Le QR-code peut-il être vérifié à l'œil ?

Non, et c'est tout le problème. La seule vérification possible porte sur les données affichées par votre logiciel après lecture : nom du bénéficiaire et IBAN. Relisez-les systématiquement avant de valider.

Notre messagerie a-t-elle forcément été piratée ?

Pas nécessairement : l'accès peut se situer du côté du fournisseur. Dans les deux cas, l'incident justifie un audit des accès et l'activation d'une authentification à deux facteurs.

Facture QR falsifiée

Canal : QR-codePublic visé : PME et indépendants

À retenir

Une facture légitime est interceptée, son IBAN remplacé, puis renvoyée depuis une adresse ressemblante. Le paiement part chez l'escroc tandis que la dette envers le vrai fournisseur reste due. La fraude n'est souvent découverte qu'à la relance, plusieurs semaines plus tard.

Comment elle se présente

L'escroc accède à une boîte e-mail — celle du fournisseur ou la vôtre — et observe les échanges. Lorsqu'une facture circule, il l'intercepte, modifie l'IBAN et le QR-code, puis la renvoie depuis une adresse presque identique à l'originale.

Exemple d'e-mail de relance frauduleux

De : compta@atelier-brunner-sa.ch  (véritable : compta@atelierbrunner.ch)
Objet : RE : Facture 2026-0417 — coordonnées mises à jour

Suite à un changement d'établissement bancaire, merci d'utiliser la facture corrigée ci-jointe pour votre règlement.

Le QR-code est le point faible : personne ne le lit à l'œil nu. Un logiciel de paiement scanne le code et remplit les champs automatiquement. Si le collaborateur ne relit pas l'IBAN affiché avant de valider, rien n'arrête l'opération.

Pourquoi les PME sont visées

Les montants sont élevés, les circuits de validation courts, et un changement de coordonnées bancaires n'a rien d'invraisemblable entre entreprises. La découverte est tardive : c'est la relance du vrai fournisseur qui révèle le problème.

Les signaux d'alerte

Une annonce de changement de coordonnées bancaires par e-mail.
Une adresse d'expéditeur très légèrement différente de l'habituelle : un tiret, une lettre, une extension.
Un IBAN étranger pour un fournisseur suisse habituel.
Une facture renvoyée « corrigée » après un premier envoi.
Une pression sur le délai, ou une mention d'escompte à saisir rapidement.

Que faire

Instaurez une règle écrite : tout changement d'IBAN est vérifié par un appel au contact connu.
Faites relire l'IBAN affiché à l'écran avant validation, même après scan du QR-code.
Exigez une double validation pour les virements au-dessus d'un seuil défini.
Si le paiement est parti : contactez votre banque dans l'heure pour tenter un rappel de fonds, puis déposez plainte.
Faites vérifier la messagerie concernée : l'accès frauduleux est souvent encore actif.

Questions fréquentes

Le QR-code peut-il être vérifié à l'œil ?: Non, et c'est tout le problème. La seule vérification possible porte sur les données affichées par votre logiciel après lecture : nom du bénéficiaire et IBAN. Relisez-les systématiquement avant de valider.
Notre messagerie a-t-elle forcément été piratée ?: Pas nécessairement : l'accès peut se situer du côté du fournisseur. Dans les deux cas, l'incident justifie un audit des accès et l'activation d'une authentification à deux facteurs.