Mon fournisseur a envoyé de nouvelles coordonnées bancaires. Que vérifier ?

Vous payez le même fournisseur depuis des mois, ou vous êtes sur le point de verser un acompte. Un courriel arrive de votre contact habituel : la société a changé de banque, ou le compte est « en cours d’audit », et ce paiement doit être versé sur un nouveau compte. Une nouvelle facture est jointe, avec un cachet et le bon logo.

Considérez ce changement comme non confirmé tant que vous ne l’avez pas vérifié par un canal qui ne provient pas du message lui-même. Ne répondez pas au courriel pour le vérifier et n’appelez pas un numéro qui y figure. Suspendez le paiement jusqu’à ce que le fournisseur confirme les nouvelles coordonnées bancaires au moyen des coordonnées de contact que vous possédiez déjà, et jusqu’à ce que le nouveau bénéficiaire corresponde à cette commande. Si vous avez déjà payé, contactez immédiatement votre banque et demandez-lui le rappel du virement.

Pourquoi cette demande exige une pause

Une demande de changement de compte est la méthode habituelle de la compromission de messagerie professionnelle. Le fraudeur accède à une véritable boîte aux lettres, celle du fournisseur ou la vôtre, ou enregistre un domaine similaire, lit la correspondance et envoie de nouvelles instructions de paiement au moment où un paiement est dû. Le centre de plaintes pour la criminalité informatique du FBI (IC3) décrit cette pratique comme une escroquerie visant des demandes de virement légitimes, perpétrée en compromettant des comptes de messagerie professionnelle par ingénierie sociale ou par intrusion. Son annonce de 2024, fondée sur des données de 2023, indique que les banques du Royaume-Uni et de Hong Kong ont souvent servi d’étape intermédiaire pour les fonds, suivies de la Chine, du Mexique et des Émirats arabes unis. IC3.

Parce que le message peut venir de la véritable adresse du fournisseur et citer votre véritable commande, rien dans le message lui-même ne peut le confirmer. Un cachet, un papier à en-tête, une facture PDF et un style d’écriture familier peuvent tous être copiés à partir de courriels antérieurs.

Il arrive que des fournisseurs changent réellement de banque ou se mettent à encaisser par une entité différente. La pause n’est pas une accusation ; c’est le contrôle qui distingue un changement authentique d’un changement frauduleux.

Confirmer le changement par un canal distinct

L’IC3 conseille d’utiliser des canaux secondaires ou l’authentification à deux facteurs pour vérifier les demandes de changement de coordonnées de compte. IC3. En pratique :

• Appelez un numéro dont vous disposiez déjà. Utilisez le numéro de téléphone figurant sur votre contrat, sur une facture antérieure reçue avant le changement, ou celui d’un appel que vous avez déjà passé. N’utilisez pas un numéro figurant dans la demande de changement ni dans la signature du même fil de courriels.
• Parlez à une personne que vous connaissez. Demandez à votre contact habituel, et si possible à une seconde personne comme le responsable commercial ou le service financier, de vous lire le nouveau numéro de compte et le nom du bénéficiaire. Ne commencez pas par leur lire quoi que ce soit.
• Utilisez un autre moyen de communication que vous avez mis en place auparavant. Une conversation WeChat ou WhatsApp antérieure à la demande constitue un canal distinct ; un nouveau compte de discussion que le courriel vous demande d’ajouter n’en est pas un.
• Demandez pourquoi le compte a changé. Un changement authentique a une réponse ordinaire : une nouvelle relation bancaire, une nouvelle entité qui encaisse au sein du groupe, un changement de société. Notez la réponse ; vous la comparerez aux documents.

Si le fournisseur affirme n’avoir jamais envoyé la demande, les deux boîtes aux lettres peuvent être compromises. Prévenez le fournisseur, cessez d’utiliser le courriel pour les instructions de paiement de cette commande et conservez le message pour votre banque.

Vérifier la cohérence du nouveau bénéficiaire

Une confirmation par téléphone vous apprend que le fournisseur est à l’origine de la demande. Elle ne vous dit pas que le nouveau bénéficiaire est une partie à qui vous devez payer. Comparez les nouvelles coordonnées à ce que vous savez de la commande :

