Six chiffres du rapport OSMP 2025 (publié le 7 septembre 2026)
- 1,24 milliard d'euros de fraude aux moyens de paiement scripturaux en 2025 (+3,8 %), pour 7,2 millions de transactions frauduleuses (−7,6 %) : moins d'opérations, des montants plus élevés.
- 485 millions d'euros de fraude au virement (+37 %), soit 39 % du total, devant la carte (35 %) et le chèque (19 %).
- 516 millions d'euros de fraude « par manipulation » (+34 %), soit 41,6 % de la fraude, dont 376 millions sur le virement de banque en ligne (244 millions en 2024).
- 0,0063 % : taux de fraude du virement émis depuis la banque en ligne, contre 0,0002 % pour les virements transmis par lot ou fichier (canaux télématiques des entreprises).
- 1 virement sur 6 est désormais instantané (+78 % en nombre, +118 % en montant) ; son taux de fraude recule à 0,041 %, sous celui de la carte (0,049 %).
- 640 affaires de faux ordres de virement contre des personnes morales portées à la connaissance de la police judiciaire en 2025, pour 43 millions d'euros (680 affaires et 36 millions en 2024).
Sources : rapport annuel de l'OSMP 2025 (pages 21, 24 et 26) et support de la conférence de presse du 7 septembre 2026, lus intégralement.
Ce que le rapport dit vraiment : la fraude se déplace de la carte vers le virement, et du fichier vers l'écran
Le rapport OSMP est le seul document français qui mesure la fraude à partir des déclarations des banques et des réseaux de paiement, et non des plaintes. Sa lecture d'ensemble est rassurante : le taux de fraude sur la carte tombe à 47 euros pour 100 000 euros payés, son plus bas niveau historique, le chèque recule de 16 %, et le nombre total d'opérations frauduleuses baisse. Mais la fraude ne disparaît pas, elle change de support. Le virement, qui pèse 89 % des montants échangés en France (36 264 milliards d'euros de paiements scripturaux en 2025), devient la cible principale. Le détail qui intéresse les directions financières figure page 21. L'Observatoire distingue les virements selon le canal d'émission. Ceux qui partent par « lot ou fichier », c'est-à-dire par les canaux télématiques d'échange banque-entreprise (le protocole EBICS, les outils de trésorerie connectés), affichent un taux de fraude de 0,0002 %. Ceux qui sont saisis à la main dans un espace de banque en ligne sont à 0,0063 %, en hausse nette après 0,0044 % en 2024. Le rapport explique l'écart : « les canaux télématiques utilisés par les entreprises restent très peu exposés à la fraude », tandis que « les fraudeurs attaquent davantage les solutions de banque en ligne », en récupérant des accès par hameçonnage ou en convainquant la victime de valider elle-même l'opération.| Canal d'émission du virement | Taux de fraude 2025 (en valeur) | Lecture pour une PME |
|---|---|---|
| Banque en ligne (saisie manuelle sur le portail ou l'application) | 0,0063 % (0,0044 % en 2024) | Le canal où opèrent le faux conseiller, le faux fournisseur et le faux dirigeant : l'humain valide. |
| Lot / fichier (canaux télématiques type EBICS, logiciel de trésorerie) | 0,0002 % | 31 fois moins fraudé. L'ordre est signé par un dispositif, pas dicté au téléphone. |
| Virement instantané (tous canaux) | 0,041 % (0,046 % en 2024) | En recul, mais l'irrévocabilité en dix secondes laisse peu de place au rappel de fonds. |
| Carte, paiement sur internet | 0,124 % | Pour mémoire : le plus bas historique, grâce à l'authentification forte. |
Source : rapport OSMP 2025, graphiques G30-G31 (page 21) et G34 (page 24), support de conférence de presse (page 6). Le rapport de 1 à 31 entre banque en ligne et canaux télématiques est un calcul de la rédaction à partir des deux taux publiés.
