Doublons et faux RIB : les contrôles qui protègent votre trésorerie

Un courriel de votre fournisseur habituel, sur le fil de discussion habituel, signé du même interlocuteur : « nous avons changé de banque, merci d'utiliser ce nouveau RIB pour la facture en cours ». Rien ne cloche. Le virement part. Trois semaines plus tard, le vrai fournisseur relance.

En 2025, la police judiciaire a été saisie de 640 affaires de faux ordre de virement visant des entreprises, pour 43 millions d'euros de préjudice — environ 67 000 € par dossier. Le nombre d'affaires recule légèrement, mais les montants grimpent de 19 %. Voici ce qui marche vraiment pour s'en protéger, et ce qui ne marche plus.

Deux risques que tout oppose

On les met souvent dans le même sac, à tort. Le doublon est une erreur : la même facture arrive par deux canaux, un duplicata passe pour une nouvelle pièce, une relance est prise pour une facture. L'argent est parti chez le bon fournisseur, il est récupérable. La fausse facture est une fraude : l'argent est parti chez un escroc, et il revient rarement.

Soyons honnêtes sur les chiffres : il n'existe aucune statistique publique française mesurant la part des factures payées deux fois. Les pourcentages qui circulent viennent d'éditeurs de logiciels, sans méthode traçable. Côté fraude, en revanche, les données sont solides : selon la Banque de France, la fraude au virement a atteint 485 millions d'euros en 2025, en hausse de 37 %, devenant le premier moyen de paiement fraudé en valeur. Et la fraude au virement est entrée dans les trois principales menaces subies par les entreprises et associations, avec 13,5 % des demandes d'assistance à Cybermalveillance.gouv.fr, en progression de 93 % en un an.

Le faux RIB, tel qu'il se produit vraiment

Le scénario n'est presque jamais celui qu'on imagine. L'escroc ne devine rien : dans la majorité des cas, il a pris le contrôle d'une boîte de messagerie — et ce n'est pas forcément la vôtre. Si c'est celle de votre fournisseur qui est tombée, vous pouvez être victime sans avoir été piraté. Il lit la correspondance, repère une facture en attente de règlement, puis intervient au bon moment, dans le bon fil, avec le bon ton.

Un réflexe à abandonner : surveiller l'IBAN étranger. Ce n'est plus le bon marqueur. La Banque de France constate que les fraudeurs utilisent de plus en plus des comptes ouverts en France, avec un taux de fraude domestique en hausse de 45 % sur un an. Un IBAN français ne prouve rien.

Le vrai signal n'est pas dans le pays du compte, il est dans l'événement : toute demande de changement de coordonnées bancaires est une alerte, quel qu'en soit l'émetteur apparent et quelle qu'en soit la vraisemblance.

Les contrôles qui tiennent, même à trois personnes

Le contre-appel sur le numéro habituel

C'est la règle la plus simple et la plus efficace. Toute demande de nouveau RIB reçue par message se vérifie par téléphone, sur le numéro que vous utilisiez avant — jamais sur celui qui figure dans le message. Les fraudeurs appellent désormais depuis des numéros mobiles banalisés en 06 ou 07, précisément parce que l'authentification des numéros fixes s'est renforcée.

Séparer celui qui saisit et celui qui paie

L'Observatoire de la sécurité des moyens de paiement recommande de dissocier la saisie et la validation des ordres de paiement. Cybermalveillance.gouv.fr va plus loin et exige une validation hiérarchique « non dérogeable » pour tout changement de coordonnées bancaires. À trois personnes, ce troisième regard se reconstitue chez votre banque : limites par bénéficiaire, par jour et par pays, liste de bénéficiaires de confiance, contre-appel avant tout ajout.

Vérifier gratuitement qui est en face

Deux outils publics, sans compte ni abonnement. annuaire-entreprises.data.gouv.fr donne l'existence, l'état administratif et les établissements d'une entreprise, à partir des données SIRENE mises à jour quotidiennement. Le service VIES de la Commission européenne valide un numéro de TVA intracommunautaire — mais il ne vous donnera jamais le nom ni l'adresse du titulaire.

