Alerte du rapport FBI IC3 2025 : comment les vendeurs transfrontaliers vérifient-ils les e-mails de changement de coordonnées bancaires d’un fournisseur en 2026 ?

Le rapport IC3 2025 du FBI recense 21 442 plaintes liées à la fraude BEC en 2024 et 2 770 151 146 dollars de pertes déclarées pour cette catégorie, selon le rapport annuel IC3 original. Pour un vendeur transfrontalier, la règle opérationnelle est simple : ne validez jamais un changement de compte sur la seule base d’un e-mail. Rappelez le fournisseur à un numéro déjà vérifié, puis faites contrôler la modification avant le paiement.

Symptôme : un fournisseur demande de remplacer ses coordonnées bancaires ou presse l’équipe de payer rapidement.
Réponse immédiate : suspendez le paiement, vérifiez la demande par un canal indépendant et consignez qui a confirmé quoi.

Cette procédure concerne les vendeurs qui reçoivent des factures et des avis de changement de compte de fournisseurs étrangers.
Elle s’adresse aussi aux dirigeants de petites structures qui cumulent les fonctions d’achat, de comptabilité et d’approbation.
Les personnes chargées des opérations ou des achats y trouveront une méthode pour faire remonter une demande suspecte sans poursuivre le fil de discussion initial.

Dernière mise à jour : 20 octobre 2026. Les éléments factuels ont été vérifiés dans le rapport annuel IC3 2025 et les recommandations du FBI sur la fraude BEC.

Ce que le rapport FBI IC3 2025 indique sur le risque BEC

Le rapport IC3 est une source officielle de plaintes reçues par le centre de signalement du FBI ; il ne constitue pas un recensement exhaustif de toutes les fraudes ni une mesure du risque propre à un secteur. Les chiffres cités plus haut correspondent aux plaintes et aux pertes déclarées pour 2024 dans la catégorie BEC. Ils donnent une indication de l’ampleur des pertes signalées, mais ne permettent pas d’estimer la probabilité qu’un fournisseur particulier soit visé.

Pour les petites entreprises, l’enjeu concret est plus ciblé : un message qui paraît provenir d’un fournisseur connu peut demander une modification des coordonnées de paiement, puis détourner un virement. Le FBI décrit notamment des scénarios où un fraudeur se fait passer pour un interlocuteur professionnel et modifie les informations de paiement. Il signale aussi que des adresses peuvent différer par un détail discret. Une adresse familière, un logo correct ou un ancien fil de discussion ne suffisent donc pas à authentifier la demande.

La fraude peut s’inscrire dans une compromission de messagerie professionnelle, ou BEC. Cela ne signifie pas que toute demande de changement est frauduleuse : un fournisseur peut réellement changer de banque. La bonne réponse consiste à vérifier l’identité de la personne habilitée et la modification elle-même, sans considérer l’e-mail comme preuve de son authenticité. Les consignes du FBI sur les fraudes BEC recommandent justement de confirmer les demandes sensibles par un moyen de communication indépendant.

Pour un vendeur qui travaille avec plusieurs pays et fuseaux horaires, cette vérification peut sembler ralentir un règlement. En pratique, elle évite surtout de transformer une demande inattendue en paiement irréversible avant que quelqu’un ait vérifié les coordonnées. Il ne s’agit pas d’une règle juridique ou bancaire universelle, mais d’un contrôle interne prudent à adapter au fonctionnement de l’entreprise.

Avant la demande : préparer un canal qui ne dépend pas du message reçu

La vérification ne peut pas être véritablement indépendante si le seul numéro disponible figure dans l’e-mail qui demande le changement. Avant tout incident, rassemblez les coordonnées du fournisseur à partir de sources déjà validées : contrat signé, dossier d’achat, facture antérieure dont l’authenticité a été contrôlée ou échange antérieur confirmé par un autre canal.

Conservez au minimum le nom de l’entreprise, le nom de l’interlocuteur autorisé à confirmer les paiements, son numéro de téléphone et un moyen de le joindre en dehors de l’adresse qui reçoit les factures. Pour une entreprise qui utilise un portail fournisseur, notez aussi comment retrouver ce portail sans suivre un lien reçu dans un message. Ne modifiez pas le dossier de référence simplement parce qu’un courriel récent fournit un nouveau numéro.

Une fiche fournisseur claire réduit les recherches au mauvais moment. Elle doit distinguer les coordonnées courantes, les contacts de secours et les personnes habilitées à approuver une modification. Désignez la personne responsable de son entretien et prévoyez une façon de confirmer qu’un ancien numéro fonctionne encore. Une fiche oubliée pendant plusieurs années peut donner une impression de sécurité sans offrir de canal réellement utilisable.

