Faux RIB sur une facture : les vérifications à faire avant de payer

Une facture conforme peut contenir un faux RIB. Le format Factur-X, la cohérence des montants, un SIREN actif ou un numéro de TVA valide ne prouvent pas que le compte bancaire indiqué appartient réellement au fournisseur.

Le contrôle décisif, lorsqu’un RIB apparaît pour la première fois ou change, consiste à appeler votre fournisseur avec un numéro déjà connu. N’utilisez ni le numéro ni le lien figurant dans le message qui vous demande le virement. Un appel de trente secondes peut éviter une perte difficile à récupérer.

Cette précaution prend encore plus de sens après une fuite de données. Le 10 octobre 2026, la Caisse nationale des allocations familiales a confirmé un incident de cybersécurité concernant Vacaf, une plateforme gérée par un prestataire externe et pilotée par la Caf de l’Hérault. Le service a été suspendu et une enquête a été ouverte. À la date de publication, le périmètre exact n’est pas encore consolidé. La Cnaf précise que les coordonnées bancaires et les mots de passe des comptes Caf ne figurent pas parmi les données concernées, mais elle appelle à la vigilance face aux tentatives d’escroquerie, d’hameçonnage et d’usurpation d’identité.

Il n’existe, à ce stade, aucun élément officiel établissant que les données de Vacaf ont servi à fabriquer de fausses factures ou de faux RIB. Cet incident rappelle toutefois une réalité simple : des données personnelles ou professionnelles volées peuvent rendre un message frauduleux beaucoup plus crédible.

La réponse en une minute

| Situation | Réflexe recommandé | |---|---| | Un fournisseur annonce un nouveau RIB par email | Suspendre le paiement et appeler un contact déjà connu | | Le fichier Factur-X est techniquement valide | Continuer les contrôles, car le format ne certifie pas le compte bancaire | | Le SIREN est actif et la TVA est valide | Considérer ces vérifications comme utiles, mais insuffisantes pour valider l’IBAN | | Le message impose urgence, discrétion ou changement de procédure | Bloquer le paiement et faire valider la demande par une seconde personne | | Le virement est déjà parti | Contacter immédiatement la banque, puis le fournisseur, et conserver toutes les preuves |

La règle à retenir est la suivante : toute modification de coordonnées bancaires doit être vérifiée par un canal indépendant.

Qu’est-ce qu’une fraude au faux RIB ?

La fraude au faux RIB consiste à détourner un paiement vers le compte d’un escroc. Celui-ci se fait passer pour un fournisseur, un dirigeant, un salarié ou parfois une administration. Il envoie une facture falsifiée ou intercepte un échange réel, puis remplace les coordonnées bancaires du bénéficiaire.

Le document peut sembler irréprochable. Le logo, l’adresse, le numéro de facture, le SIRET, le montant, le nom du commercial et même l’historique de la commande peuvent être exacts. Seul le compte bancaire a changé.

Plusieurs scénarios sont fréquents :

• un faux email annonce une nouvelle banque ou un nouvel IBAN ;
• une boîte mail compromise permet au fraudeur de répondre au milieu d’un échange réel ;
• une facture authentique est modifiée avant d’arriver au service comptable ;
• une fausse facture reprend les coordonnées légales d’une vraie entreprise ;
• un message urgent demande d’ignorer le circuit de validation habituel.

Le fraudeur compte moins sur une faille informatique spectaculaire que sur la confiance, la routine et la pression du délai. Une facture attendue, envoyée au bon moment et avec les bonnes références, attire moins l’attention qu’une demande inconnue.

Pourquoi une fuite de données augmente le risque

Une fuite de données ne contient pas forcément un mot de passe ou un RIB pour être exploitable. Un nom, une adresse, une fonction, une situation familiale, un numéro de dossier ou une relation avec un organisme peuvent suffire à personnaliser un message.

La CNIL rappelle que des données volées peuvent être utilisées pour produire des emails ou des SMS d’hameçonnage plus réalistes. Au lieu d’un message générique, la victime reçoit une demande qui reprend un contexte qu’elle reconnaît. C’est cette précision qui réduit la méfiance.

Dans une entreprise, le même mécanisme peut viser le paiement d’une facture. Un escroc qui connaît le nom du fournisseur, celui du dirigeant, une adresse de livraison ou une période de contrat peut fabriquer un échange vraisemblable. Il peut aussi profiter d’une actualité réelle, comme un incident informatique, pour demander une prétendue mise à jour de coordonnées.

L’incident Vacaf ne doit donc pas être transformé en preuve d’une fraude qui n’est pas établie. Il doit être compris comme un rappel : plus un message contient de détails vrais, plus il faut vérifier la demande sensible par un autre canal.

