Éditions Sorman

À l’approche des jeux olympiques, dans un contexte géopolitique tendu, les attaques informatiques se multiplient. Les collectivités sont des cibles privilégiées, pour le vol de données sensibles et la fraude aux faux ordres de virement (FOVI).

Les FOVI : quesaco ?

Les collectivités connaissent une recrudescence des FOVI au sein des services des ressources humaines avec des demandes de changement de RIB de la part d’agents dont les adresses ont été piratées. La solution : le contre-appel aux agents concernés. La commande publique n’est pas en reste : les fraudeurs adressent un courrier ou un courriel, ou téléphonent en se faisant passer pour un titulaire de marché ou une société d’affacturage. Les fraudeurs prétextent un changement de RIB et fournissent les coordonnées d’un compte souvent domicilié à l’étranger.

Les fraudeurs s’adressent parfois au titulaire avant de contacter la collectivité

Dans une récente affaire (CAA Douai, 26/03/2024, n° 22DA01355), l’office public de l’habitat du département de la Seine-Maritime (Habitat 76) a attribué à la société Brunet l’exécution du lot n° 1 « chaufferie » du marché de travaux relatif à la création de la chaufferie collective pour 312 700 € HT. Habitat 76 a versé, au titre du règlement de la situation de travaux n° 1, 58 729,99 € sur un compte bancaire appartenant à la société Sycam. Par la suite, Habitat 76 a notifié au titulaire le décompte général arrêté à 321 760 € HT, mais la société Brunet l’a contesté par un mémoire en réclamation demandant 57 288,96 euros TTC. Précisons qu’un employé de la société requérante avait commis l’erreur de transmettre à l’auteur de l’escroquerie la situation de travaux n° 1. Saisie, la cour administrative d’appel de Douai indique qu’ « il appartient à une personne publique de procéder au paiement des sommes dues en exécution d’un contrat public en application des stipulations contractuelles, ce qui implique, le cas échéant, dans le cas d’une fraude résidant dans l’usurpation de l’identité du cocontractant et ayant pour conséquence le détournement des paiements, que ces paiements soient renouvelés entre les mains du véritable créancier ». La cour juge que l’office public doit s’acquitter de sa dette auprès de la société Brunet bien qu’il ait déjà versé cette somme au fraudeur pour la même créance.

Comment réduire les risques ?

Ce qui doit vous alerter : une demande de changement de RIB par téléphone, une adresse électronique inconnue, un changement de référent chez le titulaire, un compte bancaire domicilié à l’étranger ou en ligne... Pour toute démarche visant à modifier des coordonnées bancaires émanant d’un titulaire de marché, le service de la collectivité (opérationnel ou support) doit exiger la transmission d’une demande écrite par courrier. Dès réception, le service lui adresse un courrier via le profil d’acheteur en utilisant les coordonnées indiquées dans la lettre et lui demande la confirmation de la demande de changement de RIB et la transmission des nouvelles coordonnées bancaires.

Olivier Mathieu le 10 juillet 2024 - n°134 de La Lettre des Marchés Publics et de la commande publique