Faux changement d'IBAN : qui paie la facture ?
Mis à jour le 12 novembre 2026.
Comment l'arnaque se déroule
La fraude au faux changement d'IBAN (on parle aussi de fraude à la facture ou de fraude au faux fournisseur) n'a rien de sophistiqué. Elle marche parce qu'elle s'insère dans une habitude : payer les factures de fournisseurs connus. Trois variantes reviennent.
1. La boîte mail du fournisseur est piratée. C'est la plus dangereuse. L'escroc lit les échanges pendant des jours ou des semaines, repère une facture importante, puis écrit depuis la vraie adresse, dans le vrai fil de discussion : « Suite à un changement de banque, merci d'utiliser désormais le compte ci-dessous. » Le ton, la signature et la référence de la commande sont exacts, puisqu'ils sont copiés.
2. Une adresse qui ressemble. Le fraudeur enregistre un nom de domaine presque identique (fournisseur-bv.be au lieu de fournisseur.be, un « l » remplacé par un « I ») et répond à votre dernier échange. À l'œil, sur un téléphone, la différence ne se voit pas.
3. La facture modifiée. Une facture papier ou un PDF est intercepté, scanné, et seul l'IBAN est remplacé. Le SPF Économie décrit ce scénario : la facture originale est numérisée et les coordonnées du fournisseur adaptées avec un logiciel.
Dans les trois cas, deux ingrédients reviennent : l'urgence (« le paiement doit partir aujourd'hui ») et un prétexte (audit, changement de banque, compte bloqué). Depuis que l'IA générative écrit sans faute et imite une voix à partir de quelques secondes d'enregistrement, un appel de « confirmation » peut même suivre le mail. Nous avons détaillé ces techniques dans notre article sur l'IA au service des escrocs.
Combien de victimes en Belgique ?
Les chiffres publics ne mesurent que ce qui est signalé. Le SPF Économie a reçu 215 signalements de fraude à la facture en 2024, pour plus de 3,3 millions d'euros de dommage déclaré, puis 166 signalements et 736 719 euros en 2025, jusqu'au 9 octobre (chiffres repris par Febelfin). Beaucoup d'entreprises ne signalent rien, par discrétion ou parce qu'elles règlent l'affaire avec leur fournisseur : la réalité est forcément plus élevée.
Un cas illustratif
Cas inventé, mais construit à partir de situations courantes. Une menuiserie de huit personnes, près de Namur, reçoit un mardi matin un e-mail de son fournisseur de panneaux, dans le fil habituel : la banque du fournisseur change, voici le nouvel IBAN, la facture de 18 400 euros est à régler avant vendredi pour garantir la prochaine livraison. La gérante encode le paiement entre deux rendez-vous. Trois semaines plus tard, le fournisseur envoie un rappel. La boîte mail de son comptable avait été piratée. L'argent a quitté le compte du fraudeur le jour même.
Qui paie quand on a payé le fraudeur ?
C'est la question que tout dirigeant pose en premier, et la réponse surprend souvent.
En principe, vous restez débiteur. Le SPF Économie l'écrit sans détour dans sa FAQ : l'obligation de paiement ne s'éteint qu'une fois le paiement effectué au créancier, c'est-à-dire au vrai fournisseur. Vous devrez donc en principe payer une seconde fois. Le fournisseur peut y renoncer ; s'il refuse et que vous contestez, c'est un juge qui tranche.
Le Code civil (article 5.198) prévoit bien une exception : un paiement fait de bonne foi à quelqu'un qui avait toutes les apparences du créancier peut être libératoire. Mais les juges l'appliquent avec prudence. Le 3 juin 2026, le tribunal de première instance d'Anvers a condamné une maison de ventes en ligne qui avait versé le produit d'une vente sur un compte indiqué dans un e-mail frauduleux, envoyé depuis l'adresse piratée du vendeur. Le message contenait des fautes et une phrase incohérente : une entreprise « normalement prudente » aurait dû appeler le vendeur avant de payer. Le paiement n'a pas été jugé libératoire et la maison de ventes a dû payer le solde, plus de 7 000 euros, avec les intérêts.