Le faux RIB devant les juges : la Cour de cassation le 17 juin, la cour d'appel d'Amiens le 28 avril
Le rapport chiffre ; la jurisprudence répartit la perte. Deux décisions de 2026 dessinent la nouvelle règle du jeu pour les entreprises, et elles ne vont pas dans le même sens pour le payeur. Le 17 juin 2026, la chambre commerciale de la Cour de cassation a rendu, en formation plénière de chambre et avec la mention « B+R » qui la destine au Bulletin et au Rapport annuel, un arrêt de principe (n° 24-13.306). Les faits sont ceux de toutes les fraudes au fournisseur : en mai 2018, un courriel dont l'adresse ne différait « que d'une seule lettre » de celle d'un fournisseur de carburant transmet une facture de 103 375,64 euros accompagnée d'un RIB. L'acheteur paie. Le compte est celui d'un escroc. La cour d'appel d'Aix-en-Provence avait estimé le paiement libératoire, au titre du « créancier apparent » de l'article 1342-3 du code civil. La Cour de cassation casse.N'est pas créancier apparent, au sens de ce texte, le tiers qui usurpe l'identité du créancier.La distinction posée par la Cour est simple à retenir : le payeur ne s'est pas trompé sur qui il devait payer, il savait parfaitement que son créancier était le fournisseur ; il s'est trompé sur le compte à créditer. L'article 1342-3 protège la première erreur, pas la seconde. Conséquence : le paiement sur un faux RIB n'éteint pas la dette, et l'entreprise qui a viré devra payer une seconde fois son vrai fournisseur, quitte à se retourner ensuite contre l'escroc ou contre les banques. L'affaire est renvoyée devant la cour d'appel de Lyon. Sept semaines plus tôt, le 28 avril 2026, la cour d'appel d'Amiens avait tranché un dossier picard dans une logique différente, rapporté par Clubic le 11 mai. En 2021, un maître d'ouvrage confie à un électricien les travaux d'un chantier de l'Oise ; en juin, quatre factures pour 109 877 euros sont validées ; le 16 juillet, un courriel qui semble provenir de l'électricien joint un RIB au nom de la société. Le maître d'ouvrage vire le 3 août sur un compte frauduleux ouvert à la Société Générale (ex-Crédit du Nord). La cour a jugé le payeur libéré au titre du créancier apparent, écarté la responsabilité de l'architecte, et condamné la banque à 109 877 euros plus 3 000 euros de frais, non pour avoir mal exécuté un virement, mais pour avoir ouvert un compte au nom de la société victime sans vérifier que son interlocuteur était habilité à le faire. Lus ensemble, les deux arrêts renversent la charge pour les prochains dossiers. Depuis le 17 juin, un payeur dans la situation du maître d'ouvrage de l'Oise ne pourrait plus, en principe, invoquer le créancier apparent ; il resterait débiteur de la facture. Mais la voie ouverte à Amiens demeure : la responsabilité de la banque qui a ouvert le compte réceptacle sans contrôle, ou de celle qui a exécuté le virement sans réagir à une alerte de non-concordance du nom du bénéficiaire. Autrement dit, la perte se répartit désormais entre celui qui vire et les banques de la chaîne, jamais sur le fournisseur usurpé. Pour une PME, la question n'est plus « qui paie ? » mais « quelle preuve de vérification puis-je produire ? ».
Ce que nous avons relevé pour les Hauts-de-France : 34 259 victimes en 2025, deux fois plus qu'en 2016
Le rapport OSMP ne ventile rien par région : ses données viennent des banques, pas des territoires. Le ministère de l'Intérieur, lui, publie chaque été la base départementale de la délinquance enregistrée par la police et la gendarmerie, dont un indicateur « escroqueries et fraudes aux moyens de paiement » compté en victimes. Nous avons extrait les lignes des cinq départements de la région dans l'édition du 9 juillet 2026 (données 2025, géographie 2026).| Département | Victimes 2016 | Victimes 2024 | Victimes 2025 | Évolution 2025/2024 | Taux 2025 (‰ habitants) |
|---|---|---|---|---|---|
| Aisne | 1 536 | 3 305 | 3 500 | +5,9 % | 6,69 |
| Nord | 7 840 | 14 373 | 15 011 | +4,4 % | 5,74 |
| Oise | 2 766 | 4 852 | 4 911 | +1,2 % | 5,92 |
| Pas-de-Calais | 3 726 | 7 082 | 7 677 | +8,4 % | 5,27 |
| Somme | 1 599 | 3 047 | 3 160 | +3,7 % | 5,59 |
| Hauts-de-France | 17 467 | 32 659 | 34 259 | +4,9 % | 5,72 |
| France (SSMSI, périmètre national) | — | 417 300 | 448 300 | +7 % | — |
Source : SSMSI, bases statistiques départementale et régionale de la délinquance enregistrée, édition du 9 juillet 2026 (data.gouv.fr), indicateur « Escroqueries et fraudes aux moyens de paiement », unité de compte : victime. Taux calculés par le SSMSI sur la population Insee 2023. Total national : bilan « Insécurité et délinquance en 2025 » repris dans le rapport OSMP (page 25). Évolutions calculées par la rédaction.