Une facture Factur-X valide peut-elle contenir un faux RIB ?

Oui. Factur-X associe un PDF lisible et des données XML structurées. Une validation technique peut contrôler le profil utilisé, la présence des champs obligatoires, la structure du XML et la cohérence de nombreux montants.

Elle ne permet pas, à elle seule, d’établir :

• que l’IBAN appartient au fournisseur indiqué ;
• que l’email d’envoi provient bien de ce fournisseur ;
• que la boîte mail n’a pas été compromise ;
• que la prestation ou la livraison a réellement eu lieu ;
• que la personne demandant le changement de RIB est autorisée à le faire.

Une facture peut donc être techniquement conforme et rester frauduleuse. C’est aussi pour cela qu’une piste d’audit fiable relie la facture à la commande, à la livraison, au paiement et aux validations internes.

Le passage par une plateforme agréée organise la transmission réglementaire et les statuts du cycle de vie. Il ne dispense pas l’entreprise de ses contrôles de paiement. Les services proposés varient selon les plateformes, mais il serait imprudent de supposer que chaque changement de RIB est automatiquement confirmé auprès du fournisseur.

Ce que MaFactureOK peut vérifier

MaFactureOK analyse une facture reçue sur plusieurs niveaux complémentaires :

• la conformité technique du fichier Factur-X, UBL ou CII ;
• la présence de mentions et de données attendues ;
• la cohérence des montants et de la TVA lorsque les données le permettent ;
• l’existence et l’activité de l’entreprise dans le registre officiel ;
• la validité du numéro de TVA dans VIES lorsque le service répond.

Ces contrôles peuvent révéler un fournisseur radié ou cessé, un identifiant incohérent, un numéro de TVA non valide ou une erreur de facture. Ils permettent d’aller au-delà de la simple lecture du format.

Ils ne prouvent toutefois pas que le compte bancaire appartient à l’entreprise. Un fraudeur peut copier le SIREN, la TVA et l’adresse d’un fournisseur réel tout en remplaçant son IBAN. Aucun résultat MaFactureOK ne doit donc être présenté comme une certification du RIB.

Les 7 vérifications à faire avant de payer

1. Traitez tout changement de RIB comme une exception

Un nouvel IBAN ne doit jamais suivre le même circuit qu’une facture habituelle. Bloquez temporairement le paiement, même si le montant, l’échéance et le fournisseur semblent cohérents.

Créez une règle interne simple : « changement de RIB égal contrôle obligatoire ». Elle doit s’appliquer à tous, y compris lorsqu’un dirigeant ou un fournisseur ancien formule la demande.

2. Appelez un numéro déjà connu

Contactez votre interlocuteur habituel avec un numéro enregistré dans votre logiciel, un contrat antérieur ou le site officiel de l’entreprise. N’utilisez pas le numéro contenu dans l’email qui annonce le changement.

Demandez une confirmation explicite du nouvel IBAN. Pour un paiement important, faites confirmer les derniers caractères du compte et le nom exact du bénéficiaire. Conservez la date, le nom de la personne jointe et le résultat du contrôle.

3. Vérifiez l’identité légale du fournisseur

Comparez la raison sociale, le SIREN ou le SIRET, l’adresse et le numéro de TVA avec vos données habituelles. Vous pouvez vérifier le SIRET et l’activité de l’entreprise avant le paiement.

Un registre officiel ne valide pas le RIB, mais il peut révéler une société cessée, un établissement fermé ou des coordonnées incompatibles avec le document. Une facture datée après la cessation du fournisseur mérite un examen immédiat.

4. Analysez le fichier, pas seulement son apparence

Si vous recevez un Factur-X, un UBL ou un CII, contrôlez les données structurées et pas uniquement le PDF affiché. Le PDF et le XML peuvent contenir des informations différentes. Un contrôle technique permet aussi de détecter des calculs incohérents ou des champs manquants.

Cette étape améliore la qualité du dossier, mais elle ne remplace toujours pas la confirmation du RIB.

5. Comparez avec les factures précédentes

Recherchez le dernier RIB validé dans votre ERP, votre logiciel comptable ou une facture déjà payée. Comparez le nom du bénéficiaire, le pays du compte et l’IBAN.

Un compte étranger n’est pas automatiquement frauduleux. En revanche, un changement soudain de pays, de banque ou de bénéficiaire constitue un signal qui justifie une vérification renforcée.

6. Faites valider les changements par deux personnes

Pour les montants significatifs, séparez la saisie du bénéficiaire et l’autorisation du virement. La seconde personne doit voir la preuve de confirmation obtenue auprès du fournisseur.

