Facturation électronique : la fenêtre de fraude au faux RIB que personne n'a mise au calendrier

Le 1er septembre 2026, la façon dont les entreprises françaises s'envoient des factures change. Ce n'est pas une nouveauté pour les directions financières, qui préparent le sujet depuis des mois. C'en est une pour la sécurité, et presque personne ne l'a inscrite à ce calendrier-là : pendant les douze mois qui viennent, des dizaines de milliers d'entreprises vont annoncer à leurs clients que leur circuit de facturation change. Les escrocs n'auront jamais eu meilleure couverture.

Ce que la réforme impose, et à qui #

Trois dates suffisent à cadrer le sujet.

• 1er septembre 2026 : réception obligatoire pour tout le monde. Toute entreprise établie en

France et assujettie à la TVA doit être en capacité de recevoir une facture électronique. Sans exception de taille : la micro-entreprise comme le groupe.

• 1er septembre 2026 : émission obligatoire pour les grandes entreprises et les ETI, soit

schématiquement à partir de 250 salariés.

• **1er septembre 2027 : émission obligatoire pour les PME, TPE, micro-entreprises et

indépendants**, avec à la même date l'obligation de e-reporting pour les opérations non couvertes par la facturation entre assujettis.

Un point technique a son importance pour la suite. Le portail public de facturation devait à l'origine permettre d'échanger gratuitement les factures ; ce rôle lui a été retiré en octobre 2024. Il conserve l'annuaire des entreprises et la remontée des données à l'administration, mais l'échange lui-même passe désormais par une plateforme agréée, la fameuse PDP, que chaque entreprise doit choisir et contractualiser. Autrement dit : tout le monde doit s'inscrire quelque part, et tout le monde le sait.

Pourquoi c'est une fenêtre de fraude #

La fraude au faux RIB, ou fraude au faux fournisseur, est un classique documenté par Cybermalveillance.gouv.fr et la gendarmerie au même titre que la fraude au président : un escroc se fait passer pour un fournisseur connu et annonce que ses coordonnées bancaires ont changé. Le virement suivant part sur son compte. L'obstacle habituel, pour lui, c'est la vraisemblance. Un fournisseur qui change de banque, ça arrive rarement, et ça éveille les soupçons d'un comptable attentif.

La réforme fait sauter exactement cet obstacle. Pendant un an, la phrase « notre facturation change, voici nos nouvelles références » devient banale, attendue, et confirmée par la presse professionnelle, l'expert-comptable et l'éditeur de logiciel. Quatre effets se combinent :

1. Le bruit de fond légitime explose. Vos équipes reçoivent des sollicitations réelles de

plateformes, de banques, de l'expert-comptable, de l'éditeur de l'ERP, et de clients qui annoncent leur propre migration. Un message frauduleux de plus se noie dans le lot.

1. Le prétexte d'urgence est fourni par l'État. « Inscrivez-vous avant le 1er septembre »,

« votre entreprise n'apparaît pas encore dans l'annuaire » : la date fait le travail de pression que l'escroc devait fabriquer lui-même.

1. Les faux portails deviennent crédibles. Une page d'inscription à une plateforme que personne

ne connaît encore, qui demande un identifiant Microsoft 365 pour « connecter votre messagerie », ne choque plus personne. Et l'objectif réel du phishing n'est pas toujours le virement : c'est souvent la boîte mail elle-même.

1. Le changement de coordonnées bancaires se noie dans un changement légitime. C'est le point

dangereux. Un fournisseur qui vous annonce en même temps un nouveau canal de facturation et de nouvelles références bancaires paraît cohérent. Il ne l'est pas : la réforme ne change les coordonnées bancaires de personne.

La réforme ne crée pas la fraude au faux RIB. Elle lui offre pendant douze mois l'alibi qui lui manquait : une raison légitime, publique et datée pour qu'un fournisseur vous annonce que tout change chez lui.

Les contrôles à poser maintenant #

Aucun ne coûte de licence. Ils coûtent une décision et une note interne.

1. Verrouillez la procédure de changement de RIB, et écrivez-la. Un changement de coordonnées

bancaires fournisseur ne se valide que par un appel sortant, sur un numéro déjà présent dans votre base ou sur le contrat. Jamais le numéro indiqué dans le message, jamais une simple réponse par mail. C'est le contrôle qui arrête la quasi-totalité des cas, et c'est celui qu'on saute quand on est pressé.

1. Nommez votre plateforme en interne, une fois choisie. Diffusez le nom à la comptabilité et

aux achats. À partir de là, tout message qui vous invite à vous inscrire ailleurs, ou à « confirmer » votre inscription sur une autre, est suspect par construction. C'est une règle simple à retenir, et elle transforme une décision d'achat en contrôle de sécurité gratuit.