Deux outils nouveaux depuis octobre 2025, et ce qu'ils ne font pas
Le rapport insiste sur deux dispositifs de partage de données que les banques doivent maintenant exploiter, et qu'une entreprise doit connaître pour en tirer parti, comme pour en connaître les limites. La vérification du bénéficiaire (VoP). Depuis le 9 octobre 2025, le règlement européen 2024/886 sur les paiements instantanés oblige toute banque de la zone euro à comparer, avant l'exécution d'un virement SEPA, le nom du bénéficiaire saisi et le nom du titulaire réel de l'IBAN, et à afficher au payeur une concordance, une quasi-concordance ou une non-concordance. C'est l'arme directe contre le faux RIB : dans l'affaire de l'Oise, un compte ouvert au nom de l'électricien aurait répondu « concordance », ce qui montre la limite du dispositif quand la banque réceptrice a ouvert le compte sans contrôle ; dans l'affaire jugée par la Cour de cassation, un compte au nom d'un tiers aurait déclenché l'alerte. Le rapport rappelle que le service ne couvre pas les virements internationaux ni en devises, et que la banque doit prévenir explicitement quand il n'est pas disponible. Pour les virements par fichier, la VoP s'applique aussi : les banques ont ouvert des services de contrôle en masse des fichiers, mais l'entreprise peut choisir de ne pas les activer. Vérifiez que le vôtre l'est. Le fichier national des comptes signalés pour risque de fraude (FNC-RF). Créé par la loi du 6 novembre 2025 (article L. 521-6-1 du code monétaire et financier) et administré par la Banque de France, il est en service depuis mai 2026. Chaque banque doit y déclarer les IBAN impliqués dans une fraude, avec la méthode et le canal utilisés ; la banque teneuse du compte enquête et rend un avis. Jusqu'ici, le secret bancaire interdisait ce partage. La loi du 25 juin 2026 sur les fraudes sociales et fiscales en a ouvert la consultation à certaines administrations. Ce fichier ne vous protège pas directement : il permet à votre banque de bloquer ou de retarder un virement vers un compte déjà signalé, mais un compte ouvert la veille pour votre seule fraude n'y figure pas encore. Les mécanismes de « temporisation » cités par le rapport (158 millions d'euros de remises douteuses retenues sur le chèque en 2025) sont l'équivalent que les banques déploient sur le virement. Et la facture électronique ? Depuis le 1er septembre, toute entreprise doit pouvoir recevoir ses factures par une plateforme agréée. Le circuit authentifie l'entreprise émettrice, identifiée par son SIREN dans l'annuaire, et rend plus difficile l'insertion d'une fausse facture PDF dans une boîte de réception. Il ne vérifie pas l'IBAN porté sur la facture. Une facture parfaitement authentique, émise par un fournisseur dont la messagerie a été compromise, peut porter des coordonnées bancaires frauduleuses. La VoP au moment du paiement reste donc le contrôle qui compte, et le contre-appel sa doublure.Sept réglages du circuit de paiement d'une PME, dans l'ordre où les mettre en place
Les recommandations ci-dessous reprennent celles du rapport OSMP à destination des entreprises (annexe 1, fiche virement) et de la fiche réflexe de Cybermalveillance.gouv.fr sur les faux ordres de virement, ordonnées selon l'effort qu'elles demandent. Aucune n'exige d'investissement autre que du temps et, pour la dernière, un abonnement bancaire.Le circuit de paiement d'une PME après le rapport OSMP et l'arrêt du 17 juin
- Gelez la règle du contre-appel. Tout changement de coordonnées bancaires d'un fournisseur est confirmé par un appel au numéro déjà connu (contrat, site officiel, ancienne facture), jamais à celui du courriel qui annonce le changement. Notez la date, l'heure et l'interlocuteur : c'est la preuve que la Cour de cassation vous demandera.
