Ne traitez jamais un changement de coordonnées bancaires reçu par e-mail comme confirmé au seul motif qu'il apparaît dans un fil d'e-mails existant.
Ma règle est d'imposer deux minutes de friction avant que l'argent ne bouge :
- bloquer le paiement ;
- conserver l'instruction précédente et le nouveau message ;
- trouver un contact de confiance par une voie indépendante ;
- confirmer le bénéficiaire, le compte et la facture auprès d'une personne autorisée ; et
- consigner la décision avant que quiconque ne déclenche le virement.
Si vous ne pouvez pas mener cette séquence à son terme, bloquez le paiement.
Ceci n'est pas une checklist générique de cybersécurité. C'est un contrôle pour le moment précis où un fournisseur, un agent ou un collègue vous demande d'envoyer de l'argent vers un compte différent de celui déjà enregistré.
1. À quoi ressemble le détournement de paiement fournisseur
La fraude à la facture ou au mandat se produit lorsqu'une personne se fait passer pour un fournisseur ou une autre organisation de confiance et vous convainc d'envoyer de l'argent vers un compte nouveau ou modifié. Le message peut arriver par e-mail, téléphone, SMS ou application de messagerie. Il peut faire suite à un devis ou une facture réels.
Les indications Take Five pour les entreprises de UK Finance décrivent des criminels se faisant passer pour des prestataires de confiance et communiquant des coordonnées bancaires nouvelles ou modifiées. Ces indications recommandent de confirmer les coordonnées bancaires directement auprès de l'entreprise, de questionner tout changement et de contacter immédiatement votre banque si vous pensez avoir été victime d'une arnaque.
Le message peut sembler convaincant parce que l'expéditeur connaît le produit, le numéro de commande, la date de livraison ou les noms des personnes de l'entreprise. La familiarité n'est pas une confirmation. Un fil d'e-mails authentique peut être compromis, copié ou imité.
Le risque concret est simple : vous croyez payer un vrai fournisseur, mais le bénéficiaire est contrôlé par quelqu'un d'autre.
2. La procédure de blocage en deux minutes
Appliquez-la chaque fois qu'un fournisseur envoie de nouvelles coordonnées bancaires, demande un paiement urgent ou change le bénéficiaire d'une facture.
1. Bloquez le virement
Ne cliquez pas sur le lien de paiement, ne modifiez pas la fiche fournisseur enregistrée et ne répondez pas en confirmant que le changement est accepté. Indiquez à la personne responsable du paiement que l'instruction est en attente.
2. Conservez les preuves
Sauvegardez l'e-mail, la pièce jointe, la facture, les en-têtes de message lorsqu'ils sont disponibles, ainsi que les coordonnées bancaires précédentes. Notez la date d'arrivée du changement, l'expéditeur et le motif donné.
3. Utilisez une voie de contact indépendante
Trouvez un numéro de téléphone ou une adresse e-mail sur le site web du fournisseur, dans un enregistrement vérifié antérieur, un contrat signé ou une autre source de confiance. N'utilisez pas les coordonnées figurant dans le message de changement suspect.
4. Posez une question de confirmation précise
Confirmez le nom légal du bénéficiaire, le pays de la banque, les derniers chiffres du compte, le numéro de facture, le montant et le motif du changement. Demandez si la personne qui confirme la demande est autorisée à modifier les coordonnées de paiement.
5. Consignez la décision
Marquez la demande confirmée, ouverte, en attente ou stop. Ne laissez pas une question sans réponse disparaître dans la boîte de réception.
Si le paiement a déjà été envoyé, contactez votre banque immédiatement. Utilisez la voie de signalement de fraude pertinente pour votre pays. Au Royaume-Uni, Take Five oriente les victimes vers Report Fraud. N'attendez pas que le fournisseur confirme qu'un problème s'est produit.