La note qualitative de ce tableau est une aide à la décision interne, pas un score du FBI ni une garantie de résultat. Dans une petite équipe, le contrôle peut rester léger : une fiche partagée avec accès limité, un responsable clairement nommé et une règle écrite indiquant qu’aucun compte bancaire ne change sans confirmation hors du courriel reçu.

Pour séparer les messages de prospection des échanges opérationnels, une méthode de tri des e-mails professionnels peut aussi aider à retrouver les factures et les confirmations. Ce classement améliore la visibilité des messages ; il ne certifie ni l’identité de leur expéditeur ni la validité d’un compte bancaire.

À la réception : comment vérifier un e-mail de changement de compte fournisseur ?

Dès qu’un message annonce une modification des coordonnées bancaires, mettez le paiement en attente. Ne cliquez pas sur son lien de confirmation et ne répondez pas pour demander si le message est authentique. Le message et son expéditeur doivent rester considérés comme non vérifiés tant que le contrôle indépendant n’a pas abouti.

Procédez dans cet ordre :

1. Comparez l’adresse exacte de l’expéditeur avec le dossier fournisseur. Regardez les caractères, le nom de domaine et l’adresse de réponse, sans vous fier uniquement au nom affiché. Une différence discrète est un motif de vérification, mais une adresse identique à une adresse connue ne prouve pas à elle seule que la boîte n’a pas été compromise.
2. Repérez la portée de la demande. Notez précisément si elle concerne la banque, le titulaire du compte, le pays, le délai d’application ou le mode de paiement. Ne déduisez pas que toutes les factures doivent désormais suivre la même instruction si le message ne le précise pas.
3. Rappelez l’interlocuteur à un numéro déjà enregistré. Utilisez les coordonnées issues du contrat ou du dossier historique, et non celles ajoutées au nouveau message. Si la personne habituelle est absente, demandez à joindre un contact autorisé figurant dans les dossiers existants.
4. Faites reformuler la modification par le fournisseur. Confirmez oralement le nom du titulaire, les nouvelles coordonnées concernées et la date d’entrée en vigueur. Ne communiquez pas vous-même les informations bancaires proposées dans le courriel avant que le fournisseur ait décrit le changement ; cette précaution limite le risque de valider involontairement une version suggérée par le message.
5. Consignez l’échange. Notez la date, l’heure, le canal utilisé, le nom de la personne jointe, les éléments confirmés et l’identité de la personne ayant réalisé l’appel. Conservez le courriel d’origine et la trace de la décision selon les pratiques de l’entreprise.

La recommandation de l’IC3 consacrée aux changements de paiement de fournisseurs appuie le principe d’une confirmation par un canal indépendant. Elle est particulièrement pertinente lorsqu’une demande invite à remplacer un compte bancaire déjà connu.

Comment reconnaître une demande qui pourrait être une usurpation ?

Aucun indice isolé ne permet toujours de trancher. Une adresse dont le domaine diffère légèrement, une urgence inhabituelle, une demande de confidentialité, des coordonnées incohérentes avec la facture ou un refus de parler avec le contact habituel justifient une suspension et une vérification. Un style rédactionnel différent peut être un signal, mais il ne suffit pas à conclure que le message est frauduleux.

La question utile n’est donc pas « le courriel a-t-il l’air authentique ? », mais « le fournisseur habilité confirme-t-il ce changement par une voie déjà connue ? ». L’adresse peut avoir été usurpée ou la boîte d’un interlocuteur compromise. Dans les deux cas, continuer à échanger dans le même fil ne constitue pas une vérification indépendante. Le FBI rappelle que les fraudes BEC peuvent impliquer l’usurpation d’interlocuteurs professionnels ; cette explication justifie un contrôle hors du canal concerné, pas une accusation immédiate contre le fournisseur.

Une demande pressante n’est pas une raison pour accélérer le paiement : c’est une raison supplémentaire de suspendre la procédure jusqu’à ce que les coordonnées aient été confirmées hors du message reçu.

Si le fournisseur ne répond pas au numéro enregistré, ne remplacez pas ce numéro par celui du courriel suspect. Cherchez un autre canal déjà connu, comme un contact distinct conservé au dossier ou une plateforme d’échange à laquelle l’équipe accède indépendamment. Si aucun canal fiable n’est disponible, l’incertitude demeure : le paiement doit rester en attente et être porté à l’attention du responsable.

Avant le paiement : comment une petite entreprise organise-t-elle une seconde vérification ?

