Dossier de référence · IA et systèmes d’information de gestion

Fraudes dopées à l’IA : protéger les paiements de l’entreprise

Faux fournisseur, faux dirigeant, faux conseiller bancaire, messagerie piratée : l’IA rend ces fraudes plus crédibles. Ce dossier donne un outil pour analyser une demande suspecte, une procédure de paiement en huit règles, un flux Power Automate qui bloque les changements de RIB non vérifiés, des tutoriels, des vidéos et formations officielles, et la marche à suivre si l’argent est parti.

Mis à jour le 6 novembre 2026 · Règles et chiffres vérifiés à cette date · Par Sylvain Marsol, enseignant en systèmes d’information · Ce dossier n’est pas une consultation juridique

516 M€de fraude par manipulation en 2025 sur les moyens de paiement, en hausse de 34 % (Observatoire de la sécurité des moyens de paiement)
+170 %de demandes d’assistance pour fraude au virement en 2025, tous publics (Cybermalveillance.gouv.fr)
9 oct. 2025depuis cette date, la banque vérifie le nom du bénéficiaire de chaque virement en euros
8règles de paiement, un outil d’analyse et un flux de contrôle des RIB

L’essentiel en 6 points

  • Les fraudes ne sont pas nouvelles, leur qualité l’est : un courriel sans faute, le style d’un fournisseur imité, une voix ou un visage de dirigeant reproduits. On ne peut plus se fier à l’apparence d’une demande.
  • La vérification repose sur le canal, pas sur le contenu : on rappelle au numéro déjà connu, jamais à celui donné dans la demande.
  • Le changement de RIB est le point critique : aucun RIB modifié ne doit servir à un paiement avant une vérification tracée par une deuxième personne.
  • Un outil bancaire aide depuis octobre 2025 : la vérification du bénéficiaire compare le nom saisi et le titulaire du compte. Si vous passez outre une alerte, la banque n’est plus responsable.
  • Si l’argent est parti, chaque heure compte : appelez la banque pour demander le rappel des fonds, puis portez plainte.
  • La parade est organisationnelle : double validation, délai, séparation des tâches, formation. C’est du contrôle interne, appliqué à de nouvelles attaques.

Ce que disent les données

La fraude aux paiements en chiffres

Chaque chiffre est accompagné de son niveau de preuve. Les sources publiques ne mesurent pas encore la part de fraudes qui utilisent l’IA : les chiffres ci-dessous portent sur les fraudes elles-mêmes.

516 M€

de fraude par manipulation du payeur en 2025 (faux conseillers, faux fournisseurs, faux dirigeants), en hausse de 34 % ; elle représente 41,6 % du montant total de la fraude aux moyens de paiement, dont 376 M€ sur des virements.Descriptif

Observatoire de la sécurité des moyens de paiement (Banque de France), rapport 2025, communiqué du 7 septembre 2026.

+170 %

de demandes d’assistance pour fraude au virement en 2025, tous publics confondus ; le piratage de compte arrive en tête des menaces touchant les professionnels (+45 %).Descriptif

Cybermalveillance.gouv.fr, rapport d’activité 2025, communiqué du 26 mars 2026. Ce sont des demandes d’assistance, pas l’ensemble des fraudes.

+107 %

de demandes d’assistance pour violation de données en 2025, et +70 % pour l’hameçonnage.Descriptif

Cybermalveillance.gouv.fr, même communiqué.

25 M$

versés en quinze virements par un salarié d’Arup à Hong Kong, en janvier 2024, après une visioconférence où le directeur financier et des collègues étaient des imitations générées par IA.Cas documenté

Cas confirmé par l’entreprise en mai 2024 (Dezeen, Computing). Un cas spectaculaire ne dit rien de la fréquence.

39 %

des salariés travaillent dans une entreprise qui utilise l’IA pour sa sécurité informatique, contre 23 % en 2024 : c’est la première finalité de l’IA en entreprise. L’IA sert aussi à se défendre.Descriptif

Insee Première n° 2120, juillet 2026, entreprises de 10 salariés ou plus.

4

résultats possibles pour la vérification du bénéficiaire : concordance, concordance partielle (le nom exact est proposé), absence de concordance, vérification impossible.Règle

Règlement (UE) 2024/886, applicable depuis le 9 octobre 2025.

