--- id: CP-356 slug: contre-appel-numero-connu-changement-rib lang: fr title: Contre-appel avant un changement de RIB description: "Un fournisseur ou un dirigeant réclame un nouveau RIB ou un virement urgent : rappelez-le sur un numéro déjà connu, puis faites valider la demande." canonical_url: https://startbrain.io/cyberpedia/fr/articles/contre-appel-numero-connu-changement-rib/ markdown_url: https://startbrain.io/cyberpedia/fr/articles/contre-appel-numero-connu-changement-rib.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, « Contre-appel avant un changement de RIB », Cyberpedia, 2026. https://startbrain.io/cyberpedia/fr/articles/contre-appel-numero-connu-changement-rib/ (CC BY 4.0) wing: 5 theme: handle_scams reflex: cr-080 schema: G5 updated: "2026-11-03" translations: fr: https://startbrain.io/cyberpedia/fr/articles/contre-appel-numero-connu-changement-rib/ en: https://startbrain.io/cyberpedia/en/articles/callback-verification-known-number-bank-details-change/ de: https://startbrain.io/cyberpedia/de/articles/rueckruf-bekannte-nummer-aenderung-bankverbindung/ es: https://startbrain.io/cyberpedia/es/articles/contrallamada-numero-conocido-cambio-datos-bancarios/ sources: - "n": 1 title: Que faire en cas de phishing ou hameçonnage ? - Assistance aux victimes de cybermalveillance publisher: Cybermalveillance.gouv.fr url: https://www.cybermalveillance.gouv.fr/tous-nos-contenus/fiches-reflexes/hameconnage-phishing published: "2020-01-10" accessed: "2026-11-03" - "n": 2 title: Recognize and Report Phishing | CISA publisher: CISA url: https://www.cisa.gov/secure-our-world/recognize-and-report-phishing accessed: "2026-11-03" - "n": 3 title: Avoiding Social Engineering and Phishing Attacks | CISA publisher: CISA url: https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks published: "2021-02-01" accessed: "2026-11-03" - "n": 4 title: Phishing for Information, Technique T1598 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1598/ accessed: "2026-11-03" - "n": 5 title: "Compromise Accounts: Email Accounts, Sub-technique T1586.002 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1586/002/ accessed: "2026-11-03" - "n": 6 title: "Email Collection: Email Forwarding Rule, Sub-technique T1114.003 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1114/003/ accessed: "2026-11-03" - "n": 7 title: Internal Spearphishing, Technique T1534 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1534/ accessed: "2026-11-03" --- # Contre-appel avant un changement de RIB Un message demande de changer le RIB d'un fournisseur, ou de faire un virement tout de suite pour un dirigeant. Si l'expéditeur est un escroc, le salarié qui exécute la demande paie à sa place. Dans les deux cas, l'auteur se fait passer pour un tiers de confiance, le schéma que Cybermalveillance.gouv.fr décrit pour l'hameçonnage : tromper la victime pour obtenir des données bancaires ou personnelles [1]. La CISA conseille de ne pas appeler le numéro du message suspect et de joindre l'entreprise ou la personne par un autre moyen [2]. Cette fiche explique pourquoi ce geste fonctionne et quels pièges le contournent. ## En 30 secondes - Où ça arrive : par un faux message, un SMS ou un appel téléphonique qui imite un tiers de confiance [1]. - Ce que veut l'attaquant : obtenir des données bancaires ou personnelles en se faisant passer pour un tiers de confiance [1]. - Le réflexe : ne cliquez sur rien et n'appelez aucun numéro figurant dans le message, cherchez un autre moyen de joindre la personne [2]. - Si c'est déjà fait : prévenez tout de suite les personnes concernées dans l'organisation et l'établissement financier [3]. ## Questions directes ### Qu'est-ce qu'une demande de changement de RIB frauduleuse ? C'est une demande qui semble venir d'un fournisseur ou d'un dirigeant et qui vise à modifier des coordonnées bancaires ou à déclencher un virement urgent. Les sources citées ici ne traitent pas ce cas par son nom : elles décrivent l'hameçonnage en général. Selon Cybermalveillance.gouv.fr, il s'agit d'un faux message, SMS ou appel téléphonique, présenté comme venant d'un tiers de confiance, pour obtenir des données personnelles ou bancaires [1]. Le but recherché est de les utiliser frauduleusement [1]. ### Pourquoi rappeler sur un numéro déjà enregistré ? Parce que les coordonnées du message sont celles que l'escroc a choisies. La CISA demande de ne cliquer sur aucun lien et de n'appeler aucun numéro figurant dans le message suspect, et de joindre l'entreprise ou la personne par un autre moyen [2]. Elle conseille de reprendre les coordonnées sur un site vérifié, ou de contacter la personne par un autre canal pour savoir si elle a bien écrit [2]. Un second texte de la CISA va dans le même sens : en cas de doute, on contacte l'entreprise directement, sans utiliser les coordonnées d'un site lié à la demande, et en cherchant celles de documents antérieurs (relevés, courriers) [3]. ### Pourquoi la demande est-elle toujours urgente ? L'urgence est un signe d'alerte. La CISA cite parmi les signes courants un langage urgent ou chargé d'émotion, notamment les messages qui annoncent de graves conséquences en l'absence de réponse immédiate [2]. MITRE note que l'hameçonnage destiné à collecter des informations passe souvent par plusieurs messages d'apparence urgente [4]. ### Un courriel qui vient de la bonne adresse est-il fiable ? Non. MITRE décrit des attaquants qui compromettent des comptes de messagerie pour les utiliser ensuite en hameçonnage [5]. Un compte déjà connu de la victime peut créer de la confiance, et l'attaquant peut détourner des échanges existants [5]. L'adresse affichée ne prouve