La fraude au changement de RIB : une menace discrète qui cible directement les entreprises

Depuis plusieurs mois, les services de ressources humaines, de comptabilité et de paie sont confrontés à une nouvelle forme d’escroquerie particulièrement efficace : la fraude au virement de salaire, également appelée fraude au changement de RIB.

Contrairement à de nombreuses cyberattaques qui reposent sur l’installation de logiciels malveillants ou l’exploitation de failles informatiques, cette escroquerie mise principalement sur l’usurpation d’identité et la manipulation psychologique. Les cybercriminels exploitent la confiance accordée aux échanges professionnels afin de convaincre une entreprise de modifier les coordonnées bancaires d’un salarié.

Cette méthode est aujourd’hui suffisamment répandue pour faire l’objet de campagnes de prévention de la part des autorités françaises, qui alertent les entreprises sur la nécessité de renforcer leurs procédures internes.

Comment fonctionne cette escroquerie ?

Le scénario est souvent très bien préparé.

Avant toute tentative, les fraudeurs collectent un maximum d’informations sur leur future victime. Ils exploitent les réseaux sociaux professionnels, les sites internet des entreprises, les communiqués de presse, les annuaires publics ou encore les informations issues de précédentes fuites de données.

En quelques recherches, ils peuvent connaître :

• le nom d’un salarié ;
• son poste dans l’entreprise ;
• son adresse électronique professionnelle ;
• le nom des responsables RH ;
• l’organisation interne de l’entreprise ;
• les périodes habituelles de versement des salaires.

Une fois ces informations réunies, les escrocs créent une adresse électronique ressemblant fortement à celle du salarié, ou utilisent un compte de messagerie compromis lorsqu’ils sont parvenus à le pirater.

Ils adressent ensuite un message au service des ressources humaines ou au service paie.

Le contenu est généralement simple :

« Bonjour, je viens de changer de banque. Pouvez-vous mettre à jour mon RIB avant la prochaine paie ? Vous trouverez mon nouveau relevé bancaire en pièce jointe. Merci d’avance. »

Le ton est volontairement professionnel, courtois et rassurant.

L’objectif est simple : faire croire qu’il s’agit d’une demande administrative totalement classique.

Pourquoi cette fraude fonctionne-t-elle aussi bien ?

Cette escroquerie ne repose pas sur une faille informatique.

Elle exploite principalement les comportements humains.

Les cybercriminels savent que les services RH traitent quotidiennement des dizaines de demandes administratives : congés, contrats, attestations, changements d’adresse ou encore modifications de coordonnées bancaires.

Une demande de changement de RIB paraît donc parfaitement légitime.

Pour augmenter leurs chances de réussite, les fraudeurs ajoutent souvent un sentiment d’urgence :

• le salaire doit partir dans quelques heures ;
• le salarié explique avoir fermé son ancien compte bancaire ;
• il indique qu’un retard de paiement pourrait lui causer des difficultés financières.

Dans certains cas, les criminels utilisent même l’intelligence artificielle pour rédiger des e-mails sans faute d’orthographe, parfaitement adaptés au style de communication de l’entreprise.

Plus les messages semblent naturels, plus il devient difficile de détecter la fraude.

Les conséquences peuvent être particulièrement lourdes

Lorsqu’un changement frauduleux de RIB est accepté, le salaire est envoyé directement sur le compte bancaire contrôlé par les escrocs.

Le salarié découvre généralement la fraude uniquement lorsqu’il constate l’absence de son salaire.

À partir de ce moment, plusieurs difficultés apparaissent simultanément.

L’entreprise doit identifier rapidement le virement concerné, contacter son établissement bancaire afin de tenter de bloquer ou rappeler les fonds, déposer plainte auprès des autorités compétentes et réunir l’ensemble des éléments permettant de documenter l’incident.

Si les fonds ont déjà quitté la banque destinataire ou été transférés vers d’autres comptes, leur récupération devient beaucoup plus complexe.

Au-delà de l’aspect financier, cette fraude peut également avoir des conséquences importantes sur l’organisation interne :

• perte de confiance entre les salariés et les services RH ;
• interruption du traitement de la paie ;
• mobilisation des équipes informatiques et juridiques ;
• atteinte à l’image de l’entreprise ;
• risques liés à la protection des données personnelles si une compromission de messagerie est à l’origine de l’attaque.