Comment l’IA change les fraudes

Cinq scénarios et la parade de chacun

ScénarioCe que l’IA ajouteLe signal à repérerLa parade
Faux fournisseur
« Nous changeons de banque, voici notre nouveau RIB »		Un courriel sans faute, au ton du vrai fournisseur, parfois envoyé depuis sa vraie messagerie piratée.Un changement de coordonnées, surtout avec une facture à payer vite.Contre-appel au numéro de la fiche fournisseur, validation par une deuxième personne, délai avant le premier paiement.
Faux dirigeant
« Virement confidentiel, je compte sur vous »		Une voix clonée au téléphone, un visage imité en visioconférence.Urgence, confidentialité, demande de contourner la procédure.Raccrocher et rappeler le dirigeant sur son numéro connu ; code verbal convenu à l’avance ; aucune exception à la double validation.
Faux conseiller bancaire
« Une opération suspecte est en cours sur votre compte »		Un appel crédible, avec des informations sur l’entreprise collectées en ligne.On vous demande de valider une opération ou de donner un code.La banque ne demande jamais de valider une opération pour l’annuler. Raccrocher, rappeler le conseiller habituel.
Messagerie piratée
Un fil de discussion réel est détourné		Des réponses qui imitent le style de l’interlocuteur à partir de l’historique.Une règle de transfert inconnue, une adresse de réponse différente.Double authentification sur toutes les messageries, alerte sur les nouvelles règles de transfert.
Fausse facture
Une facture pour une prestation jamais commandée		Des factures générées à la chaîne, au format de vrais fournisseurs.Pas de bon de commande, fournisseur nouveau, montant juste sous le seuil de validation.Rapprochement commande, réception, facture ; aucun paiement sans commande.

Votre outil

Cette demande de paiement est-elle une fraude ?

Indiquez le type de demande, le canal et les signaux que vous remarquez. Vous obtenez une analyse, les vérifications à faire avant tout paiement, et un courriel de réponse prêt à copier. Si l’argent est déjà parti, l’outil affiche d’abord les gestes d’urgence.

1Quelle est la demande ?
2Par quel canal ?Plusieurs réponses possibles.
3Ce que vous remarquezCochez tout ce qui s'applique.
4Le paiement est-il parti ?

Rien n'est enregistré. Règles et dispositifs vérifiés au 6 novembre 2026. En cas d'urgence : votre banque, puis 17cyber.gouv.fr.

La procédure

Huit règles de paiement à afficher dans le service

Ces règles s’appliquent à tout le monde, dirigeant compris. Une seule exception, et la procédure ne protège plus : c’est précisément ce que le fraudeur demande.

  1. Aucun changement de RIB par courriel seulToute modification se vérifie par un appel au numéro de la fiche fournisseur ou du contrat, jamais à celui du courriel ou de la facture.
  2. Deux personnes pour un RIBCelui qui saisit le nouveau RIB n’est pas celui qui le valide. La validation est tracée : qui, quand, comment.
  3. Un délai avant le premier paiementPas de paiement vers un RIB modifié dans les jours qui suivent, sauf validation renforcée. L’urgence est l’arme du fraudeur.
  4. La double validation au-dessus d’un seuilFixez un montant au-delà duquel deux signatures sont nécessaires, et appliquez-le aussi aux demandes du dirigeant.
  5. Un code verbal pour les demandes inhabituellesConvenu à l’avance entre la direction et la comptabilité, jamais écrit dans un courriel. Une voix imitée ne le connaît pas.
  6. Raccrocher et rappelerDevant un appel ou une visioconférence inattendus qui demandent un paiement : on raccroche, on rappelle sur le numéro connu.
  7. Lire l’alerte de la banqueSi la vérification du bénéficiaire signale une différence, on s’arrête et on vérifie. Passer outre, c’est perdre le recours contre la banque.
  8. Pas de paiement sans commandeRapprochez commande, réception et facture. Une facture sans commande passe en contrôle manuel.

Pour aller plus loin : la Fédération bancaire française publie neuf réflexes de sécurité pour les ordres de virement des entreprises. Pour écrire les règles d’usage de l’IA de votre organisation : le générateur de charte IA.

Tutoriel · Power Automate

Un flux qui bloque les changements de RIB non vérifiés

Exemple construit sur des données fictives, pour illustrer la démarche. Il suppose Microsoft 365 avec SharePoint et Power Automate ; adaptez-le à votre logiciel comptable, qui propose souvent un circuit de validation des coordonnées bancaires.

