Facture au faux IBAN : comment l'expert établit quelle boîte mail a été compromise

Un intermédiaire reçoit un e-mail venant d'une adresse qui ne diffère que d'une lettre de celle du vendeur, avec la facture de la vente, 103 375,64 euros, et un relevé d'identité bancaire. Il transmet le tout à l'acheteur, qui paie. Le compte appartient à un fraudeur ; l'argent n'est jamais récupéré. Le 17 juin 2026, la Cour de cassation française a censuré l'arrêt qui avait jugé ce paiement libératoire. Reste une question technique, souvent décisive : où la fraude a-t-elle pris naissance ?

Qui paie le fraudeur risque de payer deux fois

Le Code civil français valide le paiement fait de bonne foi à un « créancier apparent » (article 1342-3). Mais, juge la Cour, celui qui usurpe l'identité du créancier n'en est pas un. Le litige se déplace alors souvent : quelqu'un a-t-il, par négligence, rendu la fraude possible ? La réponse passe par des faits techniques.

En Belgique, la police judiciaire fédérale d'Anvers a mis en garde, le 14 mai 2026, contre une variante largement automatisée. Des mots de passe issus pour la plupart de fuites de données ouvrent des boîtes mail où le courrier entrant est surveillé. Le numéro de compte et la communication structurée de la facture jointe sont remplacés, puis le document, identique en apparence, est remis dans la boîte ou envoyé au destinataire. Depuis le 9 octobre 2025, les banques de la zone euro doivent proposer gratuitement la vérification du nom du bénéficiaire. Utile, ce contrôle compare un nom et un IBAN ; il ne dit rien de l'authenticité du message qui a annoncé le changement.

Première question : d'où vient le message ?

L'analyse part du message frauduleux dans son format d'origine (fichier .eml ou .msg) : une capture d'écran ou un transfert font disparaître l'essentiel. Ses en-têtes retracent son chemin de serveur en serveur et le résultat des contrôles d'authentification du domaine expéditeur (SPF, DKIM, DMARC).

Soit le message vient d'une adresse qui imite celle du fournisseur, comme dans l'affaire française, souvent sur un domaine voisin : la messagerie du fournisseur n'a pas forcément servi. Soit il porte l'adresse authentique : ces contrôles aident alors à distinguer une simple usurpation de l'adresse d'un envoi réel depuis la messagerie du fournisseur, qui oriente vers un compte compromis. Le plus souvent, l'auteur connaissait la transaction et son montant : il a donc eu accès à de vrais échanges, chez l'une des parties ou chez un intermédiaire.

La pièce jointe parle aussi. Comparer l'empreinte numérique (hash) de la facture restée dans les éléments envoyés et de celle reçue montre si le document a changé. Ses métadonnées internes et sa structure, qui garde parfois la trace d'une version antérieure, peuvent révéler une retouche.

Deuxième question : qui a eu accès à la boîte ?

Dans Microsoft 365, très répandu dans les PME, plusieurs journaux se complètent :

Les journaux de connexion (Microsoft Entra ID) : qui, quand, depuis quelle adresse IP, avec quelle application, avec ou sans authentification multifacteur. Celle-ci ne suffit pas toujours : dès 2022, Microsoft a décrit des campagnes d'hameçonnage qui interceptent la session déjà authentifiée pour mener ensuite des fraudes au paiement.
Le journal d'audit (Microsoft Purview) : les actions effectuées dans la boîte. On y cherche d'abord les règles de boîte de réception suspectes, créées par exemple pour déplacer vers un dossier peu consulté, ou marquer comme lus, les messages d'un client ou ceux qui contiennent « facture » ou « paiement ». Répertoriée par la base MITRE ATT&CK, cette technique permet de poursuivre l'échange à l'insu du titulaire. On y cherche aussi les transferts automatiques vers l'extérieur et, selon la licence et la configuration, l'événement MailItemsAccessed, qui aide à établir quels messages ont été consultés.
Le suivi des messages : envois et réceptions des 90 derniers jours, y compris ceux que l'intrus a effacés ensuite. Un message supprimé, même de la corbeille, reste en principe récupérable 14 jours par défaut.

Les alertes de sécurité reçues (connexion à risque, déplacement impossible) et la suite qui leur a été donnée montrent aussi ce que l'organisation pouvait savoir, et quand. Chez les fournisseurs grand public, les journaux accessibles sont souvent bien plus limités.

Le temps joue contre la preuve

Les journaux de connexion consultables dans Microsoft Entra ID ne remontent qu'à 7 jours sans licence Entra ID P1 ou P2, 30 jours avec. Le journal d'audit est conservé 180 jours en version standard. Or la fraude n'apparaît souvent que lorsque le fournisseur relance une facture qu'il croit impayée, parfois des semaines plus tard. Et ce qui n'a pas été journalisé ne se reconstitue pas.

Les premiers gestes comptent : prévenir immédiatement la banque et porter plainte ; changer le mot de passe et fermer les sessions ouvertes ; conserver le message frauduleux dans son format d'origine, exporter les journaux et documenter les règles suspectes avant de les supprimer. Il faut aussi évaluer sans tarder s'il y a lieu de notifier une violation de données à l'Autorité de protection des données (à la CNIL en France), le RGPD imposant de le faire, si possible, dans les 72 heures. Sécuriser, oui ; effacer les traces, non.

Ce que l'expert peut conclure

Une analyse sérieuse examine les deux côtés, voire un intermédiaire en copie des échanges. Si une partie refuse l'accès à ses systèmes, les conclusions se limitent au périmètre examiné. Elles restent mesurées : traces compatibles avec un accès non autorisé à telle boîte à partir de telle date, absence de trace dans les journaux disponibles, ou journaux expirés ne permettant pas de se prononcer. Cette prudence rend le rapport utile au juge, à l'avocat ou à l'assureur.

À retenir

Dans une fraude au faux IBAN, la question « qui supporte la perte ? » renvoie souvent à une autre : « quelle messagerie a fui, et qui pouvait s'en apercevoir ? ». Elle se tranche sur des journaux, des en-têtes et des empreintes, pas sur des captures d'écran, à condition de les avoir préservés à temps.

Cyber Praxis intervient en investigation numérique et expertise judiciaire, de la préservation des journaux jusqu'au rapport d'expert.

Sources : Cass. com., 17 juin 2026, n° 24-13.306, texte de l'arrêt (Légifrance) ; police judiciaire fédérale d'Anvers, mise en garde du 14 mai 2026.