3. Les signaux d'alerte comptent surtout combinés
Un détail inhabituel isolé peut avoir une explication légitime. Plusieurs réunis sont un motif d'arrêt.
| Signal | Ce que cela peut signifier | Ce que je ferais |
|---|---|---|
| Nouveau bénéficiaire | Un vrai changement de banque, une société du groupe ou un détournement de paiement | Vérifier via un contact connu avant de modifier la fiche fournisseur |
| Échéance urgente | Une échéance commerciale ou une tactique de pression | Ralentir le processus et exiger l'approbation normale |
| Domaine d'e-mail différent | Un nouveau système, une agence ou une usurpation | Comparer le domaine caractère par caractère et appeler de façon indépendante |
| Nouveau pays bancaire ou nouvelle devise | Une trésorerie de groupe ou un itinéraire modifié | Demander pourquoi le pays a changé et qui détient le compte |
| Changement de numéro ou de montant de facture | Une facture corrigée ou une manipulation de document | Comparer les anciens et nouveaux fichiers et demander un registre de changement clair |
| Demande de garder cela secret | Une affaire commerciale sensible ou de l'ingénierie sociale | Faire remonter à une autre personne et ne pas payer seul |
| Refus d'un rappel téléphonique | Un contact difficile ou une tentative de contrôler le canal | Bloquer le paiement |
| Le fournisseur dit « répondez simplement à cet e-mail » | Une confirmation pratique ou un fil compromis | Utiliser une voie distincte et confirmer les coordonnées vous-même |
La combinaison la plus préoccupante est un bénéficiaire modifié, une urgence et une demande de sauter le rappel téléphonique normal. Je bloquerais le paiement même si le produit, le prix et la signature de l'e-mail semblent familiers.
4. Premier paiement et paiement modifié sont des risques différents
Le premier paiement à un nouveau fournisseur nécessite une vérification d'identité et de bénéficiaire. Un changement des coordonnées bancaires d'un fournisseur existant nécessite cette même vérification à nouveau, car la relation de confiance déjà établie peut être exploitée pour faire paraître la nouvelle demande routinière.
Pour un premier paiement, consignez :
- le vendeur légal ;
- la référence du devis et de la facture ;
- le nom du bénéficiaire et le pays de la banque ;
- la personne qui a approuvé le fournisseur ; et
- la confirmation indépendante de la destination du paiement.
Pour un paiement modifié, conservez également :
- l'ancienne fiche du bénéficiaire ;
- le message exact demandant le changement ;
- le motif donné ;
- le nouveau bénéficiaire et les nouvelles coordonnées de compte ;
- la personne qui a confirmé le changement de façon indépendante ; et
- la seconde approbation avant que la fiche fournisseur ne soit modifiée.
N'écrasez pas les anciennes coordonnées bancaires comme si elles n'avaient jamais existé. L'historique des changements fait partie du contrôle.
5. Mettez en place un contrôle des coordonnées bancaires pour une petite équipe
Vous n'avez pas besoin d'un grand service financier pour créer un processus utile. Vous avez besoin d'un responsable nommé et d'un second regard pour les exceptions.
| Champ de contrôle | Ce qu'il faut consigner |
|---|---|
| Fournisseur | Nom légal et identifiant fournisseur |
| Bénéficiaire existant | Nom enregistré, pays et derniers chiffres du compte |
| Demande de changement | Date, expéditeur, facture et motif |
| Contact indépendant | Numéro ou e-mail obtenu en dehors du message de changement |
| Confirmation | Personne, rôle, coordonnées confirmées et date |
| Approbateur un | Nom et décision |
| Approbateur deux | Nom et décision |
| Mise à jour de la fiche fournisseur | Qui l'a modifiée et quand |
| Déclenchement du paiement | Facture, montant, date et vérification finale |
Pour une entreprise d'une seule personne, le second contrôle peut être une pause délibérée et un appel passé depuis une source distincte. Pour une petite équipe, faites en sorte que la personne qui demande le changement soit différente de celle qui l'approuve, dans la mesure du possible.
Il ne s'agit pas de bureaucratie. Il s'agit de rendre difficile pour un seul message convaincant de changer le compte et de déclencher le paiement sans que personne ne pose une seconde question.
