Fraude au virement en PME : le protocole anti-fraude que tout dirigeant doit déployer en 2026

Un mardi après-midi, votre comptable reçoit un mail signé du président, en déplacement, demandant un virement urgent et confidentiel vers un nouveau compte. La signature est correcte, le ton crédible, le numéro IBAN bien formaté. 47 minutes plus tard, 284 000 euros ont quitté la trésorerie. Aucune erreur technique : juste une chaîne de contrôles trop souple. Selon l'Observatoire de la sécurité des moyens de paiement de la Banque de France, les fraudes aux virements (FOVI inclus) restent l'un des postes les plus coûteux pour les entreprises françaises, avec des pertes cumulées de plusieurs centaines de millions d'euros chaque année.

Cet article propose un protocole anti-fraude opérationnel pour les PME (10 à 250 salariés), construit autour de neuf contrôles internes, du cadre juridique du Code monétaire et financier et des bons réflexes en cas d'incident.

Cet article est une synthèse pédagogique : il ne se substitue pas à un avis bancaire, juridique ou cyber spécialisé. En cas d'incident, contactez immédiatement votre banque, votre conseil et déposez plainte.

• Trois familles de fraude dominent : fraude au président (usurpation de l'identité du dirigeant), fraude au faux fournisseur (modification d'IBAN), fraude au faux technicien bancaire (prise de contrôle à distance).
• Le risque ne se règle pas par un outil : il se règle par un protocole de contrôle interne combinant séparation des tâches, double validation et canal indépendant de vérification.
• Le délai de réaction est critique : sous 24 à 48 heures, une procédure de rappel de virement (recall SEPA) peut limiter la perte ; au-delà, la récupération devient improbable.
• L'article L. 133-18 du Code monétaire et financier prévoit le remboursement par la banque des opérations non autorisées, mais la jurisprudence est sévère lorsque la négligence du donneur d'ordre est caractérisée.

Fraude au président (FOVI)#

L'attaquant usurpe l'identité du dirigeant, généralement par e-mail (parfois doublé d'un appel ou d'un message vocal cloné par IA). Il sollicite un comptable, un assistant ou un trésorier pour un virement présenté comme urgent, confidentiel et exceptionnel : acquisition imminente, redressement fiscal à régler, paiement à un nouveau partenaire stratégique. La cible est généralement isolée, le scénario joue sur l'autorité hiérarchique.

Fraude au faux fournisseur (changement d'IBAN)#

Un fournisseur réel et habituel envoie soi-disant un courrier ou un mail demandant la mise à jour de ses coordonnées bancaires. L'IBAN frauduleux est substitué dans le référentiel fournisseurs. La fraude n'apparaît qu'à la prochaine relance du fournisseur authentique : un à trois mois plus tard, lorsque la récupération est devenue presque impossible.

Fraude au faux technicien bancaire ou éditeur#

L'attaquant se présente comme un technicien de la banque ou de l'éditeur de l'outil de paiement. Il demande l'installation d'un logiciel d'assistance à distance ou la communication d'un code à usage unique « pour test ». Une fois le poste contrôlé, il déclenche des virements depuis l'environnement légitime du salarié.

L'article L. 133-18 impose au prestataire de services de paiement de rembourser immédiatement le montant d'une opération non autorisée signalée sans tarder par le client. Mais l'article L. 133-19 prévoit que la responsabilité du payeur peut être engagée en cas de négligence grave dans la préservation des dispositifs de sécurité ou en cas de manquement intentionnel à ses obligations.

La jurisprudence de la Cour de cassation considère régulièrement que la transmission d'un code 3D Secure ou d'un mot de passe à un tiers caractérise une négligence grave excluant le remboursement. À l'inverse, lorsque le salarié a été trompé par un montage sophistiqué (faux site, ingénierie sociale poussée), la banque peut être condamnée à rembourser.

