Imaginez : votre aide-comptable paie une facture de 48 000 $ d'un fournisseur avec lequel vous travaillez depuis des années. Le fil d'e-mails est authentique. Le numéro de facture correspond. La seule différence est une courte note indiquant que le fournisseur a changé de banque, avec de nouvelles coordonnées bancaires en pièce jointe. Votre aide-comptable envoie l'argent — et il atterrit sur le compte d'un escroc. Quand vous appelez la banque, vous découvrez le pire : parce que c'est vous qui avez autorisé le virement, la banque n'est pas tenue d'en rembourser un seul dollar.
C'est la fraude au faux fournisseur, ou fraude APP (authorized push payment), et c'est le mode de vol le plus rapide à se développer contre les entreprises. Contrairement à la fraude à la carte de crédit, il n'y a ni numéro de carte volé ni débit non autorisé à contester. Quelqu'un vous amène à appuyer vous-même sur le bouton. Deloitte estime que les pertes liées à la fraude APP aux États-Unis ont atteint 8,3 milliards de dollars en 2024 et pourraient atteindre 14,9 milliards d'ici 2028 — voire 18,2 milliards si les arnaques dopées à l'IA prennent de vitesse les défenses de la société. Le centre de plaintes pour la cybercriminalité du FBI a enregistré 24 768 plaintes pour fraude au président (business email compromise) rien qu'en 2025, pour un total de 3,05 milliards de dollars de pertes déclarées. Et 79 % des organisations ont subi une tentative ou une fraude aux paiements effective en 2024, selon l'Association for Financial Professionals, qui classe la fraude au président comme le vecteur d'attaque le plus courant.
Si vous dirigez une petite entreprise, ce n'est pas un problème qui concerne le service financier de quelqu'un d'autre. Vous êtes le service financier. Voici comment l'arnaque fonctionne, pourquoi l'argent est si difficile à récupérer, et les contrôles qui l'arrêtent réellement.
Comment fonctionne l'arnaque : le mode opératoire de la fausse facture fournisseur
Les arnaques à l'usurpateur d'entreprise (business imposter scams) ont été le type de fraude APP le plus signalé en 2024, avec plus de 360 000 cas rapportés. La version qui vise les petites entreprises suit généralement le même scénario en trois actes.
Acte 1 : la mise en place — une boîte mail détournée que vous ne voyez pas
L'attaquant compromet un compte de messagerie — parfois le vôtre, plus souvent celui de votre fournisseur — puis se fait discret. Pendant des semaines, des règles de boîte mail transfèrent automatiquement tout message contenant des mots comme « facture », « paiement » ou « virement » vers l'escroc, qui étudie vos habitudes de paiement : qui approuve quoi, quels fournisseurs sont payés quand, et à quoi ressemble un fil de facturation normal. Rien ne semble anormal parce que rien ne l'est encore. Les criminels se contentent de lire.
Acte 2 : la substitution — de nouvelles coordonnées bancaires sur un vrai fil
Quand une vraie facture arrive à échéance, l'escroc frappe à l'intérieur du fil d'e-mails authentique, soit depuis le compte compromis, soit depuis un domaine sosie (votre-fournisseur.com face à votrefournisseur.com). Le message est court et crédible : « Nous avons changé de banque — merci d'utiliser les coordonnées ci-jointes pour ce paiement et les suivants. » La facture elle-même est légitime. Le montant est attendu. La seule chose qui a changé, c'est la destination de l'argent.
Cela fonctionne parce que le message arrive exactement au moment où vous vous attendez à payer, de la part de quelqu'un en qui vous avez confiance, pour un montant que vous reconnaissez. Votre scepticisme habituel ne s'active jamais. Beaucoup de victimes ne découvrent la fraude que des semaines plus tard, quand le vrai fournisseur appelle pour demander pourquoi la facture est toujours impayée.
Acte 3 : la montée en gamme par l'IA — des falsifications parfaites à grande échelle
L'IA générative a supprimé tous les indices qui trahissaient autrefois ces arnaques. L'anglais approximatif a disparu. Les escrocs clonent désormais la voix d'un contact fournisseur pour un « appel de confirmation rapide », génèrent des deepfakes vidéo pour des réunions de vérification virtuelles, et déploient des agents IA qui mènent des dizaines de conversations frauduleuses personnalisées en parallèle. Deloitte identifie les arnaques à l'investissement comme le principal moteur de la croissance de la fraude APP — multipliées par quatorze depuis 2020 pour atteindre environ 4,6 milliards de dollars en 2024 — mais les mêmes outils d'IA visent directement les paiements d'entreprise, où un seul virement détourné peut valoir des dizaines de milliers de dollars.
