Arnaque facturation électronique, 6 réflexes pour les PME | C2iP

Mardi, 9 h 12. Votre comptable reçoit un mail de votre fournisseur de matériaux. Logo, signature, ton familier, tout semble conforme. Le message annonce un changement de banque « lié au passage à la facturation électronique » et joint un nouveau RIB. La facture de 18 400 € part le jour même. Elle n’arrivera jamais chez votre fournisseur.

Ce scénario est fictif, sa mécanique est bien réelle. Selon Cybermalveillance.gouv.fr, les fraudes au virement ont bondi de 170 % en 2025 et se sont étendues à la facturation électronique. L’arnaque à la facturation électronique profite d’un moment précis, celui où chaque entreprise découvre de nouveaux acteurs, de nouveaux messages et de nouvelles procédures.

La réforme crée un terrain idéal pour les fraudeurs

La réforme se déploie en deux temps. Depuis le 1er septembre 2026, toutes les entreprises doivent recevoir leurs factures sous forme électronique dès lors que leur fournisseur a l’obligation de les émettre, une obligation qui concerne d’abord les grandes entreprises et les ETI. Au 1er septembre 2027, les PME et les micro-entreprises devront à leur tour émettre leurs factures au format électronique, précise impots.gouv.fr.

Concrètement, une facture électronique ne voyage plus en pièce jointe. Elle transite par une plateforme agréée, un opérateur immatriculé par l’État qui émet, transmet et reçoit les factures. Pour savoir où envoyer chaque facture, ces plateformes consultent l’annuaire de la facturation électronique, un service de la DGFiP et de l’AIFE qui indique la plateforme de chaque entreprise.

Résultat, vos équipes reçoivent depuis plusieurs mois des messages inhabituels. Courriers d’information de l’administration, offres de plateformes, demandes d’« adresse de facturation » de la part de vos clients. La plupart sont légitimes. Et c’est justement le problème.

Les 4 arnaques à la facturation électronique à connaître

Toutes reposent sur le même ressort, se faire passer pour un acteur de la réforme. Elles visent en priorité les personnes qui paient, la comptabilité, l’administration des ventes et la direction.

Le faux mail de la DGFiP ou de votre plateforme

Le message invite par exemple à « finaliser votre inscription », à « mettre à jour vos coordonnées bancaires » ou à régulariser une prétendue non-conformité avant une pénalité. Le lien mène vers une copie parfaite d’une page de connexion, la technique classique de l’hameçonnage. Identifiants et RIB tombent alors entre de mauvaises mains.

Le prétexte paraît crédible, car l’administration peut réellement contacter une entreprise en situation de non-conformité, comme l’indique le guide pratique de la réforme publié par la DGFiP. La parade tient en une règle, rappelée par la DGFiP. Se connecter soi-même à impots.gouv.fr, sans jamais cliquer sur un lien reçu. Les services fiscaux ne demandent d’ailleurs jamais de coordonnées bancaires par courriel.

La fausse inscription à l’annuaire

Les arnaques aux faux annuaires professionnels existent depuis longtemps, et la réforme leur offre un habillage tout neuf. Un message de ce type annoncerait par exemple que « votre entreprise n’est pas encore référencée dans l’annuaire officiel », avec un formulaire à remplir, voire un paiement à effectuer. Or l’annuaire est alimenté à partir des informations transmises par les plateformes agréées. Votre adresse de facturation est donc déclarée par votre plateforme, pas par un formulaire reçu dans votre boîte mail. Et le seul annuaire officiel est hébergé sur un site en .gouv.fr.

Le changement de RIB du fournisseur

C’est la fraude la plus redoutable, car rien ne la distingue d’un échange normal. Un fournisseur habituel annonce de nouvelles coordonnées bancaires, avec un argument tout trouvé, sa nouvelle plateforme de facturation. Le mail provient souvent de la vraie adresse du fournisseur, car cette escroquerie est souvent consécutive au piratage d’une messagerie, la sienne ou la vôtre, selon Cybermalveillance.gouv.fr.