En pratique, cela signifie trois choses :
- la diligence se prouve : si vous pouvez montrer qu'une procédure existait et qu'elle a été suivie (appel au numéro connu, double validation), votre position est bien meilleure ;
- un avertissement ignoré pèse lourd : si votre banque vous a signalé que le nom ne correspondait pas et que vous avez quand même payé, il sera difficile de soutenir que vous étiez de bonne foi ;
- le fournisseur piraté n'est pas forcément innocent : si sa boîte mail était mal protégée, la répartition de la perte peut se négocier, ou se plaider. Ce n'est pas une certitude, et cela coûte du temps et des honoraires.
Vérifiez aussi votre contrat d'assurance : la fraude au virement peut être couverte, exclue ou plafonnée selon les polices. C'est une question à poser à votre courtier avant l'incident.
Ce que votre banque vérifie depuis octobre 2025
Depuis le 9 octobre 2025, toutes les banques (et autres prestataires de paiement) de la zone euro doivent vérifier, pour chaque virement en euros, que le nom du bénéficiaire que vous avez saisi correspond à l'IBAN. C'est la « vérification du nom du bénéficiaire » (Verification of Payee), imposée par le règlement européen 2024/886. Les banques belges l'ont introduite progressivement à partir de l'été 2025. Le contrôle est gratuit et automatique.
Quatre réponses sont possibles :
| Résultat | Ce que la banque affiche | Ce que vous devez faire |
|---|---|---|
| Correspondance | Rien de particulier | Payer |
| Correspondance proche | Le nom enregistré (pour une entreprise) | Vérifier : simple faute de frappe, ou nom qui ressemble ? |
| Pas de correspondance | Un avertissement | Ne pas payer avant d'avoir appelé le fournisseur |
| Vérification impossible | Un message d'impossibilité | Traiter comme un doute : appeler |
C'est une vraie avancée : un fraudeur qui encaisse sur le compte d'une « mule » (une personne qui prête son compte) ne peut pas faire correspondre ce compte au nom de votre fournisseur. Si vous tapez le nom du fournisseur, la banque vous préviendra.
Mais le contrôle a quatre limites :
- Il avertit, il n'empêche pas. Febelfin le rappelle : vous restez libre de payer, et vous restez responsable de vos virements.
- Il ne couvre que les virements en euros dans la zone euro. Un fournisseur au Royaume-Uni, en Suisse ou en dollars n'est pas concerné.
- Il ne vérifie pas la facture. Si l'escroc a ouvert un compte au nom d'une société qui ressemble à celle de votre fournisseur, ou si vous recopiez le nom inscrit par le fraudeur, le contrôle peut répondre « correspondance proche », voire « correspondance ».
- Il peut être désactivé pour les paiements groupés. Une entreprise qui envoie ses paiements en lot depuis son logiciel comptable peut renoncer au contrôle (article 5c, § 6 du règlement). Si votre comptable ou votre logiciel fonctionne ainsi, vérifiez que cette option n'a pas été cochée.
Les cinq règles qui arrêtent l'arnaque
Aucune n'exige d'achat. Toutes exigent de la discipline.
1. Un changement d'IBAN se confirme par téléphone, au numéro connu
Le numéro à appeler est celui de votre fichier fournisseurs, de votre contrat ou du site officiel, jamais celui qui figure dans le mail ou sur la facture qui annonce le changement. Ne répondez pas au mail pour « confirmer » : si la boîte est piratée, c'est l'escroc qui vous répondra. Febelfin et le SPF Économie donnent exactement ce conseil.
Écrivez-le dans une note de deux lignes, signée par le gérant, que toute personne qui paie des factures a lue. C'est elle qui prouvera votre diligence le jour où il le faudra.
2. Deux personnes pour un paiement inhabituel
La plupart des banques belges proposent une signature multiple pour les comptes professionnels : un virement au-dessus d'un montant que vous fixez doit être validé par deux personnes. Dans une petite structure, la deuxième personne peut être le gérant, le comptable externe ou un associé. Le fraudeur doit alors tromper deux personnes au lieu d'une.
