Le garage annonce un nouveau compte bancaire au moment de régler une réparation importante. Le message reprend le bon nom, la bonne facture et un historique familier. Ces éléments rendent la demande plausible ; ils ne prouvent pas que le compte appartient au fournisseur. Dans une société VTC, la protection repose sur une décision vérifiable avant la sortie d'argent.
Créer un état « coordonnées à vérifier »
La personne qui reçoit le message ouvre une demande de modification, sans remplacer immédiatement le bénéficiaire enregistré. Elle rattache la facture, l'ancien fournisseur et le RIB proposé. Le paiement reste bloqué sur ce nouveau compte jusqu'au contrôle.
Cette mesure vise toute modification de coordonnées, y compris celle d'un fournisseur ancien. Une facture exacte peut être utilisée dans une fraude. Cybermalveillance.gouv.fr recommande un appel au créancier sur son numéro habituel pour confirmer une demande de paiement sur un nouveau RIB reçu par message.
Attribuer trois responsabilités
| Rôle | Travail attendu | Trace minimale |
|---|---|---|
| Préparateur | Rassembler demande et pièce d'achat | Référence fournisseur et facture |
| Vérificateur | Joindre le fournisseur par un canal déjà connu | Date, interlocuteur et résultat |
| Valideur du paiement | Contrôler la validation et le montant | Accord daté avant exécution |
La séparation est une organisation proposée, à proportionner à la taille de l'entreprise. Si le dirigeant assure deux rôles, il conserve deux étapes distinctes : vérifier les coordonnées, puis décider du paiement. Il ne transforme pas la réception d'une pièce jointe en autorisation automatique.
Faire un contre-appel qui apporte une preuve indépendante
Utilisez le numéro connu avant la demande : contrat, fiche fournisseur déjà validée ou relation habituelle. Le numéro ajouté dans le message suspect ne constitue pas ce canal indépendant. Demandez à l'interlocuteur identifié de confirmer le changement, le titulaire et les coordonnées utiles ; consignez le résultat sans enregistrer toute la conversation.
Si l'interlocuteur n'est pas joignable ou ne peut confirmer, laissez le dossier en attente et informez l'exploitation. Une immobilisation au garage peut créer une urgence commerciale ; elle ne rend pas le nouveau RIB authentique. Traitez séparément le plan de reprise du véhicule et la sécurité du règlement.
Fermer le changement, puis seulement exécuter
Le valideur rapproche le fournisseur, le compte confirmé, la facture et le montant. La fiche fournisseur indique l'ancienne coordonnée comme historique, avec accès limité, et la date de mise en service de la nouvelle. Après le paiement, la preuve bancaire est rattachée au même dossier : un virement exécuté n'est pas à lui seul une confirmation de réception par le bon fournisseur.
Testez le circuit sur une modification fictive, sans effectuer de virement. Si la personne absente est la seule à connaître le numéro fiable, la procédure reste fragile. La prévision de trésorerie reçoit la date réaliste du règlement, sans effacer la raison d'un report.
Si le paiement est déjà parti
En cas de fraude soupçonnée, alertez immédiatement la banque pour tenter de suspendre le virement ou demander le retour des fonds. Prévenez le fournisseur usurpé et conservez les messages, factures et références de paiement. Ce sont des mesures indiquées par Cybermalveillance.gouv.fr ; elles ne garantissent pas la récupération. Le dirigeant désigne ensuite une personne pour suivre les démarches et corriger le point de contrôle qui a manqué.