Fraude au président et faux changement d'IBAN

Le faux dirigeant et le faux fournisseur

Dans la fraude au président, que l'OFCS appelle arnaque au président, un message ou un appel qui paraît venir du directeur général, parfois d'un avocat ou d'un auditeur, annonce une opération confidentielle, qu'il s'agisse d'une acquisition, d'un contrôle ou d'un litige à régler discrètement. L'interlocuteur exige que le paiement parte le jour même et que personne n'en soit informé. La voix peut être imitée, et une visioconférence peut elle aussi être truquée.

En mai 2024, la presse a rapporté qu'à Hong Kong, un employé d'un groupe d'ingénierie avait effectué quinze virements pour un total de 200 millions de dollars de Hong Kong, soit environ 25,6 millions de dollars américains, après une visioconférence où le directeur financier et d'autres collègues étaient des imitations générées par intelligence artificielle. La société a confirmé que de fausses voix et de fausses images avaient été utilisées.

D'après CNN, 16 mai 2024.

L'OFCS a décrit la même année le cas d'un prétendu avocat qui avait appelé le responsable financier d'une entreprise pour le convier, dans les minutes suivantes, à une visioconférence avec son supérieur. La vidéo du chef qui lui a été présentée était manipulée, et le visage avait été recréé à partir d'images publiques.

D'après OFCS, 9 avril 2024.

Dans le faux changement d'IBAN, un fournisseur habituel annonce de nouvelles coordonnées bancaires. Le courriel provient parfois de sa vraie messagerie, piratée, et s'insère dans un échange en cours. La facture elle-même peut être authentique et ne différer de la précédente que par le numéro de compte.

Les indices d'une fraude

Les cas d'arnaque au président annoncés à l'OFCS sont passés de 719 en 2024 à 971 en 2025. Les auteurs repèrent la hiérarchie, les responsabilités et les absences sur les réseaux sociaux professionnels, sur le site de l'entreprise et au registre du commerce, puis écrivent depuis un nom de domaine qui ne se distingue du vrai que par une légère faute d'orthographe, procédé que l'on appelle typosquattage.

D'après OFCS, 27 janvier 2026.

Une demande qui exige à la fois la rapidité et le secret cherche à court-circuiter les contrôles. Il en va de même d'un circuit inhabituel, lorsqu'un dirigeant écrit directement au comptable ou qu'un paiement est demandé hors de la procédure ordinaire.

Des coordonnées bancaires modifiées par simple courriel appellent une vérification, surtout lorsqu'elles désignent un pays ou une banque sans lien avec le fournisseur. L'adresse de l'expéditeur mérite d'être lue en entier, dès lors qu'une lettre inversée ou un domaine voisin passe facilement inaperçu et que le nom affiché peut masquer l'adresse réelle. Les auteurs choisissent enfin leur moment, volontiers pendant les vacances, en fin de journée, la veille d'un week-end ou lorsqu'une personne se trouve seule au bureau.

Une procédure de paiement écrite

Ces règles ne coûtent guère, mais elles n'ont d'effet que si elles sont écrites et appliquées sans exception. L'OFCS recommande de régler clairement à l'interne tout ce qui touche aux paiements, et la procédure peut reprendre les points suivants.

1. Tout paiement et toute modification des données de base, par exemple le nouvel IBAN d'un fournisseur, exigent la signature collective à deux ou l'approbation d'une seconde personne, selon le principe des quatre yeux.
2. Une demande de paiement reçue par courriel, surtout si elle se dit urgente ou confidentielle, fait l'objet d'une vérification par un second canal, en appelant l'émetteur au numéro que vous connaissez déjà et non à celui qui figure dans le message.
3. La procédure ne connaît aucune exception pour la direction, et un appel ou une visioconférence d'un dirigeant qui débouche sur une demande de paiement la suit comme le reste.
4. La messagerie est réglée pour que les courriels d'expéditeurs externes portent une mention visible dans l'objet ou dans le corps du message, de sorte qu'un message imitant l'adresse d'un dirigeant apparaît comme externe.
5. Les personnes qui paient, remplaçants compris, sont formées à ces fraudes, à commencer par les dernières personnes recrutées, que les escrocs visent volontiers.
6. Le site de l'entreprise ne publie sur le personnel que le strict nécessaire, vidéos comprises, et n'affiche pas d'adresses électroniques sans nécessité.
7. Le premier paiement vers un nouveau compte n'est exécuté qu'après un délai de sécurité.

D'après OFCS, arnaque au président, OFCS, 27 janvier 2026 et OFCS, 9 avril 2024.

Le virement est parti

Appelez immédiatement la banque pour demander le rappel du paiement, puis prévenez le fournisseur par un canal que vous connaissez, dès lors que sa messagerie peut être compromise. Conservez le courriel frauduleux avec ses en-têtes complets avant de déposer plainte. La suite des démarches est décrite dans la page consacrée aux 24 premières heures.

Le virement obtenu en se faisant passer pour un dirigeant ou un fournisseur peut relever de l'escroquerie (art. 146 CP), qui se poursuit d'office, de sorte que le délai de trois mois propre aux infractions poursuivies sur plainte (art. 31 CP) ne s'applique pas. Il reste utile de déposer plainte sans tarder, puisque la plainte fait de l'entreprise une partie plaignante (art. 118 al. 2 CPP) et que le Ministère public ne peut faire séquestrer que les fonds encore disponibles (art. 263 CPP).

La charge de la perte

Deux situations doivent être distinguées. Lorsqu'un tiers a donné l'ordre à la banque en se faisant passer pour l'entreprise, au moyen d'un courriel ou d'une signature falsifiés, la question est celle de la responsabilité de la banque. Les conditions générales mettent souvent ce risque à la charge du client, mais ces clauses trouvent leur limite à l'art. 100 al. 1 CO, qui frappe de nullité toute stipulation libérant d'avance le débiteur de sa responsabilité en cas de dol ou de faute grave. Le Tribunal fédéral examine au cas par cas la faute de la banque et la faute concomitante du client (TF 4A_386/2016 du 5 décembre 2016, TF 4A_9/2020 du 9 juillet 2020 et TF 4A_610/2023 du 8 janvier 2025).

Lorsque l'entreprise a elle-même payé, trompée sur l'identité du bénéficiaire, la discussion se déplace vers le fournisseur. Le point de savoir si le paiement sur le faux compte éteint la dette dépend du contrat et des circonstances, et mieux vaut l'examiner avant de payer une seconde fois.