Arnaques à la facturation électronique : les reconnaître et protéger vos paiements

En bref

• Selon Cybermalveillance.gouv.fr, les fraudes au virement ont bondi de 170 % en 2025 et se sont étendues à la facturation électronique.
• L'administration fiscale ne demande jamais de coordonnées bancaires, d'identifiants, ni de données sur vos clients et fournisseurs par courriel ou par téléphone.
• Une vraie plateforme figure sur la liste officielle publiée sur impots.gouv.fr. Aucun frais n'est dû à l'administration pour choisir la sienne.
• La meilleure protection est une organisation simple : contre-appel avant tout changement de RIB, validation à deux des paiements, contrôle des doublons.

Chaque réforme attire ses escrocs, et celle-ci plus que les autres. Elle concerne toutes les entreprises, elle impose une date, et elle touche directement aux factures et aux paiements. Voici les arnaques qui circulent, et l'organisation qui permet de ne pas s'y faire prendre.

Quelles arnaques exploitent la facturation électronique ?

Quatre schémas reviennent, souvent combinés.

• Le faux message de l'administration. Un courriel aux couleurs de la DGFiP annonce une « mise en conformité » obligatoire, une amende imminente ou un formulaire à remplir. Il vise vos identifiants, vos coordonnées bancaires ou vos fichiers clients.
• La fausse plateforme agréée. Un démarcheur ou un site imite une plateforme connue. Il promet une inscription gratuite, un audit ou une conformité immédiate, puis réclame des frais ou un accès à vos comptes.
• La fraude au changement de RIB. Un faux fournisseur annonce que ses factures électroniques partent désormais vers un nouveau compte bancaire. Le paiement suivant part chez l'escroc.
• La facture en double. Pendant la transition, une même facture peut arriver par plusieurs canaux. Un escroc en profite pour glisser une copie modifiée, ou l'entreprise paie deux fois par erreur.

Comment reconnaître un faux message de l'administration ?

Par ce qu'il demande. La DGFiP rappelle qu'elle ne demande jamais de coordonnées bancaires, d'informations personnelles, ni de données sur les fournisseurs, les clients ou les factures par courriel ou par téléphone.

Trois vérifications suffisent le plus souvent :

• L'adresse de l'expéditeur. L'administration fiscale n'utilise que le domaine @dgfip.finances.gouv.fr. Ses sites se terminent par .gouv.fr. Toute autre adresse est suspecte, même très proche.
• Le canal. Les échanges avec votre service des impôts des entreprises passent par votre espace professionnel. Un lien reçu par courriel ou par SMS ne remplace jamais cette connexion.
• Le ton. Urgence, menace d'amende, pression pour agir dans l'heure : ce sont les marqueurs de l'escroquerie, pas de l'administration.

La vigilance est d'autant plus utile que des données d'entreprises ont été consultées illégitimement en 2026. Les réflexes à adopter figurent dans l'article sur le piratage des données de la DGFiP.

Comment vérifier qu'une plateforme est vraiment agréée ?

En consultant la liste officielle, publiée et mise à jour sur impots.gouv.fr. Une plateforme qui n'y figure pas n'est pas agréée, quel que soit son discours.

Quelques repères complètent cette vérification.

• Vous n'avez aucune démarche à faire auprès du portail public. C'est votre plateforme qui vous inscrit à l'annuaire des destinataires.
• Aucun frais n'est dû à l'administration. Seule la plateforme que vous choisissez peut facturer son service, selon son propre tarif.
• Un fournisseur ne peut pas vous imposer une plateforme. Vous choisissez librement la vôtre. Un fournisseur qui exige vos identifiants ou un paiement pour « vous raccorder » doit alerter.

Le choix d'une plateforme est détaillé dans l'article choisir sa plateforme agréée.

La fraude au RIB disparaît-elle avec la facture électronique ?