Le compte de plateforme agréée compromis

Les plateformes concentrent désormais les factures, les coordonnées et les relations commerciales d’un grand nombre d’entreprises. Une cible de choix. Fin septembre 2026, l’opérateur de la plateforme agréée VosFactures a signalé une cyberattaque visant l’un de ses prestataires techniques, et l’AIFE a suspendu ses échanges avec la plateforme par précaution, rapporte Solutions Numériques. Parmi les éléments potentiellement concernés figuraient des informations sur les clients et les fournisseurs.

Le danger ne s’arrête pas au piratage lui-même. Un escroc qui sait qui facture qui, et pour quel montant, peut rédiger une demande de changement de RIB impossible à distinguer d’un vrai message.

Fuite DGFiP, plateforme piratée, pourquoi les faux messages deviennent crédibles

Mi-août 2026, la DGFiP a révélé des accès illégitimes à son système d’information, intervenus entre juin et août. Selon le communiqué du ministère de l’Économie, 678 000 particuliers et professionnels sont concernés.

Pour un peu plus de 250 000 professionnels, les données dérobées comprennent le SIREN, la dénomination, l’adresse de l’entreprise et des informations sur leurs échanges avec l’administration. Les déclarations, les paiements, les coordonnées bancaires et les mots de passe n’ont pas été compromis, précise la DGFiP.

Ces données ne suffisent pas à vider un compte bancaire. Elles servent à autre chose, rédiger un faux message parfaitement crédible. Un mail qui cite votre SIREN, votre adresse exacte et le nom de votre fournisseur ne prouve plus rien. C’est même souvent le signe d’une attaque préparée, comme après la fuite de données de l’ANTS.

La DGFiP le rappelle elle-même. Restez méfiant face aux messages non sollicités, vérifiez l’expéditeur réel et ne communiquez jamais codes, identifiants ou coordonnées bancaires.

Arnaque à la facturation électronique ou vrai message, le tableau pour trancher

Face à un message lié à la réforme, cinq situations reviennent sans cesse. Pour chacune, le canal compte davantage que le contenu.

Les 6 réflexes contre l’arnaque à la facturation électronique

Aucun outil ne remplace une procédure claire. Ces six réflexes ne coûtent presque rien et ferment les portes les plus utilisées par les fraudeurs.

1. 1

   Confirmez chaque changement de RIB par téléphone

   Appelez le fournisseur au numéro déjà enregistré chez vous, jamais à celui indiqué dans le mail. C’est la première recommandation de Cybermalveillance.gouv.fr face à la fraude au faux RIB.

2. 2

   Activez la double authentification partout

   Messagerie, plateforme agréée, banque en ligne. Un mot de passe volé ne suffit plus à entrer, puisqu’un second code est demandé. C’est l’une des premières mesures d’un plan de renforcement de la cybersécurité.

3. 3

   Séparez la saisie et la validation des virements

   La personne qui enregistre un nouveau RIB ne doit pas être celle qui valide le paiement. Ce principe des « quatre yeux » neutralise les demandes pressantes adressées à une seule personne.

4. 4

   Tapez vous-même l’adresse des sites officiels

   Pour impots.gouv.fr comme pour votre plateforme, enregistrez l’adresse en favori et ne passez jamais par un lien reçu. Vérifiez aussi que votre plateforme figure dans la liste officielle des plateformes agréées.

5. 5

   Contrôlez les règles de transfert de la messagerie

   Un pirate installe souvent dans la messagerie une règle discrète qui détourne ou masque certains mails. Un contrôle régulier des redirections et des filtres permet de repérer une intrusion.

6. 6

   Entraînez les équipes qui paient

   Comptabilité, administration des ventes, assistants de direction. Des simulations d’hameçonnage régulières apprennent à reconnaître les faux messages liés à la réforme, même ceux rédigés par une intelligence artificielle.

Plateforme agréée, 5 questions de sécurité à poser avant de signer

Pour obtenir son immatriculation, une plateforme doit démontrer la sécurité de ses infrastructures et de ses données, selon impots.gouv.fr. Ce socle ne dit rien de la configuration de votre compte, ni des prestataires qui interviennent derrière elle. Avant de signer, ou dès maintenant si votre choix est fait, posez ces cinq questions.