Ce que votre banque fait désormais, et ce qu'elle ne fait pas

Depuis le 9 octobre 2025, la vérification du bénéficiaire est obligatoire et gratuite dans toute la zone euro : avant que vous n'autorisiez un virement SEPA, la banque compare le nom que vous avez saisi avec le titulaire réel de l'IBAN et vous alerte en cas de discordance. C'est une protection considérable.

Trois limites, que presque personne ne mentionne. Elle ne couvre ni les virements en devises ni les virements hors zone SEPA. Les personnes morales peuvent y renoncer pour leurs virements groupés par fichier — beaucoup l'ont fait sans réaliser qu'elles assumaient alors le risque seules. Et elle ne sert à rien si l'alerte s'affiche et que personne ne la lit.

Un chiffre à méditer au passage : le taux de fraude au virement s'établit à 0,0002 % sur les canaux télématiques utilisés par les entreprises, contre 0,0063 % sur la banque en ligne. Un rapport de un à trente, pour un simple choix de canal.

Les doublons : la méthode officielle

La DGFiP a tranché la question dans son guide pratique de démarrage de la facturation électronique. Quand la même facture arrive par plusieurs canaux, elle impose de comparer au minimum sept éléments :

• le numéro de facture, le fournisseur et le client ;
• la date, le montant HT, le montant de TVA et le montant TTC ;
• auxquels s'ajoutent, lorsqu'ils existent, les statuts associés au flux électronique.

Si tout concorde, il faut désigner une facture de référence, poursuivre la validation sur cette seule base, et marquer les autres exemplaires comme duplicata. Le guide précise aussi qu'il ne faut pas bloquer automatiquement le traitement, et — règle d'hygiène trop peu suivie — qu'il ne faut pas doubler systématiquement un flux électronique qui fonctionne par un envoi en PDF par courriel. C'est exactement ce qui fabrique les doublons.

Enfin, un duplicata n'ouvre pas un second droit à déduction : une seule opération, une seule TVA déductible. La seconde déduction est une déduction à tort, rappelée avec intérêts de retard de 0,20 % par mois.

Quand c'est arrivé : deux horloges très différentes

• Virement frauduleux. Appelez votre banque immédiatement : elle seule peut déclencher un rappel de fonds interbancaire, ouvert jusqu'à treize mois en cas de fraude. Ce n'est pas un droit à restitution — la banque du bénéficiaire peut refuser, et un compte vidé reste vide. Portez plainte, et appelez Info Escroqueries au 0 805 805 817.
• Doublon de paiement. La fenêtre bancaire est beaucoup plus courte : dix jours ouvrés. Passé ce délai, il reste l'action en répétition de l'indu — l'article 1302-1 du code civil oblige celui qui a reçu par erreur à restituer —, qui se prescrit par cinq ans à compter du jour où vous découvrez l'erreur, et non du paiement.

Une réalité juridique à connaître avant d'en avoir besoin : payer sur le RIB d'un escroc ne vous libère pas de votre dette. Votre vrai fournisseur reste impayé, et vous devrez le régler une seconde fois. La banque, de son côté, est protégée dès lors qu'elle a exécuté le virement conformément à l'IBAN que vous lui avez indiqué.

Un dernier point, souvent mal compris : la facturation électronique ne règle pas ce problème. L'annuaire central sert à acheminer les factures, il ne valide aucune coordonnée bancaire. Mais elle apporte un indice nouveau : depuis le 1^er septembre 2026, une facture d'un grand fournisseur qui arrive par simple courriel est devenue une anomalie de canal — et donc, à elle seule, un motif de vérifier.

Numéro de facture, SIREN, montants, IBAN : ces quatre données suffisent à détecter l'essentiel des doublons et des incohérences, à condition de les relever sur chaque pièce. L'analyse Billify prend en charge la première partie du travail : elle extrait le fournisseur, le numéro, la date et les montants HT et TTC de chaque facture dans un export Excel, où les doublons sautent aux yeux. 100 pages offertes à l'inscription.