Une erreur dans un IBAN, un faux RIB envoyé après le piratage d’une messagerie ou un escroc se faisant passer pour un conseiller bancaire peuvent suffire à faire disparaître plusieurs milliers d’euros en quelques secondes. Avec la généralisation du virement instantané, capable de créditer un compte en moins de dix secondes, la sécurisation des virements est donc devenue un enjeu majeur pour les particuliers comme pour les entreprises.
Depuis le 9 octobre 2025, une nouvelle protection s’est généralisée dans la zone euro : avant l’exécution d’un virement SEPA, la banque doit permettre de vérifier que l’identité du bénéficiaire correspond bien à l’IBAN renseigné. Ce système, appelé Verification of Payee ou vérification du bénéficiaire, constitue l’une des évolutions les plus importantes intervenues depuis plusieurs années dans la sécurité des virements. (banque-france.fr)
Cette évolution intervient en même temps que la généralisation du virement instantané. Depuis octobre 2025, les établissements de la zone euro qui permettent à leurs clients d’émettre des virements classiques doivent également leur permettre d’émettre des virements instantanés. Ceux-ci sont disponibles 24 heures sur 24 et 7 jours sur 7, et leur tarification ne peut plus être supérieure à celle d’un virement classique. (finance.ec.europa.eu)
Le résultat est paradoxal : les virements n’ont jamais été aussi rapides, mais cette rapidité rend également les erreurs et les escroqueries plus difficiles à rattraper. C’est précisément pour cette raison que la vérification du bénéficiaire prend autant d’importance en 2026.
L’authentification forte n’est pas une nouvelle mesure de 2026
Il faut d’abord corriger une idée fréquemment reprise dans les articles consacrés à ce sujet. L’authentification forte n’est pas une nouveauté introduite récemment pour sécuriser les virements.
Elle découle principalement de la directive européenne DSP2 et est utilisée depuis plusieurs années pour de nombreuses opérations bancaires. Lorsqu’une application demande de confirmer une transaction depuis son smartphone, d’utiliser une donnée biométrique ou de saisir un code associé à un autre élément d’authentification, elle applique déjà ce principe.
L’authentification forte a produit de vrais résultats. Un rapport conjoint de l’Autorité bancaire européenne et de la Banque centrale européenne publié fin 2025 conclut qu’elle reste efficace contre les formes de fraude pour lesquelles elle avait été conçue, notamment lorsqu’un fraudeur tente lui-même d’effectuer une transaction avec des identifiants volés. (banque-france.fr)
Mais les escrocs ont adapté leurs méthodes. Plutôt que d’essayer de contourner l’authentification, ils cherchent désormais à convaincre le véritable propriétaire du compte d’effectuer et de valider lui-même le virement.
C’est là toute la difficulté des fraudes modernes.
Le fraudeur ne pirate plus nécessairement votre banque : il vous persuade de payer
Imaginons qu’une entreprise reçoive par courrier électronique une facture de 48 000 euros provenant apparemment d’un fournisseur habituel. Le message explique que les coordonnées bancaires ont changé et fournit un nouveau RIB.
La comptabilité crée le nouveau bénéficiaire puis effectue le virement. Le directeur financier confirme ensuite l’opération avec son système d’authentification forte.
Techniquement, toutes les mesures de sécurité fonctionnent parfaitement. Le bon utilisateur est connecté, l’authentification est valide et l’ordre de paiement a été volontairement confirmé.
Le problème est ailleurs : la messagerie du fournisseur a été piratée et le nouvel IBAN appartient au fraudeur.
Le même mécanisme peut toucher un particulier lors de l’achat d’une voiture, du paiement de travaux, d’un acompte immobilier ou d’un prétendu règlement demandé par un notaire. Les escroqueries au faux conseiller bancaire fonctionnent également sur ce principe : le fraudeur ne cherche plus seulement à voler les codes du client, il cherche à le persuader de valider lui-même l’opération.
La Banque de France considère aujourd’hui la fraude par manipulation comme l’une des principales menaces pesant sur les paiements numériques. (banque-france.fr)
C’est précisément ce que la vérification du bénéficiaire cherche à empêcher
Depuis le 9 octobre 2025, les prestataires de services de paiement de la zone euro doivent proposer un mécanisme permettant de comparer les coordonnées du bénéficiaire saisies par le client avec celles enregistrées par la banque qui détient le compte destinataire.