1. La double authentification est-elle disponible pour chaque utilisateur, et pouvons-nous l’imposer ?
2. Quels sous-traitants accèdent à nos données, et où sont-elles hébergées ?
3. Sous quel délai et par quel canal serons-nous prévenus en cas d’incident ?
4. Pouvons-nous limiter les droits de chacun (consultation, validation, modification d’un RIB) et consulter l’historique des actions ?
5. Comment récupérer nos factures et nos données si nous changeons de plateforme ?

Sur la question de l’hébergement, notre article Hébergement de données, quelle confiance ? détaille les points à examiner. Le site France Num propose aussi une grille complète pour bien choisir sa solution de facturation électronique.

Vous avez payé sur un faux RIB, les gestes de la première heure

Chaque minute compte, car un virement se rattrape d’autant mieux que l’alerte est précoce. Voici l’ordre à suivre, inspiré de la fiche réflexe de Cybermalveillance.gouv.fr.

1. Appelez votre banque immédiatement pour tenter de suspendre le virement ou, s’il est déjà parti, demander le retour des fonds.
2. Conservez les preuves. Mails reçus, RIB frauduleux, captures d’écran, échanges avec le fournisseur.
3. Vérifiez la messagerie. Repérez les redirections et les règles de filtrage inconnues, photographiez-les, puis supprimez-les.
4. Changez le mot de passe de la boîte concernée et activez la double authentification.
5. Prévenez le vrai fournisseur par téléphone, car sa propre messagerie est peut-être piratée.
6. Déposez plainte au commissariat ou à la gendarmerie, ou en ligne via la plateforme THESEE si une messagerie a été piratée.
7. Si vous êtes assuré contre le risque cyber, la loi conditionne l’indemnisation d’une atteinte à votre système d’information à une plainte déposée au plus tard 72 heures après sa découverte, selon l’article L12-10-1 du Code des assurances.

Pour être accompagné, le 17Cyber établit un diagnostic en ligne et oriente vers les bons interlocuteurs. L’association France Victimes accompagne aussi gratuitement les démarches au 116 006. Enfin, un prestataire labellisé ExpertCyber, comme C2iP, peut sécuriser la messagerie et rechercher l’origine de l’intrusion.

Votre PME est-elle prête ? L’autodiagnostic en 6 questions

Répondez honnêtement, par oui ou par non.

• Un changement de RIB est-il toujours confirmé par téléphone, au numéro déjà connu ?
• La double authentification protège-t-elle toutes les messageries de l’entreprise ?
• Deux personnes interviennent-elles avant chaque virement vers un nouveau RIB ?
• Savez-vous quelle plateforme agréée reçoit vos factures, et qui peut s’y connecter ?
• Les règles de transfert des messageries sont-elles contrôlées régulièrement ?
• Vos équipes comptables connaissent-elles les faux messages liés à la réforme ?

Sécuriser sa facturation électronique à Dijon et Chalon-sur-Saône

Basée à Saint-Désert, près de Chalon-sur-Saône, avec des agences à Dijon, Mâcon et Lyon, C2iP accompagne plus de 250 PME, collectivités et associations. L’entreprise est labellisée ExpertCyber, un label délivré par Cybermalveillance.gouv.fr à l’issue d’un audit d’AFNOR Certification.

Sur la facturation électronique, le rôle de C2iP consiste à protéger tout l’environnement de la plateforme. Les messageries, les postes de la comptabilité, les accès et les procédures de paiement.

• Un audit cybersécurité pour mesurer votre exposition, avec FERNAND, qui révèle, cartographie et expose les vulnérabilités de votre système d’information, ou avec un audit 360°.
• La double authentification et la sécurisation de vos outils collaboratifs et messageries.
• Des simulations d’hameçonnage et des sensibilisations pour les équipes qui paient.
• Une gestion managée du SI au quotidien avec VIGIE, ou un fonctionnement co-managé si vous disposez déjà d’une équipe informatique, pour des accès et des mises à jour tenus dans la durée.

Questions fréquentes sur l’arnaque à la facturation électronique