Cette validation croisée reste efficace même si une messagerie a été compromise. Elle réduit aussi les erreurs ordinaires de saisie.

7. Conservez une trace du contrôle

Archivez la facture, la demande de changement, la source du numéro appelé, l’identité de l’interlocuteur et l’approbation interne. Cette trace complète votre piste d’audit et facilite la réaction en cas d’incident.

Une procédure courte et appliquée vaut mieux qu’un document très long que personne ne suit. Pour une petite entreprise, une fiche d’une page peut suffire : déclencheur, personne à appeler, seconde validation et preuve à conserver.

Les signaux d’alerte à ne pas ignorer

Un seul indice ne prouve pas une fraude. Plusieurs indices réunis doivent cependant arrêter le paiement :

• le RIB change alors que le fournisseur n’en avait jamais parlé ;
• le message impose une urgence inhabituelle ;
• l’expéditeur demande de garder l’opération confidentielle ;
• l’adresse email ressemble à l’adresse connue, avec une lettre différente ;
• le ton ou la signature ne correspondent pas aux échanges précédents ;
• le bénéficiaire du virement diffère de la raison sociale ;
• les coordonnées de contact changent en même temps que le RIB ;
• le fournisseur refuse une confirmation téléphonique ;
• la facture est conforme, mais ne correspond à aucune commande ou livraison.

Une TVA valide ne neutralise aucun de ces signaux. VIES confirme le rattachement d’un numéro de TVA à un opérateur au moment de la consultation. Il ne vérifie ni l’IBAN ni l’auteur de l’email. Pour comprendre les conséquences fiscales d’un fournisseur douteux, consultez aussi notre guide sur la déduction de TVA refusée.

Que faire si le virement est déjà parti ?

Agissez immédiatement. Selon Cybermalveillance.gouv.fr, la première étape consiste à contacter votre banque pour tenter de suspendre, rappeler ou tracer le virement. La rapidité compte.

Prévenez ensuite le vrai fournisseur avec ses coordonnées habituelles. Il doit savoir que son identité ou sa messagerie a peut-être été utilisée. Conservez les emails, les en-têtes complets, la facture, le faux RIB, les captures et les références du paiement.

Vérifiez aussi vos propres comptes de messagerie : connexions inconnues, règles de transfert, filtres automatiques ou messages supprimés. Changez le mot de passe concerné et activez l’authentification à plusieurs facteurs si ce n’est pas déjà fait.

Enfin, déposez plainte en fournissant les preuves disponibles. Ne poursuivez pas la conversation avec le fraudeur et ne modifiez pas les fichiers originaux.

Questions fréquentes

Une facture techniquement valide est-elle forcément authentique ?

Non. La validation technique porte sur le format, les règles de données et certains calculs. Elle ne garantit ni la réalité de l’opération, ni l’auteur de l’email, ni la propriété du compte bancaire.

VIES vérifie-t-il le RIB du fournisseur ?

Non. VIES vérifie un numéro de TVA intracommunautaire. Il ne relie pas un IBAN à une entreprise et ne confirme pas un changement bancaire.

Une plateforme agréée détecte-t-elle automatiquement un faux RIB ?

Pas nécessairement. Les fonctionnalités varient d’une plateforme à l’autre. Demandez précisément à votre prestataire s’il vérifie la propriété du compte, comment il traite un changement d’IBAN et quelle preuve il fournit.

MaFactureOK certifie-t-il l’IBAN ?

Non. MaFactureOK contrôle la facture et les identifiants de l’entreprise dans les limites affichées. La confirmation du RIB doit être obtenue directement auprès du fournisseur par un canal indépendant.

Que faire après une alerte liée à une fuite de données ?

N’utilisez pas les liens d’un message inattendu. Ouvrez vous-même le site officiel de l’organisme, consultez votre espace et suivez ses recommandations. Pour la Caf, saisissez directement caf.fr dans votre navigateur.

Limites du service

Cet article présente des mesures de prévention générales à partir des informations officielles disponibles le 11 octobre 2026. L’enquête sur l’incident Vacaf est en cours. Le nombre exact de personnes ou de dossiers concernés n’est pas repris ici, car il n’est pas encore confirmé dans le communiqué officiel de la Cnaf. Aucun lien entre cet incident et une fraude au faux RIB n’est établi à cette date.

MaFactureOK n’est pas une plateforme agréée, ne transmet pas les factures et ne certifie ni un compte bancaire, ni l’identité de l’auteur d’un email, ni la réalité économique d’une opération. Le service fournit des contrôles techniques et des vérifications de tiers selon les données présentes et la disponibilité des sources officielles. Il ne remplace pas votre banque, votre expert-comptable, votre conseil juridique ou une procédure interne de validation des paiements.