3. Les coordonnées bancaires des fournisseurs sont verrouillées
Dans votre logiciel comptable ou de facturation, qui peut modifier l'IBAN d'un fournisseur ? Si la réponse est « tout le monde », restreignez ce droit à une ou deux personnes, et demandez si le logiciel garde un historique des modifications. Un IBAN qui change doit laisser une trace : qui, quand, sur la base de quel appel.
4. Un avertissement de la banque n'est jamais un détail
« Le nom ne correspond pas » n'est pas un bug à contourner pour que le paiement passe. C'est exactement le signal que le système a été conçu pour donner. La règle interne est simple : en cas d'avertissement, on n'insiste pas, on appelle.
5. Urgence + changement = arrêt
Une facture qui combine nouveau compte et paiement urgent, ou un « directeur » qui demande un virement confidentiel, doit déclencher un arrêt automatique. Les escrocs comptent sur la pression du temps. Une heure de retard pour un appel n'a jamais fait perdre un fournisseur ; 18 000 euros envolés, si.
Et la facture électronique ?
Depuis le 1er janvier 2026, les factures entre entreprises assujetties à la TVA doivent être des factures électroniques structurées, échangées en pratique via le réseau Peppol. Pour vous, cela crée un réflexe utile : une « nouvelle facture » ou un « nouvel IBAN » qui arrive uniquement par e-mail en PDF, alors que ce fournisseur vous envoie normalement ses factures par votre logiciel, est suspect. Peppol réduit la marge des fraudeurs ; il ne la supprime pas, car le compte du fournisseur sur sa plateforme peut lui aussi être piraté. La règle n° 1 reste valable.
Si c'est votre entreprise que l'on imite
La fraude a deux victimes : celui qui paie le fraudeur, et le fournisseur dont le nom a servi d'appât, qui attend son argent et voit sa relation client abîmée. Si vous émettez des factures, quatre mesures protègent vos clients :
- protégez votre messagerie : authentification à deux facteurs sur toutes les boîtes, surtout celles de la comptabilité. Une boîte piratée est le point de départ de la variante la plus dangereuse. Si votre messagerie tient à un compte créé à la va-vite, lisez notre article sur le compte Microsoft ;
- affichez votre IBAN ailleurs que sur la facture : sur vos bons de commande, vos conditions générales et votre site, comme le recommande le SPF Économie, pour que vos clients puissent le comparer ;
- annoncez la règle : une phrase sur vos factures du type « Nous ne changerons jamais de numéro de compte par simple e-mail : en cas de doute, appelez-nous » ;
- utilisez votre dénomination légale exacte sur vos factures, celle que connaît votre banque et la Banque-Carrefour des Entreprises : la vérification du nom fonctionne mieux, et vos clients reçoivent moins d'avertissements injustifiés.
Et si un client vous dit avoir payé sans que vous ayez rien reçu, réagissez vite : le SPF Économie conseille de le contacter rapidement quand un paiement tarde, avant que l'argent ne disparaisse.
Vous avez payé ? Les premières heures comptent
- Appelez immédiatement votre banque, au numéro de son service fraude. Elle peut demander à la banque du bénéficiaire de bloquer le compte ou de rendre les fonds : plus l'appel est rapide, plus les chances sont réelles. Si vous ne trouvez pas ce numéro, Fraudstop (078 170 170, le même numéro que Card Stop, ouvert 24 h sur 24) vous met en relation avec votre banque.
- Prévenez votre fournisseur, par téléphone, au numéro connu : il doit savoir que sa messagerie est peut-être piratée, et d'autres clients sont peut-être visés.
- Portez plainte à la police et déclarez-vous personne lésée : vous serez informé de la suite du dossier. Si les auteurs sont identifiés et poursuivis, vous pourrez vous constituer partie civile pour demander réparation.
- Signalez la fraude sur ConsumerConnect, le point de signalement du SPF Économie.
- Gardez toutes les traces : e-mails originaux (pas des captures d'écran), factures, extraits bancaires. Votre informaticien aura besoin des en-têtes complets des messages.
