Contre-appel avant un changement de RIB
Un fournisseur ou un dirigeant réclame un nouveau RIB ou un virement urgent : rappelez-le sur un numéro déjà connu, puis faites valider la demande.
En 30 secondes
- Où ça arrive
- Par un faux message, un SMS ou un appel téléphonique qui imite un tiers de confiance1.
- Ce que veut l'attaquant
- Obtenir des données bancaires ou personnelles en se faisant passer pour un tiers de confiance1.
- Le réflexe
- Ne cliquez sur rien et n'appelez aucun numéro figurant dans le message, cherchez un autre moyen de joindre la personne2.
- Si c'est déjà fait
- Prévenez tout de suite les personnes concernées dans l'organisation et l'établissement financier3.
De quoi parle-t-on
Un message demande de changer le RIB d'un fournisseur, ou de faire un virement tout de suite pour un dirigeant. Si l'expéditeur est un escroc, le salarié qui exécute la demande paie à sa place. Dans les deux cas, l'auteur se fait passer pour un tiers de confiance, le schéma que Cybermalveillance.gouv.fr décrit pour l'hameçonnage : tromper la victime pour obtenir des données bancaires ou personnelles1.
La CISA conseille de ne pas appeler le numéro du message suspect et de joindre l'entreprise ou la personne par un autre moyen2. Cette fiche explique pourquoi ce geste fonctionne et quels pièges le contournent.
Questions directes
Qu'est-ce qu'une demande de changement de RIB frauduleuse ?
C'est une demande qui semble venir d'un fournisseur ou d'un dirigeant et qui vise à modifier des coordonnées bancaires ou à déclencher un virement urgent. Les sources citées ici ne traitent pas ce cas par son nom : elles décrivent l'hameçonnage en général. Selon Cybermalveillance.gouv.fr, il s'agit d'un faux message, SMS ou appel téléphonique, présenté comme venant d'un tiers de confiance, pour obtenir des données personnelles ou bancaires1. Le but recherché est de les utiliser frauduleusement1.
Pourquoi rappeler sur un numéro déjà enregistré ?
Parce que les coordonnées du message sont celles que l'escroc a choisies. La CISA demande de ne cliquer sur aucun lien et de n'appeler aucun numéro figurant dans le message suspect, et de joindre l'entreprise ou la personne par un autre moyen2. Elle conseille de reprendre les coordonnées sur un site vérifié, ou de contacter la personne par un autre canal pour savoir si elle a bien écrit2.
Un second texte de la CISA va dans le même sens : en cas de doute, on contacte l'entreprise directement, sans utiliser les coordonnées d'un site lié à la demande, et en cherchant celles de documents antérieurs (relevés, courriers)3.
Pourquoi la demande est-elle toujours urgente ?
L'urgence est un signe d'alerte. La CISA cite parmi les signes courants un langage urgent ou chargé d'émotion, notamment les messages qui annoncent de graves conséquences en l'absence de réponse immédiate2. MITRE note que l'hameçonnage destiné à collecter des informations passe souvent par plusieurs messages d'apparence urgente4.
Un courriel qui vient de la bonne adresse est-il fiable ?
Non. MITRE décrit des attaquants qui compromettent des comptes de messagerie pour les utiliser ensuite en hameçonnage5. Un compte déjà connu de la victime peut créer de la confiance, et l'attaquant peut détourner des échanges existants5. L'adresse affichée ne prouve donc pas que l'auteur est le vrai titulaire.
Que faire si le paiement est déjà parti ?
Prévenir sans attendre. La CISA recommande de signaler à la bonne personne de l'organisation, y compris aux administrateurs réseau, toute information sensible révélée, et de contacter immédiatement l'établissement financier si des comptes peuvent être compromis3. Cybermalveillance.gouv.fr ajoute de conserver les preuves, en particulier le message reçu, et de déposer plainte en cas de débits frauduleux1.
1Comment ça marche1 min
Le contre-appel repose sur un principe simple : l'escroc contrôle le message, pas le dossier. Le numéro enregistré avant la demande n'a pas été fourni par l'auteur du message. La CISA recommande d'ailleurs de ne pas utiliser les coordonnées d'une page liée à la demande, mais de chercher celles de documents antérieurs3.
L'identité d'un expéditeur peut être imitée : MITRE cite l'usurpation de l'identité de l'expéditeur, qui peut tromper le destinataire comme les outils de sécurité automatiques4. La CISA ajoute que les adresses imitent souvent celles d'une entreprise réelle, en modifiant ou en omettant quelques caractères3.
