Fraude et sécurité du compte pro : prévenir et réagir

L’essentiel.

Il existe deux grandes familles de fraude. Quand on débite votre compte sans votre accord (carte volée, accès piraté), la règle protectrice est le remboursement immédiat, sauf preuve de fraude ou de négligence grave de votre part. Quand c’est vous, ou un collaborateur, qui valide un virement sous la pression d’un faux dirigeant ou avec un faux RIB, la banque n’a en principe aucune obligation de rembourser : seul un rappel de fonds, jamais garanti, est possible. La prévention repose sur une procédure interne de double validation, des droits d’accès bien répartis et l’authentification forte. Contestation : au plus tard 13 mois après le débit.

Quelles fraudes visent le plus souvent les entreprises ?

Je m’appuie sur les fiches réflexes de cybermalveillance.gouv.fr, le dispositif national d’assistance aux victimes, pour cadrer les situations. Cinq reviennent sans cesse.

Le faux ordre de virement (FOVI), dit « fraude au président ». L’escroc se fait passer pour le dirigeant ou un cadre, avec un message présenté comme urgent et confidentiel, et demande un virement exceptionnel à la comptabilité.
Le faux RIB. L’escroc usurpe l’identité d’un fournisseur et communique de nouvelles coordonnées bancaires. La facture suivante est payée sur le compte du fraudeur.
Le faux conseiller bancaire. Un appel ou un SMS prétend venir de votre banque, évoque une opération suspecte et pousse à valider une opération « de sécurité » ou à communiquer un code.
L’hameçonnage (phishing). Faux mail ou faux SMS imitant votre banque, l’administration ou un fournisseur, pour voler des identifiants.
La prise de contrôle de messagerie ou d’accès bancaire, souvent préparée par l’une des méthodes précédentes, qui permet de rediriger des factures ou de lancer des ordres.

Ce qui frappe, c’est que les trois premières exploitent l’humain plutôt que la technique. Les meilleurs outils de sécurité d’une banque sont contournés quand le bon interlocuteur valide lui-même l’opération.

Remboursement : pourquoi la nature de la fraude change tout

C’est la distinction la plus importante de ce guide. Les pages de la Banque de France sur les virements expliquent le principe en termes généraux, sans distinguer particuliers et professionnels : si une opération est non autorisée, la banque doit la rembourser immédiatement, frais compris. Si l’authentification forte n’a pas été mise en œuvre, le remboursement est systématique. Quand elle l’a été, la banque peut refuser, mais seulement si elle prouve votre négligence grave ou une fraude de votre part. Une recommandation de l’Observatoire de la sécurité des moyens de paiement précise en outre que l’authentification forte ne prouve pas à elle seule que vous avez autorisé l’opération.

La situation est radicalement différente quand vous avez vous-même donné l’ordre, trompé par un faux dirigeant ou un faux RIB. Pour la Banque de France, une banque exécute les ordres selon les informations que vous lui fournissez et n’est pas tenue de rembourser un virement envoyé à un mauvais bénéficiaire. Elle s’efforcera de récupérer les fonds, mais sans obligation de résultat.

Type de fraude	Qui a validé l’opération ?	Remboursement	Premier geste
Carte volée ou numéro de carte utilisé en ligne	Personne de l’entreprise	Remboursement immédiat si non autorisé (sauf preuve de négligence grave ou de fraude)	Faire opposition, contester
Accès bancaire piraté, virement lancé par un tiers	Personne de l’entreprise	Idem, la banque analyse la procédure d’authentification	Prévenir la banque, changer les accès
Fraude au président (FOVI)	Un collaborateur, de bonne foi	Pas d’obligation de remboursement ; rappel de fonds possible	Appeler la banque, demander le rappel, porter plainte
Faux RIB fournisseur	Un collaborateur, de bonne foi	Idem	Idem, plus prévenir le vrai fournisseur
Faux conseiller bancaire	Souvent le dirigeant lui-même	Discuté au cas par cas : la banque cherche des preuves de négligence grave	Opposition, contestation écrite, plainte

Attention.

Les règles de la Banque de France sont rédigées en termes généraux. Une convention de compte professionnelle peut prévoir des modalités propres (plafonds, délais, répartition des responsabilités). Je n’ai pas pu confirmer, dans une source officielle consultée aujourd’hui, dans quelle mesure ces règles de remboursement peuvent être aménagées pour un client professionnel : relisez la partie « opérations de paiement non autorisées » de votre convention avant de vous reposer sur elles.

Comment se protéger de la fraude au président ?

La fiche de cybermalveillance.gouv.fr est claire sur la prévention : il faut une procédure de vérification et de validation hiérarchique non dérogeable pour les virements imprévus et les changements de RIB. Je la traduis en règles que n’importe quelle petite entreprise peut appliquer en une demi-heure.

