La fraude au faux IBAN, aussi appelée fraude au faux RIB ou détournement de virement, est devenue l'une des escroqueries les plus coûteuses pour les entreprises. Son principe est d'une simplicité redoutable : convaincre le service comptable de régler une facture bien réelle… sur le compte bancaire du fraudeur. Aucun logiciel n'est piraté, aucune faille technique n'est exploitée. C'est la confiance dans un échange de coordonnées bancaires qui est attaquée.
Derrière ce mécanisme se cachent plusieurs scénarios, fraude au fournisseur, fraude au dirigeant, interception d'e-mails, qui partagent tous le même angle mort : personne ne vérifie réellement à qui appartient l'IBAN avant d'exécuter le paiement.
Le fraudeur se fait passer pour un fournisseur habituel et annonce, par e-mail, courrier ou téléphone, un changement de coordonnées bancaires. Le nouveau RIB redirige les règlements de factures, souvent récurrentes et de montant élevé, vers un compte qu'il contrôle. La fraude n'est découverte que lorsque le vrai fournisseur réclame son paiement.
Un escroc usurpe l'identité d'un dirigeant et demande à un collaborateur un virement urgent et confidentiel, acquisition, opération sensible, régularisation de dernière minute. La pression hiérarchique et l'urgence court-circuitent les contrôles habituels. L'IBAN communiqué est celui du fraudeur.
Après avoir piraté une messagerie professionnelle, le fraudeur surveille les échanges, s'insère dans un fil de discussion existant et modifie le RIB dans une facture PDF ou dans le corps d'un e-mail légitime. Le message provient d'une adresse authentique : c'est la variante la plus difficile à détecter.
Les faux ordres de virement ne sont pas un risque marginal : ils constituent aujourd'hui la première cause de fraude au virement, en France comme à l'international.
Le FBI estime par ailleurs à plus de 55 milliards de dollars les pertes mondiales cumulées liées au Business Email Compromise entre octobre 2013 et décembre 2023. Ces montants ne concernent que les cas déclarés : la réalité est nécessairement plus élevée.
Le règlement européen (UE) 2024/886 impose depuis le 9 octobre 2025 à tous les prestataires de services de paiement de la zone euro un service gratuit de vérification du bénéficiaire (Verification of Payee) : avant chaque virement, la cohérence entre le nom du bénéficiaire et l'IBAN saisi est contrôlée.
C'est une avancée réelle, mais partielle. Ce contrôle intervient au moment du paiement, banque par banque, et ne dit rien de la légitimité du tiers lui-même : si le fraudeur a ouvert un compte au nom d'une société écran imitant votre fournisseur, la correspondance nom-IBAN peut sembler valide.
Sur le plan juridique, la vigilance repose sur l'entreprise. En 2024, la Cour de cassation a rappelé que la banque n'est pas tenue de vérifier la concordance entre l'IBAN et le nom du bénéficiaire d'un virement : en cas de négligence dans ses procédures internes, l'entreprise victime ne peut, en principe, se retourner contre son établissement bancaire. Autrement dit, le contrôle du tiers relève de votre responsabilité.
Lysta agit en amont du virement, là où la fraude se prépare : au moment où un RIB, une facture ou des coordonnées de contact entrent dans vos processus. Trois contrôles complémentaires :
Chaque RIB, facture, Kbis ou pièce justificative est analysé avant d'engager un paiement. Les modèles de Lysta repèrent les documents modifiés, PDF retouchés et incohérences qui trahissent un RIB substitué, y compris lorsqu'il provient d'un e-mail en apparence légitime.
Au-delà du contrôle de structure (format et clé de contrôle), Lysta vérifie la cohérence de l'IBAN avec l'identité du tiers, dénomination sociale, SIREN, éléments d'identification, et signale tout écart entre le compte communiqué et le fournisseur attendu.
L'e-mail, le téléphone et l'adresse IP à l'origine de la demande sont contrôlés en temps réel. Un domaine récemment créé, une adresse incohérente ou un comportement suspect déclenchent une alerte avant que le virement ne soit exécuté.
Ces contrôles s'intègrent par API à votre onboarding, votre ERP ou votre outil de gestion des tiers, et se déclenchent automatiquement à l'ajout d'un nouveau compte bancaire, sans alourdir le travail de vos équipes.
La fraude au faux IBAN ne cible pas vos systèmes, mais vos procédures. Le nouveau service européen de vérification du bénéficiaire réduit le risque au moment du virement, sans remplacer un contrôle sérieux du tiers en amont, un contrôle qui, juridiquement, vous incombe. En combinant vérification documentaire, vérification d'IBAN et vérification des contacts, Lysta vous permet de confirmer qu'un paiement part bien vers le bon bénéficiaire, avant qu'il ne soit trop tard.