Concrètement, avant d’effectuer le virement, la banque interroge la banque du bénéficiaire et vérifie si le nom renseigné correspond au titulaire de l’IBAN. Pour certaines personnes morales, d’autres identifiants tels que le SIREN peuvent également être utilisés. (banque-france.fr)
Le contrôle s’effectue avant que l’argent ne parte.
Selon le résultat, le client peut obtenir une confirmation de correspondance, une correspondance proche lorsque la différence semble mineure, une absence de correspondance ou parfois l’indication que la vérification n’a pas pu être réalisée. Le système européen prévoit précisément ces différents résultats : match, close match, no match et verification check not possible. (ecb.europa.eu)
Ce contrôle est proposé gratuitement au payeur et concerne aussi bien les virements SEPA classiques que les virements instantanés. (ecb.europa.eu)
Exemple : vous devez verser 15 000 euros à un artisan
Prenons un cas concret.
Vous devez régler une facture de 15 000 euros à l’entreprise « Dupont Rénovation ». Quelques jours avant le paiement, vous recevez un mail apparemment envoyé par l’entreprise indiquant qu’elle a changé de banque. Un nouveau RIB est joint au message.
Avant 2025, votre banque pouvait vérifier que l’IBAN existait et que le compte était techniquement capable de recevoir le virement, sans nécessairement vous dire que ce compte appartenait en réalité à une autre personne.
Désormais, lorsque vous saisissez « Dupont Rénovation » et le nouvel IBAN, la vérification du bénéficiaire peut faire apparaître une absence de correspondance.
À ce moment-là, il ne faut surtout pas considérer l’alerte comme un simple problème informatique.
Il faut arrêter le virement et appeler l’entreprise en utilisant un numéro déjà connu ou trouvé indépendamment du mail reçu. La Banque de France recommande précisément de confirmer les nouvelles coordonnées bancaires par un canal distinct lorsqu’un RIB change de manière inattendue. (banque-france.fr)
Ce simple contrôle peut éviter une perte de plusieurs dizaines de milliers d’euros.
Une différence d’écriture ne signifie cependant pas forcément une fraude
Le système doit également être capable de gérer les petites différences.
Un compte peut par exemple être enregistré sous « DUPONT RENOVATION SAS » alors que le client saisit seulement « DUPONT RENOVATION ». De même, un prénom composé, une raison sociale abrégée ou une faute de frappe peuvent produire une correspondance imparfaite sans qu’il existe de fraude.
C’est pour cela qu’un résultat de type « correspondance proche » existe. Dans ce cas, la banque peut fournir une information permettant au client de vérifier le nom réellement associé au compte avant de décider de poursuivre l’opération. (europeanpaymentscouncil.eu)
Le système ne remplace donc pas le jugement du payeur. Il lui apporte une information supplémentaire au moment où celle-ci est la plus utile : juste avant que l’argent ne soit envoyé.
Attention : une alerte ne bloque pas nécessairement définitivement le virement
C’est une nuance particulièrement importante.
La vérification du bénéficiaire n’est pas conçue comme un système déclarant qu’un destinataire est « honnête » ou « frauduleux ». Elle vérifie principalement la cohérence entre l’identité renseignée et le compte bancaire indiqué.
Lorsque les informations ne correspondent pas, le client doit être averti. Il peut ensuite, selon le parcours proposé, décider de ne pas poursuivre ou de confirmer malgré l’alerte. La Banque centrale européenne précise que le payeur reçoit le résultat avant l’initiation du paiement afin de pouvoir prendre sa décision. (ecb.europa.eu)
Il ne faut donc pas cliquer machinalement sur « continuer quand même ».
Une alerte « no match » sur un virement de plusieurs milliers d’euros doit être considérée comme un signal sérieux nécessitant une vérification indépendante.
À l’inverse, une correspondance parfaite ne garantit pas que la transaction elle-même est légitime. Si un escroc vous convainc volontairement d’envoyer de l’argent sur son propre compte en vous donnant son véritable nom, le contrôle nom/IBAN fonctionnera parfaitement.
La vérification du bénéficiaire protège donc surtout contre les faux RIB, certaines erreurs et certaines usurpations d’identité, pas contre toutes les formes d’escroquerie.
Le virement instantané change complètement le niveau d’urgence
Cette protection devient d’autant plus importante que le virement instantané s’est généralisé.
