Comment vérifier un SIRET avant de payer un fournisseur

7 min de lecture · Mis à jour le 28 juillet 2026

Un email arrive : votre fournisseur change de coordonnées bancaires. Vous mettez à jour et payez la prochaine facture. Sauf que ce n'était pas votre fournisseur — c'était un escroc. La fraude au changement de RIB (dite aussi « fraude au faux fournisseur ») coûte des centaines de millions d'euros par an aux entreprises françaises, et les TPE sont des cibles privilégiées : pas de service comptable, pas de procédure de contrôle, et des montants suffisants pour intéresser les fraudeurs. Voici comment vous protéger, en quelques vérifications de 30 secondes chacune.

Comprendre l'attaque : comment les escrocs s'y prennent

Deux modes opératoires dominent. Le premier est l'usurpation d'identité : le fraudeur repère votre fournisseur (les relations commerciales se devinent via les sites web, les avis, les réseaux sociaux), crée une adresse email très proche de la vraie (contact@fournisseur-sav.fr au lieu de contact@fournisseur.fr) et vous envoie un « nouveau RIB » avec l'en-tête et la signature copiés d'un vrai échange. Le second est plus redoutable : la compromission de la boîte mail du fournisseur lui-même. L'email frauduleux part alors de la vraie adresse, dans un vrai fil de discussion — seul l'IBAN a changé. C'est pourquoi la règle d'or ne repose jamais sur l'email : tout changement de RIB se confirme par téléphone, au numéro habituel.

Étape 1 : vérifier le SIRET sur un annuaire officiel

Le SIRET (14 chiffres) identifie de manière unique un établissement en France : les 9 premiers chiffres forment le SIREN (l'entreprise), les 5 suivants le NIC (l'établissement). Avant tout premier paiement ou changement de coordonnées :

1. Demandez le SIRET à votre fournisseur (il figure obligatoirement sur ses factures et devis)
2. Vérifiez-le sur notre annuaire des entreprises (données officielles de l'État) ou sur annuaire-entreprises.data.gouv.fr
3. Vérifiez que l'adresse, la dénomination sociale et l'activité correspondent à ce que vous connaissez

SIRET valide ne veut pas dire entreprise saine

Attention au faux sentiment de sécurité : un SIRET peut être valide et appartenir à une entreprise radiée, en liquidation judiciaire ou en cessation d'activité — ou être le SIRET bien réel d'une entreprise... usurpée par le fraudeur. Regardez donc trois choses : l'état administratif (actif/fermé), la date de création (une entreprise créée il y a trois semaines qui vous démarche pour un gros contrat mérite un supplément de prudence), et la cohérence de l'activité déclarée avec ce qu'on vous vend. Pour les contrats importants, complétez par un extrait Kbis récent (moins de 3 mois), que le fournisseur peut obtenir gratuitement.

Étape 2 : vérifier l'IBAN du fournisseur

Un SIRET valide ne suffit pas — l'arnaqueur peut très bien donner un vrai SIRET avec un faux IBAN. Quand un fournisseur vous envoie un nouveau RIB :

• Ne changez jamais un RIB sur la seule base d'un email — même venant de la bonne adresse (boîte mail compromise)
• Appelez votre fournisseur au numéro habituel (jamais celui indiqué dans l'email suspect)
• Vérifiez la validité structurelle de l'IBAN avec notre vérificateur IBAN : format, clé de contrôle, banque émettrice
• Comparez le pays et la banque avec la domiciliation habituelle : un fournisseur de Clermont-Ferrand qui passe subitement sur un IBAN lituanien ou une néobanque étrangère, c'est un signal fort

À noter : depuis la généralisation de la vérification du bénéficiaire (Verification of Payee) sur les virements SEPA en 2025, votre banque compare le nom du bénéficiaire saisi avec le titulaire réel du compte et vous alerte en cas d'écart. C'est un filet de sécurité précieux — mais pas infaillible (comptes ouverts sous des noms proches) : il complète la vérification téléphonique, il ne la remplace pas.