Préparation

La liste des fournisseurs

Une liste SharePoint Fournisseurs, avec le contrôle de version activé (c’est le réglage par défaut), et les colonnes : Nom, IBAN, TelephoneReference (le numéro vérifié à l’ouverture du compte), StatutRIB (choix : Vérifié, À vérifier), VerifiePar, DateVerification. Donnez à StatutRIB la valeur par défaut « À vérifier » : un fournisseur nouvellement créé est bloqué jusqu’à sa première vérification.

Le flux, étape par étape

Détecter, bloquer, faire valider

  1. Déclencheur SharePoint « Lorsqu’un élément ou un fichier est modifié », sur la liste Fournisseurs.
  2. Action « Obtenir les modifications d’un élément ou d’un fichier (propriétés uniquement) », avec l’identifiant de l’élément et, dans Depuis, le jeton de début de fenêtre proposé par le déclencheur (Trigger Window Start Token). Elle indique, colonne par colonne, ce qui a changé ; elle exige le contrôle de version.
  3. Condition : la sortie La colonne a changé : IBAN est égale à true. Sinon, le flux s’arrête.
  4. Mise à jour de l’élément : StatutRIB passe à « À vérifier ». Votre export de paiements ne retient que les fournisseurs « Vérifié » : le RIB modifié est bloqué.
  5. Approbation « Démarrer et attendre une approbation », adressée à une autre personne que l’auteur de la modification, avec ce texte : « Appelez le fournisseur au numéro de référence [TelephoneReference], jamais à celui du courriel. Confirmez avec lui le nouvel IBAN. »
  6. Si l’approbation est accordée : StatutRIB passe à « Vérifié », avec le nom du valideur et la date. Sinon : courriel d’alerte au responsable financier.
À vérifier : le flux modifie lui-même l’élément, ce qui le redéclenche ; la condition sur la colonne IBAN évite la boucle. Ajoutez au déclencheur une condition pour ignorer les modifications faites par le compte du flux. Testez avec un fournisseur fictif avant la mise en service.

Tutoriels

Quatre réglages qui ferment les portes les plus utilisées

Tutoriel 1 · 10 minutes

Activer la double authentification sur les messageries

Le piratage de compte est la première menace signalée par les professionnels. Une messagerie piratée sert ensuite à envoyer de faux RIB depuis une vraie adresse.

  1. Microsoft 365 : dans le centre d’administration Microsoft Entra, Identité, Vue d’ensemble, Propriétés, Gérer les paramètres de sécurité par défaut : activez-les. Ils imposent l’authentification multifacteur à tous les comptes.
  2. Google Workspace : console d’administration, Sécurité, Authentification, Validation en deux étapes : autorisez-la, puis rendez-la obligatoire avec une date butoir.
  3. Sans administrateur : chaque utilisateur l’active dans les paramètres de sécurité de son compte, de préférence avec une application d’authentification plutôt que des SMS.

Tutoriel 2 · 5 minutes

Lire les en-têtes d’un courriel suspect

  1. Outlook : ouvrez le message, Fichier, Propriétés, cadre En-têtes Internet. Dans Outlook sur le web : menu …, Afficher, Afficher les détails du message.
  2. Gmail : menu ⋮ du message, Afficher l’original.
  3. Comparez From (l’expéditeur affiché) et Reply-To (l’adresse de réponse) : s’ils diffèrent, votre réponse partira chez quelqu’un d’autre.
  4. Cherchez Authentication-Results : spf=fail, dkim=fail ou dmarc=fail sont des signaux d’usurpation.
À retenir : des en-têtes corrects ne prouvent rien si la vraie messagerie du fournisseur est piratée. La seule vérification sûre reste le contre-appel.

Tutoriel 3 · 15 minutes

Mettre en place le code verbal et le contre-appel

  1. Choisissez un mot ou une question convenus entre la direction et les personnes qui paient. Ne l’écrivez dans aucun courriel ni aucune messagerie.
  2. Constituez la liste des numéros de référence : dirigeants, banque, principaux fournisseurs. Elle se met à jour uniquement par un canal vérifié.
  3. Écrivez la règle : toute demande de paiement inhabituelle, même en visioconférence, est confirmée par le code ou par un rappel sur un numéro de la liste.
  4. Testez-la une fois par an, par un faux appel annoncé à la direction.

