LuxHawk.lu (+352) 27 52 67 45

← Retour aux connaissances

L’argent de la copropriété : fraude au virement et faux RIB

Bâtiment et copropriété 10 min Auteur : Arnaud Colin Mis à jour : 19/09/2026

Résumé

L’escroc ne s’attaque pas à la banque : il se place entre celui qui paie et celui qui doit recevoir, soit en prenant la main sur le poste comptable qui valide les virements, soit en glissant un RIB modifié dans un courriel qui imite un interlocuteur connu. Au Luxembourg, le CIRCL a documenté en 2025 des virements frauduleux préparés par une fausse facture et un outil de prise en main à distance ; en France, la Cour de cassation a jugé en 2026 que payer un usurpateur ne libère pas le débiteur, qui doit payer une seconde fois. La parade tient à des procédures : vérification de tout changement de coordonnées bancaires par un canal indépendant, validation à quatre yeux, carte à puce retirée du lecteur.

Un syndic, un gestionnaire d’immeuble ou une société de gestion vit de virements : appels de fonds, loyers, factures des prestataires, décomptes de charges. C’est précisément ce flux qu’un escroc cherche à dévier. Il ne s’attaque pas au coffre de la banque ; il se place entre celui qui paie et celui qui doit recevoir, soit en prenant la main sur le poste qui signe les paiements, soit en faisant croire que les coordonnées bancaires du bénéficiaire ont changé. Deux dossiers récents décrivent ces deux mécanismes avec des sources de premier rang : une campagne documentée au Luxembourg par le CIRCL en 2025, et une série d’alertes et de décisions de justice françaises, entre 2022 et 2026, qui répondent à la question que tout conseil syndical finit par poser : quand l’argent est parti chez un escroc, qui reste débiteur ?

Luxembourg, 2025 : la fausse facture qui prend la main sur le poste comptable

Le 26 février 2025, le centre national de réponse aux incidents, le CIRCL, publie le rapport TR-93 (version 1.0, diffusable sans restriction, TLP:CLEAR). Il ne nomme aucune victime : il rassemble plusieurs signalements d’organisations et de particuliers qui ont appris par leur banque que des virements inconnus partaient de leurs comptes. La date des incidents eux-mêmes n’est pas donnée. Le 3 mars 2025, l’autorité de surveillance du secteur financier, la CSSF, relaie le rapport et recommande vivement aux entités concernées qu’elle surveille d’en prendre connaissance et d’agir en conséquence.

Le vecteur est une fausse facture reçue par courriel. En l’ouvrant, la personne installe sans le savoir un outil de prise en main à distance, de la famille des logiciels de télémaintenance (RMM) que les informaticiens utilisent légitimement. L’antivirus ne le bloque pas, puisque le logiciel n’est pas malveillant en soi ; l’attaquant en installe d’ailleurs plusieurs pour conserver son accès. Il observe ensuite le poste, qui appartient souvent à un comptable ou à un responsable financier, et capture le code PIN de la carte à puce au moment où il est saisi pour valider un paiement dans Multiline. Ce code capturé, les virements frauduleux partent vers l’étranger. Le rapport signale aussi que des courriels malveillants sont envoyés aux contacts du carnet d’adresses de la victime, ce qui fait de chaque poste compromis un relais vers les suivants.

Ce qui a rendu l’attaque possible ne tient à aucune faille logicielle : le rapport ne mentionne aucune CVE. Tout repose sur un geste humain, ouvrir la facture, sur un outil légitime que les défenses classiques laissent passer, et sur une carte à puce dont le PIN est tapé sur un ordinateur que quelqu’un d’autre regarde.

L’impact n’est pas consolidé : le CIRCL ne publie ni nom de victime ni montant global. Il donne deux exemples, environ 30 000 € en dix opérations et 1 000 000 € en une seule, et précise que les banques ont détecté certaines opérations. Pour l’organisation touchée, la remise en état est lourde : un simple passage de l’antivirus ne règle rien, le poste doit être entièrement réinstallé.