Non. La facture électronique rend plus difficile l'envoi d'un faux PDF par courriel, puisque les factures circulent de plateforme à plateforme. Mais elle ne supprime pas la fraude : un escroc peut usurper la messagerie d'un vrai fournisseur, pirater un compte, ou envoyer une « facture rectificative » hors circuit.

La DGFiP classe ces escroqueries parmi les faux ordres de virement. Elle recommande de :

• rompre la chaîne des échanges par un contre-appel à l'interlocuteur habituel, avec les coordonnées déjà connues, jamais celles du message ;
• ne pas céder à l'urgence invoquée ;
• instaurer des vérifications supplémentaires, en particulier pour les paiements à l'étranger ;
• ne pas divulguer d'informations sur l'organisation de l'entreprise.

Concrètement, un changement de coordonnées bancaires ne se valide jamais sur la seule foi d'un courriel ou d'une facture. Il se confirme par téléphone, au numéro habituel, avant le premier paiement.

Pourquoi les doublons sont-ils un risque pendant la transition ?

Parce que les deux circuits coexistent. Tant que vos fournisseurs basculent à des dates différentes, une même facture peut arriver en PDF, puis par la plateforme.

Le guide pratique de la DGFiP le rappelle : une même facture ne doit donner lieu ni à un double paiement, ni à une double comptabilisation, ni à une double déduction de TVA. Pour l'éviter, chaque facture doit être identifiée sans ambiguïté : numéro, date, montant, fournisseur et canal de réception.

Comment organiser ses paiements pour ne pas se faire piéger ?

Avec quelques règles écrites, connues de tous ceux qui touchent aux factures.

Bien s'organiser, c'est :

• séparer les rôles : la personne qui enregistre une facture n'est pas celle qui valide le paiement ;
• tenir un fichier des fournisseurs et de leurs coordonnées bancaires, modifié seulement après contre-appel ;
• limiter les accès à la plateforme et à la banque, avec une double authentification ;
• rapprocher chaque mois les paiements des factures reçues, pour repérer un doublon ou un fournisseur inconnu ;
• former l'équipe aux signaux d'alerte, y compris l'assistante ou le comptable interne, qui sont les premiers visés.

C'est aussi l'intérêt d'un regard extérieur. Un cabinet qui tient la comptabilité voit passer toutes les factures et tous les paiements. Il repère un nouvel IBAN, un fournisseur inconnu ou une facture en double au moment du rapprochement bancaire, souvent avant que l'anomalie ne se répète. Le cabinet paramètre la plateforme avec ses clients, et ces contrôles font partie de la tenue du dossier.

Que faire si l'on est victime ?

Agir dans l'heure, dans cet ordre.

1. Appeler sa banque pour demander le blocage ou le rappel du virement. Plus l'appel est rapide, plus les chances de récupérer les fonds sont réelles.
2. Changer les mots de passe des comptes concernés, messagerie, banque et plateforme.
3. Porter plainte et conserver toutes les preuves : courriels, factures, relevés.
4. Se faire accompagner sur 17Cyber, le service d'assistance en ligne aux victimes de cybermalveillance.
5. Prévenir ses fournisseurs et clients si leur identité ou vos échanges ont été usurpés.

Questions fréquentes

Sources

• Rapport d'activité et état de la menace 2025, communiqué de Cybermalveillance.gouv.fr
• Attention aux arnaques, impots.gouv.fr
• Courriels et appels téléphoniques frauduleux, impots.gouv.fr
• DGFiP : attention aux messages frauduleux, Service-Public Entreprendre
• Guide pratique de démarrage de la facturation électronique, DGFiP
• La liste officielle des plateformes agréées, impots.gouv.fr
• 17Cyber, assistance aux victimes de cybermalveillance

---

Vous avez reçu un message douteux, ou vous voulez sécuriser vos paiements avant le passage de vos fournisseurs ? Réservons un premier échange pour regarder votre organisation.