Un virement SEPA instantané est exécuté en moins de dix secondes et fonctionne 24 heures sur 24, y compris les week-ends et jours fériés. Depuis le 9 octobre 2025, les établissements financiers de la zone euro proposant l’émission de virements classiques doivent également permettre l’émission de virements instantanés en euros. (banque-france.fr)
Depuis janvier 2025, une banque ne peut par ailleurs pas facturer davantage un virement instantané qu’un virement classique équivalent. Pour beaucoup de particuliers utilisant leur banque en ligne, cela a conduit à une généralisation de la gratuité. (finance.ec.europa.eu)
Cette évolution est très pratique, mais elle possède une contrepartie.
Une fois le virement instantané exécuté et le compte du bénéficiaire crédité, l’ordre est irrévocable. Il n’existe pas de bouton permettant d’annuler tranquillement l’opération vingt minutes plus tard comme on pourrait annuler une commande sur un site marchand. (banque-france.fr)
Les quelques secondes consacrées à vérifier le bénéficiaire avant de valider prennent donc une importance considérable.
Les banques peuvent également fixer des plafonds de sécurité
La réglementation a prévu un autre outil intéressant pour limiter le risque.
Depuis le 9 octobre 2025, les établissements peuvent définir des montants maximaux pour l’émission de virements instantanés, adaptés au profil ou aux besoins du client. Celui-ci doit pouvoir demander une modification de ce plafond. (banque-france.fr)
Ce mécanisme peut constituer une excellente protection pour un particulier qui n’a jamais besoin d’envoyer 20 000 ou 50 000 euros en quelques secondes.
Il peut être pertinent de conserver au quotidien un plafond relativement bas et de demander ponctuellement son relèvement lorsqu’une opération exceptionnelle doit être réalisée.
Un fraudeur qui réussirait à manipuler la victime pourrait alors se heurter à une limite supplémentaire.
Le plafond n’empêche évidemment pas toutes les escroqueries, mais il peut réduire la perte maximale lors d’une attaque.
La fraude reste faible proportionnellement aux montants transférés…
Les chiffres de la Banque de France montrent toutefois qu’il ne faut pas présenter le virement comme un moyen de paiement particulièrement dangereux.
En 2024, le taux de fraude global sur les virements représentait environ 1 euro pour 100 000 euros de paiements, ce qui reste extrêmement faible. Les virements effectués depuis les espaces de banque en ligne par les particuliers étaient davantage exposés, mais leur taux de fraude restait inférieur à celui observé sur les paiements par carte. (banque-france.fr)
Même le virement instantané affichait en 2024 un taux de fraude d’environ 46 euros pour 100 000 euros transférés, selon l’Observatoire de la sécurité des moyens de paiement. (banque-france.fr)
Le système bancaire français reste donc globalement très sécurisé.
Mais ces moyennes statistiques ne consolent évidemment pas une personne ayant perdu 30 000 euros lors d’une escroquerie.
…mais les montants de fraude restent considérables
Au premier semestre 2025, la Banque de France a recensé 618,4 millions d’euros de fraude sur l’ensemble des moyens de paiement scripturaux, soit une progression de 7,4 % par rapport au premier semestre 2024. Les virements représentaient environ 37 % des montants fraudés sur cette période. (banque-france.fr)
Cette progression doit toutefois être remise en perspective : les montants totaux échangés progressent eux aussi. La Banque de France insiste donc davantage sur la montée de la fraude par manipulation que sur une explosion généralisée du taux de fraude. (banque-france.fr)
À l’échelle européenne, le constat est similaire. L’authentification forte protège efficacement contre certaines attaques techniques, mais les fraudeurs cherchent davantage à pousser les utilisateurs légitimes à authentifier eux-mêmes les opérations frauduleuses. (banque-france.fr)
La sécurité bancaire devient donc de plus en plus une bataille contre la manipulation psychologique plutôt qu’une simple bataille informatique.
Les entreprises sont particulièrement concernées par les faux changements de RIB
Pour une PME ou une entreprise, la vérification du bénéficiaire peut être particulièrement précieuse.
Une fraude au président ou un faux RIB fournisseur peut porter sur plusieurs dizaines ou centaines de milliers d’euros. Les fraudeurs savent parfois attendre plusieurs semaines après avoir piraté une messagerie afin d’observer les habitudes de l’entreprise, identifier les fournisseurs importants puis intervenir au moment où une facture réelle doit être réglée.
