Le 13 avril 2026, l’ACPR et Tracfin ont publié une alerte sur les services d’IBAN virtuels offerts en France. Le sujet peut paraître bancaire. Il concerne pourtant directement les entreprises qui utilisent des comptes de paiement, des plateformes d’encaissement, des solutions de marketplace, des PSP, des outils de paiement SaaS ou des circuits de recouvrement automatisés.

Un IBAN virtuel n’est pas nécessairement suspect. Il peut servir à rapprocher des paiements, attribuer un identifiant différent à chaque client, organiser des flux par activité ou faciliter une comptabilité analytique. Le problème naît lorsque l’entreprise ne sait plus qui tient le compte sous-jacent, qui est l’utilisateur réel de l’IBAN, où les fonds transitent, et quelle preuve elle pourra produire en cas de fraude, de contrôle bancaire, de demande Tracfin, de gel de compte ou de litige avec un client.

Les données Google Ads consultées pendant ce run confirment une demande réelle : iban virtuel et iban virtuels ressortent à 320 recherches mensuelles moyennes en France, concurrence faible, CPC haut 4,92 euros ; faux iban ressort à 390 recherches mensuelles ; arnaque au virement à 320 ; faux ordre de virement à 70. L’intention n’est pas seulement informative. Elle vient souvent d’une entreprise qui vient de recevoir un RIB inhabituel, qui découvre un compte de paiement opaque, ou qui doit expliquer un flux à sa banque, son expert-comptable, un client ou une autorité.

Qu’est-ce qu’un IBAN virtuel ?

Un IBAN virtuel est un identifiant de compte utilisé pour orienter un paiement vers un compte sous-jacent. En pratique, une entreprise peut recevoir plusieurs IBAN rattachés à une même relation bancaire ou à une même solution de paiement. Chaque IBAN permet d’identifier plus facilement un client, une facture, une activité, une plateforme ou un flux.

L’outil est utile. Un bailleur peut suivre les paiements de plusieurs locataires. Une marketplace peut distinguer les règlements de différents vendeurs. Un prestataire SaaS peut rapprocher automatiquement les factures. Une fintech peut proposer à ses clients professionnels une gestion plus fine des encaissements.

Mais l’IBAN virtuel crée aussi une difficulté de lecture. Le donneur d’ordre voit un IBAN. Il ne voit pas toujours le compte réellement tenu, le prestataire qui conserve les fonds, le pays du compte sous-jacent, l’identité de l’utilisateur final, ni la chaîne contractuelle entre la banque, le prestataire de paiement et l’entreprise.

Cette opacité devient dangereuse lorsqu’un fraudeur l’utilise pour recevoir des fonds, lorsqu’un fournisseur annonce un changement de coordonnées bancaires, lorsqu’une facture comporte un IBAN qui ne correspond pas au titulaire attendu, ou lorsqu’un prestataire de paiement ne documente pas clairement le service vendu.

Pourquoi l’alerte ACPR-Tracfin change le niveau de vigilance

Dans leur communication officielle, l’ACPR et Tracfin indiquent que certains usages d’IBAN virtuels présentent des risques élevés en matière de blanchiment de capitaux. Le rapport souligne notamment que ces services peuvent compliquer la traçabilité des fonds et l’action des cellules de renseignement financier et des autorités répressives.

Pour une entreprise utilisatrice, le message est simple : un IBAN virtuel doit être compris, documenté et justifié. Il ne suffit pas de dire que le prestataire est connu, que le service est pratique ou que la solution a été intégrée par le service financier.

Il faut pouvoir répondre à quatre questions.

Qui est le titulaire du compte sous-jacent ?
Qui utilise l’IBAN virtuel ?
Où les fonds sont-ils effectivement reçus et conservés ?
Quelle procédure permet de tracer, bloquer ou restituer les fonds en cas d’alerte ?

Si l’entreprise ne peut pas répondre, le risque n’est pas seulement technique. Il peut devenir contractuel, bancaire, pénal, fiscal ou commercial.

Les situations à risque pour une entreprise

La première situation est le changement de RIB fournisseur. Un fournisseur habituel annonce une nouvelle domiciliation bancaire. L’IBAN paraît français, mais le compte sous-jacent ou l’utilisateur réel n’est pas clair. Le comptable paie. Le fournisseur réclame ensuite le solde, en expliquant qu’il n’a jamais reçu les fonds.