Aucun virement exceptionnel sur simple mail. Toute demande hors procédure est confirmée par un appel au numéro que vous connaissez déjà, pas celui indiqué dans le message.
Double validation. Une personne saisit, une autre valide, au-delà d’un montant que vous fixez. Si vous êtes seul, faites valider par votre expert-comptable ou fixez un délai de réflexion de 24 heures sur les virements nouveaux.
Vérifier l’identité par un canal fiable : adresse d’expédition, rappel sur un numéro de l’annuaire, confirmation auprès d’un collègue. En cas de doute, ne pas virer.
Limiter ce qui est public sur qui est habilité à faire des virements (organigramme, pages réseaux sociaux).
Protéger la messagerie : mot de passe solide, double authentification, contrôle des règles de redirection.

Le point que je rappelle toujours aux dirigeants : la pression « urgent et confidentiel » est le signal d’alerte, pas le motif de contourner la procédure. Un vrai dirigeant acceptera sans difficulté d’être rappelé.

Faux RIB et changement de coordonnées : que faire à chaque facture ?

Le principe est simple : tout nouveau RIB reçu par message se confirme par téléphone, auprès du fournisseur, sur son numéro habituel. La fiche de cybermalveillance.gouv.fr recommande exactement ce réflexe. Pour une entreprise qui règle beaucoup de factures, j’ajoute trois habitudes : bloquer la modification des coordonnées bancaires dans le logiciel de comptabilité à une seule personne, conserver l’historique des RIB validés, et rapprocher le premier virement vers un nouveau compte d’une confirmation de réception par le fournisseur.

La vérification du bénéficiaire, un filet utile mais pas une garantie

Depuis le 9 octobre 2025, les banques vérifient, avant d’exécuter un virement SEPA (classique ou instantané), que le nom du bénéficiaire correspond bien au titulaire de l’IBAN saisi. Pour une entreprise ou une association, le contrôle porte sur la raison sociale ou le nom commercial. En cas de discordance, la banque le signale et le virement peut être suspendu. Vous pouvez néanmoins le maintenir, mais vous assumez alors le risque que les fonds n’arrivent pas au bon destinataire. Le service ne peut pas être désactivé.

Deux limites à garder en tête. Ce contrôle ne couvre pas les virements hors zone SEPA, et le guide de la Banque de France rappelle qu’il ne remplace pas la vigilance sur les coordonnées saisies. Surtout, un faux RIB peut très bien porter le bon nom : un escroc peut ouvrir un compte au nom d’une société similaire. Je traite donc la vérification du bénéficiaire comme une alerte de plus, jamais comme un feu vert. Pour les détails opérationnels sur les virements, voir le guide sur les virements SEPA et instantanés.

Authentification forte, accès et plafonds : comment verrouiller le compte ?

Cette section est ma liste de contrôle quand j’examine une offre de compte pro (le guide sur l’ouverture d’un compte indique à quel moment les paramétrer). Les bonnes pratiques sont celles que la banque propose presque toutes ; encore faut-il les activer.

Authentification forte sur toutes les opérations sensibles : connexion, ajout d’un bénéficiaire, virement, paiement par carte en ligne. L’Observatoire de la sécurité des moyens de paiement souligne qu’un simple code reçu par SMS ne suffit pas à valider une authentification renforcée pour les cartes en l’absence d’un second facteur conforme.
Droits d’accès différenciés : un utilisateur qui consulte, un autre qui prépare, un troisième qui valide. Évitez le compte partagé avec un identifiant unique.
Plafonds de virements et de cartes adaptés à l’activité réelle : un plafond bas qui bloque le soir une opération anormale vaut mieux qu’un plafond confortable jamais utilisé. Demandez à votre banque comment relever temporairement un plafond pour une opération planifiée.
Cartes dédiées par collaborateur plutôt qu’une carte unique, avec option de blocage instantané dans l’application, et paiements à l’étranger ou sans contact désactivés si inutiles. Voir le guide sur les cartes pro.
Alertes par notification sur chaque opération au-dessus d’un seuil, et revue mensuelle des appareils connectés et des utilisateurs actifs.
Départ d’un collaborateur : fermer ses accès le jour même, révoquer ses cartes et ses délégations.

Mon conseil.

Quand vous comparez des offres, ne vous arrêtez pas à la gestion des droits d’accès sur la plaquette. Cherchez dans les conditions générales si la banque permet une double validation des virements et la création d’utilisateurs à droits limités. Pour une société avec deux associés, c’est le critère de sécurité qui compte le plus.

Phishing et faux conseiller : les réflexes qui évitent le pire

Le point de départ est la fiche « hameçonnage » de cybermalveillance.gouv.fr : un organisme sérieux ne demande jamais de données sensibles par message ou par téléphone. J’en tire quelques consignes opérationnelles.