Pourquoi votre banque ne vous remboursera probablement pas
Voici l'asymétrie que tout chef d'entreprise doit comprendre. Quand quelqu'un vole votre numéro de carte de crédit, la loi fédérale plafonne votre perte et la banque absorbe le reste. Quand quelqu'un vous amène à lui virer de l'argent, c'est vous qui l'avez envoyé. Le transfert était autorisé — par vous, sous de fausses représentations — et les transferts autorisés sont brutalement difficiles à annuler une fois les fonds partis, surtout par virement et via des rails de paiement instantané qui se règlent en quelques secondes.
Pour les entreprises, l'écart de protection est encore plus large que pour les consommateurs. Les droits de résolution des erreurs du Règlement E couvrent les comptes de particuliers, pas les comptes professionnels, et ils ont été conçus de toute façon pour les transferts non autorisés. Les virements professionnels relèvent généralement du droit commercial étatique, où la question est de savoir si la banque a suivi des procédures de sécurité « commercialement raisonnables » — et non si vous avez été dupé. Si votre banque a suivi ses procédures convenues et que vous avez authentifié le paiement, la perte est présumée être la vôtre.
D'autres pays ont commencé à combler cet écart. Depuis octobre 2024, les banques britanniques doivent rembourser les victimes de fraude APP jusqu'à 85 000 £ par réclamation, le coût étant réparti à parts égales entre l'établissement émetteur et l'établissement récepteur. Les États-Unis n'ont pas de règle équivalente. Un projet de loi bipartisan, le TRAPS Act, créerait un groupe de travail fédéral sur les arnaques aux paiements numériques, mais il s'agit d'un texte législatif au stade précoce, pas d'un filet de sécurité. Tant que la loi ne changera pas, vos contrôles internes sont votre seule police d'assurance — et contrairement à l'assurance, ils sont gratuits.
Les contrôles qui l'arrêtent réellement
Vous n'avez pas besoin d'un service antifraude d'entreprise. Chaque contrôle ci-dessous est dimensionné pour une entreprise où le dirigeant approuve les paiements entre deux autres tâches. Mettez-les en œuvre dans l'ordre ; les deux premiers auraient à eux seuls permis d'éviter la plupart des pertes figurant dans les données de plaintes du FBI.
1. Vérifiez tout changement de coordonnées bancaires par un autre canal — sans exception
Faites-en votre règle non négociable : aucun changement d'instruction de paiement n'est jamais accepté par simple e-mail. Quand un fournisseur — même un fournisseur de confiance sur un fil familier — envoie de nouvelles coordonnées bancaires, quelqu'un appelle un numéro de téléphone connu et préalablement enregistré pour ce fournisseur (pas un numéro figurant dans l'e-mail) et confirme le changement oralement. Puis une seconde personne revérifie les montants au-dessus de votre seuil avant que le virement ne parte.
Écrivez la règle, informez vos fournisseurs à l'avance, et donnez à votre aide-comptable l'autorisation explicite de retarder tout paiement qui aurait sauté l'étape de vérification. Les escrocs fabriquent l'urgence (« cela doit partir aujourd'hui sinon l'expédition s'arrête ») ; votre politique doit fabriquer le calme. Un fournisseur dont le changement de banque est réel survivra à un délai de vérification de 24 heures. Un escroc ne survivra pas à l'appel téléphonique.
2. Exigez deux paires d'yeux sur tout paiement au-dessus d'un seuil
La séparation des tâches ressemble à du jargon d'entreprise, mais à l'échelle d'une petite entreprise c'est simple : la personne qui saisit un paiement ne peut pas être la seule à l'approuver. Choisissez un seuil adapté à votre volume — beaucoup de petites entreprises utilisent 1 000 $ ou 2 500 $ — et exigez une seconde approbation au-dessus. Si vous êtes une entreprise de deux personnes, le second approbateur est celui qui n'a pas saisi le paiement. La plupart des plateformes bancaires professionnelles prennent en charge la double autorisation nativement ; activez-la.
Ce seul contrôle déjoue à la fois les escrocs externes et le risque interne inconfortable dont personne n'aime parler : un employé seul habilité à créer des fournisseurs, saisir des factures et libérer des paiements peut voler sans aucun pirate. Deux paires d'yeux vous protègent dans les deux sens.
3. Verrouillez les comptes de messagerie qui déplacent l'argent
Parce que ces arnaques commencent par une boîte mail compromise, l'hygiène de messagerie est une sécurité de paiement :
- Activez l'authentification multifacteur pour chaque boîte mail qui envoie des factures, approuve des paiements ou reçoit des coordonnées bancaires de fournisseurs. C'est l'étape la plus rentable de cette liste.
- Auditez les transferts automatiques et les règles de boîte mail chaque trimestre. Les attaquants dissimulent des règles qui transfèrent le courrier lié à la finance vers des adresses externes et marquent leurs propres messages comme lus. Passez en revue la liste des règles de chaque boîte mail financière ; supprimez tout ce que vous n'avez pas créé.
