Un message urgent, un virement inhabituel, un compte à l'étranger : le faux ordre de virement exploite moins une faille technique qu'une faille de procédure. Et lorsque le virement est parti, la banque n'en répond que rarement.
Ce que recouvre le FOVI
L'escroquerie aux faux ordres de virement désigne toute manœuvre qui, par persuasion, menace ou pression, amène une organisation à effectuer un virement qu'elle n'avait pas prévu. Le compte destinataire appartient à l'escroc et se trouve souvent à l'étranger. La prise de contact se fait par téléphone, par courriel, ou par les deux.
Le FOVI n'est pas une fraude unique, mais une famille de scénarios qui reposent tous sur l'usurpation d'une identité de confiance.
- La fraude au président : un faux dirigeant ordonne un virement « urgent et confidentiel ».
- Le changement de coordonnées bancaires : un faux fournisseur, ou un faux bailleur, annonce un nouveau RIB pour ses prochains règlements.
- Le faux salarié : un collaborateur usurpé demande que son salaire soit désormais versé sur un autre compte.
- Le faux interlocuteur technique ou juridique : avocat, banquier ou prestataire informatique, qui obtient un virement ou des codes de validation.
Pourquoi l'escroquerie fonctionne
Le scénario est rarement improvisé. L'escroc collecte d'abord ce que l'entreprise laisse voir : organigramme, noms des personnes habilitées à payer, fournisseurs réguliers, absences du dirigeant. Dans certains cas, la fraude fait suite au piratage de la messagerie de la personne usurpée : le faux message part alors de la vraie adresse, au bon moment, dans le fil d'une conversation existante.
La pression fait le reste. Urgence, confidentialité, autorité : chaque levier vise à court-circuiter la procédure habituelle. Le salarié qui exécute n'est pas négligent ; il est placé dans une situation construite pour qu'il ne vérifie pas.
Les signaux qui doivent arrêter la main
- Une demande de virement hors procédure, présentée comme exceptionnelle.
- Une consigne de confidentialité, y compris envers la direction financière.
- Un nouveau compte bénéficiaire, surtout à l'étranger.
- Un changement de coordonnées bancaires annoncé par simple courriel.
- Un interlocuteur qui connaît très bien l'entreprise mais refuse d'être rappelé.
Se protéger : la procédure avant la vigilance
La vigilance individuelle ne suffit pas, car l'escroquerie est précisément conçue pour la déjouer. La protection repose sur des règles que personne ne peut contourner, pas même le dirigeant.
- Une procédure écrite, non dérogeable, de validation hiérarchique des virements imprévus et des changements de coordonnées bancaires.
- Un contre-appel systématique au numéro habituel du demandeur, jamais à celui qui figure dans le message reçu.
- La double validation des virements au-delà d'un seuil, et des droits bancaires limités au strict nécessaire.
- Des mots de passe solides et la double authentification sur les messageries.
- Une communication publique sobre sur les personnes habilitées à payer.
- Une sensibilisation régulière des équipes comptables et des assistants de direction.
Si le virement est parti
Chaque heure compte. Le dispositif national d'assistance Cybermalveillance.gouv.fr recommande de procéder dans cet ordre.
- Identifier tous les virements exécutés, en attente ou programmés vers le compte frauduleux, et bloquer ce compte dans vos outils.
- Demander la suspension des virements non encore exécutés.
- Alerter immédiatement la banque et demander le retour des fonds ; un dépôt de plainte peut être exigé.
- Conserver toutes les preuves : messages, numéros de téléphone, ordres de virement, factures.
- Changer sans délai le mot de passe d'une messagerie piratée.
- Déposer plainte auprès de la police ou de la gendarmerie.
Ce que dit le droit
Selon les faits, l'escroquerie (article 313-1 du code pénal, cinq ans d'emprisonnement et 375 000 euros d'amende), l'usurpation d'identité (article 226-4-1, un an et 15 000 euros) ou l'accès frauduleux à un système d'information (article 323-1, trois ans et 100 000 euros, cinq ans et 150 000 euros en cas de modification des données) peuvent être retenus.
Reste la question décisive pour l'entreprise : qui supporte la perte ? La réponse de la Cour de cassation est claire.
Questions fréquentes
Faux ordre de virement international. Le terme désigne l'ensemble des escroqueries qui amènent une organisation à virer des fonds vers un compte contrôlé par un escroc, souvent à l'étranger, en usurpant une identité de confiance.
Pas en principe. Lorsque le virement a été ordonné par une personne habilitée, même trompée, la jurisprudence ne retient la responsabilité de la banque qu'en cas d'anomalie apparente, comme l'a rappelé la Cour de cassation le 12 juin 2025.
Alerter la banque et demander le retour des fonds, suspendre les virements encore en attente, conserver toutes les preuves et déposer plainte. Changer aussi le mot de passe de toute messagerie piratée.
Par une procédure écrite et non dérogeable : validation hiérarchique des virements imprévus, contre-appel au numéro habituel du demandeur pour tout changement de coordonnées bancaires, double validation au-delà d'un seuil.
Sources
- Cybermalveillance.gouv.fr, fiche réflexe « Faux ordres de virement »
- Dalloz actualité, Com. 12 juin 2025, n° 24-10.168
- Dalloz actualité, Com. 12 juin 2025, n° 24-13.697
Article d'information, fondé sur les sources citées à la date de publication. Il ne constitue pas un avis juridique ; chaque situation appelle une analyse des faits.
