canal : la demande arrive par courriel, la vérification se fait par téléphone, sur un numéro connu par ailleurs.
Comment savoir si notre nom de domaine est usurpable ?
C’est vérifiable à partir de vos enregistrements DNS. Le guide de configuration DMARC diffusé par Cybermalveillance.gouv.fr et la Global Cyber Alliance explique la démarche. Si vous ne savez pas où regarder, votre prestataire informatique ou votre hébergeur peut vous le dire en quelques minutes.
Sources
Rapport d’activité 2025 de Cybermalveillance.gouv.fr, communiqué du 26 mars 2026 et page « Principales cybermalveillances visant les professionnels en 2025 ». Fiche réflexe « Fraude au virement bancaire (FOVI) » de Cybermalveillance.gouv.fr. Fiche pratique de la DGCCRF sur l’escroquerie aux faux ordres de virement. CNIL, « Fraude au virement de salaire : comment réagir et que faire ? », 23 juillet 2025. Service-Public.gouv.fr, « Les virements bancaires plus sécurisés grâce à une nouvelle étape de vérification », 29 septembre 2025, en application du règlement (UE) 2024/886. Article 5 de la loi n° 2023-22 du 24 janvier 2023.