Les recommandations du CIRCL sont concrètes : un outil de détection sur les postes (EDR) configuré avec une liste blanche des seuls logiciels de télémaintenance autorisés ; les alternatives LuxTrust Mobile ou LuxTrust Scan à la carte à puce ; la carte retirée du lecteur dès qu’elle ne sert plus ; une validation à quatre yeux des paiements ; l’authentification multifacteur. Le rapport ne parle ni de syndic ni de copropriété. La transposition est la nôtre, et elle est directe : le poste comptable d’un syndic fait exactement ce que décrit le TR-93, préparer et signer des virements au nom de chaque copropriété qu’il gère.

France, 2022-2023 : le faux RIB qui imite le gestionnaire

Le second mécanisme ne demande aucun logiciel sur le poste de la victime. Il suffit d’un courriel crédible. Cybermalveillance.gouv.fr, dans un article du 10 janvier 2024 mis à jour le 15 juillet 2025, constate plusieurs vagues de courriels frauduleux visant à détourner des loyers depuis la fin 2022.

En France, Foncia alerte ses clients sur LinkedIn en novembre 2022, puis de nouveau fin septembre 2023. Des clients ont été victimes d’arnaques au virement construites sur leur situation réelle : des courriels falsifiés, à la charte graphique de Foncia, les invitaient à payer sur un RIB joint. La réponse de l’entreprise est un changement de règle plutôt qu’un outil : elle a proscrit tout envoi et toute demande de RIB par courriel, renvoie ses clients vers l’espace MyFoncia, met en avant l’authentification multifacteur, et a ouvert un canal de signalement dédié (emeria.signalement.net). Foncia publie aussi une page « Comment se protéger » à l’intention de ses clients.

Le 30 décembre 2022, France 3 Occitanie donne la parole à une agence d’Albi, Midi Immobilier, et signale que des études notariales sont elles aussi en garde. L’agence explique que les escrocs retrouvent le nom de ses clients dans les avis Google, et qu’ils utilisent des boîtes de messagerie éphémères, actives huit jours. Aucune arnaque n’a abouti pour cette agence, ce qui montre que la parade existe.

Le vecteur est donc une usurpation d’identité par courriel : un domaine à tiret comme « foncia-gestion.com », ou un domaine qui diffère du vrai d’une seule lettre, un gabarit qui reprend la charte du gestionnaire, et des détails exacts tirés de données publiques ou de données volées. Dans certains cas, c’est la messagerie du professionnel lui-même qui a été compromise, et le courriel part alors du vrai domaine. Là encore, aucune vulnérabilité logicielle : la faiblesse est dans la procédure qui accepte un changement de coordonnées bancaires annoncé par courriel.

Qui paie quand l’argent est parti ? Deux décisions de 2026

La question qui intéresse un conseil syndical n’est pas seulement « comment », mais « qui supporte la perte ». Deux décisions françaises de 2026 y répondent, et elles ne vont pas dans le sens qu’espère le payeur.

Le 17 juin 2026, la chambre commerciale de la Cour de cassation rend l’arrêt n° 24-13.306, publié au bulletin. Les faits sont ordinaires : un courriel dont l’adresse diffère d’une seule lettre de celle du fournisseur, une facture de 103 375,64 €, un RIB modifié. Le débiteur avait payé l’escroc. La Cour juge, sur le fondement de l’article 1342-3 du code civil, que « n’est pas créancier apparent le tiers qui usurpe l’identité du créancier ». Le paiement n’est pas libératoire : le débiteur reste tenu et doit payer une seconde fois. La cassation est partielle et l’affaire est renvoyée devant la cour d’appel de Lyon. Le litige opposait deux entreprises ; pour une copropriété, il faut lire cette décision comme l’énoncé d’un principe, et non comme une décision rendue sur un appel de fonds.