- Séparez la saisie et la validation. Le rapport le formule mot pour mot : confier la saisie et la validation des ordres à des personnes distinctes. Dans une TPE, le dirigeant valide ce que le comptable saisit, et l'inverse pour ses propres notes de frais.
- Lisez la réponse VoP avant de valider. Une « non-concordance » ou une « quasi-concordance » sur un fournisseur régulier est une alerte, pas un détail d'orthographe. Interrogez le fournisseur par contre-appel avant d'aller plus loin.
- Demandez à votre banque les limites que le rapport cite : plafond par opération, par bénéficiaire, par jour, par pays ; délai de 24 ou 48 heures avant qu'un nouveau bénéficiaire puisse recevoir un montant élevé ; blocage des virements hors SEPA si vous n'en faites jamais.
- Écrivez la règle « aucune opération dictée au téléphone ». Un conseiller bancaire ne demande jamais de valider, d'annuler ou de « sécuriser » un virement en direct. Un dirigeant non plus, même pressé, même confidentiel : c'est la définition de la fraude au président.
- Passez les règlements récurrents en fichier signé. Générer les virements depuis le logiciel comptable, les signer avec le certificat de l'entreprise et les transmettre par EBICS place ces flux dans la catégorie 31 fois moins fraudée du rapport, et supprime la saisie manuelle où opère la manipulation.
- Préparez le premier quart d'heure. Numéro d'opposition de la banque dans le téléphone, procédure de rappel de fonds (« recall ») connue, plainte déposée le jour même, signalement sur Cybermalveillance.gouv.fr. Le rapport rappelle que le virement instantané est irrévocable : la seule fenêtre est celle où l'argent n'a pas encore été retiré du compte réceptacle.
Ce que le rapport ne dit pas
- La part des entreprises dans les 485 millions d'euros de fraude au virement. L'OSMP ventile par canal et par technique, pas par type de client. Les 43 millions d'euros de faux ordres de virement de la police judiciaire sont un échantillon « représentatif mais non exhaustif », précise le rapport.
- L'effet mesuré de la vérification du bénéficiaire. En service depuis le 9 octobre 2025, la VoP n'a agi que sur un trimestre de l'année 2025 ; le rapport annonce des indicateurs de performance du FNC-RF dans ses prochaines éditions, sans en donner pour la VoP.
- Les chiffres régionaux de la Banque de France. Les données de fraude déclarées par les banques ne sont pas territorialisées ; notre relevé repose sur les plaintes enregistrées par la police et la gendarmerie, dont le périmètre est plus large (escroqueries au crédit, à l'investissement, fausses ventes) et le taux de déclaration faible.
- La position de la cour d'appel de Lyon, juridiction de renvoi de l'affaire du 17 juin, et la manière dont les cours d'appel, dont celle d'Amiens, intégreront la nouvelle définition du créancier apparent dans les dossiers en cours.
- La réponse des banques régionales. Nous n'avons sollicité ni la Banque de France en Hauts-de-France ni les établissements cités pour ce premier article.
Point d'étape
Nous mettrons cet article à jour à la publication des premiers indicateurs de performance du FNC-RF par la Banque de France, à la décision de la cour d'appel de Lyon sur renvoi, et à la parution de la note statistique OSMP du premier semestre 2026, attendue en janvier 2027. Si votre entreprise des Hauts-de-France a été confrontée à un changement de RIB frauduleux ou à une alerte de non-concordance VoP depuis octobre 2025, vous pouvez nous l'écrire.
Questions fréquentes
Mon entreprise a payé une facture sur un faux RIB : dois-je vraiment payer une seconde fois ?
En principe oui, depuis l'arrêt de la Cour de cassation du 17 juin 2026 (n° 24-13.306) : l'escroc qui usurpe l'identité d'un fournisseur n'est pas un « créancier apparent », le paiement n'éteint pas la dette et le vrai fournisseur peut réclamer son règlement. Restent les recours contre l'escroc, et contre les banques de la chaîne si elles ont manqué à leurs obligations, comme la cour d'appel d'Amiens l'a jugé le 28 avril 2026 pour un compte ouvert sans vérification.
Qu'est-ce que la vérification du bénéficiaire (VoP) et mon logiciel de paiement en bénéficie-t-il ?