- Enregistrez les domaines sosies de votre propre nom d'entreprise pour que les escrocs ne puissent pas les utiliser contre vos clients et vos fournisseurs, et formez votre équipe à survoler les adresses d'expéditeur. Les noms affichés mentent ; les domaines, non.
- Adoptez un mot de code interne ou une phrase de vérification pour les approbations de paiement demandées par téléphone ou par visioconférence. Une voix clonée peut dire n'importe quoi, sauf un secret qu'on ne lui a jamais confié.
4. Activez les contrôles bancaires que vous payez déjà
Votre compte bancaire professionnel inclut probablement des outils antifraude désactivés par défaut. Appelez votre banquier et demandez :
- Le positive pay pour les chèques, et son équivalent pour les prélèvements ACH — la banque n'honore que les paiements correspondant à une liste que vous pré-approuvez.
- Les blocages et filtres de débits ACH, pour que seuls des émetteurs autorisés puissent prélever sur votre compte d'exploitation.
- Les rappels téléphoniques pour virements et le double contrôle, où la banque téléphone à un signataire autorisé avant de libérer les virements au-dessus d'un montant défini.
Ces services entraînent parfois des frais modiques. Comparez-les à une seule perte moyenne liée à la fraude au président — bien plus de 100 000 $ par plainte dans les données du FBI de 2025 — et le calcul se fait tout seul.
5. Ralentissez délibérément les paiements en temps réel
Les rails de paiement instantané sont formidables pour la trésorerie et désastreux pour la récupération en cas de fraude : une fois les fonds réglés en quelques secondes, il n'y a plus rien à récupérer. Intégrez une pause délibérée dans votre processus pour les bénéficiaires de première fois et les instructions modifiées — même une vérification téléphonique le jour même vaut mieux qu'une exécution instantanée. La rapidité est une caractéristique du rail, pas une obligation de votre entreprise. Rien de légitime ne s'effondre parce que le premier paiement d'un nouveau fournisseur est parti un jeudi au lieu d'un mardi.
6. Connaissez votre procédure des premières 24 heures avant d'en avoir besoin
Les chances de récupération s'effondrent après le premier jour, alors répétez cette séquence dès maintenant :
- Appelez immédiatement le service antifraude de votre banque — pas l'agence, l'équipe antifraude — et demandez un rappel ou une tentative d'annulation du virement.
- Déposez une plainte auprès de l'IC3 du FBI sur ic3.gov et contactez le bureau local du FBI ; les horodatages comptent pour la traçabilité des fonds.
- Conservez tout : en-têtes d'e-mails complets, fichiers des messages originaux, factures et confirmations de virement. Ne supprimez pas les e-mails de l'escroc.
- Avertissez le fournisseur usurpé par un canal de confiance, afin qu'il puisse prévenir ses autres clients et sécuriser ses propres systèmes.
Affichez cette liste là où la personne qui gère les paiements pourra la trouver en cas de panique. Vous ne réfléchirez pas clairement ; la liste, oui.
Une bonne comptabilité est un contrôle antifraude
Remarquez combien de ces arnaques survivent grâce à des habitudes administratives négligées : des coordonnées bancaires de fournisseur mises à jour à partir d'un e-mail sans piste d'approbation, des factures payées sans rapprochement avec un bon de commande, des rapprochements bancaires faits chaque trimestre au lieu d'être hebdomadaires, si bien qu'un paiement manquant se cache pendant des mois. Des livres rigoureux comblent ces brèches.
Tenez un fichier fournisseurs maîtrisé — chaque nouveau fournisseur et chaque changement bancaire consigné avec qui l'a vérifié, comment et quand. Rapprochez les factures des pièces justificatives avant paiement plutôt que de payer à partir du seul e-mail. Rapprochez vos comptes d'exploitation au moins chaque semaine pour qu'une facture « payée » en réalité impayée refasse surface en quelques jours, et non à la clôture trimestrielle — examiner votre position de trésorerie visuellement rend les anomalies plus difficiles à manquer. Et parce que chaque décision de paiement doit laisser une piste d'audit, gardez votre grand livre dans un endroit transparent et versionné, où un bénéficiaire modifié ou un montant inhabituel ressort au lieu de se fondre dans une boîte noire.
Gardez vos paiements — et vos livres — à l'épreuve de la fraude
La fraude APP fonctionne parce qu'elle se cache dans des processus légitimes : une vraie facture, un fournisseur de confiance, un paiement que vous vouliez réellement faire. La défense consiste à rendre ces processus visibles et vérifiables — doubles approbations, fiches fournisseurs vérifiées, et des livres que vous pouvez réellement auditer. Beancount.io fournit une comptabilité en texte brut qui vous offre une transparence et un contrôle complets sur vos données financières, afin que les paiements inhabituels ressortent et que chaque changement laisse une trace. Commencez gratuitement et découvrez pourquoi les développeurs et les professionnels de la finance passent à la comptabilité en texte brut.
