Numéro de compte falsifié sur une facture : comment protéger votre entreprise et vos clients

La comptabilité reçoit un e-mail d’un fournisseur habituel : même adresse, même signature, souvent même dans le fil de discussion habituel. Dans le texte, une courte information : « Nous avons changé de banque, merci d’effectuer le paiement sur le nouveau numéro de compte », et en pièce jointe une facture qui ressemble à toutes les précédentes. Le virement part. Deux semaines plus tard, le fournisseur appelle pour demander quand sa facture en retard sera payée.

Ce scénario n’a rien d’exceptionnel. En août 2026, le Bureau central de lutte contre la cybercriminalité de la police polonaise (Centralne Biuro Zwalczania Cyberprzestępczości, CBZC) a annoncé l’arrestation de quatre personnes soupçonnées d’appartenir à un groupe qui piratait des messageries d’entreprise et falsifiait les numéros de compte sur les factures. Selon le CBZC, les pertes ont dépassé 4 millions PLN. Dans ce guide, je montre comment reconnaître un numéro de compte falsifié sur une facture, comment le vérifier en 2 minutes, comment sécuriser votre propre messagerie pour que personne ne trompe vos clients en votre nom, et ce qu’il faut faire dans la première heure si l’argent est déjà parti. Il ne s’agit ni d’un conseil juridique ni d’un conseil fiscal. Je décris la réglementation telle qu’elle est au 24 octobre 2026 ; pour les conséquences fiscales et un litige avec un partenaire, consultez votre comptable ou un juriste.

Comment fonctionne l’arnaque au « nouveau numéro de compte »

Il existe trois scénarios principaux :

1. Messagerie piratée, chez le fournisseur ou chez vous. Le fraudeur obtient un mot de passe, par exemple via une fausse page de connexion, et lit la correspondance pendant plusieurs semaines. Au bon moment, il envoie depuis l’adresse authentique une facture avec un numéro falsifié, souvent dans un fil de discussion existant. Des règles configurées dans la messagerie masquent ou suppriment les réponses, si bien que le propriétaire ne voit rien.
2. Domaine presque identique. L’e-mail arrive d’une adresse qui diffère d’un seul caractère, par exemple biuro@przyk1ad.pl au lieu de biuro@przyklad.pl. Sur un téléphone, on ne voit généralement que le nom de l’expéditeur, et personne ne remarque la différence.
3. Expéditeur usurpé. Si le domaine de l’entreprise n’a pas de DMARC correctement configuré, le fraudeur peut envoyer un e-mail dont le champ « De » ressemble exactement à une vraie adresse.

Le point commun, c’est le prétexte et la précipitation : « changement de banque », « audit », « compte temporairement bloqué », « je suis en congé, merci de ne pas appeler ». Chacune de ces phrases est un signal pour ralentir.

Ne comptez pas sur la banque pour le repérer à votre place. Pour un virement en zlotys, c’est le numéro de compte qui compte, et non le nom du bénéficiaire (art. 143 de la loi polonaise sur les services de paiement, ustawa o usługach płatniczych). La vérification du bénéficiaire (VoP), c’est-à-dire le contrôle de la concordance entre le nom du bénéficiaire et le numéro de compte, doit couvrir les virements en zlotys à partir du 9 juillet 2027. Au 24 octobre 2026, il ne s’agit toutefois que d’un projet de loi du ministère des Finances datant de juin 2026. Même après le changement, la banque ne fera que signaler une discordance, et la décision d’effectuer le virement vous appartiendra toujours.

La liste blanche des assujettis à la TVA : vérification en 2 minutes

Le moteur de recherche de la liste blanche, c’est-à-dire du registre des assujettis à la TVA (Wykaz podatników VAT), est gratuit et fonctionne sans connexion : wykazpodatnikowvat.mf.gov.pl. Vous pouvez y chercher par NIP (numéro d’identification fiscale polonais), par REGON (numéro statistique d’entreprise polonais) ou par numéro de compte.

Comment vérifier un « nouveau numéro » :

1. Saisissez le NIP du fournisseur figurant dans le contrat ou dans une facture antérieure, et non celui de l’e-mail qui demande le changement.
2. Comparez les comptes du registre avec le numéro de la nouvelle facture. Vérifiez les 26 chiffres, pas seulement le début et la fin.
3. Saisissez aussi le nouveau numéro de compte lui-même. S’il appartient à une entreprise du registre, le moteur de recherche indiquera laquelle.
4. Enregistrez le justificatif avec l’identifiant de la recherche et joignez-le aux documents du virement.

L’absence du numéro dans le registre ne signifie pas toujours une fraude : le fournisseur peut ne pas avoir encore déclaré son nouveau compte à l’administration. Elle signifie en revanche toujours une chose : vous ne payez pas tant que l’affaire n’est pas éclaircie par téléphone. Le registre ne concerne que les entreprises immatriculées à la TVA en Pologne ; pour un fournisseur étranger, il ne vous reste que le téléphone.

