Fraude au virement : la collectivité paie deux fois

Payer un imposteur ne vaut pas paiement. La dette subsiste, et il faut payer une seconde fois le véritable créancier.

Publié le 25 juin 2026 par Cédric Lécuyer. 7 minutes de lecture.

Une progression hors norme

Le rapport d'activité 2025 de Cybermalveillance.gouv.fr, présenté en mars 2026, donne à la fraude au virement la progression la plus forte parmi les menaces suivies.

Tous secteurs confondus, elle augmente de 170 %. Pour les entreprises, la hausse est de 93 %. Pour les collectivités territoriales, elle atteint 262 %, plaçant cette fraude au quatrième rang de leurs motifs de demande d'assistance, soit 8,5 % des sollicitations. Sur l'année, 5 078 collectivités ont eu recours au dispositif, qui a traité plus de 504 000 demandes d'assistance tous publics confondus.

Le rapport note également que la fraude s'étend à de nouveaux domaines, notamment la facturation électronique et la gestion de la paie.

Le mode opératoire est constant. Un tiers usurpe l'identité d'un créancier avec lequel l'organisation est en relation et lui fait modifier les coordonnées bancaires de règlement. Les fraudeurs s'insèrent fréquemment dans des échanges de messagerie existants, ce qui rend la demande crédible : elle arrive dans un fil de discussion légitime, au moment attendu, avec les bonnes références de dossier.

La règle de droit vient de se durcir

Par un arrêt du 17 juin 2026 publié au bulletin, la chambre commerciale de la Cour de cassation a tranché une question qui déterminait jusqu'ici la charge finale de la perte.

Le principe posé est clair : n'est pas créancier apparent le tiers qui usurpe l'identité du créancier. Le paiement effectué sur des coordonnées bancaires frauduleuses n'est donc pas un paiement à un créancier apparent, et il n'est pas libératoire.

La Cour reproche à la cour d'appel d'avoir confondu deux croyances distinctes : la croyance légitime en l'identité du créancier, et la croyance légitime en l'identité du titulaire du compte de paiement. Le débiteur qui savait parfaitement qui était son créancier n'a pas payé un créancier apparent ; il a payé un imposteur, et son paiement ne l'a pas libéré.

La conséquence est directe. L'organisation qui a viré sur un faux compte reste tenue envers son fournisseur. Elle devra payer une seconde fois, et se retourner ensuite, si elle le peut, contre l'auteur de la fraude ou contre sa banque.

Ce que cela coûte

Le raisonnement change l'analyse du risque.

Tant que l'on considère qu'un paiement de bonne foi éteint la dette, la perte se limite au montant détourné et se discute avec l'assureur. Dès lors que le paiement n'est pas libératoire, la sortie de trésorerie est double : le montant détourné, plus le montant réellement dû. Sur un marché de travaux à sept chiffres, l'écart n'est pas théorique.

S'y ajoute un enjeu de responsabilité interne. Dans une organisation publique, un double paiement appelle une explication sur les contrôles en place au moment de la modification des coordonnées bancaires.

Le point de contrôle est unique

La bonne nouvelle est que toutes ces fraudes convergent vers un même geste : la modification des coordonnées bancaires d'un tiers existant.

C'est un événement rare, identifiable, et qui se prête bien à un contrôle. Encore faut-il qu'il soit traité comme un événement, et non comme une mise à jour de fiche parmi d'autres.

Quatre exigences y répondent.

La modification doit suivre un circuit distinct de la saisie courante, avec une validation par une personne différente de celle qui enregistre. C'est l'application directe du principe de séparation des tâches à un point de vulnérabilité précis.

La vérification doit passer par un canal indépendant de celui par lequel la demande est arrivée. Rappeler le fournisseur au numéro figurant dans le référentiel, jamais à celui indiqué dans le message de demande. Ce détail est celui qui fait échouer la quasi-totalité des tentatives.

Chaque modification doit laisser un historique daté et attribué : ancien compte, nouveau compte, auteur, pièce justificative, vérification effectuée. Sans cet historique, la reconstitution après incident est impossible et la responsabilité indéterminable.

Enfin, les coordonnées bancaires partagées entre plusieurs tiers doivent être détectées. Un même compte rattaché à deux fournisseurs distincts est une anomalie qui mérite instruction, qu'elle résulte d'une fraude, d'une erreur de saisie ou d'un lien capitalistique non déclaré.

Le référentiel de tiers comme socle

Ces contrôles supposent tous un référentiel fournisseurs tenu, et c'est là que la difficulté se situe réellement.

Un référentiel fiable suppose que chaque tiers soit identifié par son existence juridique vérifiée et non par sa seule raison sociale, que les doublons soient traités, que l'historique des modifications soit conservé, et que les tiers inactifs soient distingués des tiers actifs plutôt que laissés en l'état.

Ce même socle sert au-delà de la prévention de la fraude au virement. Il alimente l'évaluation des tiers exigée par les dispositifs anticorruption, la maîtrise de l'écosystème attendue au titre de NIS 2, et la détection des situations atypiques dans la chaîne de la dépense.

Une organisation qui le construit une fois répond à plusieurs exigences. Une organisation qui ne le tient pas découvre le problème au moment où il coûte le plus cher, c'est-à-dire après un double paiement.

Sources

• Cour de cassation, chambre commerciale, 17 juin 2026, n° 24-13.306, publié au bulletin, Légifrance

• Rapport d'activité et état de la menace 2025, Cybermalveillance.gouv.fr

• Que faire en cas de fraude au virement ou au faux RIB, Cybermalveillance.gouv.fr

• Fraude au virement, cyberharcèlement, piratage : les collectivités ont besoin d'assistance, Maire-Info