« Merci de noter nos nouvelles coordonnées bancaires » : le mail à 148 000 € qui vise les grossistes

La fraude au changement de RIB fournisseur — les assureurs parlent de fraude aux faux ordres de virement — prospère là où trois conditions se réunissent : des règlements fournisseurs fréquents et élevés, un grand nombre de fournisseurs rendant chaque relation moins personnelle, et une comptabilité qui traite les factures en volume. Autrement dit : le portrait exact d'un commerce de gros de biens de consommation.

Un grossiste qui règle chaque mois 60 à 200 factures, dont plusieurs dépassent 30 000 €, offre aux fraudeurs un terrain où un seul virement détourné rentabilise des semaines de préparation. Et la préparation est réelle : les attaquants compromettent la boîte mail d'un fournisseur (ou créent un domaine quasi identique, durand-distribution.com devenant durand-distributlon.com), lisent les échanges pendant des semaines, puis interviennent au moment précis où une grosse échéance approche, en imitant le ton, la signature et le fil de discussion existant.

Ce n'est pas une attaque technique sophistiquée contre votre système : c'est une attaque contre votre processus de paiement. C'est ce qui la rend si efficace — et si mal comprise des contrats d'assurance standards.

Un grossiste en petit électroménager (14 salariés, 21 M€ de CA) travaille depuis six ans avec un fournisseur portugais. En mai, la comptable reçoit un mail — dans le fil de discussion habituel, depuis la vraie adresse du fournisseur, dont la messagerie a été compromise : « Suite à une réorganisation de notre trésorerie, merci de régler les prochaines échéances sur notre nouveau compte », RIB en pièce jointe, à en-tête impeccable.

• Semaine 1 : échéance de 52 400 € réglée sur le nouveau compte (ouvert dans une banque d'un autre pays de l'UE — un IBAN étranger n'a rien d'anormal pour un fournisseur portugais).
• Semaine 3 : deux factures groupées, 95 600 €. Le fraudeur, toujours dans la boîte mail, intercepte et répond même aux questions de la comptable.
• Semaine 5 : le vrai fournisseur relance pour impayé. Sidération, puis cellule de crise.

Bilan : 148 000 € détournés. Le rappel de fonds (recall SWIFT) lancé par la banque permet d'en récupérer 22 000 €, les comptes de rebond ayant été vidés en quelques jours. Perte sèche : 126 000 € — et le fournisseur exige toujours son paiement, car juridiquement, payer sur un faux RIB ne libère pas de sa dette.

C'est ici que beaucoup d'entreprises tombent de haut. Une assurance cyber « socle » couvre la réponse à incident, la restauration des systèmes, les pertes d'exploitation liées à une attaque informatique. Mais le détournement de fonds par manipulation humaine relève d'une garantie distincte, appelée selon les contrats « fraude », « fraude aux transferts de fonds » ou « ingénierie sociale » — et elle est presque toujours optionnelle, avec une sous-limite (souvent 100 000 à 250 000 €) et une franchise spécifique.

Points à vérifier ligne par ligne dans votre police :

• La fraude par usurpation d'un tiers (fournisseur, client) est-elle couverte, ou seulement la fraude par intrusion dans vos propres systèmes ? Dans notre cas, c'est la messagerie du fournisseur qui était compromise, pas celle du grossiste — certaines polices excluent ce scénario.
• La condition de procédure : nombre d'assureurs subordonnent la garantie au respect d'une procédure de vérification des changements de coordonnées bancaires. Pas de contre-appel documenté = pas d'indemnité.
• La sous-limite : 100 000 € de plafond face à 148 000 € détournés laisse un reste à charge, même en cas de sinistre couvert.

Autrement dit : la garantie fraude s'achète, se paramètre et s'entretient. Elle ne se présume jamais.

La bonne nouvelle : ce risque, contrairement à beaucoup d'autres, se neutralise presque entièrement par une procédure interne simple, que les assureurs valorisent d'ailleurs à la tarification.

• Règle d'or du contre-appel : tout changement de RIB est vérifié par téléphone au numéro historique du fournisseur (celui de votre fiche, jamais celui du mail ou de la pièce jointe), auprès d'un interlocuteur connu. La vérification est tracée par écrit.
• Double validation au-delà d'un seuil (par exemple 10 000 €) : la personne qui saisit le virement n'est pas celle qui le valide.
• Gel de 48 h sur le premier paiement vers tout nouvel IBAN, même vérifié : la plupart des fraudes se jouent sur l'urgence.
• Sensibilisation ciblée de la comptabilité fournisseurs deux fois par an, avec des exemples réels de mails frauduleux — c'est elle qui est en première ligne, pas le service informatique.
• En cas de doute avéré : appel immédiat à la banque pour rappel de fonds, dépôt de plainte, signalement sur la plateforme Thésée. Chaque heure compte : au-delà de 48 h, les fonds ont généralement quitté le compte de rebond.

Un grossiste qui combine cette procédure écrite et une garantie fraude correctement plafonnée transforme un risque potentiellement mortel pour sa trésorerie en risque résiduel maîtrisé.