Tutoriel 4 · 30 minutes

Former l’équipe avec un exercice

  1. Préparez trois demandes fictives : un changement de RIB par courriel, un appel « du dirigeant », une facture sans commande.
  2. Faites-les passer dans l’outil d’analyse en groupe : chacun dit ce qu’il aurait fait avant de voir le résultat.
  3. Relisez ensemble les huit règles et décidez qui fait quoi.
  4. Pour animer un atelier plus complet, utilisez la MalletteCyber Pro de Cybermalveillance.gouv.fr (lien dans les ressources).

Astuces

Ce qui fait la différence au quotidien

  • Le numéro est dans votre fichier, pas dans le courrielLe contre-appel ne vaut que s’il se fait vers un numéro que vous aviez avant la demande.
  • Un premier virement testPour un nouveau fournisseur, un petit virement puis une confirmation de réception par téléphone avant le paiement complet.
  • Les vacances et les fins de semaineLes fraudeurs visent les absences du valideur habituel : désignez un suppléant et gardez la procédure.
  • Les règles de transfert de messagerieUne règle qui transfère ou supprime des messages, créée à votre insu, signale un piratage. Vérifiez-les dans les paramètres.
  • Ce qui est public sert aux fraudeursOrganigramme, noms des comptables, dates de congés sur les réseaux : la fraude commence souvent par là.
  • Dire qu’on a failli se faire avoirUne tentative déjouée racontée en réunion vaut mieux qu’une formation : elle rend la menace concrète.

En cas de fraude

Si l’argent est parti : les gestes dans l’ordre

Appelez votre banque immédiatement et demandez le rappel des fonds (le retour du virement). Plus l’appel est rapide, plus il a de chances d’aboutir, surtout pour un virement instantané.
  1. Conservez les preuvesCourriels avec leurs en-têtes, numéros d’appel, factures, ordres de virement. Ne supprimez rien.
  2. Portez plainteAu commissariat ou à la gendarmerie, avec les preuves. Le site 17cyber.gouv.fr oriente selon la situation.
  3. Changez les mots de passeCeux des messageries concernées, et vérifiez les règles de transfert. Si des données personnelles ont fuité, notifiez la CNIL dans les 72 heures (RGPD, article 33).
  4. PrévenezLe vrai fournisseur ou le vrai dirigeant, par un canal connu, et vos clients si votre adresse a servi à les tromper.

Questions fréquentes

Vos questions sur les fraudes et l’IA

Peut-on détecter un deepfake à l’oreille ou à l’œil ?

Pas de façon fiable : la qualité progresse vite, et les défauts visibles hier ne le sont plus aujourd’hui. Mieux vaut une règle qui ne dépend pas de l’apparence : toute demande de paiement inhabituelle se confirme par un code convenu ou par un rappel sur un numéro connu.

La vérification du bénéficiaire suffit-elle ?

Non. Elle compare le nom saisi et le titulaire du compte, ce qui bloque beaucoup de faux RIB. Mais si le fraudeur a ouvert un compte à un nom proche, ou si vous passez outre l’alerte, elle ne protège plus, et la banque n’est pas responsable si vous confirmez malgré une absence de concordance.

Qui est responsable si un salarié paie un faux fournisseur ?

Cela dépend des circonstances et se règle au cas par cas. Une procédure écrite, connue et appliquée protège l’entreprise comme le salarié : elle montre que les contrôles existaient. Pour un cas précis, consultez un avocat.

Faut-il interdire l’IA au service comptable pour se protéger ?

Non : les fraudeurs utilisent l’IA que vous l’utilisiez ou non. La protection tient à la procédure de paiement. En revanche, les données comptables ne vont jamais dans un compte personnel d’IA : voir le dossier données de l’entreprise et assistants d’IA.

Une petite entreprise est-elle vraiment visée ?

Oui : les fraudes au faux fournisseur visent souvent les PME, où une même personne saisit et paie. La double validation peut se faire avec le dirigeant ou l’expert-comptable.

La série « IA et systèmes d’information de gestion » : les données de l’entreprise face aux assistants d’IA, IA, bases de données et BI, enseigner les SI de gestion à l’ère de l’IA. Voir aussi IA et comptabilité et tous les dossiers sur les fonctions de gestion.