- Vérifiez votre propre messagerie : si c'est chez vous que le mail est arrivé par une boîte piratée, l'attaquant y est peut-être encore.
Ce que l'Europe prépare
Deux textes européens vont dans le bon sens, mais aucun ne protégera votre PME dans les prochains mois.
Le règlement sur les services de paiement (PSR). Le Parlement et le Conseil ont trouvé un accord politique le 27 novembre 2025, et le Conseil a arrêté sa position en première lecture fin octobre 2026. Le texte étend la vérification du nom à tous les virements et renforce la responsabilité des banques qui n'appliquent pas de mesures antifraude suffisantes. Le droit au remboursement le plus médiatisé vise toutefois un autre scénario : l'escroc qui se fait passer pour un employé de la banque. Le faux fournisseur n'est pas couvert de la même manière. Ne comptez pas sur ce texte pour vous rembourser une facture payée au mauvais compte.
Le portefeuille européen des entreprises (European Business Wallet). Proposé par la Commission le 19 novembre 2025, il permettrait à une entreprise de s'identifier en ligne de façon fiable, de signer et d'échanger des documents avec la même valeur juridique qu'en personne. À terme, prouver qui envoie une facture ou une demande de changement deviendra plus facile. Mais le texte est encore en négociation entre le Parlement et le Conseil (position du Conseil le 9 juin 2026, rapport de la commission ITRE du Parlement le 10 septembre 2026), son usage restera volontaire pour les entreprises et les administrations auront un délai de l'ordre de deux ans pour l'accepter. C'est une solution pour la fin de la décennie, pas pour votre prochaine facture.
Concrètement : trois options
| Option | Coût | Temps | Risque |
|---|---|---|---|
| Ne rien faire | 0 € | 0 | Une seule fraude réussie et vous payez deux fois la facture, sans garantie de récupérer la première. Le contrôle de la banque vous avertit, mais une personne pressée peut passer outre. |
| Le faire vous-même | 0 € (signature multiple : voir les conditions de votre banque) | Une demi-journée : écrire la règle, activer la double signature, limiter les droits dans le logiciel comptable, informer l'équipe | Faible pour la partie « paiements ». Reste ouvert : la sécurité de votre messagerie et de votre nom de domaine, qui demande des compétences techniques. |
| Vous faire accompagner | Quelques heures de prestation | Une à deux journées, réparties | Le plus faible : procédure écrite, messagerie vérifiée (double authentification, règles de transfert suspectes, protection du domaine), formation courte des personnes qui paient. |
La première étape ne coûte rien et peut se faire aujourd'hui : la règle n° 1, écrite et signée.
Pour votre informaticien
Ce qui suit vise la personne qui gère votre messagerie et vos comptes. Pour le reste de l'équipe, les cinq règles suffisent.
- Messagerie Microsoft 365 ou Google Workspace : authentification multifacteur pour tous les comptes, sans exception pour la comptabilité ni pour les comptes partagés. Bloquer les protocoles d'authentification hérités.
- Règles de boîte aux lettres : un attaquant installé dans une boîte crée souvent une règle qui déplace ou supprime les réponses du vrai client (mots-clés « IBAN », « paiement », « facture »), ou qui transfère tout vers une adresse externe. Auditer les règles de réception et le transfert automatique externe (dans Exchange Online :
Get-InboxRule, et la stratégie de filtrage du courrier sortant qui contrôle le transfert automatique). - Domaine de l'entreprise : publier SPF, DKIM et DMARC, puis passer DMARC progressivement en
p=quarantinepuisp=reject. Cela empêche l'usurpation directe de votre domaine, pas l'enregistrement d'un domaine sosie. - Domaines sosies : un outil comme
dnstwist(open source) liste les variantes de votre nom de domaine déjà enregistrées. Une variante enregistrée récemment avec un serveur de messagerie actif mérite une alerte. - Logiciel comptable : séparer le droit de modifier une fiche fournisseur et le droit de préparer les paiements, et activer le journal des modifications.
- Banque : vérifier que l'entreprise n'a pas renoncé à la vérification du nom pour ses paiements groupés, et activer les seuils de signature multiple.