Ne jamais cliquer sur un lien de connexion reçu par message : passez par un favori que vous avez créé ou saisissez l’adresse vous-même.
Un conseiller ne vous demandera jamais de valider une opération « pour annuler » une fraude, de communiquer un code reçu par SMS ou d’installer une application de prise en main à distance.
Raccrocher et rappeler la banque au numéro figurant sur sa carte ou son site, jamais au numéro qui s’affiche.
Activer la double authentification sur la messagerie professionnelle et utiliser un mot de passe différent par service, éventuellement avec un coffre-fort numérique.
Se méfier des messages qui jouent sur l’urgence, la menace ou la gratuité, y compris lorsque l’expéditeur semble connu : la compromission d’une messagerie d’un partenaire est fréquente.

Fraude constatée : que faire dans l’heure, dans la journée, dans la semaine ?

Voici l’ordre que je recommande, d’après les fiches de cybermalveillance.gouv.fr et les pages de la Banque de France.

Dans l’heure

Bloquer ce qui peut l’être : suspendre les virements en attente, faire opposition à la carte, désactiver les accès compromis.
Appeler la banque et demander le rappel des fonds (« recall ») si le virement est parti. La Banque de France le dit clairement : la procédure n’aboutit pas toujours, surtout lorsqu’elle est lancée tardivement. Chaque heure compte.
Repérer tous les virements concernés, exécutés, en instance ou à venir vers le compte de l’escroc, et faire bloquer ses coordonnées dans les outils de gestion.

Dans la journée

Conserver les preuves : mails, numéros de téléphone, ordres de virement, factures, captures d’écran. En cas de piratage de messagerie, photographiez les règles de redirection avant de les supprimer.
Déposer plainte au commissariat ou à la gendarmerie. La banque demande souvent une copie de la plainte pour poursuivre le rappel de fonds. Si vous suspectez le piratage d’une messagerie, la plateforme en ligne THESEE du ministère de l’Intérieur est citée par cybermalveillance.gouv.fr.
Contester par écrit l’opération auprès de la banque (courrier ou message sécurisé), en précisant l’heure, le montant et le contexte.
Prévenir l’assureur : la déclaration de sinistre est recommandée par le guide à destination des dirigeants de TPE, PME et ETI de cybermalveillance.gouv.fr, notamment si vous avez une garantie cyber ou fraude.

Dans la semaine

Changer les mots de passe des comptes compromis et ceux qui leur ressemblent.
Signaler : les mails suspects à Signal Spam, les SMS au 33700, les sites frauduleux à Phishing Initiative. Pour être conseillé, la plateforme Info Escroqueries (0 805 805 817, appel gratuit) est un bon point d’entrée, tout comme France Victimes (116 006) pour l’accompagnement.
Documenter pour la comptabilité et l’éventuelle déclaration d’assurance, avec un tableau des opérations et des preuves.

Délais, réclamation et recours : jusqu’où peut-on aller ?

La Banque de France indique que le signalement d’un virement non autorisé doit intervenir au plus vite et au plus tard dans un délai de 13 mois après le débit, ramené à 70 jours si le compte du bénéficiaire se situe hors de l’Espace économique européen (Royaume-Uni et Suisse, par exemple). Pour les cartes, le délai est le même, avec une réduction à 70 jours pour un bénéficiaire hors UE/EEE, que le contrat peut allonger sans dépasser 120 jours. Retenez surtout qu’il ne faut pas attendre : plus la contestation est rapide, plus le rappel de fonds a des chances d’aboutir.

Si la banque refuse de rembourser et que vous la contestez, la marche est la suivante.

Réclamation écrite auprès du service réclamations de la banque. D’après la foire aux questions de la Banque de France, elle doit accuser réception dans les dix jours ouvrables et répondre dans un délai maximal de deux mois, avec des délais plus courts (15 à 35 jours ouvrables) pour les litiges portant sur un paiement.
Médiation : la médiation de la consommation est réservée aux consommateurs. Pour les professionnels, la Fédération bancaire française a recommandé à ses adhérents, en 2021, de mettre en place une médiation conventionnelle pour leurs clients professionnels (personnes physiques agissant pour des besoins professionnels). Son existence dépend donc de chaque banque : renseignez-vous dans votre convention. Pour un problème de financement, la médiation du crédit de la Banque de France est un autre dispositif, gratuit, qui ne traite pas ce type de litige de paiement.
Action en justice en dernier recours, avec l’aide d’un avocat. Je ne peux pas évaluer vos chances sur un dossier précis ; un juriste le fera.

Qu’est-ce qui change avec la lutte contre la fraude en 2026 ?

