Un fournisseur habituel écrit que sa banque a changé et joint une facture avec le nouveau numéro de compte. Même signature, même fil de discussion. La comptable met la fiche à jour, le virement part. Quelques semaines plus tard arrive un rappel du vrai fournisseur, qui n’a rien reçu.
En 2024, le SPF Economie a reçu 215 signalements de fraude à la facture, pour un préjudice déclaré de plus de 3,3 millions d’euros.
Le fraudeur n’a pas besoin d’entrer chez vous. Febelfin cite des factures volées dans le circuit postal puis modifiées, et de plus en plus d’intrusions dans le système informatique du fournisseur. L’e-mail piégé peut alors partir de sa vraie adresse. Le Centre pour la Cybersécurité Belgique (CCB) a aussi observé que les fraudeurs tentent davantage leur chance pendant les vacances, quand un remplaçant connaît moins bien les procédures, et Safeonweb ajoute le vendredi soir et la veille des jours fériés.
Rappeler sur un numéro que vous aviez déjà
Un changement de coordonnées bancaires se confirme par téléphone, sur un numéro que vous aviez avant l’e-mail : fiche fournisseur, ancien bon de commande, contrat, site officiel. Jamais celui du message ou de la nouvelle facture, qui peut être falsifié lui aussi, rappelle le SPF Economie. Pour répondre par écrit, Safeonweb conseille d’écrire à l’adresse connue, via Transférer, plutôt que de cliquer sur Répondre.
Demandez une personne que vous connaissez et faites-lui lire le nouvel IBAN. Notez dans la fiche la date, le nom de votre interlocuteur et le numéro appelé. Même règle pour la première facture d’un nouveau fournisseur.
Deux personnes pour tout nouvel IBAN
Le CCB recommande que toute modification de la liste interne des comptes bénéficiaires soit approuvée par la hiérarchie, et que les paiements au-delà d’un certain montant soient signés par plusieurs personnes. Dans une PME de quinze personnes, la comptable encode le changement et le gérant le valide après l’appel. Demandez aussi à votre banque si votre contrat e-banking peut exiger une deuxième signature au-delà d’un montant que vous fixez.
La fraude au CEO relève du même réflexe : un faux patron réclame un virement urgent et confidentiel. Safeonweb en liste les signaux, dont l’urgence, la confidentialité, un compte inconnu et la demande du vendredi soir. Dites à l’équipe que vous ne demanderez jamais de contourner la procédure.
Mettez la règle sur une page, près du poste de la comptabilité : elle sert surtout quand la personne habituelle est en congé.
Dans Odoo, un compte bancaire se valide
Le SPF Economie conseille d’associer les numéros de compte aux fournisseurs dans le logiciel comptable. Odoo 17 et 18 ajoutent un verrou. Tout nouveau compte bancaire d’un contact y est « Non sécurisé » par défaut, et selon la documentation d’Odoo, les virements sortants vers ce compte restent bloqués tant que personne ne l’a marqué « Sécurisé » avec l’interrupteur « Envoyer de l’argent ». Seuls les utilisateurs qui ont le droit « Valider le compte bancaire » peuvent le faire ; à l’installation, c’est l’administrateur. Un compte sécurisé ne peut plus changer de numéro sans repasser d’abord en non sécurisé, et chaque modification reste dans l’historique.
La répartition que je conseille : la comptable crée ou modifie le compte, le gérant détient seul le droit de validation et ne s’en sert qu’après l’appel. La règle des deux personnes est alors tenue par le logiciel plutôt que par la mémoire de chacun.
Une limite : Odoo ne bloque que les paiements préparés dans Odoo, typiquement un fichier SEPA. Un virement encodé directement dans l’application de la banque lui échappe.
La vérification du nom par la banque
Depuis le 9 octobre 2025, le règlement européen 2024/886 oblige les banques de la zone euro à vérifier, avant que vous confirmiez un virement en euros, que l’IBAN correspond au nom du bénéficiaire saisi. C’est gratuit. La banque indique si le nom correspond, correspond presque, ne correspond pas, ou si la vérification n’a pas pu se faire. Si le bénéficiaire est une société avec un compte belge, elle affiche son nom enregistré en cas d’écart, et seize banques belges signalent aussi quand le compte appartient à un particulier.
Saisissez donc la dénomination légale du fournisseur, telle qu’elle figure à la Banque-Carrefour des Entreprises, et pas son surnom interne. Un avertissement sur le paiement d’un fournisseur veut dire qu’on arrête et qu’on appelle. Febelfin le précise : après l’avertissement, vous décidez, et vous restez responsable du virement.
Deux détails. Pour les virements groupés en fichier, une entreprise peut renoncer à la vérification : si vous chargez un fichier SEPA sorti d’Odoo, demandez à votre banque si elle est active sur vos fichiers. Et la vérification dit seulement si ce nom correspond à ce compte, pas si votre fournisseur a vraiment demandé le changement. L’appel reste nécessaire.
Si l’argent est parti : la première heure
- Appelez votre banque tout de suite, sur son numéro fraude. Selon Febelfin, ces numéros répondent 24 heures sur 24 ; on les trouve sur le site de la banque, de Febelfin ou de Card Stop. Votre banque demandera à celle du fraudeur de rembourser, et celle-ci tentera de bloquer le virement ou le compte. Rien n’est garanti, d’où l’urgence.
- Prévenez le vrai fournisseur sur son numéro connu. Si sa messagerie est compromise, d’autres clients reçoivent peut-être le même e-mail.
- Gardez l’e-mail d’origine, la facture, l’extrait de compte, et écrivez une courte chronologie. C’est ce que la police demande pour une plainte.
- Portez plainte au commissariat local. La police fédérale le préfère à Police on Web pour que les premières mesures soient prises vite.
- Signalez les faits au Point de contact du SPF Economie (pointdecontact.belgique.be, option « facture falsifiée ») et transférez l’e-mail frauduleux à suspect@safeonweb.be. Si c’est votre propre messagerie qui a été piratée, signalez l’incident au CCB via notif.safeonweb.be, changez les mots de passe et activez la double authentification, comme dans l’article sur les sauvegardes, les comptes et les mises à jour.
Pour cette semaine : une page de procédure, le droit de validation Odoo confié à la bonne personne, le numéro fraude de la banque noté près du téléphone. Si vous voulez qu’on regarde ensemble les droits et le circuit de paiement dans votre Odoo : info@z80.be, +32 494 111 041.