Le fournisseur a envoyé de nouvelles coordonnées bancaires. Que faire avant de payer ?

Pourquoi un changement de coordonnées bancaires mérite-t-il une suspension ?

Le message arrive en général entre l’acompte et le solde, lorsque la relation semble établie et que la date d’expédition approche. Il provient de l’adresse même du fournisseur, ou d’une adresse qui n’en diffère que d’un caractère, cite le vrai numéro de commande et donne une raison : l’ancien compte est en cours d’audit, la banque a changé, les paiements passent désormais par la société de Hong Kong. Tout y est vrai, sauf le compte.

C’est la compromission de messagerie professionnelle, et c’est la fraude au paiement qui coûte le plus cher aux acheteurs. L’attaquant a lu la correspondance, depuis la boîte du fournisseur ou depuis la vôtre, et attend la facture qui compte. La Chambre de commerce de Riyad mettait déjà ses membres en garde contre ce schéma en 2011 : un nouveau numéro de compte demandé au deuxième paiement, puis l’affirmation que la messagerie du fournisseur avait été piratée. Les pertes dans les cas publiés vont de quelques dizaines de milliers de dollars à plusieurs millions, et l’argent transite par des comptes à Hong Kong, en Indonésie ou en Chine continentale dans les heures qui suivent le virement.

La défense ne repose pas sur la détection du faux. Elle repose sur une règle qui s’applique à tout changement, authentique ou non : un changement de coordonnées bancaires se vérifie en dehors du fil d’e-mails avant tout paiement.

Comment vérifier le nouveau compte avant de payer ?

• Suspendez le virement et informez la comptabilité par écrit que le bénéficiaire a changé, afin que personne ne paie sur l’ancienne approbation.
• Appelez le fournisseur de vive voix à un numéro que vous déteniez déjà avant le changement, ou au numéro de standard indiqué sur le dossier de la société au registre. N’utilisez jamais un numéro, un compte WeChat ou un lien tiré de l’e-mail qui annonçait le changement. Demandez que les coordonnées du compte vous soient lues, et non confirmées d’un simple oui.
• Faites concorder le nom du compte, caractère par caractère, avec la raison sociale enregistrée de la société avec laquelle vous avez contracté. Une abréviation, un nom commercial, le nom d’une personne ou une autre société est une discordance, quelle que soit l’explication.
• Faites concorder la banque et la juridiction avec le siège de la société. Une usine de Chine continentale qui encaisse à Hong Kong, à Singapour ou en Indonésie exige que l’entité d’encaissement soit lue à son registre et rattachée à l’usine avant tout paiement.
• Demandez une instruction écrite sur le papier à en-tête de la société, portant le cachet de la société et signée par le représentant légal, et conservez-la dans le dossier de commande. Un cachet peut être falsifié : c’est la trace, non la preuve ; la preuve, ce sont l’appel de vive voix et la concordance du nom.
• Consignez qui a demandé le changement, qui l’a vérifié, à quel numéro, et qui l’a approuvé. Deux personnes de votre côté, jamais une seule.

Et si le nouveau compte est à Hong Kong, au nom d’une autre société ou au nom d’une personne ?

De nombreux fabricants de Chine continentale contractent et encaissent par une société de Hong Kong, et un basculement authentique vers le compte de cette société existe. Il n’en reste pas moins un changement de contrepartie, et il se vérifie comme tel : la société de Hong Kong est lue au registre des sociétés, ses administrateurs et ses actionnaires sont comparés au dossier de l’usine, et le compte est rapproché de sa raison sociale enregistrée. Lorsque les deux sociétés sont sous contrôle commun, le changement peut être accepté avec l’instruction écrite au dossier et, idéalement, la société de Hong Kong ajoutée à l’accord comme cosignataire. Lorsqu’aucun lien n’apparaît sur l’un ou l’autre registre, l’explication du fournisseur n’est pas une preuve, et le paiement attend.

Une société tierce sans rapport avec le contrat, ou un compte personnel, met fin à la discussion. Rien de ce qu’un fournisseur écrit par e-mail ne peut rendre sûr le paiement d’un acheteur à un inconnu, et un fournisseur qui l’exige vous a dit ce que vous deviez savoir. Voir comment une société de Hong Kong est vérifiée et comment protéger un acompte avant qu’il ne parte.

Et si le paiement est déjà parti ?

La rapidité décide de ce qui peut être récupéré. Appelez votre banque et demandez le rappel du virement avant toute autre chose ; la banque réceptrice peut geler des fonds qui n’ont pas encore été transférés plus loin, et la fenêtre se compte en heures. Déposez ensuite plainte auprès de votre police, conservez chaque message avec ses en-têtes, et prévenez le fournisseur authentique de vive voix, car c’est peut-être sa messagerie qui a été compromise. Un rapport de vérification préalable sur l’entité réceptrice identifie qui a été payé et étaye une mise en demeure ou une plainte ; il ne ramène pas l’argent à lui seul, et pour des montants inférieurs à quelques dizaines de milliers de dollars, un recouvrement en justice est rarement rentable.