Fraudes de l’été : les EPLE en première ligne

L’été 2026 a confirmé l’installation d’un scénario devenu saisonnier : l’usurpation de l’identité des établissements d’enseignement à des fins d’escroquerie financière.

Deux campagnes ont marqué la période. En juillet, une opération d’hameçonnage usurpant l’identité de l’Université Bretagne Sud a réclamé aux étudiants 350 € au titre d’un prétendu solde de frais de scolarité, facture et coordonnées bancaires à l’appui. Fin août, c’est l’Université Aix-Marseille qui a servi de leurre : ses 84 000 étudiants ont reçu une demande de 450 €, appuyée sur un logo officiel et un vocabulaire administratif crédible. L’établissement précise qu’aucune boîte mail de son personnel n’a été compromise. Plus inquiétant, ZATAZ signalait dès juillet des courriels frauduleux expédiés depuis de véritables adresses d’établissements — signe que la compromission de messageries est bien à l’œuvre.

Ce contexte se superpose à un incident majeur : une intrusion frauduleuse dans un système d’information du ministère de l’Éducation nationale, confirmée fin juillet 2026, portant sur des données issues de BE1D, SCONET, I-Prof et d’annuaires académiques, sur plus de vingt ans. Autant de matière première pour fabriquer des messages convaincants.

Le risque pour les agences comptables. À ce jour, aucune campagne visant spécifiquement les agences comptables d’EPLE n’a été publiquement documentée. Mais le terrain est propice. La fraude au changement de coordonnées bancaires a représenté 183 M€ de pertes en 2024, en hausse de 12 % sur un an (Banque de France). Le mode opératoire est rodé : après compromission de la messagerie d’un comptable ou d’un acheteur, le fraudeur repère une facture en attente, crée une adresse quasi identique à celle du fournisseur et glisse un nouveau RIB au moment opportun — de préférence en fin de mois ou à la veille des congés. La collectivité victime paie alors deux fois : au fraudeur, puis au véritable créancier. Le passage à la facturation électronique obligatoire en septembre 2026 constitue un facteur aggravant, la DGFiP ayant déjà alerté sur des tentatives exploitant ce contexte de réforme.

Sur le plan juridique, la vigilance est désormais un devoir opposable : la chambre commerciale de la Cour de cassation, par un arrêt de formation plénière du 17 juin 2026, a jugé que l’usurpateur d’identité n’est pas un créancier apparent au sens de l’article 1342-3 du code civil — le paiement de bonne foi entre ses mains n’est donc pas libératoire.

Cinq réflexes à installer avant la rentrée. Aucun changement de RIB par courriel. Toute modification de coordonnées bancaires d’un fournisseur est validée par rappel téléphonique, sur un numéro déjà connu de l’agence — jamais celui figurant dans le message reçu.Double regard sur la modification du tiers. Séparer la saisie du nouveau RIB dans GFC/OP@LE de sa validation ; deux agents distincts, traçabilité conservée.Vérifier l’adresse d’expédition caractère par caractère. Dans les affaires jugées, l’adresse frauduleuse ne diffère souvent que d’une seule lettre de l’adresse authentique.

Renforcer la messagerie. Mots de passe renouvelés, double authentification activée, contrôle des règles de transfert automatique — vecteur d’espionnage discret d’une boîte compromise.Formaliser la conduite à tenir. En cas de doute avéré : blocage immédiat du virement auprès du comptable supérieur et de la banque (procédure de recall), conservation des preuves, signalement au RSSI académique, dépôt de plainte. La fiche réflexe de Cybermalveillance.gouv.fr sur les FOVI, actualisée le 16 avril 2026, sert de support.