Faux ordres de virement : pourquoi les contrôles manuels laissent passer

Cette fraude ne contourne pas le circuit de la dépense. Elle l'emprunte, en se présentant comme une opération ordinaire.

Publié le 29 octobre 2025 par Cédric Lécuyer. 5 minutes de lecture.

Le mécanisme

La fraude au faux ordre de virement consiste à obtenir d'une organisation qu'elle effectue un paiement vers un compte contrôlé par un tiers, en usurpant l'identité d'un créancier légitime ou d'un dirigeant.

Deux variantes dominent.

La première passe par la modification des coordonnées bancaires d'un fournisseur existant. Une demande arrive, accompagnée d'un relevé d'identité bancaire, souvent dans un échange de messagerie déjà engagé. Le fournisseur est réel, la facture est réelle, le montant est attendu. Seul le compte destinataire a changé.

La seconde repose sur l'autorité. Une instruction de paiement urgente et confidentielle paraît émaner d'un dirigeant ou d'un supérieur hiérarchique, avec une justification qui décourage la vérification.

Dans les deux cas, aucun dispositif technique n'est forcé. L'opération suit le circuit normal, franchit les validations prévues, et se présente sous une apparence de régularité.

Pourquoi les contrôles manuels ne suffisent pas

Un circuit de dépense comporte généralement plusieurs validations. Elles portent sur la régularité de la dépense, la disponibilité des crédits, la conformité au marché. Aucune ne porte spécifiquement sur l'identité du compte destinataire, considérée comme une donnée de référence déjà vérifiée.

C'est précisément l'angle mort. La donnée bancaire est traitée comme un attribut du tiers, mis à jour au fil de l'eau par le service qui reçoit la demande, alors qu'elle détermine à elle seule la destination des fonds.

Trois facteurs aggravent la vulnérabilité.

Le volume. Sur des centaines de mandats mensuels, la vérification approfondie de chacun est impraticable, et les contrôles se concentrent sur les montants élevés. Or une fraude bien calibrée reste sous les seuils d'attention.

L'urgence. Les demandes frauduleuses sont conçues pour tomber au mauvais moment : veille de week-end, période de congés, clôture. L'urgence est l'argument qui fait sauter la vérification.

La confiance. Le circuit repose sur des relations établies. Une demande qui arrive par le canal habituel, avec les bonnes références de dossier, ne déclenche aucune méfiance, et c'est le comportement normal d'une organisation qui fonctionne.

Les contrôles qui arrêtent cette fraude

Ils sont peu nombreux et ne coûtent rien à mettre en place. Leur difficulté est d'être appliqués systématiquement, y compris quand c'est inopportun.

La vérification par un canal indépendant. Toute modification de coordonnées bancaires doit être confirmée en rappelant le fournisseur au numéro figurant dans le référentiel interne, jamais à celui indiqué dans la demande. Ce seul contrôle fait échouer la quasi-totalité des tentatives.

La séparation entre la mise à jour du tiers et l'exécution du paiement. La personne qui modifie une coordonnée bancaire ne doit pas être celle qui valide le virement. C'est l'application directe du principe de séparation des tâches à un point précis.

La double validation sur les modifications sensibles, indépendamment du montant. Le seuil de déclenchement doit porter sur la nature de l'opération, pas seulement sur sa valeur.

La traçabilité des modifications. Ancien compte, nouveau compte, auteur, date, pièce justificative, vérification effectuée. Sans cet historique, l'analyse après incident est impossible.

Ce qui relève de l'organisation, pas de l'outil

Une remarque s'impose sur l'automatisation. Un circuit entièrement automatisé n'est pas plus sûr par nature : il exécute plus vite ce qu'on lui demande, y compris une instruction frauduleuse.

L'automatisation apporte quelque chose lorsqu'elle fait ressortir ce qui sort de l'ordinaire : coordonnées bancaires modifiées puis paiement immédiat, compte partagé entre plusieurs tiers, tiers créé puis payé dans un délai très court, opérations fractionnées sous un seuil de validation.

Ces éléments sont des points à instruire par un agent, jamais des conclusions. La décision appartient à la personne, et la trace doit montrer que c'est bien elle qui l'a prise. C'est une exigence juridique autant qu'une condition pour que le dispositif soit accepté par les équipes.

Note sur cet article

Cet article a été révisé pour s'en tenir au mécanisme de fraude et aux contrôles qui s'y opposent. Sa version initiale faisait référence à un cas survenu dans une collectivité territoriale que les sources citées ne permettaient pas d'établir.

Sources

• Que faire en cas de fraude au virement ou au faux RIB, Cybermalveillance.gouv.fr

• Le contrôle interne, portail Collectivités locales

• Guide de renforcement du contrôle interne comptable et financier, DGFiP