Fausse facture, faux fournisseur : la fraude passe par la messagerie

Une fausse facture est une demande de paiement fabriquée ou modifiée par un escroc qui se fait passer pour l'un de vos fournisseurs. Les plus crédibles ne viennent pas d'une adresse inconnue : elles partent d'une vraie messagerie, celle du fournisseur ou la vôtre, dont l'escroc a pris le contrôle. Le logo, le montant et le fil de discussion sont authentiques. Seul le RIB change.

La fraude au faux fournisseur, ou fraude au changement de RIB, est donc d'abord un problème de sécurité de la messagerie. Voici comment un escroc s'y installe, les signes qui doivent alerter, les protections à activer sur Microsoft 365, et ce que la facturation électronique, obligatoire en réception depuis le 1er septembre 2026, change ou ne change pas.

Fraude au faux fournisseur : de quoi parle-t-on ?

La fraude au faux fournisseur consiste à faire payer une entreprise sur un compte bancaire contrôlé par l'escroc, pour une somme due à un fournisseur ou pour une prestation qui n'existe pas. C'est l'entreprise elle-même qui fait le virement. On la rencontre sous plusieurs formes.

• La vraie facture interceptée : l'escroc lit la messagerie piratée du fournisseur ou de son client, attend une facture réelle, puis la renvoie avec un autre RIB depuis la vraie adresse, dans le vrai fil de discussion. C'est la forme la plus difficile à repérer.
• Le faux changement de RIB : un message « du fournisseur », parfois envoyé depuis une adresse qui imite la sienne, annonce de nouvelles coordonnées bancaires juste avant une échéance.
• La facture inventée : une prestation jamais commandée (annuaire, nom de domaine, abonnement), glissée dans le flux des paiements.
• L'appel ou la voix usurpée : un faux interlocuteur appelle pour « confirmer » le nouveau compte, parfois avec une voix clonée, comme dans la fraude au président par deepfake vocal.

Ces fraudes entrent dans ce que la Banque de France appelle la fraude par manipulation, celle où la victime réalise elle-même le paiement. Selon l'Observatoire de la sécurité des moyens de paiement, elle a atteint 516 millions d'euros en 2025, soit 41,6 % du montant total de la fraude aux moyens de paiement, contre 32,1 % en 2024. Ce chiffre couvre les particuliers comme les entreprises et toutes les formes de manipulation, pas seulement les faux fournisseurs.

Comment un escroc prend la main sur une messagerie

L'escroc commence par obtenir les identifiants d'une boîte. Un faux écran de connexion Microsoft 365 reçu par courriel, un mot de passe réutilisé sur un site qui a fuité ou un compte sans authentification à plusieurs facteurs lui suffisent. Une fois connecté, il ne casse rien : il observe.

Il crée souvent des règles de boîte de réception pour rester discret. Une règle transfère vers une adresse externe tous les messages qui contiennent « facture », « paiement » ou « RIB ». Une autre déplace les réponses du vrai fournisseur dans un dossier que personne n'ouvre, comme Flux RSS ou Courrier indésirable, pour que la victime ne voie pas les démentis. Il peut aussi ajouter sa propre méthode d'authentification, ou autoriser une application à lire la boîte, pour garder l'accès même après un changement de mot de passe. Microsoft liste ces éléments parmi ceux à vérifier sur un compte compromis.

Le jour venu, il répond dans le fil de discussion existant avec la facture modifiée. Pour le destinataire, rien ne distingue ce message des précédents.

Les signaux qui doivent vous alerter

Dans la facture ou le message

• Un changement de coordonnées bancaires annoncé par courriel, surtout s'il arrive avec une facture à régler vite.
• Un IBAN dans un pays où le fournisseur n'est pas installé, ou dans une banque qu'il n'utilisait pas.
• Une adresse d'expéditeur presque identique à la vraie : une lettre de plus, un tiret, une autre extension.
• Une urgence inhabituelle, ou une demande de ne pas passer par l'interlocuteur habituel.
• Une pièce jointe ou un lien que ce fournisseur n'envoie jamais, même dans un fil de discussion connu.

Dans votre messagerie

• Une règle de boîte de réception que l'utilisateur n'a pas créée, surtout si elle transfère vers une adresse externe ou déplace des messages vers Flux RSS, Notes ou Courrier indésirable.
• Un transfert automatique vers l'extérieur ajouté récemment.
• Des messages dans les éléments envoyés ou supprimés que l'utilisateur ne reconnaît pas.
• Des réinitialisations de mot de passe ou des verrouillages de compte inexpliqués.
• Un client ou un fournisseur qui dit ne pas avoir reçu une réponse que vous avez pourtant envoyée.