2Ce que vous faites1 min
Les étapes ci-dessous s'appuient sur les consignes de vérification des sources citées ici. La validation par une seconde personne n'y figure pas : c'est une règle de procédure interne, à fixer par l'entreprise.
- Ne répondez pas au message et ne cliquez sur aucun lien ni pièce jointe de la demande2.
- Cherchez les coordonnées du demandeur dans des documents antérieurs, et non sur un site lié à la demande3.
- Contactez directement l'entreprise ou la personne pour vérifier la demande3, avant toute modification de RIB ou tout virement.
- Faites valider la demande par une seconde personne désignée avant d'exécuter l'opération.
- Si vous ne pouvez pas joindre le demandeur, ne payez pas et ne modifiez rien. Signalez la demande en interne.
- Conservez le message reçu : Cybermalveillance.gouv.fr insiste sur la conservation des preuves1.
3Les pièges2 min
L'urgence et la confidentialité
Une demande qui presse ou qui interdit d'en parler empêche le contre-appel et la seconde validation. La CISA range l'urgence parmi les signes à reconnaître2. Les sources citées ici ne décrivent pas la demande de confidentialité : elle est à traiter comme un motif de plus de vérifier.
Le courriel usurpé ou piraté
Une adresse presque identique à la vraie est un signe classique : la CISA donne l'exemple d'une adresse comme amazan.com2. Mais une adresse exacte ne suffit pas, car un compte piraté peut servir à écrire aux contacts de son titulaire5. Les sources citées ici ne donnent pas de raison de se fier au courriel seul.
La règle de transfert cachée
Un attaquant qui a pris un compte peut surveiller la messagerie sans se faire voir. MITRE décrit les règles de transfert de courriels, qui servent à suivre l'activité de la victime et à voler des informations6. Ces règles peuvent garder l'accès aux messages même après une réinitialisation des identifiants, et peuvent être masquées dans certains outils6. Un échange qui paraît normal peut donc être surveillé, voire détourné.
La demande venue de l'intérieur
Un message venu d'un collègue ou d'un dirigeant n'est pas forcément sûr. MITRE décrit l'hameçonnage interne, où des comptes compromis visent d'autres membres de l'organisation, et cite un groupe qui a visé des cadres, les ressources humaines et l'informatique7. La comptabilité n'y est pas nommée, mais le principe est le même : l'appartenance à l'entreprise ne remplace pas la vérification.
La fausse facture
Les sources citées ici ne décrivent pas la fausse facture comme telle. Un texte de la CISA met en garde contre les pièces jointes non sollicitées3. La CISA cite les demandes d'informations personnelles et financières2. Une facture accompagnée de nouvelles coordonnées bancaires relève de cette alerte : le contre-appel s'applique de la même façon.
Fiche
- Identifiant
- CP-356
- Aile
- 5. Vie au bureau et réflexes
- Compétence Brain
- Déjouer les arnaques (handle_scams)
- Réflexe Brain
- cr-080
- Schéma
- G5 · Arbre de Décision Réflexe
- Langues
- de, en, fr
- Sources
- 7 sources vérifiées le 3 novembre 2026
Sources7 sources
- Cybermalveillance.gouv.fr, « Que faire en cas de phishing ou hameçonnage ? - Assistance aux victimes de cybermalveillance », 10 janvier 2020. https://www.cybermalveillance.gouv.fr/tous-nos-contenus/fiches-reflexes/hameconnage-phishing (consulté le 3 novembre 2026)
- CISA, « Recognize and Report Phishing | CISA ». https://www.cisa.gov/secure-our-world/recognize-and-report-phishing (consulté le 3 novembre 2026)
- CISA, « Avoiding Social Engineering and Phishing Attacks | CISA », 1 février 2021. https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks (consulté le 3 novembre 2026)
- MITRE ATT&CK, « Phishing for Information, Technique T1598 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1598/ (consulté le 3 novembre 2026)
- MITRE ATT&CK, « Compromise Accounts: Email Accounts, Sub-technique T1586.002 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1586/002/ (consulté le 3 novembre 2026)
- MITRE ATT&CK, « Email Collection: Email Forwarding Rule, Sub-technique T1114.003 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1114/003/ (consulté le 3 novembre 2026)
- MITRE ATT&CK, « Internal Spearphishing, Technique T1534 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1534/ (consulté le 3 novembre 2026)
Citer cet article
Brain, « Contre-appel avant un changement de RIB », Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp356_fr_2026,
author = {Brain},
title = {Contre-appel avant un changement de RIB},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/fr/articles/contre-appel-numero-connu-changement-rib/},
note = {CC BY 4.0}
}