Fraude facturation électronique : 3 risques à prévenir

Fraude facturation électronique : ce que la réforme change vraiment

La réforme réduit certains risques de circulation documentaire, mais elle ne garantit pas la légitimité économique de chaque demande de paiement. La DGFiP impose le recours à une plateforme agréée, chargée notamment de préserver l’intégrité, l’authenticité, la lisibilité et l’exhaustivité des données transmises.

Pour une PME, le calendrier est précis : réception obligatoire au 1er septembre 2026, puis émission au 1er septembre 2027. La transition accroît surtout le risque opérationnel : nouveaux outils et nouveaux interlocuteurs rendent certains changements plus crédibles.

Le bon réflexe consiste donc à dissocier deux contrôles de cybersécurité PME. La conformité technique vérifie la facture et son circuit. Le contrôle métier vérifie le fournisseur, le compte bancaire, le montant et l’autorisation de payer. L’un ne remplace jamais l’autre.

Sécurité Factur-X : contrôler le PDF et le XML

Factur-X est un format hybride : un PDF/A-3 lisible contient des données XML structurées. Les deux représentations décrivent la même facture. Le standard prévoit leur cohérence ; une différence sur un montant, une devise, un identifiant ou une donnée de règlement doit donc être considérée comme une anomalie.

Le XML ne doit pas « normalement » dire autre chose que le PDF. Le risque apparaît lorsqu’un outil importe les données structurées sans signaler une incohérence, ou lorsqu’un opérateur valide uniquement le visuel.

Contrôle recommandé : demandez à votre éditeur ou à votre plateforme si les contrôles de cohérence Factur-X sont automatiques, quels champs sont comparés et quelle version est bloquante. Pour les paiements, ne modifiez jamais un IBAN sur la seule base d’un document reçu.

Fraude au faux fournisseur : le changement de RIB reste critique

La fraude au faux fournisseur est bien documentée. Elle reprend des mécanismes de phishing en entreprise : le fraudeur usurpe l’identité d’un partenaire pour faire remplacer ses coordonnées bancaires. France Num recommande de vérifier toute demande inhabituelle par un contact connu et par un canal distinct. Le même principe reste valable avec la facture électronique.

Pendant la migration, un nouveau nom commercial, un nouvel outil ou une nouvelle plateforme peuvent rendre la demande crédible. Ils ne prouvent pourtant ni un nouveau SIRET ni un nouvel IBAN. Le contrôle décisif porte sur l’identité légale et les coordonnées bancaires.

Procédure minimale : bloquez la modification, contrôlez le SIREN ou SIRET, puis rappelez le fournisseur sur un numéro déjà connu. Faites valider le changement par une seconde personne avant le prochain paiement.

Plateforme agréée : protéger les comptes et les droits

Une plateforme agréée respecte des exigences réglementaires et techniques. L’entreprise doit néanmoins protéger ses comptes. Un identifiant administrateur compromis peut exposer des données ou des opérations selon les droits accordés.

L’ANSSI recommande de privilégier l’authentification multifacteur et de renforcer particulièrement les comptes à privilèges. Appliquez ce principe à la plateforme, au logiciel comptable et à la messagerie liée aux validations.

• Activez la MFA pour les administrateurs et, si possible, pour tous les utilisateurs.
• Attribuez des comptes nominatifs et limitez les droits au besoin réel.
• Supprimez rapidement les accès des collaborateurs sortants.
• Consultez les journaux de connexion et les alertes proposées par l’outil.
• Vérifiez la plateforme dans la liste officielle de la DGFiP avant souscription.

La liste officielle des opérateurs est publiée par la DGFiP sur la page des plateformes agréées.

Facture électronique PME : un plan de contrôle avant paiement

La meilleure défense reste une procédure courte, connue et réellement appliquée. Elle doit concentrer l’attention sur les événements qui changent la destination d’un paiement ou le niveau d’accès à un outil.

Formalisez aussi un seuil de paiement exigeant deux approbateurs. Cette règle ne doit jamais pouvoir être contournée par une demande urgente reçue par email. Pour compléter le dispositif, consultez notre guide de sécurité informatique pour PME.

Changement RIB fournisseur : que faire en cas de doute ?

Si le paiement n’est pas parti, suspendez-le et revenez aux coordonnées historiques du fournisseur. Si le virement a été exécuté, contactez immédiatement votre banque pour demander un rappel ou un blocage. Préservez les emails, factures, journaux et preuves.

Prévenez le fournisseur usurpé. Si un compte de plateforme ou de messagerie semble compromis, révoquez les sessions, changez les secrets concernés et examinez les droits actifs. Une plainte et un signalement peuvent ensuite être nécessaires.

Pour sécuriser aussi les comptes utilisés par les équipes administratives et comptables, consultez notre guide des gestionnaires de mots de passe pour TPE et PME.

Pour replacer ces contrôles dans la réforme, consultez notre article Facturation électronique obligatoire : comprendre la réforme et les risques de fraude.

Questions fréquentes

Un contrôle visuel du PDF suffit-il pour une facture Factur-X ?

Non. Le PDF est la partie lisible, tandis que le XML contient les données structurées exploitées par les logiciels. Les deux doivent être cohérents. Un contrôle visuel reste utile, mais il doit être complété par les validations techniques de l’outil et par les contrôles métier avant paiement.

Une plateforme agréée empêche-t-elle toute fraude ?

Non. Son agrément encadre son rôle et ses obligations, notamment sur l’intégrité et la transmission des données. Il ne remplace pas les contrôles internes de l’entreprise sur l’identité d’un fournisseur, un changement d’IBAN, les habilitations ou l’autorisation d’un paiement.

Quelle date concerne une PME au 1er septembre 2026 ?

À cette date, une PME doit être capable de recevoir les factures électroniques de ses fournisseurs concernés. L’obligation d’émettre ses propres factures électroniques intervient au 1er septembre 2027, sauf entrée volontaire anticipée dans le dispositif.

Quel contrôle appliquer à un changement de RIB fournisseur ?

Ne validez jamais le changement depuis le seul message reçu. Utilisez un numéro déjà connu pour joindre votre interlocuteur habituel, vérifiez l’identité de l’entreprise et imposez une seconde validation interne avant tout paiement vers les nouvelles coordonnées.

Conclusion

Avant le 1er septembre 2026, vérifiez vos comptes administrateurs, la MFA, la messagerie et la procédure de changement de RIB. Ces contrôles réduisent le risque au moment où vos équipes adoptent de nouveaux circuits de facturation.

Vous voulez vérifier vos priorités avant la bascule ? Prenez rendez-vous avec Eur’Net pour faire le point sur la sécurité de votre entreprise.