Conséquence pratique : un protocole interne robuste n'est pas qu'un outil de prévention ; c'est aussi un élément de preuve essentiel en cas de contentieux avec la banque ou avec l'assureur cyber.

Exemple chiffré pédagogique#

Une PME industrielle de 60 salariés met en place les contrôles 1, 3 et 4. Trois mois plus tard, un mail demande la mise à jour de l'IBAN d'un fournisseur récurrent (45 000 € mensuels). Le contrôle 3 déclenche un appel au fournisseur sur son numéro historique : la fraude est détectée avant le premier virement. Coût évité : 45 000 € sur le seul mois courant, sans compter la durée non plafonnée de la fraude si elle avait abouti.

1. Heure 0 — Alerter immédiatement la cellule fraude de la banque (numéro dédié, à afficher dans la salle finance) pour déclencher un rappel SEPA ou un blocage si le virement n'est pas exécuté.
2. Heure +1 — Préserver l'intégralité des preuves numériques : mails, journaux d'accès, relevés bancaires, captures d'écran. Ne pas éteindre les postes potentiellement compromis avant intervention.
3. Heure +4 — Déposer plainte en gendarmerie ou commissariat (citer l'article 313-1 du Code pénal sur l'escroquerie et l'article 323-1 sur l'accès frauduleux à un système de traitement automatisé de données si pertinent).
4. Heure +24 — Déclarer l'incident à la CNIL s'il y a fuite de données personnelles (article 33 du RGPD), à l'assureur cyber, et signaler sur cybermalveillance.gouv.fr.
5. Jour +1 à +5 — Audit interne : par où la chaîne s'est-elle rompue ? Mettre à jour le protocole, communiquer en interne sans stigmatiser le salarié trompé.

Dans nos missions de revue de contrôle interne auprès de PME, nous constatons que le maillon le plus fragile n'est jamais l'outil bancaire — il est souvent excellent — mais la chaîne organisationnelle : un comptable seul, sans suppléant formé, qui valide en flux tendu sous pression hiérarchique. La fraude exploite cette vulnérabilité humaine et organisationnelle, pas une faille technique. Le protocole en 9 points ci-dessus n'est pas une recommandation théorique : c'est ce que nous mettons en place avec nos clients après chaque incident, et qui a permis à plusieurs d'entre eux d'éviter des fraudes répétées.

Au-delà de la perte directe, la fraude au virement génère trois risques secondaires :

• Risque de réputation interne : le salarié trompé démissionne souvent dans les six mois, par honte ou perte de confiance.
• Risque assurantiel : si l'assureur cyber considère que le protocole n'a pas été respecté, l'indemnisation peut être réduite ou refusée.
• Risque fiscal et social : dans certains montages, des sommes détournées peuvent être requalifiées par l'administration si elles ne sont pas correctement comptabilisées en perte exceptionnelle.

• Désigner un référent fraude dans l'entreprise, distinct du comptable.
• Inscrire le protocole anti-fraude dans les délégations de pouvoir et le règlement intérieur.
• Vérifier que la police d'assurance cyber couvre bien le détournement de virement (clause FOVI explicite).
• Auditer la chaîne d'achats et de paiements au moins une fois par an par un tiers indépendant (expert-comptable, commissaire aux comptes, prestataire spécialisé).

• Voix clonée par IA : les attaquants utilisent désormais des extraits de visioconférence publique pour cloner la voix du dirigeant. Un appel téléphonique seul ne suffit plus à authentifier une demande sensible.
• Virement instantané SEPA Instant : généralisé en 2025 (règlement UE 2024/886), il rend la fraude quasi irréversible. Maintenir les seuils et listes blanches même en mode instantané.
• Vérification du bénéficiaire (Verification of Payee) : déployée progressivement par les banques européennes ; à activer dans vos paramètres dès qu'elle est disponible.
• Phishing multi-canal : SMS, WhatsApp, LinkedIn et même appels Teams sont désormais des vecteurs courants. La sensibilisation doit couvrir tous les canaux.