Deux évolutions méritent d’être suivies. La vérification du bénéficiaire, déjà en place depuis octobre 2025, sera étendue à d’autres virements au fil du calendrier européen (2027 pour les pays hors zone euro, d’après le guide de la Banque de France). Par ailleurs, les pages consultées indiquent que la loi du 6 novembre 2025 prévoit un fichier national des comptes signalés pour risque de fraude, qui permettra aux banques de bloquer en amont des virements ou prélèvements vers des IBAN suspects. Je n’ai pas pu vérifier, à la date de ce guide, le calendrier d’entrée en service de ce fichier ; je préfère donc ne pas le présenter comme déjà actif.

Erreurs fréquentes

Attendre le lendemain pour appeler la banque. Le rappel de fonds se joue en heures.
Croire que la banque rembourse toujours. Quand vous avez validé l’opération, il n’y a pas de remboursement de droit.
Laisser tous les droits à tout le monde : un seul identifiant partagé, pas de seuil de validation.
Faire confiance à un RIB reçu par mail parce que le message vient d’une adresse connue : l’adresse peut être usurpée ou piratée.
Ne pas déposer plainte : sans plainte, la banque ne lancera souvent pas le rappel de fonds, et l’assurance ne jouera pas.
Oublier de couper les accès d’un collaborateur qui part.
Prendre la vérification du bénéficiaire pour une preuve de légitimité, alors qu’elle ne contrôle que la concordance nom/IBAN.

Pour aller plus loin

La sécurité technique ne remplace pas la protection de vos fonds : voir le guide sur la garantie des dépôts. Si vous hésitez entre plusieurs offres, choisir sa banque pro replace la sécurité parmi les autres critères, et les frais du compte pro détaillent le coût d’options comme les utilisateurs supplémentaires ou les cartes virtuelles. Cet article est informatif : pour une fraude en cours, appelez d’abord votre banque, puis un conseil.

Sources officielles

Avertissement. Les informations présentées sont fournies à titre informatif et pédagogique. Elles ne constituent pas un conseil personnalisé, ni un conseil juridique, fiscal ou comptable. Meilleure Banque Pro n’est ni une banque ni un intermédiaire en opérations de banque. La situation de votre entreprise (forme juridique, activité, régime fiscal) peut modifier le résultat : en cas de doute, rapprochez-vous de votre établissement, de votre expert-comptable ou d’un professionnel habilité.

Questions fréquentes

La banque rembourse-t-elle une fraude au président ?

En principe non. Le virement a été validé par un collaborateur, donc il n’est pas considéré comme non autorisé. La banque peut tenter un rappel de fonds, sans garantie de résultat, d’autant moins qu’on tarde à la prévenir.

Que faire dans l’heure après avoir validé un virement frauduleux ?

Appelez la banque pour demander le rappel de fonds, suspendez les virements en attente vers le même compte, conservez les preuves et déposez plainte. La Banque de France précise que la procédure n’aboutit pas toujours, surtout si elle est lancée tardivement.

Quel est le délai pour contester une opération non autorisée ?

Au plus vite, et au plus tard 13 mois après le débit. Ce délai est de 70 jours si le compte du bénéficiaire est hors de l’Espace économique européen, d’après la Banque de France.

La vérification du bénéficiaire me protège-t-elle d’un faux RIB ?

Elle aide, mais ne suffit pas. Depuis le 9 octobre 2025, la banque contrôle la concordance entre le nom et l’IBAN, mais un escroc peut ouvrir un compte à un nom proche. Confirmez toujours un nouveau RIB par téléphone auprès du fournisseur.

Mon compte est-il remboursé si on utilise ma carte en ligne à mon insu ?

Oui, en principe : une opération non autorisée doit être remboursée immédiatement, frais compris, sauf preuve de fraude ou de négligence grave de votre part. Faites opposition et contestez rapidement par écrit.

Faut-il déposer plainte pour une fraude bancaire ?

C’est fortement recommandé. La banque demande souvent une copie de la plainte pour poursuivre le rappel de fonds, et votre assureur en aura besoin pour une déclaration de sinistre.

Comment signaler un mail ou un SMS d’hameçonnage ?

Les mails se signalent à Signal Spam, les SMS au 33700 et les sites frauduleux à Phishing Initiative, selon cybermalveillance.gouv.fr. La plateforme Info Escroqueries (0 805 805 817) permet d’obtenir un conseil.

Existe-t-il un médiateur pour un professionnel en litige avec sa banque ?

La médiation de la consommation ne s’applique qu’aux consommateurs. La Fédération bancaire française a recommandé en 2021 une médiation conventionnelle pour les clients professionnels, mais elle dépend de chaque banque. Vérifiez dans votre convention de compte.

Quels réglages de sécurité activer en priorité sur un compte pro ?

L’authentification forte, la double validation des virements, des utilisateurs à droits limités, des plafonds adaptés, les alertes par notification et la révocation immédiate des accès d’un collaborateur qui part.

Fraude et sécurité du compte pro : ce qui se passe quand l’argent part chez un escroc