Comment vérifier que les coordonnées bancaires ne sont pas falsifiées

L'International Bank Account Number est défini par la norme ISO 13616. Il commence par le code pays ISO à deux lettres, suivi de deux chiffres de contrôle puis du BBAN spécifique au pays — par exemple 23 caractères en France, 22 en Allemagne, 27 en Italie. La longueur totale est fixe par pays.

Les deux chiffres de contrôle appliquent l'algorithme mod-97 : déplacer pays et clé à la fin, remplacer les lettres par des nombres (A=10 … Z=35), calculer le modulo 97. Un IBAN valide donne toujours 1. C'est pourquoi une chaîne aléatoire ou une simple faute de frappe échoue presque toujours. Cela ne prouve pas que le compte existe — seulement que le numéro est bien formé.

Le BIC (code SWIFT) identifie la banque : 8 ou 11 caractères combinant établissement, pays et agence. Au sein de SEPA le BIC est facultatif depuis 2016 — l'IBAN suffit — mais il reste requis pour les virements hors SEPA.

La fraude qui coûte aux entreprises européennes des centaines de millions d'euros par an n'est pas un IBAN erroné, c'est le Business Email Compromise (BEC), dit fraude au faux fournisseur ou au changement de RIB. Les attaquants s'introduisent dans une messagerie (celle du payeur ou du fournisseur), guettent une facture en attente et envoient un e-mail imitant le vrai fournisseur pour annoncer un 'changement de coordonnées bancaires'. Le nouvel IBAN est authentique et passe toutes les vérifications — il appartient au fraudeur.

Le schéma est reconnaissable : le mail arrive tard, souvent la semaine précédant un gros règlement. Le domaine ressemble à l'original (une lettre en plus, .com au lieu de .fr). Le ton insiste sur l'urgence et demande de répondre par mail, pas par téléphone. Le vrai contact du fournisseur figure souvent en copie mais ne reçoit jamais le message.

Utilisez ces six étapes avant tout premier virement ou tout virement où les coordonnées ont changé :

1. L'IBAN doit passer la clé mod-97 — la plupart des applications bancaires le vérifient automatiquement. Sinon, refuser immédiatement.

2. Vérifier le titulaire du compte via la Vérification du bénéficiaire lorsqu'elle est proposée (obligatoire dans la zone euro pour les virements en euros depuis le 9 octobre 2025).

3. Si le bénéficiaire vient de changer de RIB, appelez-le sur un numéro obtenu indépendamment — site web, ancienne facture — jamais celui du nouveau message.

4. Pour les gros règlements, envoyez d'abord un petit virement de test et attendez confirmation.

5. Examinez le domaine de l'expéditeur caractère par caractère et survolez les liens pour voir l'URL réelle.

6. Ne validez jamais un changement de RIB sur la base d'un seul e-mail, même issu d'une adresse connue — imposez la double signature.