Ces signes viennent de la liste publiée par Microsoft pour les comptes compromis. Le dernier est le plus parlant : quand des messages disparaissent, c'est souvent qu'une règle les détourne. Les techniques d'approche sont celles du spear phishing, l'hameçonnage ciblé sur une entreprise précise.

Les protections à activer sur Microsoft 365

Quand le faux RIB part d'une boîte piratée, rien dans le message ne le trahit. C'est donc en amont, dans les réglages de Microsoft 365, qu'il faut agir.

• L'authentification à plusieurs facteurs sur tous les comptes, en commençant par la comptabilité, les achats et la direction. Un mot de passe volé ne suffit plus pour se connecter.
• Le blocage du transfert automatique vers l'extérieur. Dans les stratégies de courrier indésirable sortant, Microsoft recommande de régler explicitement ce paramètre plutôt que de laisser la valeur « Automatique », dont l'effet dépend de l'ancienneté de votre environnement. Une fois le transfert externe désactivé, les règles qui renvoient des messages vers une adresse extérieure ne fonctionnent plus.
• Des alertes sur les règles de boîte et les connexions inhabituelles, pour qu'une règle créée en pleine nuit ou une connexion depuis un pays inattendu soit vue le jour même.
• SPF, DKIM et DMARC sur votre domaine, pour que personne ne puisse envoyer un courriel qui semble venir de chez vous.
• Un contrôle des applications autorisées à lire les boîtes, qu'un escroc peut utiliser pour garder l'accès.

Certaines attaques passent malgré tout : nous les détaillons dans les 8 attaques que Microsoft 365 ne bloque pas. Reste l'entraînement des équipes : une campagne de phishing simulé qui reprend un faux changement de RIB montre en conditions réelles qui clique et qui prend le temps de vérifier.

Ce que change la facturation électronique depuis le 1er septembre 2026

Depuis le 1er septembre 2026, toutes les entreprises concernées doivent pouvoir recevoir des factures électroniques, et les grandes entreprises et les ETI doivent les émettre. Les PME, les TPE et les micro-entreprises émettront à partir du 1er septembre 2027. Les factures passent par une plateforme agréée, et un annuaire central indique vers quelle plateforme envoyer la facture de chaque destinataire (guide pratique de la DGFiP, juillet 2026).

Pour un escroc, l'envoi d'une fausse facture en PDF par courriel devient plus suspect : une facture d'un fournisseur déjà soumis à l'obligation d'émission (une grande entreprise ou une ETI aujourd'hui, toutes les entreprises à partir de septembre 2027) n'a plus de raison d'arriver par simple courriel. Mais la réforme a été conçue pour la TVA et la transmission des données à l'administration, pas contre les escroqueries au virement, et le guide de la DGFiP ne prévoit aucun contrôle des coordonnées bancaires par les plateformes. Un faux RIB annoncé depuis une messagerie piratée reste possible, tout comme une fausse facture déposée depuis un compte de plateforme piraté.

Le choix d'une plateforme de facturation électronique et d'un logiciel de paiement compte donc aussi : double authentification, droits séparés entre la saisie et la validation des paiements, historique des modifications de RIB et alerte quand un RIB change. Selon Siècle Digital (27 août 2026), Bercy a demandé aux plateformes agréées d'héberger les données en Europe et de s'appuyer sur la qualification SecNumCloud de l'ANSSI pour le stockage, sous peine de perdre leur agrément.

Méfiez-vous enfin des courriels qui utilisent la réforme comme prétexte : « désignez votre plateforme », « validez vos coordonnées bancaires ». Pour toute démarche, passez par votre espace professionnel sur impots.gouv.fr ou par le site de votre plateforme, jamais par le lien du message.

Côté comptabilité : la règle du rappel

La protection technique ne suffit pas si un changement de RIB peut être validé sur la foi d'un message. La règle à appliquer sans exception : rappeler le fournisseur à un numéro déjà connu (celui de la fiche fournisseur ou du contrat, jamais celui du message), faire valider le changement par une deuxième personne et tracer la modification dans le logiciel comptable.

Depuis le 9 octobre 2025, votre banque vérifie aussi que le nom du bénéficiaire correspond au titulaire de l'IBAN avant un virement SEPA. Ce contrôle aide, mais une entreprise peut y avoir renoncé pour ses virements groupés, et il ne dit rien de l'authenticité de la facture. Si vous passez outre un résultat négatif, le risque est pour vous (guide du Comité national des moyens de paiement, septembre 2025).

