La question à se poser cette semaine n'est pas de savoir si vous serez ciblé, mais de savoir qui, dans votre entreprise, peut modifier un RIB fournisseur sans que personne d'autre ne le sache.
Deux événements se télescopent en cette rentrée. Le 1er septembre 2026, toutes les entreprises assujetties à la TVA doivent être en mesure de recevoir des factures électroniques via une plateforme agréée. Et depuis le 14 août 2026, des données fiscales concernant 678 000 particuliers et professionnels sont confirmées comme ayant été extraites du système d'information de la DGFiP.
Nous avons traité le cadre juridique de la réforme dans notre article sur les obligations RGPD liées au choix d'une plateforme agréée, et le volet individuel dans notre guide destiné aux personnes concernées par la fuite. Cet article-ci prend un autre angle, plus opérationnel : quels sont les risques réels, lesquels sont surestimés, quelles opportunités la réforme ouvre malgré tout, et quelles protections déployer concrètement avant la fin du mois.
La cartographie des six risques
Commençons par hiérarchiser, parce que traiter tous les risques avec la même intensité revient à n'en traiter aucun correctement. Ce tableau classe les menaces par ordre décroissant de probabilité pour une PME ou une TPE française.
| Risque | Ce qui l'amplifie en 2026 | Impact typique | Parade prioritaire |
|---|---|---|---|
| Fraude au faux fournisseur, changement de RIB | Données fiscales authentiques en circulation, changement de processus de facturation qui légitime les demandes inhabituelles | Perte financière directe, dette non éteinte envers le fournisseur légitime | Double validation par téléphone sur un numéro connu, jamais celui du message |
| Hameçonnage se réclamant de l'administration fiscale | Médiatisation de l'incident, notifications officielles réellement envoyées depuis le 17 août 2026 | Compromission d'identifiants, porte d'entrée vers d'autres fraudes | Ne jamais cliquer, saisir soi-même l'adresse dans le navigateur |
| Compromission d'un compte à privilèges chez vous | Multiplication des accès à de nouveaux outils, comptes créés dans l'urgence avant l'échéance | Accès prolongé et discret à vos flux de facturation | Authentification à plusieurs facteurs sur la plateforme et les outils comptables |
| Indisponibilité de la plateforme agréée | Montée en charge simultanée de millions d'entreprises début septembre | Blocage temporaire des flux, retards de paiement | Procédure de continuité écrite et incidents documentés |
| Violation de données chez votre sous-traitant | Concentration des flux de milliers d'entreprises chez un même opérateur | Notification CNIL à votre charge sous 72 heures, exposition de vos clients | Délai de notification chiffré inscrit au contrat |
| Exploitation concurrentielle des données agrégées | Structuration et centralisation croissantes des données de transaction | Perte d'avantage informationnel, sans incident visible | Vérification de la clause interdisant toute réutilisation des données |
Bon à savoir : les trois premiers risques du tableau se traitent sans budget, uniquement par des règles internes écrites et appliquées. Les trois suivants relèvent du contrat et de la préparation. Aucun ne nécessite l'achat d'un outil supplémentaire.
Le risque numéro un, et pourquoi il change d'échelle
La fraude au faux fournisseur n'a rien de nouveau. Ce qui change, c'est la qualité du matériau à disposition des escrocs et le contexte qui rend leurs demandes plausibles.
Le mécanisme est d'une simplicité désarmante. Un message arrive, apparemment de votre fournisseur habituel, annonçant un changement de coordonnées bancaires. Le prétexte est souvent une migration bancaire, un audit interne ou, cette année, une adaptation à la facturation électronique. Aucun logiciel malveillant n'est nécessaire. Un courriel avec un RIB modifié suffit.
Le paiement effectué sur un compte frauduleux n'éteint pas votre dette envers le créancier légitime. Le Conseil d'État l'a jugé pour un acheteur public dans une décision du 21 octobre 2024, et le principe vaut en matière commerciale.
Les ordres de grandeur méritent d'être posés. Selon les données du dispositif Cybermalveillance.gouv.fr relayées par la presse spécialisée, les faux ordres de virement ont progressé de 29 % en volume en 2024 chez les entreprises françaises, pour des pertes estimées à 45 millions d'euros par an pour les seules PME. En 2025, la fraude au virement représentait 13,5 % des demandes d'assistance des professionnels, en forte hausse. Et l'usurpation de fournisseur concentre environ 45 % des tentatives recensées.