donc pas que l'auteur est le vrai titulaire. ### Que faire si le paiement est déjà parti ? Prévenir sans attendre. La CISA recommande de signaler à la bonne personne de l'organisation, y compris aux administrateurs réseau, toute information sensible révélée, et de contacter immédiatement l'établissement financier si des comptes peuvent être compromis [3]. Cybermalveillance.gouv.fr ajoute de conserver les preuves, en particulier le message reçu, et de déposer plainte en cas de débits frauduleux [1]. ## Comment ça marche Le contre-appel repose sur un principe simple : l'escroc contrôle le message, pas le dossier. Le numéro enregistré avant la demande n'a pas été fourni par l'auteur du message. La CISA recommande d'ailleurs de ne pas utiliser les coordonnées d'une page liée à la demande, mais de chercher celles de documents antérieurs [3]. L'identité d'un expéditeur peut être imitée : MITRE cite l'usurpation de l'identité de l'expéditeur, qui peut tromper le destinataire comme les outils de sécurité automatiques [4]. La CISA ajoute que les adresses imitent souvent celles d'une entreprise réelle, en modifiant ou en omettant quelques caractères [3]. ## Ce que vous faites Les étapes ci-dessous s'appuient sur les consignes de vérification des sources citées ici. La validation par une seconde personne n'y figure pas : c'est une règle de procédure interne, à fixer par l'entreprise. - Ne répondez pas au message et ne cliquez sur aucun lien ni pièce jointe de la demande [2]. - Cherchez les coordonnées du demandeur dans des documents antérieurs, et non sur un site lié à la demande [3]. - Contactez directement l'entreprise ou la personne pour vérifier la demande [3], avant toute modification de RIB ou tout virement. - Faites valider la demande par une seconde personne désignée avant d'exécuter l'opération. - Si vous ne pouvez pas joindre le demandeur, ne payez pas et ne modifiez rien. Signalez la demande en interne. - Conservez le message reçu : Cybermalveillance.gouv.fr insiste sur la conservation des preuves [1]. ## Les pièges ### L'urgence et la confidentialité Une demande qui presse ou qui interdit d'en parler empêche le contre-appel et la seconde validation. La CISA range l'urgence parmi les signes à reconnaître [2]. Les sources citées ici ne décrivent pas la demande de confidentialité : elle est à traiter comme un motif de plus de vérifier. ### Le courriel usurpé ou piraté Une adresse presque identique à la vraie est un signe classique : la CISA donne l'exemple d'une adresse comme amazan.com [2]. Mais une adresse exacte ne suffit pas, car un compte piraté peut servir à écrire aux contacts de son titulaire [5]. Les sources citées ici ne donnent pas de raison de se fier au courriel seul. ### La règle de transfert cachée Un attaquant qui a pris un compte peut surveiller la messagerie sans se faire voir. MITRE décrit les règles de transfert de courriels, qui servent à suivre l'activité de la victime et à voler des informations [6]. Ces règles peuvent garder l'accès aux messages même après une réinitialisation des identifiants, et peuvent être masquées dans certains outils [6]. Un échange qui paraît normal peut donc être surveillé, voire détourné. ### La demande venue de l'intérieur Un message venu d'un collègue ou d'un dirigeant n'est pas forcément sûr. MITRE décrit l'hameçonnage interne, où des comptes compromis visent d'autres membres de l'organisation, et cite un groupe qui a visé des cadres, les ressources humaines et l'informatique [7]. La comptabilité n'y est pas nommée, mais le principe est le même : l'appartenance à l'entreprise ne remplace pas la vérification. ### La fausse facture Les sources citées ici ne décrivent pas la fausse facture comme telle. Un texte de la CISA met en garde contre les pièces jointes non sollicitées [3]. La CISA cite les demandes d'informations personnelles et financières [2]. Une facture accompagnée de nouvelles coordonnées bancaires relève de cette alerte : le contre-appel s'applique de la même façon. ## Sources 1. Cybermalveillance.gouv.fr, « Que faire en cas de phishing ou hameçonnage ? - Assistance aux victimes de cybermalveillance », 10 janvier 2020. https://www.cybermalveillance.gouv.fr/tous-nos-contenus/fiches-reflexes/hameconnage-phishing (consulté le 3 novembre 2026) 2. CISA, « Recognize and Report Phishing | CISA ». https://www.cisa.gov/secure-our-world/recognize-and-report-phishing (consulté le 3 novembre 2026) 3. CISA, « Avoiding Social Engineering and Phishing Attacks | CISA », 1 février 2021. https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks (consulté le 3 novembre 2026) 4. MITRE ATT&CK, « Phishing for Information, Technique T1598 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1598/ (consulté le 3 novembre 2026) 5. MITRE ATT&CK, « Compromise Accounts: Email Accounts, Sub-technique T1586.002 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1586/002/ (consulté le 3 novembre 2026) 6. MITRE ATT&CK, « Email Collection: Email Forwarding Rule, Sub-technique T1114.003 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1114/003/ (consulté le 3 novembre 2026) 7. MITRE ATT&CK, « Internal Spearphishing, Technique T1534 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1534/ (consulté le 3 novembre 2026) --- Source originale : Cyberpedia, l'encyclopédie publique de cybersécurité et d'IA publiée par Brain. Version canonique : https://startbrain.io/cyberpedia/fr/articles/contre-appel-numero-connu-changement-rib/ Vous pouvez reprendre ce texte librement sous licence CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), à condition de citer « Brain, Cyberpedia » avec un lien vers l'adresse ci-dessus.