Séparez la confirmation des nouvelles coordonnées de l’exécution du paiement. La personne qui confirme la demande ne devrait pas pouvoir, à elle seule, mettre à jour les coordonnées et effectuer le virement sans relecture lorsque l’organisation permet une séparation des rôles. Dans une équipe très réduite, un dirigeant ou un autre responsable peut effectuer cette seconde vérification avant l’envoi.

La personne chargée du contrôle compare alors les éléments consignés avec le dossier existant : identité du fournisseur, compte de destination, date d’application et montant de la facture à régler. Elle vérifie aussi que la demande a bien été confirmée par un contact habilité et que le canal de rappel était indépendant du message. Ce contrôle ne remplace pas la procédure bancaire de l’entreprise ; il ajoute une étape interne documentée avant le paiement.

Le principe est de ne pas transformer une urgence exprimée par l’expéditeur en urgence interne. Si l’échéance de paiement est proche, expliquez au fournisseur, par un canal indépendant, que l’entreprise doit confirmer toute modification de compte avant de régler. Si la demande reste incohérente, si personne d’habilité n’est joignable ou si l’équipe soupçonne une compromission, sollicitez le responsable financier ou la personne chargée de la sécurité. Le FBI décrit des mesures de prévention complémentaires dans ses conseils contre la fraude BEC.

Cette séparation des tâches est une recommandation de gestion interne, pas une affirmation sur une obligation légale ou bancaire. L’objectif est de réduire les erreurs de saisie, les validations prises sous pression et les paiements effectués par une seule personne sans trace de vérification.

Après l’incident évité : garder une procédure utilisable dans la durée

Une vérification réussie n’est utile que si l’information reste exploitable lors de la prochaine demande. Attribuez à une personne la responsabilité des fiches fournisseurs et consignez qui peut autoriser un changement de compte. Lorsqu’un contact quitte l’entreprise ou change de rôle, révisez les coordonnées de référence au moyen d’un échange confirmé, plutôt que de remplacer automatiquement les données du dossier par celles d’un e-mail récent.

Examinez aussi les anciens dossiers avant une période de forte activité, un changement d’équipe ou une reprise de relation après une longue interruption. Le contrôle consiste à confirmer que les contacts enregistrés sont toujours pertinents, que les suppléants sont identifiés et que la procédure de rappel reste compréhensible pour une personne qui n’a pas suivi les échanges précédents.

Pour rendre la règle applicable, écrivez-la sous une forme courte, accessible aux personnes qui traitent les factures : « Toute demande de modification de compte est suspendue jusqu’à confirmation auprès d’un contact déjà connu et approbation interne. » Précisez où consigner le rappel, à qui signaler une anomalie et qui peut autoriser la reprise du paiement. Une consigne sans responsable ni emplacement de suivi risque de rester théorique.

La séparation des boîtes peut faciliter le classement des factures, des notifications de plateforme et des échanges clients. Un guide de tri des e-mails professionnels peut aider à retrouver plus facilement les échanges opérationnels. Ce classement améliore la visibilité des messages ; il ne certifie ni l’identité de leur expéditeur ni la validité d’un compte bancaire.

Pour les fournisseurs, les factures et les comptes nécessaires à la continuité de l’activité, privilégiez une adresse professionnelle durable, consultée par les personnes responsables et récupérable par l’entreprise. Les adresses temporaires ont leur place pour une inscription ponctuelle ou un essai qui n’exige pas de suivi ; elles ne conviennent pas comme unique adresse de correspondance pour un compte bancaire, un fournisseur ou un service dont l’accès devra être rétabli. L’usage d’une adresse distincte pour des inscriptions non essentielles ne doit jamais remplacer la conservation d’un canal professionnel pérenne pour les échanges de paiement.

La gestion des données de contact mérite également d’être pensée dans la durée : limitez l’accès aux dossiers fournisseurs aux personnes qui en ont besoin et conservez les informations permettant de vérifier les demandes sensibles. Des repères de confidentialité sur l’utilisation des adresses e-mail peuvent aider à examiner les choix de collecte et de traitement des données, sans se substituer à une vérification de l’identité du fournisseur.

Pour un essai logiciel ou une inscription qui ne porte pas sur un paiement, une boîte temporaire peut aider à ne pas mélanger les messages promotionnels avec les demandes clients. Chez OnceFwd, l’isolation des messages peut servir à organiser ces usages ponctuels, mais elle ne vérifie jamais l’identité d’un fournisseur. Pour les changements de coordonnées bancaires, la protection repose sur une adresse professionnelle durable, un rappel vers un contact déjà connu, une seconde approbation et une trace claire de la décision.