Le faux message est alors beaucoup plus crédible qu’un simple courrier électronique envoyé au hasard.
La vérification nom/IBAN ajoute une barrière supplémentaire. Elle peut signaler qu’un compte communiqué comme appartenant au fournisseur habituel est en réalité enregistré sous une autre identité.
Mais pour que cette protection fonctionne correctement, les entreprises doivent également maintenir des fichiers bénéficiaires propres et précis. Une raison sociale mal enregistrée ou systématiquement abrégée peut générer davantage d’alertes et inciter les salariés à prendre la mauvaise habitude de les ignorer.
Le risque n’est donc pas que la nouvelle vérification ralentisse systématiquement tous les virements. Le véritable enjeu est de l’intégrer correctement dans les procédures de contrôle interne.
Une règle simple pour les entreprises : tout changement de RIB doit être vérifié séparément
La meilleure protection reste d’ailleurs étonnamment peu technologique.
Lorsqu’un fournisseur communique de nouvelles coordonnées bancaires, il faut les confirmer par un canal différent de celui ayant servi à les recevoir. Si le RIB arrive par mail, il faut téléphoner au fournisseur en utilisant un numéro déjà enregistré, et non celui éventuellement indiqué dans le message suspect.
La Banque de France recommande explicitement cette démarche lorsqu’un changement de coordonnées bancaires intervient au moment du règlement d’une facture. (banque-france.fr)
Pour les paiements importants, une entreprise peut également appliquer un principe de double validation : une personne crée ou modifie le bénéficiaire, tandis qu’une seconde personne valide le virement.
La combinaison de procédures humaines simples et de la vérification automatique du bénéficiaire est beaucoup plus efficace qu’une confiance absolue dans un seul outil technique.
Le faux conseiller bancaire reste un risque majeur
La vérification du bénéficiaire ne résout pas non plus le problème des faux conseillers.
Le scénario est désormais bien connu : une personne téléphone en prétendant appartenir au service fraude de la banque. Elle connaît parfois le nom, l’adresse ou certains renseignements sur le compte du client, récupérés auparavant lors d’une fuite de données ou d’une tentative de phishing.
Elle explique qu’une fraude est en cours et demande au client de « sécuriser » son argent en réalisant un virement vers un prétendu compte de protection.
Le client reçoit ensuite une véritable demande d’authentification sur son application bancaire et la valide lui-même.
L’authentification forte n’a pas échoué : elle a précisément confirmé que c’était bien le client qui autorisait la transaction.
La règle à retenir reste donc absolue : une banque ne demande jamais à son client de transférer son argent vers un “compte sécurisé” pour le protéger d’une fraude.
Une demande urgente de ce type doit conduire à raccrocher puis à rappeler la banque depuis le numéro officiel.
Une correspondance parfaite entre le nom et l’IBAN ne signifie pas « paiement sans risque »
C’est probablement le point le plus important à comprendre en 2026.
La vérification du bénéficiaire répond à une question précise :
« L’IBAN saisi appartient-il bien à la personne ou à l’entreprise dont j’ai renseigné le nom ? »
Elle ne répond pas à la question :
« Cette personne est-elle honnête et dois-je réellement lui envoyer de l’argent ? »
Si un faux site d’investissement demande à Philippe Martin d’envoyer 10 000 euros sur un compte appartenant réellement à la société Fraud Invest Ltd, le contrôle peut confirmer que le compte appartient effectivement à cette société.
Le virement n’en sera pas moins potentiellement frauduleux.
Le système évite donc certaines erreurs d’identité, mais ne remplace jamais la vérification de la légitimité économique de l’opération.
Que faire lorsqu’une alerte apparaît ?
Une alerte de non-correspondance ne doit pas être ignorée, particulièrement lorsque le montant est important ou lorsque les coordonnées viennent de changer.
La première réaction doit être de ne pas valider immédiatement. Il faut comparer le RIB avec les coordonnées utilisées précédemment, vérifier le nom exact du titulaire et contacter directement le bénéficiaire par un canal connu.
Une petite différence de raison sociale peut parfaitement expliquer une correspondance proche. En revanche, l’apparition d’un nom totalement différent doit être considérée comme un signal d’alarme sérieux.
Plus le contexte comporte de pression ou d’urgence — « paiement impératif aujourd’hui », « nouveau compte exceptionnel », « ne contactez pas votre interlocuteur habituel » — plus la prudence doit être importante.