Seuil de 15 000 PLN et conséquences fiscales

La liste blanche est aussi une obligation fiscale. Lorsque vous réglez une facture d’un assujetti à la TVA actif et que la valeur de l’opération dépasse 15 000 PLN en une fois (même si vous la répartissez sur plusieurs virements), un virement vers un compte absent du registre a deux conséquences :

• vous ne pourrez pas inclure ce paiement dans vos charges déductibles (art. 22p de la loi relative à l’impôt sur le revenu des personnes physiques, ustawa o PIT ; art. 15d de la loi relative à l’impôt sur les sociétés, ustawa o CIT),
• vous répondez solidairement avec le fournisseur de la TVA qu’il n’a pas acquittée sur cette opération (art. 117ba du Code polonais de procédure fiscale, Ordynacja podatkowa).

Vous évitez ces conséquences si, dans les 7 jours suivant l’ordre de virement, vous déposez la déclaration ZAW-NR (notification d’un virement vers un compte absent de la liste blanche) via l’e-Urząd Skarbowy (le portail fiscal en ligne) auprès de votre bureau des impôts. Si l’argent est allé à un fraudeur, demandez tout de suite à votre comptable s’il est utile de la déposer dans votre situation. Le délai court à partir du jour de l’ordre de virement, et non du jour où la fraude a été découverte.

Appeler un numéro que vous connaissez déjà

La liste blanche vérifie un numéro, pas une personne. La protection la plus efficace est simple : vous confirmez chaque changement de numéro de compte par téléphone, à un numéro connu auparavant : celui du contrat, de la fiche du fournisseur dans votre logiciel de facturation, ou celui du site du fournisseur saisi à la main dans le navigateur. Jamais celui de l’e-mail qui demande le changement ni celui de sa signature, car un fraudeur qui a piraté la messagerie remplace aussi le téléphone dans la signature.

Règles pour l’appel :

• vous appelez une personne que vous connaissez, et non un « nouveau collaborateur du service financier »,
• ce n’est pas vous qui lisez le numéro en premier : vous demandez à votre interlocuteur de lire le nouveau numéro, et vous le comparez avec la facture,
• un virement test de 1 PLN ne prouve rien : le fraudeur confirmera lui aussi que l’argent est bien arrivé.

Le KSeF (Krajowy System e-Faktur, le système national polonais de facturation électronique) aide aussi. En 2026, la plupart des factures entre entreprises polonaises passent par le KSeF, et le numéro de compte peut en faire partie. Une facture du KSeF est émise par le logiciel du fournisseur, et non par une messagerie, donc remplacer le PDF dans un e-mail ne la modifie pas. Un numéro différent dans le KSeF et dans l’e-mail est un signal d’alerte fort.

Procédure « changement de numéro de compte » pour la comptabilité, sur 1 page

La règle ne fonctionne que si elle est écrite et s’applique à tous, y compris au dirigeant de l’entreprise. Voici une version à imprimer pour la personne qui effectue les virements.

Procédure : changement du numéro de compte d’un partenaire commercial

1. Vous ne modifiez pas le numéro sur la base d’un e-mail, d’un SMS ou d’un PDF. Toute demande de changement, même « de la direction », passe par la vérification complète.
2. Vous vérifiez le NIP du partenaire sur la liste blanche (le NIP du contrat ou de la fiche) et vous enregistrez l’identifiant de la recherche.
3. Vous appelez le numéro figurant dans le contrat ou dans la fiche. L’interlocuteur lit le nouveau numéro, vous comparez. Vous notez le nom de l’interlocuteur, la date et l’heure.
4. Une deuxième personne valide le changement dans la fiche. La même personne ne saisit pas et ne valide pas le nouveau numéro.
5. Vous payez depuis la liste des bénéficiaires enregistrés dans la banque, et non en collant un numéro issu d’un PDF. Vous n’ajoutez un nouveau bénéficiaire qu’après les étapes 2 à 4.
6. La précipitation signifie : stop. Une demande « urgente, aujourd’hui, sans appel » est transmise au dirigeant avant le virement.
7. Au-delà de 15 000 PLN, vous ne payez que sur un compte figurant sur la liste blanche. Vous convenez des exceptions avec le comptable (ZAW-NR dans les 7 jours).

Fiche de changement de numéro (à remplir à chaque changement) :

Sécurisez votre messagerie et votre domaine pour protéger vos clients

Un fraudeur peut aussi se faire passer pour votre entreprise et envoyer à vos clients un « nouveau numéro de compte ». Ce sont alors eux qui perdent de l’argent, et vous qui perdez le paiement et la confiance. Voici trois choses que je vérifie en premier :

1. L’authentification à deux facteurs (2FA) sur chaque boîte mail, y compris celles de la comptabilité, du secrétariat et des anciens collaborateurs. De préférence via une application d’authentification ou une clé physique, et par SMS seulement s’il n’y a pas d’autre option. Un mot de passe volé ne suffit alors plus.
2. Les règles et redirections dans la messagerie. Vérifiez que personne n’a ajouté de règles qui déplacent vers la corbeille les e-mails contenant « facture » ou « virement », ou qui les transfèrent vers une adresse inconnue. C’est ainsi que les fraudeurs cachent les réponses des partenaires.
3. SPF, DKIM et DMARC sur le domaine de l’entreprise. DMARC en mode quarantine ou reject fait en sorte qu’un e-mail falsifié avec votre adresse arrive en spam ou n’arrive pas du tout. J’ai décrit la configuration pas à pas dans le guide Vos e-mails professionnels finissent en spam ? SPF, DKIM et DMARC. Vous pouvez vérifier gratuitement l’état de votre domaine avec l’outil Analyser votre site.