Deux facteurs aggravants s'ajoutent cette rentrée. D'abord, des données fiscales exactes circulent depuis l'incident de la DGFiP, ce qui permet de construire un message d'une crédibilité nouvelle. Ensuite, et c'est plus subtil, le changement de processus de facturation rend légitimes des demandes qui auraient éveillé la méfiance il y a six mois. Un courriel annonçant « notre nouvelle plateforme agréée, merci de mettre à jour nos coordonnées » ne surprendra personne en septembre 2026.
Attention : les fonds détournés sont généralement transférés vers d'autres comptes en moins de quarante-huit heures, ce qui rend toute récupération ultérieure très difficile. La rapidité de la réaction compte davantage que la qualité de la plainte. Contactez votre banque dans l'heure, pas le lendemain matin.
Faites le point avant la bascule de septembre
Le scan RGPDKit analyse votre site, vos formulaires et vos documents obligatoires, et vous indique les points de non-conformité à corriger en priorité.
Ce que la réforme apporte réellement
Un article uniquement consacré aux menaces serait malhonnête. La réforme n'est pas qu'une contrainte, et certaines de ses conséquences travaillent directement en faveur de votre sécurité.
La fin du PDF anonyme
Une facture transitant par une plateforme agréée est identifiée, horodatée et traçable. Le PDF envoyé depuis une adresse ressemblante, principal vecteur de la fraude actuelle, perd progressivement sa légitimité dans les échanges entre professionnels.
Une piste d'audit renforcée
Les statuts de facture normalisés donnent une chronologie opposable : déposée, reçue, refusée, encaissée. En cas de litige commercial ou de contrôle, cette traçabilité vaut mieux qu'un fil de courriels reconstitué a posteriori.
Une occasion de mettre à jour
Beaucoup de registres des traitements et de politiques de confidentialité n'ont pas bougé depuis 2018. L'échéance impose de rouvrir ces documents, autant en profiter pour les remettre à niveau intégralement.
Une quatrième évolution, indépendante de la réforme mais décisive, mérite d'être connue et exploitée. Depuis le 9 octobre 2025, le règlement européen 2024/886 impose aux prestataires de services de paiement de la zone euro un dispositif de vérification du bénéficiaire. Avant chaque virement SEPA, classique ou instantané, la banque du payeur interroge celle du bénéficiaire pour vérifier que le nom saisi correspond bien à l'IBAN. Le service est gratuit et s'applique aussi aux virements professionnels.
Concrètement, un IBAN frauduleux déclenchera le plus souvent une alerte de correspondance partielle ou nulle. C'est la meilleure protection technique disponible aujourd'hui contre le faux RIB. Encore faut-il que la personne qui valide le virement lise l'alerte et s'arrête, ce qui nous ramène à la couche organisationnelle.
Le plan de protection en trois couches
Voici le dispositif complet, classé par couche et par délai de mise en œuvre. La colonne de droite indique le fondement, parce qu'une mesure adossée à un texte se défend mieux en interne qu'une bonne pratique isolée.
| Couche | Mesure | Effort | Fondement ou référence |
|---|---|---|---|
| Organisationnelle | Règle écrite : tout changement de coordonnées bancaires est validé par téléphone sur un numéro connu, jamais celui indiqué dans le message | 1 heure | Recommandation Cybermalveillance.gouv.fr |
| Organisationnelle | Double validation obligatoire au-delà d'un seuil de montant que vous fixez | 1 heure | Bonne pratique de contrôle interne |
| Organisationnelle | Désigner un suppléant pour la surveillance des factures pendant les congés | 30 minutes | Continuité d'activité |
| Technique | Authentification à plusieurs facteurs sur la plateforme agréée et les outils comptables | 2 heures | Art. 32 RGPD, décret n° 2022-1299 |
| Technique | Revue des habilitations et retrait des accès des anciens collaborateurs | 2 heures | Art. 32 RGPD |
| Technique | Prise en compte effective des alertes de vérification du bénéficiaire | Immédiat | Règlement (UE) 2024/886 |
| Contractuelle | Délai chiffré de notification des violations par la plateforme | 1 échange écrit | Art. 28.3.f et art. 33.2 RGPD |
| Contractuelle | Liste des sous-traitants ultérieurs et localisation de l'hébergement | 1 échange écrit | Art. 28.2 et 28.4 RGPD |
| Contractuelle | Clause de réversibilité : format d'export et suppression attestée | 1 échange écrit | Art. 28.3.g RGPD |
| Documentaire | Registre des traitements et politique de confidentialité mis à jour | 2 heures | Art. 30, 13 et 14 RGPD |
Additionnez la colonne des efforts : l'ensemble tient dans une journée de travail. C'est le point que nous voudrions faire passer. La protection contre le risque dominant de cette rentrée ne coûte pas un abonnement supplémentaire, elle coûte une demi-journée de formalisation et une demi-journée d'échanges écrits avec votre prestataire.
