Un importateur de textile a reçu un e-mail urgent qui ressemblait exactement à celui de son fournisseur habituel au Vietnam. Le compte bancaire de l'usine avait été « temporairement gelé par les autorités », indiquait l'e-mail, et le paiement devait désormais être envoyé vers un compte alternatif à Hong Kong — aujourd'hui même, pour ne pas manquer une date limite d'expédition. L'entreprise a viré $280,000. Quelques semaines plus tard, le véritable fournisseur a appelé pour demander pourquoi une facture était en retard. À ce moment-là, l'argent avait disparu, acheminé via un compte qui, comme la plupart des virements frauduleux de ce type, était devenu pratiquement introuvable une fois sorti du pays.
Rien dans cet e-mail n'était bâclé. Aucune faute de frappe, aucun logo déformé, aucun « Madame, Monsieur » générique. Le fraudeur aurait surveillé les échanges e-mail de l'entreprise pendant des semaines avant de frapper, calant sa demande sur une facture réelle et attendue. Ce niveau de patience et de finition était autrefois rare. En 2026, il devient la norme — parce que l'IA générative l'a rendu peu coûteux.
Pourquoi ce phénomène est soudain omniprésent
La fraude aux factures et l'usurpation d'identité de fournisseur ne sont pas nouvelles. Ce qui a changé, c'est qui peut désormais s'en rendre capable et à quel point le résultat est convaincant. Selon l'enquête AFP 2026 sur la fraude et le contrôle des paiements, 76% des organisations ont subi une tentative ou un cas réel de fraude aux paiements en 2025, l'usurpation d'identité de fournisseur étant la tactique la plus courante derrière les attaques de compromission de messagerie professionnelle (BEC) — et la BEC elle-même a été désignée comme le principal vecteur de fraude par 63% des répondants. Les chercheurs en sécurité qui suivent ces attaques ont constaté une nouvelle hausse de 15% des tentatives de compromission de messagerie professionnelle en 2025 par rapport à l'année précédente, certaines entreprises interceptant des milliers de messages BEC par mois.
Le mécanisme de l'arnaque est simple, et c'est précisément pour cela qu'il fonctionne :
- Un criminel compromet ou usurpe le compte e-mail d'un fournisseur, ou se contente d'enregistrer un nom de domaine imitant le sien.
- Il s'insère dans une conversation réelle et en cours (« je vous renvoie simplement la facture », « petite mise à jour de nos coordonnées bancaires ») ou en invente une nouvelle, plausible.
- Il vous demande de mettre à jour les informations de paiement — un nouveau compte bancaire, un nouveau numéro de virement — avant l'échéance de la prochaine facture.
- Votre équipe paie le « fournisseur » exactement comme indiqué. L'argent part en réalité chez le fraudeur.
Ce qui est nouveau, ce sont les outils derrière les étapes 2 et 3. Les grands modèles de langage peuvent désormais générer une identité complète de faux fournisseur : un formulaire W-9 falsifié, un site web à l'apparence professionnelle, des documents fiscaux plausibles, voire un agent vocal qui répond au téléphone si quelqu'un tente de vérifier en appelant le numéro indiqué sur la facture. Les enquêteurs anti-fraude décrivent des criminels qui « construisent des identités de fournisseurs complètes », et non plus seulement un document falsifié isolé. Les e-mails eux-mêmes se lisent comme s'ils avaient été rédigés par un professionnel anglophone natif, car dans un sens, c'est le cas — l'IA a été entraînée sur des millions d'exemples de ce type.
Cela ne se limite pas non plus aux factures de fournisseurs externes. Les faux reçus générés par IA représentent désormais environ 70.8% des fraudes aux notes de frais, selon une analyse sectorielle de 2026, et près de 4 employés sur 10 interrogés aux États-Unis et au Royaume-Uni ont admis avoir utilisé l'IA pour fabriquer au moins un faux reçu de frais. Par ailleurs, des chercheurs spécialisés dans l'automatisation des comptes fournisseurs ayant examiné $500 million de factures clients ont constaté que 8.5% d'entre elles étaient des doublons — un rappel que toute fraude aux factures n'a rien d'exotique ; une bonne partie n'est qu'une resoumission à l'ancienne que personne n'a repérée.