1. Rappelez ce que l'administration ne fait pas. Elle ne réclame ni identifiants de messagerie,

ni paiement pour figurer à l'annuaire, ni RIB par courriel. Une seule phrase dans une note interne suffit à désamorcer toute une famille de messages.

1. Traitez la boîte comptabilité comme un compte à privilèges. Authentification multifacteur,

revue des règles de boîte de réception, et alerte sur toute règle de transfert automatique créée récemment : c'est la trace la plus fréquente d'un compte déjà compromis, et le préalable silencieux à la reprise d'un fil de discussion fournisseur.

1. Signalez visuellement les messages externes et apprenez à vos équipes à se méfier des

réponses dans un fil existant. L'attaque la plus efficace n'est pas un mail isolé : c'est une réponse crédible insérée dans une conversation en cours.

1. Servez-vous du calendrier comme d'un capteur. Après le 1er septembre 2026, une facture PDF

envoyée par courriel par un grand donneur d'ordre ou une ETI devient une anomalie, puisque ces entreprises sont censées émettre par plateforme. L'anomalie ne prouve rien à elle seule, mais elle mérite un appel.

La bonne nouvelle mérite d'être dite, parce qu'elle est réelle : à terme, la facturation électronique réduit ce risque. Des flux structurés, adressés par identifiant d'entreprise et transitant par des plateformes identifiées sont bien plus difficiles à détourner qu'un PDF attaché à un courriel. Le problème n'est pas la destination, c'est la traversée.

Comment Olyteck aborde le sujet #

La fraude au faux RIB arrive par la messagerie, et c'est là qu'on peut la ralentir. Olyteck Guard analyse le courrier entrant sur Microsoft 365 et pose un bandeau d'avertissement en clair quand un message présente les signaux de l'usurpation : domaine sosie, expéditeur qui écrit pour la première fois, adresse de réponse différente de l'expéditeur, ou message qui parle de coordonnées bancaires. L'objectif n'est pas de bloquer, c'est de faire hésiter la personne au bon moment. Les signaux sont conservés, jamais le contenu des messages, sans IA tierce, hébergé en UE et sous droit français.

Le reste est une affaire de procédure, et la procédure est la même depuis vingt ans : on ne change pas un RIB sans décrocher le téléphone. Le mécanisme complet de ces attaques est détaillé dans notre article sur la fraude au président et l'usurpation d'identité, et une variante de plus en plus courante passe désormais par un QR code dans le message.

FAQ #

La facturation électronique va-t-elle augmenter ou réduire la fraude ? #

Les deux, mais pas en même temps. Pendant la période de migration, elle augmente le risque, parce qu'elle rend crédible un message annonçant un changement de circuit et de références. Une fois déployée, elle le réduit : les factures circulent sous forme structurée entre plateformes identifiées, ce qui est beaucoup plus difficile à détourner qu'un PDF envoyé par courriel. Le point de vigilance est la traversée, pas la cible.

Mon entreprise est-elle concernée au 1er septembre 2026 ? #

Pour la réception, oui, quelle que soit sa taille, dès lors qu'elle est établie en France et assujettie à la TVA. Pour l'émission, cela dépend : les grandes entreprises et les ETI sont concernées au 1er septembre 2026, les PME, TPE, micro-entreprises et indépendants au 1er septembre

1. Dans tous les cas, il faut être raccordé à une plateforme agréée, puisque le portail public

n'assure plus lui-même l'échange des factures depuis la révision d'octobre 2024.

Comment vérifier un changement de RIB fournisseur ? #

Par un appel sortant vers un numéro que vous possédiez avant de recevoir la demande : celui du contrat, de la fiche fournisseur, ou d'une facture ancienne. Ni le numéro figurant dans le message, ni un lien, ni une réponse par courriel, car un compte compromis répond à ses propres messages. La vérification doit être écrite dans la procédure et tracée, sinon elle saute le jour où le comptable est en congés et le paiement urgent.

L'administration fiscale peut-elle me demander de m'inscrire sur une plateforme par email ? #

Elle ne vous demandera jamais vos identifiants de messagerie, ni un paiement pour figurer dans l'annuaire des entreprises, ni vos coordonnées bancaires par courriel. Le choix d'une plateforme est une démarche commerciale que vous engagez vous-même, à votre rythme, auprès d'un prestataire référencé. Tout message qui presse, menace d'une sanction ou propose un lien d'inscription immédiat mérite d'être traité comme une tentative d'hameçonnage jusqu'à preuve du contraire.