Sur la partie documentaire, si votre politique de confidentialité ne mentionne ni la plateforme agréée ni l'administration fiscale parmi les destinataires, elle ne décrit plus la réalité de vos traitements à compter du 1er septembre. C'est une non-conformité simple à corriger, et facilement constatable de l'extérieur.
Les trois scénarios à tester avant la fin du mois
Une procédure jamais éprouvée est une hypothèse. Voici trois mises en situation courtes, à faire tourner en réunion d'équipe.
Un fournisseur annonce un nouveau RIB
Le message est plausible, la signature correcte, le ton habituel. Qui, dans votre organisation, a le droit de valider ce changement ? Combien de personnes doivent intervenir ? Quel numéro de téléphone sera composé pour vérifier, et où est-il stocké ? Si la réponse dépend de qui est présent ce jour-là, vous avez identifié votre faille.
La plateforme est indisponible trois jours
Comment continuez-vous à facturer ? Comment isolez-vous les flux bloqués pour éviter les doublons à la reprise ? Qui documente l'incident, et où ? Le guide pratique de la DGFiP prévoit explicitement le recours à un canal alternatif suivi d'une régularisation, à condition de pouvoir en justifier.
Votre plateforme vous notifie une violation
Le message arrive un vendredi à 18 heures. Qui le lit ? Qui décide s'il faut notifier la CNIL ? Sur quels éléments ? Le délai de 72 heures de l'article 33 du RGPD court à compter de votre prise de connaissance, week-end compris. Sans nom, sans procédure et sans modèle de notification préparé, ce délai ne sera pas tenu.
Ce qu'il faut relativiser
Trois inquiétudes circulent qui ne résistent pas à l'examen, et il est utile de les écarter pour concentrer l'attention sur ce qui compte vraiment.
- Règle de changement de RIB : écrite, diffusée, connue des remplaçants d'été.
- Alertes de vérification du bénéficiaire : personne ne les valide en aveugle.
- Authentification renforcée : active sur la plateforme et les outils comptables.
- Contrat de sous-traitance : obtenu, avec un délai de notification chiffré.
- Procédure de continuité : écrite, avec un responsable nommé.
- Procédure de violation : qui décide, sous quel délai, avec quel modèle de notification.
- Registre et politique de confidentialité : mis à jour avant le 1er septembre.
- Sensibilisation : une réunion de trente minutes avec les personnes qui manipulent les paiements.
Un dernier chiffre pour situer l'enjeu de cette dernière ligne. Selon les enquêtes publiées sur la fraude en entreprise, environ 55 % des entreprises déclarent vérifier les coordonnées bancaires, mais seulement 30 % forment réellement leurs collaborateurs au risque de fraude. C'est exactement là que se situe l'écart entre une procédure qui existe sur le papier et une procédure qui protège.
Questions fréquentes
Quel est le risque principal pour une PME à la rentrée 2026 ?
La fraude au faux fournisseur, c'est-à-dire la demande frauduleuse de changement de coordonnées bancaires. Elle concentre selon les données publiées environ 45 % des tentatives de fraude en entreprise et ne requiert aucun logiciel malveillant. Deux facteurs l'amplifient cette année : la circulation de données fiscales authentiques après l'incident de la DGFiP, et le changement de processus de facturation qui rend crédibles des demandes de mise à jour inhabituelles.
Si je paie un escroc par erreur, suis-je libéré de ma dette ?