- Inventaire des accès : savoir qui a accès aux comptes bancaires en ligne, aux boîtes de la comptabilité et à la console du nom de domaine. Notre audit des accès externes et notre article sur les pièges d'un petit parc de PC donnent la méthode.
Testez-vous
Sources
A&O Shearman. (2026, 23 octobre). Council first reading position with a view to adoption of proposed payment services package. https://finreg.aoshearman.com/council-first-reading-position-with-a-view-to-adoption-of-proposed-payment-services-package
Conseil de l'Union européenne. (2026, 9 juin). European business wallets: Council adopts negotiating position. https://www.consilium.europa.eu/en/press/press-releases/2026/06/09/european-business-wallets-council-adopts-negotiating-position/
Febelfin. (2025a, 23 juin). Verification of the beneficiary's name: banks start gradual introduction. https://febelfin.be/en/press-room/fraude-veiligheid/verification-of-the-beneficiary-s-name-banks-start-gradual-introduction
Febelfin. (2025b, 9 octobre). La vérification du nom du bénéficiaire est étendue et renforce la lutte contre la fraude à la facture. https://febelfin.be/fr/presse/fraude-et-securite/la-verification-du-nom-du-beneficiaire-est-etendue-et-renforce-la-lutte-contre-la-fraude-a-la-facture
Febelfin. (2026, 30 juillet). Fraudstop: more than 6,700 calls one month after launch. https://febelfin.be/en/press-room/fraude-veiligheid/fraudstop-more-than-6-700-calls-one-month-after-launch
Lawbase. (2026, 24 juin). Veilinghuis betaalt aan fraudeur: rechter oordeelt dat onzorgvuldige betaling niet bevrijdend is [Rb. Antwerpen, 3 juin 2026]. https://www.lawbase.be/rechtspraak/veilinghuis-betaalt-aan-fraudeur-rechter-oordeelt-dat-onzorgvuldige-betaling-niet-bevrijdend-is
Parlement européen. (2025, 27 novembre). Payment services deal: More protection from online fraud and hidden fees. https://www.europarl.europa.eu/news/en/press-room/20251121IPR31540/payment-services-deal-more-protection-from-online-fraud-and-hidden-fees
Parlement européen. (s.d.). European business wallets. Legislative Train Schedule. https://www.europarl.europa.eu/legislative-train/theme-a-new-plan-for-europe-s-sustainable-prosperity-and-competitiveness/file-european-business-wallet
Règlement (UE) 2024/886 du Parlement européen et du Conseil du 13 mars 2024 modifiant les règlements (UE) n° 260/2012 et (UE) 2021/1230 et les directives 98/26/CE et (UE) 2015/2366 en ce qui concerne les virements instantanés en euros. (2024). Journal officiel de l'Union européenne. https://eur-lex.europa.eu/eli/reg/2024/886/oj
SPF Économie. (2019, 18 juin). Facture payée ? Pas sûr… https://news.economie.fgov.be/178189-facture-payee-pas-sur/
SPF Économie. (2025a, 27 janvier). Fraude à la facture : questions fréquemment posées. https://economie.fgov.be/fr/themes/protection-des-consommateurs/stop-arnaques/formes-darnaques/vous-avez-un-probleme-avec-une/vous-avez-paye-une-facture/fraude-la-facture-questions
SPF Économie. (2025b, 9 octobre). La vérification du nom lié à l'IBAN : une nouvelle arme contre la fraude à la facture. https://news.economie.fgov.be/255219-la-verification-du-nom-lie-a-l-iban-une-nouvelle-arme-contre-la-fraude-a-la-facture/
SPF Économie. (s.d.). Fraude à la facture : votre client a payé mais vous n'avez rien reçu. https://economie.fgov.be/fr/themes/protection-des-consommateurs/stop-arnaques/les-principales-arnaques-en/fraude-la-facture/fraude-la-facture-votre-client
SPF Finances. (2025). Period of tolerance during the first three months of 2026. e-invoice. https://einvoice.belgium.be/en/news/period-tolerance-during-first-three-months-2026