Les autorités rappellent qu’il est essentiel de réagir immédiatement afin d’augmenter les chances de récupération des fonds.

Les techniques employées par les cybercriminels évoluent

La fraude au changement de RIB ne cesse de se perfectionner.

Les campagnes observées ces derniers mois montrent que certains groupes criminels réalisent de véritables enquêtes sur leurs victimes avant d’agir.

Ils peuvent notamment :

• analyser les réseaux sociaux professionnels des salariés ;
• récupérer des informations lors de précédentes fuites de données ;
• utiliser des domaines Internet très proches de celui de l’entreprise ;
• compromettre une véritable boîte mail afin d’envoyer une demande depuis une adresse authentique ;
• surveiller les échanges de courriels avant d’intervenir au moment le plus opportun.

Dans certains cas particulièrement sophistiqués, les fraudeurs attendent plusieurs semaines avant d’envoyer leur demande afin de mieux comprendre les habitudes de l’entreprise et les procédures internes.

Cette évolution démontre que les cybercriminels privilégient désormais les attaques ciblées plutôt que les campagnes massives de phishing.

Comment protéger efficacement son entreprise ?

La meilleure protection repose avant tout sur la mise en place de procédures internes strictes.

Un changement de coordonnées bancaires ne devrait jamais être validé uniquement sur la base d’un e-mail.

Plusieurs bonnes pratiques permettent de réduire considérablement les risques :

• exiger une confirmation par téléphone en utilisant un numéro déjà connu de l’entreprise ;
• vérifier l’identité du salarié lors d’un entretien physique ou en visioconférence ;
• mettre en place une validation par une seconde personne avant toute modification des coordonnées bancaires ;
• utiliser un portail RH sécurisé permettant aux collaborateurs de mettre eux-mêmes leurs informations à jour ;
• renforcer la sécurité des comptes de messagerie grâce à l’authentification multifacteur (MFA) ;
• déployer correctement les protections SPF, DKIM et DMARC afin de limiter les risques d’usurpation de domaine ;
• former régulièrement les équipes RH, comptables et administratives aux nouvelles formes d’ingénierie sociale.

La CNIL recommande également de définir une procédure spécifique pour les demandes de changement de RIB, avec une vérification systématique de l’identité du salarié avant toute modification.

Que faire si votre entreprise est victime ?

Chaque minute compte.

Si une fraude est suspectée ou confirmée, plusieurs actions doivent être entreprises immédiatement :

• contacter sans attendre votre banque afin de tenter de bloquer ou rappeler le virement ;
• prévenir le salarié concerné ;
• identifier tous les virements déjà effectués ou en attente ;
• déposer plainte auprès des services compétents ;
• conserver l’ensemble des e-mails, pièces jointes, journaux de connexion et autres preuves numériques ;
• vérifier si une boîte mail professionnelle a été compromise ;
• modifier les mots de passe concernés et activer l’authentification multifacteur lorsque cela est possible ;
• réaliser un audit interne afin d’éviter qu’un incident similaire ne se reproduise.

Plus la réaction est rapide, plus les chances de récupération des fonds sont importantes.

Prévention : la cybersécurité commence aussi par les procédures humaines

Cette fraude rappelle une réalité souvent sous-estimée : la cybersécurité ne dépend pas uniquement des logiciels, des pare-feu ou des antivirus.

Même avec une infrastructure informatique parfaitement sécurisée, une simple erreur humaine peut suffire à provoquer une perte financière importante.

Chaque demande de modification de coordonnées bancaires doit désormais être considérée comme une opération sensible nécessitant une vérification indépendante.

Les entreprises, quelle que soit leur taille, ont tout intérêt à formaliser une procédure claire, connue de tous les collaborateurs concernés et appliquée systématiquement, sans exception.

Quelques minutes de vérification peuvent éviter plusieurs milliers d’euros de pertes, préserver la confiance des salariés et empêcher les cybercriminels de tirer profit d’une simple formalité administrative.

Le conseil de SIDL CORPORATION : ne considérez jamais un changement de RIB comme une simple démarche administrative. Vérifiez toujours l’identité du demandeur par un canal indépendant (appel téléphonique, échange en présentiel ou portail RH sécurisé). Une vérification supplémentaire prend quelques minutes ; une fraude peut coûter plusieurs milliers d’euros et mobiliser l’entreprise pendant des semaines.