Non. Le paiement effectué sur un compte frauduleux n'éteint pas la dette envers le créancier légitime. Le Conseil d'État l'a jugé pour un acheteur public dans une décision du 21 octobre 2024, et le principe vaut en matière commerciale. L'entreprise victime supporte donc un préjudice double : la somme détournée et la facture qui reste due. C'est cette double peine qui justifie l'investissement dans une procédure de validation, même modeste.
La vérification du bénéficiaire protège-t-elle contre le faux RIB ?
Elle aide beaucoup sans être infaillible. Depuis le 9 octobre 2025, le règlement européen 2024/886 impose aux prestataires de services de paiement de la zone euro de vérifier gratuitement, en temps réel, la concordance entre le nom du bénéficiaire et l'IBAN, pour tous les virements SEPA, y compris professionnels. Un IBAN frauduleux déclenche le plus souvent une alerte de correspondance partielle ou nulle. La limite est humaine : l'alerte ne protège que si quelqu'un la lit et interrompt l'opération.
Que faire si ma plateforme agréée est indisponible le 1er septembre ?
Le guide pratique publié par la DGFiP le 10 juillet 2026 traite explicitement ce cas : un incident technique ne bloque pas l'activité. Vous traitez les flux qui peuvent l'être, isolez les flux bloqués, évitez les doublons et organisez la régularisation dès que possible. La condition est documentaire : conservez les tickets d'incident, les échanges avec le prestataire et votre calendrier de déploiement, car ce sont ces preuves qui démontrent votre bonne foi.
Mes données de facturation intéressent-elles vraiment quelqu'un ?
Oui, et pas uniquement des escrocs. Répétées et agrégées, les données de facturation révèlent vos relations clients et fournisseurs, vos volumes d'activité, votre saisonnalité, votre dépendance économique à un donneur d'ordre et l'évolution de vos prix. Pour une ETI industrielle ou une PME innovante, c'est une information stratégique. Ce risque ne produit aucun incident visible, ce qui le rend particulièrement facile à négliger.
Que dois-je faire si ma plateforme subit une violation de données ?
En qualité de sous-traitant, elle doit vous notifier dans les meilleurs délais au titre de l'article 33.2 du RGPD. C'est ensuite à vous, responsable de traitement, de notifier la CNIL dans les 72 heures suivant votre prise de connaissance, et d'informer les personnes concernées si le risque est élevé au sens de l'article 34. Votre contrat doit fixer un délai chiffré de remontée, idéalement vingt-quatre heures, et prévoir l'accès aux éléments d'investigation dont vous aurez besoin pour rédiger votre propre notification.
Combien de temps ai-je pour récupérer un virement détourné ?
Très peu en pratique. Les fonds détournés sont généralement transférés vers d'autres comptes en moins de quarante-huit heures. Contactez votre banque immédiatement pour tenter un rappel de fonds, déposez plainte et signalez l'incident sur cybermalveillance.gouv.fr. La contestation d'une opération non autorisée reste ouverte treize mois au titre de l'article L133-24 du code monétaire et financier, mais ce régime ne s'applique pas lorsque vous avez vous-même validé le virement, ce qui est le cas typique de la fraude au faux fournisseur.
Par quoi commencer si je n'ai qu'une heure devant moi ?
Par la règle de changement de coordonnées bancaires. Écrivez en cinq lignes que toute demande de modification de RIB est vérifiée par téléphone, sur un numéro figurant dans vos dossiers et non dans le message reçu, et qu'aucune exception n'est admise, même urgente, même de la part d'un dirigeant. Diffusez-la aux personnes qui manipulent les paiements, remplaçants compris. C'est la mesure au meilleur rapport entre effort et protection de toute cette liste.
Recevez la checklist de conformité RGPD (12 points)
La liste complète des éléments à vérifier sur votre site, point par point, pour vous mettre en conformité. Envoi immédiat par e-mail.
Jérémy Pierre
Expert en conformité RGPD, Jérémy accompagne les sites et agences dans la mise en conformité de leurs traitements de données depuis le lancement de RGPDKit.
Rédaction assistée par IA. Cet article a été préparé avec l’aide d’outils d’intelligence artificielle, à partir de sources juridiques publiques (textes officiels, délibérations de la CNIL), puis relu avant publication. Les références citées peuvent être vérifiées directement auprès des sources indiquées. Il ne constitue pas un conseil juridique personnalisé.