Fausse facture

Définition

La fausse facture est un document réclamant le paiement d'une prestation qui n'a jamais été commandée ni fournie, adressé à une entreprise, une association ou un professionnel indépendant, et rédigé pour ressembler à une échéance de routine.

Comment ça fonctionne

L'expéditeur s'appuie sur une réalité vérifiable : un nom de domaine qui expire réellement, une inscription au registre du commerce qui est publique, un contrat d'entretien qui existe vraiment chez un concurrent. Le document reprend donc des informations exactes sur l'entreprise, ce qui le rend crédible au premier coup d'œil. Le montant est calibré pour rester en dessous du seuil qui déclencherait une vérification — quelques dizaines à quelques centaines d'euros. Certaines variantes se présentent comme une simple « proposition d'insertion » en petits caractères, ce qui les rend juridiquement discutables plutôt que franchement fausses. Le procédé ne vise pas la personne qui décide, mais celle qui paie : il mise sur une organisation où les factures de faible montant sont réglées sans être rapprochées d'une commande.

Pourquoi ça marche

Un document présenté comme une facture déclenche un geste de routine : on paie ce qui est dû. Les informations exactes sur l'entreprise donnent l'impression d'une relation existante, et un petit montant n'attire l'attention de personne.

Sur quoi cette attaque s'appuie

Comprendre ces ressorts vaut mieux que retenir cent fiches : c'est ce qui permet de reconnaître une arnaque que personne n'a encore décrite.

Signaux d'alerte

• Facture pour une prestation dont personne dans l'organisation ne se souvient d'avoir passé commande
• Émetteur inconnu, ou dont le nom ressemble à celui d'un prestataire réel sans être identique
• Montant modeste, choisi pour passer sous le seuil de validation habituel
• Mention « à régler sous huit jours » ou « dernier rappel » alors qu'aucune facture précédente n'a été reçue
• IBAN sans rapport avec la banque du prestataire supposé
• Petits caractères transformant la facture en « offre » ou en « proposition d'insertion »

Comment vérifier

Rapprochez chaque facture d'un bon de commande ou d'un contrat portant un nom de personne dans l'organisation. Si personne ne peut dire qui a commandé, rien n'a été commandé. Pour un renouvellement de nom de domaine, l'information exacte se trouve dans l'espace client de votre registraire habituel, jamais dans le courrier reçu.

Les questions à se poser, dans l'ordre

1. 1

   La facture porte-t-elle sur un service dont personne ne peut dire qui l'a commandé ?

   Si oui : Ne payez pas : sans commande identifiable, il n'y a rien à régler.

2. 2

   Pour un nom de domaine, l'émetteur diffère-t-il du registraire de votre espace client ?

   Si oui : Ignorez le courrier et vérifiez l'échéance dans cet espace.

3. 3

   Avez-vous déjà payé ?

   Si oui : Contactez votre banque pour contester ou rappeler le paiement, puis déposez plainte.

Que faire

Ne payez pas et ne répondez pas. Conservez le document et signalez-le en interne, car les mêmes envois arrivent souvent en série sur plusieurs services. Établissez une règle simple : aucune facture n'est réglée sans une commande identifiable.

Si c'est déjà arrivé

Contactez votre banque : un prélèvement récent peut parfois être contesté, et un virement très récent faire l'objet d'une demande de rappel. Rassemblez le document, l'enveloppe et les échanges, puis déposez plainte. Vérifiez aussi qu'aucun mandat de prélèvement récurrent n'a été mis en place à cette occasion.

• Checklist d'urgence : « Vous avez envoyé de l'argent »
• L'assistant « J'ai cliqué » : les gestes après un email, dans l'ordre

Pour que ça ne se reproduise pas

• Ne réglez aucune facture sans bon de commande ou contrat portant un nom.
• Tenez à jour la liste des prestataires réels et de leurs coordonnées bancaires.
• Faites lire les petits caractères avant tout premier paiement à un nouvel émetteur.

Les gestes qui déjouent cette attaque

• Analyseur de message suspect : ce SMS ou cet email est-il une arnaque ?Collez un SMS, un email ou un message : l'outil montre les procédés d'arnaque qu'il contient, lit chaque lien et nomme les attaques qui y ressemblent. Rien n'est envoyé.
• Que faire dans l'heure qui suit un paiement frauduleuxJ'ai payé une arnaque, que faire maintenant ?
• La checklist pour une petite entreprise, à imprimerDouble validation des virements, changement d'IBAN confirmé au numéro connu, factures sans bon de commande : les procédures qui protègent une TPE, sur une page à imprimer.

Questions fréquentes

La facture mentionnait des informations exactes sur mon entreprise.

C'est attendu : le numéro d'identification, l'adresse et le nom du dirigeant figurent dans des registres publics et se recopient en quelques secondes. L'exactitude de ces informations ne dit rien de l'existence d'une commande — c'est cette dernière qu'il faut vérifier.

Le document se présente comme une « offre » et non comme une facture. Est-ce légal ?

C'est précisément la zone que ce procédé exploite : un document présenté comme une offre n'engage à rien tant qu'il n'a pas été accepté. En le payant, on peut être considéré comme l'ayant accepté. Ne payez pas, et faites examiner le document plutôt que de le régler pour clore le sujet.

Faut-il répondre pour demander l'annulation ?

Non. Répondre confirme que l'adresse est active et lue, et engage un échange que l'émetteur maîtrise mieux que vous. Conservez le document sans y donner suite.

Attaques liées

• Faux ordre de virement (fraude au président)
• Fraude au changement de RIB
• Phishing (hameçonnage)
• Arnaque à la location
• Revente de données personnelles

Sources officielles

• Cybermalveillance.gouv.fr — Assistance et signalement