La deuxième situation est l’encaissement par marketplace ou plateforme. Une entreprise vend en ligne et reçoit des fonds par l’intermédiaire d’un prestataire. Si le compte est gelé, si la plateforme suspend le vendeur, ou si un client conteste un paiement, l’entreprise doit comprendre qui détient les fonds et sur quel fondement contractuel.

La troisième situation est le prestataire de paiement mal documenté. Une société utilise une solution d’encaissement sans vérifier l’agrément, les conditions de conservation des fonds, les règles de cantonnement, les délais de reversement, les bénéficiaires effectifs et les procédures de coopération en cas de fraude.

La quatrième situation est le flux international déguisé. Un IBAN affichant un code pays français peut donner un sentiment de sécurité. L’alerte ACPR-Tracfin rappelle justement qu’il faut regarder au-delà de l’apparence de l’IBAN.

La cinquième situation est la fraude au faux fournisseur ou au faux ordre de virement. Le fraudeur ne demande pas toujours un paiement exotique. Il peut utiliser un IBAN crédible, une facture modifiée, un courriel usurpé, une chaîne d’échanges déjà compromise et un compte de réception difficile à identifier rapidement.

Que vérifier avant d’accepter un IBAN virtuel ?

Le premier contrôle porte sur le prestataire. L’entreprise doit identifier la banque, l’établissement de paiement ou l’établissement de monnaie électronique qui fournit le service. Elle doit vérifier son statut, son pays d’établissement, son rôle exact et son interlocuteur en cas de difficulté.

Le deuxième contrôle porte sur le contrat. Les conditions générales doivent expliquer le fonctionnement des IBAN virtuels, le compte sous-jacent, les délais de reversement, les cas de gel, les obligations de conformité, les pièces demandées et les recours internes.

Le troisième contrôle porte sur le titulaire économique. Si l’IBAN sert à recevoir des fonds pour le compte d’un tiers, il faut comprendre qui est ce tiers, qui a le pouvoir de donner instruction, qui supporte le risque de fraude et qui répond aux demandes d’information.

Le quatrième contrôle porte sur la preuve. Une entreprise doit conserver la fiche fournisseur, le RIB initial, le message annonçant le changement, la validation interne, l’appel de confirmation, les captures utiles, les logs de connexion, la facture, le bon de commande et l’ordre de virement.

Le cinquième contrôle porte sur les plafonds. Plus le montant est élevé, plus la procédure doit être formalisée. Un paiement important vers un nouvel IBAN ne devrait pas être validé sur la seule base d’un courriel.

Que faire si un paiement est déjà parti vers un IBAN suspect ?

Le délai compte. En cas de paiement suspect, l’entreprise doit agir dans les premières heures.

Il faut d’abord contacter sa banque par le canal d’urgence, demander un rappel de fonds, signaler le caractère frauduleux ou suspect du virement, et obtenir une trace écrite de la demande. Lorsque le prestataire bénéficiaire est identifié, il faut demander à la banque émettrice de solliciter rapidement la banque ou le PSP bénéficiaire.

Il faut ensuite préserver les preuves. Les courriels doivent être exportés avec leurs en-têtes lorsque c’est possible. Les factures, RIB, historiques de conversation, validations internes et captures d’écran doivent être conservés sans réécriture.

Il faut aussi déposer plainte ou préparer une plainte circonstanciée. Le dossier doit décrire la chronologie, le montant, les coordonnées bancaires, les noms utilisés, les adresses courriel, les numéros de téléphone, les éventuels domaines usurpés et les personnes ayant validé l’opération.

Il faut enfin examiner les responsabilités possibles. La banque n’est pas automatiquement responsable d’un virement autorisé par l’entreprise. La jurisprudence vérifie souvent l’existence d’anomalies apparentes, matérielles ou intellectuelles. La Cour de cassation a rappelé, dans un arrêt commercial du 19 novembre 2025, que le régime spécial du Code monétaire et financier ne couvre pas toutes les situations de fraude lorsque l’opération a été autorisée, et que la responsabilité peut être discutée sous un autre angle selon les faits. La question dépend donc du montant, du profil du compte, du bénéficiaire, de la procédure suivie et des alertes disponibles.