Pourquoi ces arnaques sont plus difficiles à repérer que le phishing classique
L'ancien conseil — « repérez les fautes de frappe et les tournures bizarres » — ne tient plus. Plusieurs choses ont précisément changé :
- La grammaire est parfaite. Les e-mails frauduleux rédigés par IA reproduisent le ton, le vocabulaire et le niveau de formalité d'un vrai correspondant professionnel, adaptés à chaque victime.
- Les documents ont l'air authentiques. Logos, papier à en-tête, mise en forme des factures, et même numéros d'identification fiscale peuvent être suffisamment proches de l'original pour qu'une vérification visuelle rapide ne détecte rien d'anormal.
- Le niveau de compétence requis est tombé à presque zéro. Une personne sans aucune formation technique, munie d'un simple ordinateur portable, peut désormais monter une escroquerie qui exigeait auparavant une expertise en ingénierie sociale, voire toute une équipe.
- Les achats répartis multiplient les points d'entrée. De plus en plus d'entreprises acceptent les factures via de multiples canaux — e-mail, portails fournisseurs, messagerie instantanée — et chacun d'eux est une brèche potentielle pour un faux document.
Les contrôles qui fonctionnent vraiment
Rien de tout cela ne signifie que l'automatisation des comptes fournisseurs est condamnée — cela signifie que la vérification doit sortir du document lui-même, car celui-ci ne peut plus, à lui seul, prouver quoi que ce soit.
Vérifiez toujours les changements bancaires hors bande. Si un fournisseur demande à modifier ses informations de paiement, rappelez-le en utilisant un numéro de téléphone déjà présent dans votre dossier — jamais celui fourni dans l'e-mail ou la facture qui demande le changement. Cette seule habitude bloque la grande majorité des fraudes au détournement de paiement, car le fraudeur ne contrôle pas votre fiche de contact existante.
Séparez les personnes qui approuvent les fournisseurs de celles qui les paient. Un fichier fournisseurs maître propre et minimal, avec un véritable processus d'intégration (confirmant que le fournisseur est bien celui qu'il prétend être avant même d'être ajouté), ferme la voie d'entrée la plus facile pour la fraude : un nouveau « fournisseur » que personne n'a vérifié.
Exigez la validation de deux personnes pour tout mouvement d'argent. La double autorisation pour les nouveaux fournisseurs et pour toute modification des instructions de paiement existantes signifie qu'une seule boîte de réception compromise ou un seul employé pressé ne peut pas, à lui seul, mener à bien un virement frauduleux.
Formez vos équipes à reconnaître ce à quoi ressemble réellement la fraude par IA aujourd'hui. L'ancienne formation « repérez les signaux d'alerte » ne fonctionne plus lorsqu'il n'y a plus de signaux d'alerte évidents. Les employés doivent comprendre qu'un e-mail parfait et bien synchronisé n'est pas une preuve de légitimité — et ils doivent avoir la permission explicite de ralentir et de vérifier, surtout sous la pression de l'« urgence », qui est elle-même le signal le plus révélateur.
Utilisez la vérification positive des chèques (positive pay) et les contrôles bancaires disponibles. De nombreuses banques d'entreprise proposent des services de positive pay ou de blocage ACH qui signalent les paiements vers des comptes non reconnus avant leur compensation — un filet de sécurité pour les cas où les vérifications humaines échouent.
Le rôle de la comptabilité
La plupart de ces contrôles relèvent de la procédure, pas de la comptabilité — mais c'est dans vos livres que la fraude est soit repérée tôt, soit se dissimule à la vue de tous. Un fournisseur dont le compte de paiement change sans cesse, une facture qui ne correspond à aucun bon de commande, un paiement en double enregistré deux fois sous des noms de fournisseur légèrement différents — tout cela est visible si votre grand livre est clair, à jour et facile à auditer. C'est beaucoup plus difficile à repérer dans un système où les transactions sont importées par lots et rapprochées des semaines plus tard, ou enfouies dans un moteur de catégorisation « boîte noire » qui masque les détails sous-jacents.
Rendez vos livres auditables, pas seulement automatisés
La meilleure défense contre la fraude aux factures n'est pas un filtre plus intelligent — c'est un système financier suffisamment transparent pour qu'un fournisseur incohérent, un paiement en double ou un compte bancaire modifié ressortent immédiatement au lieu de se noyer dans le bruit. Beancount.io propose une comptabilité en texte brut qui vous offre une transparence totale et un historique versionné de chaque transaction — sans boîte noire, sans dépendance à un fournisseur. Commencez gratuitement et découvrez pourquoi les développeurs et les professionnels de la finance adoptent la comptabilité en texte brut.