Le 25 mars 2026, le tribunal judiciaire de Paris a tranché un cas voisin, rapporté par Clubic le 4 avril 2026. Les faits datent d’octobre 2022 : le courriel d’un notaire est intercepté, l’IBAN qu’il contient est remplacé, et sur une transaction de 320 000 €, 96 400 € sont virés à l’escroc. 27 792,62 € sont récupérés ; le préjudice net s’élève à 68 607,38 €. Le tribunal condamne le notaire à en supporter 70 %, soit 48 025,17 €, pour une imprudence caractérisée : avoir envoyé le RIB en pièce jointe d’un courriel sans précaution. La victime garde 30 % à sa charge. Les banques sont exonérées.

Ces deux décisions sont françaises ; elles ne disent pas ce qu’un tribunal luxembourgeois jugerait dans une affaire comparable. Elles décrivent en revanche un raisonnement qu’un syndic a intérêt à connaître : celui qui paie un usurpateur n’a pas payé, et le professionnel qui fait circuler des coordonnées bancaires par courriel sans précaution peut être tenu pour responsable d’une large part de la perte.

Ce que cela apprend à un immeuble ou une copropriété au Luxembourg

Les deux dossiers convergent vers un même constat : aucune des attaques décrites n’exploite une faille technique. Elles exploitent une procédure de paiement, ou son absence. Les gestes qui suivent sont tirés directement des recommandations du CIRCL, de la réponse de Foncia et des deux décisions.

  • Un changement de coordonnées bancaires ne se traite jamais par courriel. Tout nouveau RIB, qu’il vienne d’un fournisseur, d’un copropriétaire ou du syndic, se vérifie par un canal indépendant : un appel au numéro déjà connu, jamais à celui indiqué dans le courriel, ou un portail authentifié. Le syndic a intérêt à écrire à ses copropriétaires qu’il n’annoncera jamais un nouveau compte bancaire par courriel, comme Foncia l’a fait.
  • Un IBAN étranger ou un nom de titulaire différent de celui attendu est une alerte, pas un détail à régulariser plus tard.
  • La validation à quatre yeux, recommandée par le CIRCL, et des plafonds de virement sur les comptes de copropriété s’exercent depuis un autre poste que celui qui prépare les virements. Si le même ordinateur prépare et valide, l’attaquant qui le tient fait les deux.
  • La carte à puce sort du lecteur dès qu’elle ne sert plus. Un PIN saisi sur un poste qu’un inconnu observe équivaut à lui remettre la signature. Le CIRCL cite les alternatives LuxTrust Mobile ou LuxTrust Scan.
  • L’antivirus ne voit pas un logiciel de télémaintenance légitime. Le CIRCL recommande un outil de détection sur les postes (EDR) avec une liste blanche des seuls outils autorisés. Toute fenêtre de prise en main à distance qui n’a pas été demandée se signale immédiatement.
  • L’authentification multifacteur sur la messagerie et sur les portails de gestion, citée par le CIRCL comme par Foncia, ferme la voie de la messagerie compromise, celle où le faux courriel part du vrai domaine.
  • Le mandat du syndic et les contrats avec les prestataires peuvent fixer par écrit le canal par lequel les coordonnées bancaires sont communiquées et vérifiées. Le tribunal judiciaire de Paris a retenu qu’un professionnel qui envoie un RIB en pièce jointe sans précaution commet une imprudence caractérisée ; une procédure écrite est aussi ce qui permet de démontrer la précaution.
  • Le mandataire qui découvre sa messagerie compromise alerte tous ses mandants sans délai. Les escrocs se servent du carnet d’adresses ; chaque contact devient une cible. Si des données personnelles de copropriétaires ont pu être consultées, le repère du RGPD s’applique : notification à l’autorité, la CNPD au Luxembourg, dans les 72 heures (article 33) et information des personnes sans retard injustifié (article 34).
  • Quand un virement est parti : la banque d’abord, pour un rappel des fonds dans les heures qui suivent, puis la plainte. Quand la banque appelle pour confirmer un virement que personne ne reconnaît, c’est l’incident : le poste ne se nettoie pas, il se réinstalle entièrement, et le CIRCL est prévenu.

La plupart de ces gestes relèvent moins d’un investissement que d’une décision, prise avant l’incident, sur qui valide un paiement, sur la manière dont un RIB entre dans la comptabilité et sur ce que l’on fait quand la banque appelle.

Sources