Depuis le 9 octobre 2025, toute banque de la zone euro doit comparer le nom du bénéficiaire saisi et le titulaire réel de l'IBAN avant un virement SEPA, et afficher le résultat au payeur. Le service existe aussi pour les virements transmis par fichier, sous forme de contrôle en masse, mais son activation dépend de l'abonnement souscrit auprès de la banque. Il ne couvre pas les virements hors SEPA ni en devises.
Pourquoi le rapport dit-il que la banque en ligne est plus fraudée que l'EBICS ?
Le taux de fraude 2025 du virement émis depuis la banque en ligne est de 0,0063 %, contre 0,0002 % pour les virements transmis par lot ou fichier via les canaux télématiques des entreprises, soit un rapport de 1 à 31. La manipulation (faux conseiller, faux fournisseur, faux dirigeant) agit sur une personne qui saisit et valide à l'écran ; un fichier signé par certificat et transmis automatiquement ne lui laisse pas de prise.
Les Hauts-de-France sont-ils plus touchés que les autres régions ?
Non, d'après les plaintes : 34 259 victimes d'escroqueries et de fraudes aux moyens de paiement en 2025, soit 5,72 pour 1 000 habitants, l'un des taux les plus bas des grandes régions métropolitaines, avec une hausse de 4,9 % contre 7 % au niveau national. Le nombre a toutefois doublé depuis 2016, et les entreprises, qui portent rarement plainte, y sont sous-représentées.
La facture électronique protège-t-elle contre le faux RIB ?
Partiellement. Le circuit des plateformes agréées authentifie l'entreprise émettrice de la facture, ce qui limite l'insertion de fausses factures PDF par courriel. Il ne vérifie pas les coordonnées bancaires portées sur la facture : une facture authentique émise depuis une messagerie compromise peut contenir un IBAN frauduleux. La vérification du bénéficiaire au moment du paiement et le contre-appel restent nécessaires.
Sources
- Banque de France — communiqué de presse de l'Observatoire de la sécurité des moyens de paiement, 7 septembre 2026
- Rapport annuel de l'OSMP 2025 (PDF) — pages 21 (fraude au virement par canal), 24 (fraude par manipulation), 25-26 (encadré ministère de l'Intérieur, faux ordres de virement), 46 (FNC-RF), annexe 1 (conseils aux entreprises) ; page de la publication
- Support de la conférence de presse du 7 septembre 2026 (PDF), Denis Beau et Julien Lasalle
- Cour de cassation, chambre commerciale, 17 juin 2026, n° 24-13.306, publié au Bulletin (Légifrance) ; analyse : LE BOT Avocat, 18 juin 2026
- Clubic — « Victime d'une fraude au faux RIB, une entreprise récupère ses 110 000 euros grâce à la condamnation de la banque », 11 mai 2026 (cour d'appel d'Amiens, 28 avril 2026)
- SSMSI — « Insécurité et délinquance en 2025 : bilan statistique et atlas départemental », 9 juillet 2026 ; bases statistiques départementale et régionale (data.gouv.fr), fichiers produits le 25 juin 2026
- Règlement (UE) 2024/886 du 13 mars 2024 sur les virements instantanés (vérification du bénéficiaire)
- Banque de France — Le FNC-RF, fichier national des comptes bancaires signalés pour risque de fraude
- Daf-Mag — « Fraude aux paiements : faux conseillers et virements frauduleux en hausse en 2025 » et MoneyVox/AFP — « Faux conseillers bancaires : les escroqueries par manipulation en forte hausse », 7 septembre 2026 (déclarations en conférence de presse)
- Cybermalveillance.gouv.fr — fiche réflexe « Escroquerie aux faux ordres de virement (FOVI) »
À lire également sur Synapse
- Facture électronique, J+3 : 23 % des flux rejetés le premier jour, et le double paiement chez la PME qui reçoit
- Piratage des impôts : la DGFiP écrit à 250 000 professionnels, et les faux courriels sont déjà là
- Deepfake contre Raphaël Glucksmann : pourquoi la même arme vise déjà les PME (fraude au président)
- Fuite BlgCloud : 44 Go chez un loueur de Seclin
- Fuite SFR : 2,1 millions de fiches clients et l'arnaque au faux technicien
- Cybersécurité TPE-PME en Hauts-de-France 2026 : le guide complet