Soyons honnêtes sur les limites : DMARC ne protège ni contre un domaine presque identique ni contre une messagerie piratée, car l’e-mail passe alors tous les tests. C’est pourquoi il faut les trois protections et une information claire pour les clients. Voici un texte prêt à l’emploi pour la signature des e-mails, pour la facture et pour la page de contact :

Nous ne modifions jamais notre numéro de compte par e-mail. Si vous recevez une demande de paiement sur un nouveau numéro, merci de ne pas payer et d’appeler le [téléphone] (numéro figurant sur [adresse du site]). Notre compte peut être vérifié sur la liste blanche des assujettis à la TVA à l’aide du NIP [NIP].

Plan pour les 60 premières minutes après un virement

Le temps compte, car les fraudeurs transfèrent vite l’argent ailleurs ou le retirent aux distributeurs.

Minutes 0–10 : la banque

• Appelez le service client de votre banque (le numéro figurant sur votre carte ou sur le site de la banque, pas dans un e-mail) et dites-le sans détour : « Le virement est parti vers le compte d’un fraudeur. Je vous demande de le bloquer d’urgence et de contacter la banque du bénéficiaire. »
• Un virement ordinaire vers une autre banque part lors des sessions de compensation au cours de la journée, il est donc parfois encore possible de l’arrêter. Un virement instantané arrive en quelques secondes : il ne reste alors qu’à demander à la banque du bénéficiaire de bloquer les fonds.
• Notez le numéro du signalement, l’heure et le nom du conseiller.

Minutes 10–25 : le fournisseur et votre messagerie

• Appelez le vrai fournisseur à un numéro connu. Sa messagerie est peut-être piratée, et dans ce cas les fraudeurs écrivent aussi à d’autres clients.
• Si la fuite a pu avoir lieu de votre côté, changez le mot de passe de la messagerie depuis un autre appareil, déconnectez toutes les sessions, activez la 2FA et supprimez les règles inconnues.

Minutes 25–40 : les preuves

• Ne supprimez pas les e-mails. Enregistrez le message avec ses en-têtes complets (dans Gmail, l’option « Afficher l’original »), le PDF de la facture, la confirmation du virement et le résultat de la liste blanche.

Minutes 40–60 : les signalements

• Signalez l’incident à CERT Polska (l’équipe nationale polonaise de réponse aux incidents informatiques) via le formulaire incydent.cert.pl. Joignez l’adresse de l’expéditeur, les en-têtes et le numéro de compte du fraudeur.
• Déposez plainte auprès de la police, si possible le jour même, avec les impressions et le numéro de signalement de la banque. Communiquez le numéro de l’affaire à votre banque. La banque où le fraudeur a son compte peut elle-même bloquer les fonds suspects pour 72 heures au maximum ; pour un blocage plus long, c’est le procureur qui décide (art. 106a de la loi bancaire polonaise, Prawo bankowe).

Après la première heure

• Le comptable : ZAW-NR (7 jours à compter de l’ordre de virement) et inscription de la perte dans les livres.
• Le juriste : un virement à un fraudeur ne libère généralement pas de la dette envers le fournisseur (art. 452 du Code civil polonais, Kodeks cywilny), mais en cas d’intrusion dans la messagerie du fournisseur, la question est parfois litigieuse.
• L’assureur, si vous avez une police contre les risques cyber.
• Les clients : si c’est votre messagerie qui a été piratée, prévenez-les par téléphone ou par SMS, et non depuis cette même messagerie.

En résumé

Un numéro de compte falsifié sur une facture est une arnaque à la confiance : il suffit d’un seul e-mail au bon moment. Une règle simple vous protège : aucun changement de numéro sans vérification de la liste blanche et sans appel à un numéro connu, et côté entreprise, la 2FA sur la messagerie et DMARC sur le domaine. Imprimez la procédure de ce guide et remettez-la à la personne qui effectue les virements.

Si vous souhaitez que je vérifie la sécurité de votre messagerie et de votre site, commandez un audit de sécurité à partir de 990 PLN HT. Je prépare le domaine et la messagerie professionnelle avec SPF, DKIM et DMARC déjà configurés à partir de 390 PLN HT par an. Écrivez-moi : je réponds sous 24 heures, et tout nouveau client bénéficie de 20 % de remise sur sa première commande (la remise ne s’applique pas au domaine ni à l’hébergement).