Sécurité informatique · 26 août 2026
Un menuisier d'Ustaritz envoie sa facture un jeudi. Le lundi suivant, son client lui confirme le virement. Sauf que l'argent est parti ailleurs. Entre les deux, quelqu'un s'est glissé dans la conversation. Ce scénario n'a rien d'exotique : il tourne en ce moment sur toute la côte basque, et il vise en priorité les petites structures.
Trois histoires qui finissent mal
Aucune n'exige d'être un génie informatique. Juste un peu de patience et beaucoup de bon sens détourné. Voici les trois formes qu'on rencontre le plus souvent chez nos clients.
01
Le devis qui revient avec un nouveau RIB
Un artisan du bâtiment envoie son devis. Le client répond, tout se passe normalement. Deux semaines plus tard, un dernier message arrive : « Petit changement, on a ouvert un compte pro dans une autre banque, voici le nouveau RIB. » Le ton est le bon, le dossier est le bon, la signature aussi. Le client paie. L'artisan, lui, attend toujours.
02
La boîte mail de l'assistante
Dans un commerce de Bayonne, l'assistante utilise le même mot de passe depuis quatre ans, aussi sur son compte perso. Ce mot de passe traîne dans une fuite de données. Quelqu'un se connecte, ne touche à rien, et lit tranquillement les échanges pendant trois semaines. Le jour où une grosse facture part, il l'intercepte et la remplace. Rien n'a été « piraté » au sens spectaculaire : on est simplement entré avec la clé.
03
« C'est moi, j'ai changé de banque »
Un mail arrive au comptable, apparemment du gérant, un vendredi à 17 h. Il faut régler un fournisseur avant le week-end, c'est un peu urgent, le patron est en déplacement et ne répondra pas au téléphone. Tout est calculé : le moment, l'urgence, l'impossibilité de vérifier. Le virement part.
Le point commun des trois
Un changement de coordonnées bancaires annoncé par mail. C'est le seul signal qui ne trompe pas. Peu importe que le message soit bien écrit, qu'il reprenne votre dossier, qu'il arrive de la bonne adresse : un RIB qui change par e-mail se vérifie toujours, sans exception.
« Mais je n'ai rien à voler, moi »
C'est la phrase qu'on entend le plus souvent. Et c'est justement ce qui rend les petites structures intéressantes : personne ne se méfie, et les montants restent assez bas pour ne pas déclencher d'enquête.
Le carburant de l'arnaque, ce sont les fuites de données. Cet été, deux grosses administrations françaises y sont passées : le système d'information des impôts, avec 678 000 particuliers et professionnels concernés, et l'ANTS, l'agence des cartes grises et des permis, avec 11,7 millions de comptes exposés. Les personnes touchées par la fuite des impôts reçoivent un courrier depuis le 17 août.
Ces fichiers sont revendus, recoupés, croisés avec d'autres. Au bout de la chaîne, quelqu'un dispose de votre nom, de votre adresse, de votre SIREN, parfois du nom de votre comptable. Assez pour écrire un message qui sonne juste. On n'est plus du tout dans le mail bourré de fautes du prince nigérian.
Ce n'est pas rare
La fraude au faux fournisseur et au changement de RIB a coûté 183 millions d'euros en 2024, selon l'Observatoire de la sécurité des moyens de paiement de la Banque de France. En hausse de 12 % sur un an. Et ce sont les cas déclarés.
Ce n'est pas réservé aux grosses boîtes
Un artisan avec trois salariés et deux gros chantiers par an fait exactement le profil recherché : des factures à cinq chiffres, pas de service comptable, pas de procédure de contrôle, et un dirigeant sur les chantiers plutôt que devant son écran.
La question qui fâche : au final, qui paie ?
Longtemps, la réponse dépendait du juge et des circonstances. Depuis cet été, c'est tranché, et il vaut mieux le savoir avant plutôt qu'après.
Le 17 juin 2026, la Cour de cassation a jugé qu'un escroc qui usurpe l'identité d'un fournisseur n'est pas un « créancier apparent ». Traduction : payer l'escroc ne libère de rien.
Cour de cassation, chambre commerciale, formation plénière, 17 juin 2026, pourvoi n° 24-13.306, publié au Bulletin.
Votre client s'est fait avoir à votre place
Bonne nouvelle sur le papier : il vous doit toujours l'argent et devra payer une deuxième fois. Mauvaise nouvelle en vrai : allez expliquer ça à un client qui vient de perdre 12 000 € en croyant vous régler. La créance survit, la relation beaucoup moins. Et si l'escroc est passé par votre boîte mail, on vous demandera pourquoi elle n'était pas mieux protégée.
C'est vous qui avez payé le faux fournisseur
Là, c'est plus simple et beaucoup moins agréable : vous n'êtes pas libéré. Vous devrez régler une seconde fois votre vrai fournisseur, et courir après le premier virement avec peu d'espoir. La perte est pour vous, intégralement.
Bref, ce n'est plus « le problème de la banque » ni « le problème du client ». Vérifier un RIB avant de virer, ça vient de devenir un geste de gestion au même titre que relancer un impayé.
Ce qu'on installe chez nos clients
Trois outils, trois moments différents de l'attaque. Le premier empêche d'entrer, le deuxième repère le message piégé, le troisième vous relève si tout a échoué. Pris séparément, aucun ne suffit.
Keeper : empêcher qu'on entre
La porte d'entrée numéro un, c'est le mot de passe réutilisé partout depuis des années. Un coffre-fort règle le problème sans effort pour l'utilisateur.