6. Un script de réponse que vous pouvez utiliser
Vous n'avez pas besoin d'accuser le fournisseur de fraude. Vous pouvez énoncer le contrôle clairement :
Merci pour cette mise à jour. Nous ne modifions pas les coordonnées bancaires d'un fournisseur sur la seule base d'une demande par e-mail. Le paiement est en attente le temps que nous confirmions le bénéficiaire via notre voie de contact établie. Merci de ne pas envoyer d'instructions de remplacement tant que nous n'avons pas terminé cette vérification.
Si la demande est légitime, un vrai fournisseur comprendra pourquoi vous vérifiez. Si l'expéditeur se met en colère, insiste sur le secret ou accroît la pression, notez-le comme un signal supplémentaire et maintenez le paiement en attente.
7. Si le paiement a déjà été effectué
Agissez rapidement et gardez une réponse factuelle.
- Contactez votre banque immédiatement et expliquez que vous soupçonnez un détournement de paiement ou une usurpation d'identité.
- Conservez l'e-mail, la facture, les coordonnées de compte, les notes d'appel et la référence de paiement.
- Contactez le vrai fournisseur par une voie connue pour confirmer ce qui s'est passé.
- Signalez l'incident auprès de l'autorité compétente. Les lecteurs au Royaume-Uni peuvent utiliser Report Fraud. Les lecteurs ailleurs doivent utiliser leur voie nationale de signalement de fraude.
- Vérifiez si le même expéditeur ou bénéficiaire apparaît dans d'autres fiches fournisseurs.
- Revoyez qui peut modifier les coordonnées bancaires des fournisseurs et qui peut approuver les paiements.
Ne vous promettez pas que la banque récupérera le virement. Demandez à la banque quelles informations elle a besoin et suivez son processus. L'objectif immédiat est de limiter toute perte supplémentaire et de conserver les preuves.
9. Que faire ensuite
Utilisez le guide de rapprochement de l'identité fournisseur, de la TVA et des coordonnées bancaires pour comparer le vendeur légal et le bénéficiaire champ par champ. Conservez la checklist de vérification avec le dossier d'achat. Revenez ensuite au processus complet de vérification fournisseur pour les vérifications de produit, de capacité et de conditions.
Ceci est une indication générale opérationnelle, pas un conseil bancaire, juridique, de cybersécurité ou financier. Les voies de signalement et les procédures bancaires varient selon les pays. Utilisez les indications actuelles de votre banque et de l'autorité compétente.
10. Questions fréquentes
Un changement de compte bancaire est-il automatiquement une arnaque ?
Non. Les fournisseurs peuvent changer de banque, de société du groupe ou de prestataire de paiement. Le changement doit néanmoins être traité comme non confirmé tant que vous ne l'avez pas vérifié par une voie de confiance et consigné qui l'a autorisé.
Puis-je confirmer le changement en répondant au même e-mail ?
Cela ne suffit pas. Un fil d'e-mails authentique peut avoir été compromis ou imité. Utilisez un numéro de téléphone obtenu de façon indépendante ou une autre voie établie.
Dois-je envoyer un petit paiement test ?
Un petit paiement test peut être un contrôle parmi d'autres pour un premier fournisseur, mais il ne remplace pas la vérification d'identité et la confirmation indépendante. Utilisez le processus pris en charge par votre banque et ne supposez pas qu'un paiement test prouve l'autorité plus large du bénéficiaire.
Que faire si le fournisseur affirme que le changement est urgent ?
L'urgence est une raison de ralentir, pas une raison de supprimer la vérification. Dites au fournisseur que le paiement est en attente jusqu'à ce que le bénéficiaire soit confirmé via votre processus normal.
Que faire si j'ai déjà payé le mauvais compte ?
Contactez votre banque immédiatement, conservez les preuves et signalez l'incident auprès de l'autorité compétente. Contactez le vrai fournisseur par une voie connue et vérifiez les autres paiements susceptibles d'être concernés.
8. Comment garder la fiche ancienne utile
Les contrôles de paiement fournisseur échouent lorsque les preuves sont dispersées. Conservez un dossier ou une fiche par fournisseur contenant :
Lorsqu'un fournisseur change d'adresse, d'entité juridique, de contact, de produit ou de compte bancaire, rouvrez les vérifications concernées. Un changement de banque n'est pas le seul événement pouvant modifier le risque de paiement.