Faux RIB, vrais virements : comment un pirate a détourné 25 800 € d'un compte de copropriété

Copropriété de 21 lots en région lyonnaise. L'assemblée générale vote un ravalement de façade à 86 000 €, financé par trois appels de fonds. Le syndic bénévole, Hélène, gère tout depuis sa messagerie personnelle : échanges avec l'architecte, devis, situations de travaux, RIB de l'entreprise.

Ce que Hélène ignore, c'est que son mot de passe — le même que celui d'un site de e-commerce piraté deux ans plus tôt — circule dans des bases de données revendues en ligne. Un fraudeur teste, entre, et surtout ne touche à rien. Pendant sept semaines, il lit. Il crée une règle de transfert discrète qui lui copie les échanges avec l'entreprise de ravalement. Il apprend le calendrier du chantier, le montant du deuxième acompte (25 800 €), le ton des messages, la signature du conducteur de travaux.

C'est le schéma classique de la fraude au faux RIB (ou « fraude au fournisseur ») : pas d'effraction spectaculaire, mais une patience de guetteur. Le pirate n'attaque pas le compte bancaire du syndicat — il n'en a pas besoin. Il attend le moment où un gros virement devient légitime, prévisible et attendu de tous.

Reconstitution de la mécanique, telle qu'elle se répète dans des centaines de dossiers similaires chaque année :

• J-11 : l'entreprise envoie sa situation de travaux n°2. Le pirate intercepte le mail grâce à sa règle de transfert et le supprime de la boîte de réception avant qu'Hélène ne le lise ;
• J-10 : il renvoie le même mail depuis une adresse quasi identique (un « i » remplacé par un « l » dans le nom de domaine), avec la vraie situation de travaux en pièce jointe… et un RIB modifié, au motif d'un « changement de banque suite à restructuration » ;
• J-8 : Hélène, en confiance — le document est authentique, le montant exact, le ton habituel — enregistre le nouveau bénéficiaire sur l'espace bancaire du syndicat ;
• J-3 : le virement de 25 800 € part vers un compte ouvert dans un autre pays de l'Union européenne ;
• J+9 : l'entreprise relance pour impayé. Stupeur, vérifications croisées, plainte. Les fonds ont déjà été dispersés en cascade de comptes rebonds.

Notez le détail décisif : aucun logiciel malveillant, aucune faille bancaire. Toute la fraude repose sur une boîte mail lue à son insu et sur la confiance qu'inspire un document vrai accompagné d'une seule information fausse.

Premier réflexe d'Hélène : demander le remboursement à la banque du syndicat. Refus. Et ce refus est juridiquement solide : la réglementation européenne des services de paiement protège contre les opérations non autorisées — un virement exécuté sans le consentement du titulaire. Or ici, le virement a été saisi, validé et authentifié par Hélène elle-même. C'est une opération autorisée, obtenue par manœuvre frauduleuse d'un tiers, ce qui est très différent.

En matière de virement autorisé, la victime de la tromperie reste, sauf faute prouvée de la banque, la seule à supporter la perte.

Les recours existants sont maigres : le rappel de fonds interbancaire (efficace seulement dans les tout premiers jours, avant dispersion), la plainte pénale (indispensable mais rarement suivie de récupération), et la mise en cause de la banque si elle a manqué à son devoir de vigilance — par exemple face à un IBAN étranger inhabituel sur un compte qui n'en avait jamais utilisé. Dans le dossier d'Hélène, la banque avait affiché l'avertissement standard sur les changements de coordonnées bancaires : sa responsabilité a été écartée.

Bilan : 25 800 € définitivement perdus pour le syndicat, qui doit néanmoins payer l'entreprise — le vrai créancier n'a, lui, jamais été réglé. Le chantier est suspendu six semaines, et un appel de fonds exceptionnel divise la copropriété.

L'assemblée générale suivante est houleuse. Plusieurs copropriétaires estiment qu'Hélène a commis une faute de gestion : messagerie personnelle non sécurisée, absence de double authentification, aucun contre-appel avant de modifier un RIB pour un virement de cette taille. En tant que mandataire du syndicat, un syndic bénévole répond de ses fautes — avec une appréciation plus indulgente que pour un professionnel, mais le standard de prudence évolue vite : vérifier un changement de RIB par téléphone est désormais considéré comme une précaution élémentaire, y compris pour un non-professionnel.

Le risque financier personnel est donc réel : si la responsabilité d'Hélène était retenue, même partiellement, elle pourrait supporter une part significative des 25 800 €. Et le préjudice ne s'arrête pas là : la boîte mail compromise contenait des données personnelles de copropriétaires (coordonnées, relevés de charges, RIB individuels), ce qui soulève un volet RGPD — le syndicat des copropriétaires est responsable de traitement, et son syndic en est le bras armé.

C'est tout l'angle mort du mandat bénévole : on pense « gestion d'immeuble », on assume en réalité une fonction de trésorier et de dépositaire de données, avec les risques numériques qui vont avec. Une assurance cyber couvrant la fraude aux virements, les frais d'investigation et le volet données personnelles change radicalement l'issue de ce type de scénario.

Trois lignes de défense, par ordre d'efficacité :

• Le contre-appel systématique. Tout changement de RIB, sans exception, se vérifie par téléphone au numéro déjà connu (celui du devis initial, jamais celui du mail annonçant le changement). Coût : deux minutes. Cette règle seule aurait sauvé les 25 800 € d'Hélène ;
• L'hygiène numérique du mandat. Une adresse mail dédiée à la copropriété, un mot de passe unique et long, la double authentification activée, et un contrôle trimestriel des règles de transfert de la messagerie — c'est précisément là que se cachent les pirates patients ;
• Le transfert du risque résiduel. Même rigoureux, on ne ramène jamais le risque à zéro : les fraudeurs professionnalisent leurs scénarios plus vite que les victimes ne s'informent. Une couverture cyber adaptée au mandat prend le relais quand la vigilance a été déjouée.

Les copropriétés gérées en bénévole sont des cibles statistiquement idéales : des flux financiers importants et prévisibles, une seule personne aux commandes, des outils grand public. Notre page dédiée au syndic bénévole détaille les couvertures pensées pour ce mandat particulier — avant que le prochain appel de fonds ne serve de leçon.