Étape 3 : pour les clients européens, la TVA intracommunautaire

Si vous travaillez avec des entreprises européennes (ou qu'un « fournisseur » étranger vous démarche), vérifiez son numéro de TVA intracommunautaire sur VIES, le service officiel de la Commission européenne. Un numéro invalide sur VIES alors que l'entreprise se dit assujettie est rédhibitoire — et pour vos propres factures intracommunautaires, cette vérification conditionne l'exonération de TVA.

Étape 4 : les signaux d'alerte

Méfiez-vous si :

• L'email vient d'une adresse légèrement différente (fournisseur-compta@gmail.com au lieu de compta@fournisseur.fr)
• Le message crée un sentiment d'urgence (« changez le RIB avant le virement de vendredi ») ou invoque la confidentialité (« opération en cours, n'en parlez à personne »)
• Le nouvel IBAN est dans un pays différent de l'habituel, ou chez une banque sans rapport avec l'entreprise
• Le fournisseur est injoignable par téléphone au moment précis où il faudrait confirmer
• La demande arrive pendant les congés (août, fêtes de fin d'année) — les fraudeurs adorent les périodes où les circuits de validation sont désorganisés

Pour les TPE : instaurer une procédure interne

Même si vous êtes seul ou en très petite équipe, formalisez une règle simple :

1. Tout changement de RIB doit être confirmé par appel téléphonique au numéro connu
2. Tout nouveau fournisseur doit être vérifié par SIRET + état administratif (+ Kbis au-delà d'un certain enjeu)
3. Au-dessus d'un certain montant (ex. 5 000 €), exiger une double validation — même si le second regard est votre associé, votre conjoint collaborateur ou votre comptable

Vous avez déjà payé ? Chaque heure compte

Si vous découvrez la fraude après le virement : appelez immédiatement votre banque pour demander le rappel des fonds (recall SEPA) — les chances de récupération chutent drastiquement après 24-48 h, le temps que les fonds soient dispersés. Déposez ensuite plainte (la banque l'exigera), conservez tous les emails frauduleux avec leurs en-têtes techniques, et signalez sur cybermalveillance.gouv.fr, qui fournit aussi une assistance adaptée aux TPE. Prévenez enfin le vrai fournisseur : sa boîte mail est peut-être compromise et d'autres clients visés.

FAQ

Comment savoir si un SIRET correspond à une entreprise encore active ?

Notre annuaire des entreprises affiche l'état administratif issu des données officielles : établissement actif ou fermé, date de création. Une entreprise radiée ou fermée qui continue de facturer est un signal d'alerte majeur.

Un extrait Kbis est-il payant ?

L'entreprise peut obtenir son propre Kbis numérique gratuitement (monidenum.fr). En tant que tiers, la recherche de base sur les annuaires officiels est gratuite et suffit pour l'essentiel des vérifications courantes.

La vérification IBAN garantit-elle que le compte appartient bien au fournisseur ?

Non : notre vérificateur valide la structure (clé, format, banque) mais aucun outil public ne révèle le titulaire d'un compte. C'est la vérification du bénéficiaire de votre banque, et surtout l'appel téléphonique, qui confirment le titulaire.

Que faire d'un démarchage « facturation électronique » qui semble officiel ?

Les fraudes surfent sur la réforme de septembre 2026 : faux « guichets d'enregistrement », fausses « mises en conformité obligatoires » payantes. Aucun organisme public ne démarche par téléphone pour encaisser une mise en conformité. Vérifiez le SIRET du démarcheur — et raccrochez.

Sources : annuaire-entreprises.data.gouv.fr (données INSEE/Infogreffe), VIES (Commission européenne), cybermalveillance.gouv.fr (fraude au faux RIB), règlement UE 2024/886 (virements instantanés et vérification du bénéficiaire). Dernière vérification : juillet 2026.