IBAN virtuel, LCB-FT et responsabilité : ne pas confondre les plans

Les obligations de lutte contre le blanchiment et le financement du terrorisme protègent d’abord l’intérêt général. Une entreprise victime ne peut pas toujours obtenir une indemnisation en invoquant seulement le dispositif LCB-FT. Les décisions récentes relevées dans Judilibre rappellent régulièrement cette distinction.

Cela ne signifie pas que le sujet est inutile dans un dossier. Au contraire. Les obligations LCB-FT peuvent aider à comprendre ce que le prestataire devait savoir, quels contrôles existaient, comment un compte a été ouvert, pourquoi les fonds ont transité, et si une anomalie était détectable.

Mais la demande indemnitaire doit être construite avec précision. Elle peut reposer sur une mauvaise exécution, un défaut de vigilance face à une anomalie apparente, une faute contractuelle, une insuffisance de procédure, une information trompeuse du prestataire, ou une responsabilité du cocontractant qui a transmis ou laissé transmettre le faux IBAN.

La stratégie dépend donc du rôle de chacun : banque émettrice, banque bénéficiaire, établissement de paiement, plateforme, fournisseur, salarié, dirigeant, sous-traitant informatique ou fraudeur identifié.

Paris et Île-de-France : pourquoi le sujet touche les PME, SaaS, agences et plateformes

À Paris et en Île-de-France, beaucoup d’entreprises utilisent des solutions de paiement intégrées : SaaS de facturation, néobanques professionnelles, plateformes de recouvrement, marketplaces, PSP, outils de paiement pour agences, plateformes événementielles, prestataires e-commerce, cabinets de gestion ou sociétés de domiciliation.

Ces entreprises ont souvent une structure légère. Le dirigeant valide un paiement. Le DAF ou l’expert-comptable contrôle ensuite. Le prestataire technique a déjà intégré la solution. Lorsque le flux pose problème, chacun découvre trop tard que le contrat de paiement, le RIB, l’agrément du prestataire et les procédures de gel n’ont pas été lus ensemble.

Le bon réflexe est de créer une procédure simple avant l’incident : validation des nouveaux IBAN, double canal de confirmation pour les fournisseurs, revue des PSP utilisés, centralisation des contrats de paiement, registre des bénéficiaires, seuils de validation et modèle de réaction en cas de fraude.

Les pièces à réunir avant de consulter un avocat

Pour analyser un dossier d’IBAN virtuel ou de faux IBAN, il faut réunir les pièces suivantes :

• le RIB ou l’IBAN transmis ;
• la facture et le contrat concerné ;
• les courriels ou messages ayant annoncé l’IBAN ;
• la preuve de validation interne ;
• l’ordre de virement et l’avis d’exécution ;
• les échanges avec la banque ;
• les conditions générales du prestataire de paiement ;
• les captures du compte ou de la plateforme ;
• la plainte ou le projet de plainte ;
• les relances du fournisseur ou du client.

Ces pièces permettent de répondre à la vraie question : le paiement a-t-il été exécuté conformément à un ordre régulier, ou existait-il une anomalie que l’un des intervenants aurait dû traiter avant de laisser sortir les fonds ?

Sources utiles

L’alerte officielle ACPR-Tracfin sur les IBAN virtuels est disponible sur le site de l’ACPR : publication du rapport sur les services d’IBAN virtuels offerts en France.

Tracfin a également publié une alerte sur les faux ordres de virement : alerte aux faux ordres de virement.

La Banque de France présente le virement SEPA instantané et la vérification du bénéficiaire : le virement SEPA instantané.

Pour le cas voisin du virement instantané et de la vérification du bénéficiaire, voir aussi notre article : virement instantané et vérification du bénéficiaire en entreprise.

Besoin d’un avis rapide sur votre dossier.

Vous avez reçu un IBAN suspect, découvert un paiement vers un IBAN virtuel, ou votre entreprise doit réagir après une fraude au virement.

Le cabinet peut analyser les pièces, identifier les recours utiles et préparer les démarches urgentes auprès de la banque, du prestataire de paiement ou du cocontractant.

Appelez le cabinet au 06 46 60 58 22 ou utilisez le formulaire de contact.