Changement de RIB : vérifier avant de payer en PME

Traitez le changement comme une demande à vérifier

Cybermalveillance.gouv.fr décrit une fraude dans laquelle une personne usurpe l’identité d’un fournisseur pour transmettre de nouvelles coordonnées bancaires. Le message peut aussi provenir d’une messagerie compromise. Retrouver une signature habituelle ou un échange antérieur ne suffit donc pas à authentifier la demande.

Pour votre équipe, le point de départ est une règle simple : toute modification de bénéficiaire attend une vérification. Inscrivez cette étape dans le processus de paiement, y compris lorsque la facture paraît attendue. L’objectif est de rendre le contrôle ordinaire, sans demander à chaque salarié de deviner si un courriel est frauduleux.

Confirmez par un canal indépendant du message reçu

Le ministère de l’Économie recommande de confirmer par un canal indépendant avant de valider. Il rappelle aussi qu’une authentification bancaire sert à autoriser une opération : elle ne permet pas d’annuler un paiement déjà réalisé. Ne validez pas une notification à la demande d’un interlocuteur qui prétend bloquer une fraude.

Application pratique : appelez votre contact habituel avec un numéro déjà enregistré dans votre dossier fournisseur. Évitez de reprendre le numéro ajouté au courriel annonçant le changement. Faites préciser la demande, puis consignez la date du contrôle et le contact utilisé. Si personne ne peut confirmer, laissez la modification en attente et signalez ce blocage au responsable du paiement.

Séparez la vérification et la décision de paiement

Cybermalveillance.gouv.fr préconise une procédure interne de vérification et de validation hiérarchique qui ne puisse pas être écartée. L’urgence ou la confidentialité invoquée dans un message ne doit pas supprimer cette étape. Le dispositif recommande également des mots de passe solides et la double authentification pour les messageries.

Proposition d’organisation : rédigez une fiche d’une page indiquant qui reçoit la demande, qui la confirme et qui autorise le changement. Prévoyez un remplaçant lorsque le responsable est absent. Dans une très petite structure, le dirigeant peut assurer la seconde vérification ; le principe reste de ne pas transformer un message reçu en paiement sans examen.

• Conserver la demande et la trace du contrôle dans le dossier concerné.
• Faire valider la modification avant de mettre à jour le bénéficiaire.
• Prévoir la conduite à tenir lorsque la confirmation reste impossible.

Un exemple pour tester votre procédure en équipe

Exemple entièrement illustratif : une TPE reçoit une relance concernant une facture déjà prévue. Le courriel annonce un changement de banque et demande un règlement avant la fin de journée. La personne chargée du paiement retrouve le montant attendu, mais suspend la modification du bénéficiaire.

Elle appelle le fournisseur depuis les coordonnées conservées lors de la commande. Celui-ci ne confirme pas le nouveau compte. Le dossier est transmis au responsable, qui maintient le paiement en attente pendant les vérifications. Ce scénario ne décrit aucun client ni incident SOLYTI : il sert à faire essayer les étapes et à repérer les informations manquantes.

Si le virement est parti, réagissez sans attendre

La fiche officielle conseille de contacter immédiatement la banque pour demander le retour des fonds, de suspendre les opérations encore en attente, de conserver les preuves et de déposer plainte. Prévenez aussi les personnes chargées des paiements afin d’empêcher de nouvelles opérations vers les coordonnées suspectes. La récupération des fonds n’est pas garantie.

Préparez à l’avance un emplacement pour les coordonnées de la banque et une consigne de signalement interne. Si une compromission de messagerie est suspectée, sollicitez le référent informatique pour examiner les accès. Une réaction organisée doit traiter le paiement et l’environnement numérique concerné, sans attendre que toutes les causes soient établies.

Reliez la procédure aux protections informatiques

Au prochain point informatique, faites essayer votre fiche avec une demande fictive : chacun sait-il où trouver le contact connu, à qui transmettre le doute et où conserver la confirmation ? Notez les étapes ambiguës puis corrigez-les avec les personnes qui gèrent réellement les factures.

Pour échanger avec SOLYTI, décrivez votre circuit de validation et les usages de messagerie concernés, sans transmettre de codes bancaires. L’accompagnement en cybersécurité permet de discuter des accès, des protections et du suivi dans le périmètre convenu. La décision financière reste portée par les personnes habilitées de votre entreprise.