→ Un mot de passe différent et solide par service, sans avoir à les retenir
→ Les accès partagés dans l'équipe sans se les envoyer par mail ou les écrire sur un post-it
→ La double authentification sur la messagerie : même volé, le mot de passe ne suffit plus
Découvrir Keeper
ESET : repérer le message piégé
En version complète, ESET ne se contente pas de chercher des virus. Il regarde ce que le message vous demande et d'où il vient vraiment.
→ Filtrage antihameçonnage sur la messagerie et le navigateur
→ Détection des messages qui réclament des coordonnées bancaires, avec un avertissement affiché avant que l'utilisateur ne réponde
→ Blocage des domaines sosies, ceux qui changent une lettre à votre nom de domaine
Nos solutions de sécurité
Acronis : pouvoir repartir
Souvent, l'accès à votre messagerie sert aussi à déployer un rançongiciel. Ce jour-là, la seule chose qui compte est la date de votre dernière sauvegarde saine.
→ Sauvegarde automatique et récurrente, en local et à l'extérieur
→ Protection des sauvegardes elles-mêmes contre le chiffrement
→ Restauration testée, pour savoir combien de temps un redémarrage prendrait vraiment
Nos solutions PCA / PRANous sommes partenaire ESET et certifiés Acronis. Ces solutions sont installées, surveillées et tenues à jour dans le cadre de nos contrats d'infogérance : un antivirus qu'on oublie de renouveler ne protège personne.
Quatre réflexes qui ne coûtent pas un centime
À appliquer dès demain matin, même sans rien changer à votre informatique.
Décrochez le téléphone
Un RIB qui change ? Vous appelez. Pas le numéro écrit sur la facture ou dans le mail, mais celui que vous avez déjà dans votre répertoire. Trente secondes d'appel contre plusieurs milliers d'euros : c'est le meilleur rapport qualité-prix de toute la sécurité informatique.
À deux au-dessus d'un montant
Fixez un seuil, par exemple 3 000 €, au-delà duquel un virement demande l'accord de deux personnes. L'escroc mise sur quelqu'un seul, pressé, un vendredi soir. La double validation casse net le mécanisme.
Prévenez vos clients avant que ça arrive
Un mail, une fois, à tous vos clients : « nous ne changeons jamais nos coordonnées bancaires par e-mail, en cas de doute appelez-nous ». Vos clients deviennent des sentinelles au lieu d'être la faille.
Un truc bizarre ? Ce n'est jamais rien
Une connexion à la messagerie depuis un endroit inhabituel, une règle de transfert automatique que personne n'a créée, un client qui s'étonne d'un message que vous n'avez pas envoyé : ces signaux arrivent souvent plusieurs jours avant la fraude. Appelez-nous à ce moment-là, pas après.
Vos questions
Comment savoir si mon adresse mail traîne dans une fuite ?
Ça se vérifie en quelques secondes, et c'est gratuit. Si votre adresse ressort, le réflexe est simple : changez le mot de passe du service concerné, et surtout de tous ceux où vous aviez mis le même. C'est typiquement le genre de vérification qu'on fait avec vous lors d'un point sécurité. On regarde aussi les adresses de vos salariés, pas seulement la vôtre.
Un escroc peut-il vraiment écrire depuis ma vraie adresse ?
Oui, et c'est le cas le plus difficile à repérer. Si votre boîte est compromise, le message part réellement de chez vous : bonne adresse, bonne signature, parfois inséré dans une conversation déjà en cours. Aucun filtre antispam ne le bloquera, puisque techniquement il est légitime. La parade se joue avant : mot de passe unique et double authentification.
Mon client a payé un escroc. Je perds l'argent ?
Non, sur le plan juridique. Depuis l'arrêt du 17 juin 2026, le paiement fait à un usurpateur ne libère pas votre client : il vous doit toujours la somme. En pratique, préparez-vous quand même à une conversation difficile, et à une relation commerciale abîmée. Si l'escroc est passé par votre messagerie, votre part de responsabilité pourra être discutée.
J'ai déjà un antivirus, ça ne suffit pas ?
Pas pour ça. Une fausse facture ne contient aucun virus : c'est un mail parfaitement propre techniquement, dont seul le contenu est mensonger. Un antivirus classique n'a rien à signaler. Il faut une protection qui analyse ce que le message demande et vérifie d'où il vient. C'est ce que fait ESET en version complète, pas une licence d'entrée de gamme.
Je suis seul, ou on est trois. C'est vraiment pour moi ?
Encore plus que pour les autres. Une grosse entreprise a un service comptable, des procédures, quelqu'un qui vérifie. Vous, vous faites la facture entre deux chantiers. C'est exactement ce que cherchent les escrocs. La bonne nouvelle : la protection est proportionnée à la taille, on ne vous vendra pas l'usine à gaz d'un grand compte.
Ça prend combien de temps à mettre en place ?
Pour une structure de cinq à trente postes, comptez quelques jours. Le gestionnaire de mots de passe et la double authentification en premier, parce que c'est là que se joue l'essentiel, puis la protection ESET et la sauvegarde. Le plus long n'est pas technique, c'est d'accompagner les utilisateurs pour que ça devienne une habitude.
Vous intervenez où ?
Depuis notre atelier d'Espelette, nous couvrons Bayonne, Anglet, Biarritz, Saint-Jean-de-Luz, Hendaye, l'intérieur du Pays Basque et le Sud des Landes. Une bonne partie du travail se fait à distance, mais quand il faut passer, on passe.
On regarde ça ensemble ?
Un point d'une heure suffit à savoir où vous en êtes sur vos trois points faibles : la messagerie, les mots de passe et les sauvegardes. C'est sans engagement, et vous repartez avec une réponse claire, même si c'est « tout va bien ».