• Le bénéficiaire est-il toujours le vendeur ? Si le nom du compte correspond à la même société enregistrée qu’auparavant et qu’au contrat, il s’agit d’un changement de banque. Si le nom est différent, il s’agit d’un changement de bénéficiaire, qui exige plus qu’un appel téléphonique.
• S’agit-il d’une variante du même nom ? Le compte d’une société chinoise peut apparaître sous une forme anglaise de son nom chinois. Vérifiez si le nouveau nom est une variante orthographique ou de traduction avant de le considérer comme une partie différente. Le guide sur les noms de bénéficiaire qui ne correspondent pas au fournisseur traite de ce point.
• S’agit-il d’une société de Hong Kong ? Une société de Hong Kong qui encaisse peut être légitime, mais passer à une telle société en cours de relation exige les mêmes preuves que pour tout nouveau bénéficiaire. Voir une société de Hong Kong qui reçoit le paiement.
• S’agit-il d’un particulier ? Une demande de payer une personne plutôt qu’une société, à bref délai, doit conduire à suspendre le paiement jusqu’à ce que le vendeur l’explique par écrit et que l’explication vous satisfasse.
• Le pays de la banque a-t-il changé ? Une banque bénéficiaire située dans un pays sans lien avec le fournisseur ou la commande est une raison de s’arrêter et de poser la question.

Demandez les nouvelles coordonnées de paiement sur une facture pro forma actualisée ou un avenant au contrat émanant du vendeur, nommant le bénéficiaire et précisant que le paiement à celui-ci libère votre obligation pour cette commande. Confirmez ce document par le même canal distinct.

Vérifier la société derrière la demande

Si le changement s’accompagne d’un nouveau nom de société, ou si vous n’avez jamais confirmé le nom d’origine, vérifiez l’inscription de la société continentale au registre. Vous pouvez consulter sa fiche en anglais par son nom anglais ou chinois ou son Unified Social Credit Code (USCC). La recherche est gratuite ; le rapport complet en anglais est payant. L’inscription au registre confirme qu’une société existe et ce qui est enregistré à son sujet. Elle ne confirme pas un compte bancaire et ne vous dit pas qui a envoyé le courriel.

Les étapes pour vérifier la société elle-même, ses documents et son pouvoir de signature figurent dans le guide de vérification d’un fournisseur chinois.

Interroger votre banque avant l’envoi

Une recherche au registre ne vérifie pas un compte bancaire. Avant d’envoyer le paiement, demandez à votre banque quels contrôles elle peut effectuer sur le bénéficiaire d’un virement international, et ce qu’elle peut faire si vous signalez une fraude après l’envoi. Certaines banques peuvent vérifier le nom du bénéficiaire par rapport au compte destinataire pour certains types de paiement ; demandez si cela s’applique à ce virement. Si ce n’est pas le cas, les autres contrôles de ce guide supportent tout le poids.

Si vous avez déjà payé

Agissez le jour même. L’IC3 conseille, si vous découvrez un virement frauduleux, d’agir sans délai : contactez immédiatement votre établissement financier et demandez le rappel des fonds, puis déposez une plainte auprès de l’IC3 quel que soit le montant perdu. IC3. L’IC3 est un service des États-Unis ; si vous êtes ailleurs, signalez également les faits à la police ou au service de signalement des fraudes de votre pays.

• Donnez à votre banque la date, le montant, le compte du bénéficiaire et la référence du virement.
• Conservez les courriels avec leurs en-têtes complets, les factures et tout message de discussion. Ne supprimez pas le fil.
• Prévenez le véritable fournisseur par un canal connu. Sa boîte aux lettres est peut-être celle qui a été compromise, et d’autres acheteurs peuvent recevoir la même demande.
• Changez les mots de passe de votre propre messagerie et vérifiez ses règles de réacheminement, au cas où la compromission viendrait de votre côté.

La récupération n’est pas garantie et dépend de la rapidité avec laquelle la banque destinataire est jointe. Plus la demande de rappel est précoce, plus les chances sont grandes.

Ce que ces contrôles établissent

Un changement confirmé par téléphone avec un contact connu, un bénéficiaire qui est le vendeur ou une partie documentée chargée d’encaisser, et des instructions actualisées du vendeur rendent ensemble la demande beaucoup moins susceptible d’être une fraude. Ils ne garantissent ni que le compte est contrôlé par le fournisseur ni que les marchandises seront livrées. Gardez visible tout point inexpliqué et décidez si le paiement en vaut la peine.

Ce que ce guide ne couvre pas

Ce guide traite de la vérification d’une demande de changement de coordonnées de paiement avant de payer un fournisseur en Chine ou à Hong Kong. Il ne couvre pas en profondeur la sécurité des courriels, les procédures de récupération, les rétrofacturations ou l’assurance, ni le droit d’un pays particulier, et il ne constitue pas un conseil juridique.

Si un changement de bénéficiaire vous laisse avec un contrat, une facture et des coordonnées bancaires qui ne concordent plus, et que vous souhaitez faire vérifier la société continentale au regard de son inscription au registre et comparer le nouveau bénéficiaire à celle-ci, vous pouvez demander une vérification avec les documents dont vous disposez.