Vous avez payé une fausse facture : les bons réflexes

Le temps compte : plus la banque est prévenue tôt, plus elle a de chances de bloquer ou de rappeler les fonds, sans garantie de résultat.

Côté paiement

1. Appelez immédiatement votre banque pour demander le rappel du virement.
2. Prévenez le vrai fournisseur par téléphone, à un numéro connu : sa messagerie est peut-être piratée et d'autres clients peuvent être visés.
3. Conservez les preuves (courriels avec leurs en-têtes, facture, RIB reçu, ordre de virement), puis portez plainte au commissariat ou à la gendarmerie. Le service Info Escroqueries répond au 0 805 805 817.

Côté messagerie

1. Bloquez le compte concerné ou changez son mot de passe, et fermez toutes les sessions ouvertes.
2. Supprimez les méthodes d'authentification et les applications que l'utilisateur ne reconnaît pas.
3. Recherchez et supprimez les règles de boîte et les transferts suspects, y compris les règles masquées.
4. Consultez les journaux de connexion et d'audit pour savoir depuis quand l'escroc était présent et quels messages il a envoyés.

Ces étapes suivent l'ordre recommandé par Microsoft pour un compte compromis. Prévenez aussi votre assureur si vous avez une assurance cyber.

Comment IT Systèmes vous aide

Nos équipes sécurisent les environnements Microsoft 365 des PME et des ETI : authentification à plusieurs facteurs, blocage du transfert externe, protection contre l'usurpation de votre domaine et surveillance des règles de boîte suspectes. En cas de doute sur une messagerie, nous vérifions si elle a été compromise et nous la remettons en état. Pour un premier point, notre Diag cyber (forfait de 1 000 €) fait l'état des lieux de votre exposition, sans remplacer un audit de sécurité complet. Pour en parler, consultez notre page prestataire en sécurité informatique.

Questions fréquentes sur les fausses factures

Comment savoir si une facture est fausse ?

Comparez-la à votre commande, vérifiez que l'IBAN est celui de votre fiche fournisseur et, au moindre doute, appelez le fournisseur à un numéro déjà connu. Ne vous fiez ni au logo ni à l'adresse de l'expéditeur : une fausse facture peut partir de la vraie messagerie piratée du fournisseur.

Comment savoir si ma messagerie a été piratée ?

Les signes à surveiller sont des règles de boîte de réception que vous n'avez pas créées, un transfert automatique vers une adresse externe, des messages envoyés ou supprimés que vous ne reconnaissez pas, et des correspondants qui ne reçoivent pas vos réponses. Microsoft publie cette liste pour les comptes compromis.

Qu'est-ce que la fraude au changement de RIB ?

C'est une escroquerie dans laquelle un faux fournisseur, ou un vrai fournisseur dont la messagerie est piratée, annonce de nouvelles coordonnées bancaires. Les paiements suivants partent alors sur le compte de l'escroc. La parade est de ne jamais valider un changement de RIB sans rappel à un numéro connu.

La facturation électronique met-elle fin aux fausses factures ?

Non. Elle fait passer les factures entre entreprises par des plateformes agréées, ce qui rend suspecte une facture reçue en simple PDF, mais elle ne vérifie pas les coordonnées bancaires. Une messagerie ou un compte de plateforme piraté reste une porte d'entrée.

Peut-on récupérer l'argent après un virement vers un faux fournisseur ?

C'est parfois possible si la banque est prévenue très vite et que les fonds n'ont pas encore été retirés, mais rien n'est garanti. Appelez votre banque immédiatement, puis portez plainte en conservant toutes les preuves.

Sources

• Banque de France, Observatoire de la sécurité des moyens de paiement, présentation du rapport annuel 2025, 7 septembre 2026.
• Microsoft Learn, répondre à un compte de messagerie compromis dans Microsoft 365, juillet 2026.
• Microsoft Learn, configurer les stratégies de courrier indésirable sortant, août 2026.
• Comité national des moyens de paiement, guide d'utilisation de la vérification du bénéficiaire, septembre 2025.
• DGFiP, guide pratique de démarrage de la facturation électronique au 1er septembre 2026, juillet 2026.
• Cybermalveillance.gouv.fr, que faire en cas d'hameçonnage, mise à jour du 26 octobre 2026.
• Siècle Digital, facturation électronique : face aux craintes de piratage, le gouvernement veut rassurer, 27 août 2026.