Les fraudeurs savent que l’urgence empêche la réflexion. Les systèmes de sécurité modernes essaient donc précisément de créer un dernier moment de vérification avant que l’argent ne parte.
Et si le virement frauduleux a déjà été effectué ?
La situation dépend fortement des circonstances.
Lorsqu’un virement vient d’être réalisé à tort, il faut contacter immédiatement sa banque. Même lorsqu’une opération est techniquement irrévocable, la banque peut tenter une procédure de rappel de fonds auprès de l’établissement bénéficiaire. Plus la réaction intervient rapidement, plus les chances de bloquer les sommes avant qu’elles ne soient déplacées peuvent être importantes.
Il faut ensuite conserver l’ensemble des éléments : mails, SMS, faux RIB, captures d’écran, numéros de téléphone et justificatifs du paiement.
La question du remboursement est plus complexe lorsque le client a lui-même autorisé la transaction après avoir été manipulé. La responsabilité dépend alors notamment des circonstances précises et de l’application des règles relatives aux services de paiement.
C’est précisément pourquoi prévenir la transaction reste infiniment plus efficace que tenter de récupérer l’argent après son exécution.
Les nouvelles règles rendent-elles les virements vraiment plus sûrs ?
Oui, mais elles ne les rendent pas infaillibles.
La vérification du bénéficiaire corrige une faiblesse historique assez surprenante du virement bancaire : pendant longtemps, un client pouvait saisir un nom et un IBAN sans disposer d’un contrôle systématique lui indiquant que les deux ne correspondaient pas réellement.
Cette époque est désormais révolue dans la zone euro pour les virements concernés par le nouveau dispositif.
En parallèle, l’authentification forte continue de protéger l’accès aux comptes et la validation des opérations. Les plafonds de virements instantanés peuvent limiter l’exposition, tandis que les banques améliorent continuellement leurs algorithmes de détection des opérations inhabituelles.
Mais aucun de ces outils ne peut empêcher totalement une personne consciente et correctement authentifiée d’envoyer volontairement son argent à un escroc particulièrement convaincant.
La dernière barrière reste donc humaine.
Ce qu’il faut retenir
La sécurisation des virements bancaires a réellement franchi une nouvelle étape en Europe.
Depuis le 9 octobre 2025, les banques et autres prestataires concernés de la zone euro doivent proposer gratuitement une vérification du bénéficiaire avant l’exécution d’un virement SEPA. Le système compare l’IBAN avec le nom ou certains identifiants du destinataire et signale les correspondances exactes, approximatives ou inexistantes. Cette vérification concerne les virements classiques comme les virements instantanés. (ecb.europa.eu)
La deuxième évolution majeure concerne justement le virement instantané. Depuis octobre 2025, les établissements de la zone euro proposant des virements classiques doivent également permettre l’émission de virements instantanés, tandis que leur tarif ne peut plus être supérieur à celui d’un virement traditionnel. L’argent peut ainsi atteindre le bénéficiaire en moins de dix secondes, 24 heures sur 24 et 7 jours sur 7. (finance.ec.europa.eu)
Il faut toutefois corriger une idée de l’ancien article : l’authentification forte n’est pas une nouveauté de 2026. Elle existe depuis plusieurs années et reste efficace. Le problème est que les fraudeurs se sont adaptés en cherchant davantage à manipuler les clients pour qu’ils authentifient eux-mêmes des paiements frauduleux. (banque-france.fr)
Les chiffres montrent d’ailleurs que le système reste globalement sûr, mais que la menace est loin d’avoir disparu. Au premier semestre 2025, la Banque de France a recensé 618,4 millions d’euros de fraude sur les moyens de paiement, en hausse de 7,4 %, les virements représentant environ 37 % des montants fraudés. (banque-france.fr)
La bonne règle en 2026 tient donc en quelques mots : authentifier ne suffit plus, il faut également vérifier à qui l’on paie.
Lorsqu’un RIB change, lorsqu’un paiement devient soudainement urgent ou lorsqu’une alerte de non-correspondance apparaît, quelques minutes de vérification peuvent éviter la perte de plusieurs milliers d’euros.
La technologie ajoute désormais une nouvelle barrière particulièrement utile. Mais face aux fraudes par manipulation, le dernier contrôle de sécurité reste toujours celui qui se trouve entre l’écran et le bouton “Valider”.
Commentaires récents