Comment éviter d'expédier de fausses commandes « par mandat administratif » ?

L'essentiel : l'arnaque à la fausse commande publique est simple et redoutable : un fraudeur se fait passer pour une mairie, une école ou un hôpital, envoie un bon de commande crédible, se fait livrer la marchandise… et personne ne paie jamais. Le fournisseur découvre le problème 30 à 60 jours plus tard, quand la facture Chorus Pro est rejetée. La parade existe : vérifier que le commandeur contrôle réellement les canaux officiels de l'organisme avant d'expédier, pas après.

Le scénario type de l'arnaque

Vous vendez en ligne et vous acceptez les commandes du secteur public. Un jour, vous recevez ceci :

« Bonjour, la mairie de X souhaite commander 20 ordinateurs portables. Veuillez trouver ci-joint notre bon de commande. Paiement par mandat administratif sous 30 jours. Livraison à l'adresse suivante… »

Le bon de commande est en PDF, avec le logo de la mairie, un numéro SIRET valide (celui de la vraie mairie, trouvable en deux clics sur l'annuaire des entreprises), un cachet, une signature. Tout est cohérent, parce que tout est copié sur de vrais documents publics.

Le piège tient en trois éléments :

1. Le mandat administratif inverse la logique du paiement. Contrairement à un client privé qui paie à la commande, un organisme public paie après livraison, sur présentation de facture. Le fournisseur livre donc à crédit, par construction. C'est normal, c'est légal, et c'est exactement ce que le fraudeur exploite.
2. L'adresse de livraison est le seul élément que le fraudeur contrôle. Un point relais, un local loué pour l'occasion, une adresse résidentielle « annexe des services techniques ». Parfois même l'adresse réelle de la mairie, avec interception à la livraison.
3. La fraude ne se révèle qu'au dépôt de la facture. Vous déposez sur Chorus Pro, la facture est rejetée (numéro d'engagement inconnu, service inexistant) ou pire, la mairie vous appelle pour vous dire qu'elle n'a jamais rien commandé. La marchandise est partie depuis des semaines.

Ce type d'escroquerie vise particulièrement le matériel revendable : informatique, outillage, électroménager, fournitures en volume. Et elle fonctionne parce que la vérification humaine, appeler la mairie, vérifier le numéro d'engagement, croiser l'adresse, est lente, coûteuse, et incompatible avec une boutique en ligne qui traite les commandes automatiquement.

Pourquoi vérifier le SIRET ne suffit pas

Le réflexe naturel est de vérifier l'existence de l'organisme : SIRET valide, entité référencée dans l'annuaire Chorus Pro, adresse officielle connue. C'est nécessaire, mais ça ne prouve rien sur la personne qui commande.

Le fraudeur n'invente pas de fausse mairie, il usurpe une vraie. Toutes les informations publiques de l'organisme (SIRET, adresse, nom du maire, en-tête) sont à sa disposition. La question n'est donc pas « cet organisme existe-t-il ? » mais « la personne derrière cette commande agit-elle réellement pour cet organisme ? ».

Autrement dit, il faut une preuve de contrôle : la démonstration que le commandeur a accès à quelque chose que seul l'organisme possède. Trois canaux remplissent cette condition :

• Le compte Chorus Pro de l'organisme. Chaque entité publique reçoit ses factures sur Chorus Pro. Un fraudeur peut copier un logo, pas se connecter au compte Chorus Pro de la mairie.
• L'adresse email officielle référencée dans l'annuaire des administrations. Pas l'adresse fournie par le commandeur, celle que vous résolvez depuis l'annuaire officiel. La différence est fondamentale : un canal choisi par le commandeur ne prouve rien, un canal résolu indépendamment prouve tout.
• Le numéro de téléphone officiel de l'entité. Même logique : appeler le standard trouvé sur le site officiel ou l'annuaire des administrations, jamais le numéro indiqué sur le bon de commande. C'est la méthode manuelle historique, efficace mais difficilement automatisable à grande échelle.

La vérification automatisée : comment ça marche chez Chorus Pay

C'est exactement le mécanisme que Chorus Pay intègre dans le tunnel de commande. Quand un organisme public passe commande sur la boutique d'un fournisseur équipé, la vérification se déclenche automatiquement, sans intervention humaine :

1. Un code de vérification est transmis à l'organisme via un canal officiel, en priorité l'adresse email référencée dans l'annuaire des administrations, ou à défaut via un dépôt sur le compte Chorus Pro de l'entité. Dans les deux cas, le code n'emprunte que des canaux que le commandeur ne peut pas choisir ni contrôler de l'extérieur.
2. Le commandeur restitue le code pour finaliser sa commande. S'il travaille réellement pour l'organisme, c'est l'affaire de quelques minutes. S'il usurpe l'identité de l'entité, le code lui est inaccessible : il est parti vers la vraie boîte mail ou le vrai compte Chorus Pro de l'organisme, pas vers lui.
3. L'expédition n'est déclenchée qu'après validation. Pas de code, pas de colis. La fraude est bloquée avant que la marchandise ne quitte l'entrepôt, c'est-à-dire au seul moment où le blocage a encore un intérêt.
4. En cas d'impossibilité de valider (agent sans accès aux canaux officiels, situation particulière), le fournisseur garde la main : il peut valider manuellement la commande, en connaissance de cause et de façon tracée. La sécurité par défaut, la flexibilité quand il la choisit.

Une fois l'identité vérifiée, elle reste valable pour les commandes suivantes pendant une période donnée, ce qui évite de faire répéter la manipulation à chaque achat de fournitures. Le bon équilibre entre sécurité et fluidité.

Ce que cette vérification garantit (et ce qu'elle ne garantit pas)

Par honnêteté, posons les limites clairement.

Ce que la vérification bloque : l'usurpation externe, c'est-à-dire le scénario de très loin le plus courant. Le fraudeur qui envoie de faux bons de commande au nom d'une entité publique n'a accès ni à la boîte mail officielle de l'organisme, ni à son compte Chorus Pro. Il échoue à l'étape du code, systématiquement.

Ce qu'aucune vérification de ce type ne peut bloquer : un attaquant qui aurait déjà compromis les canaux internes de l'organisme (boîte mail piratée, compte Chorus Pro dont les identifiants ont fuité). Dans ce cas, la preuve de contrôle est techniquement valide, c'est la sécurité de l'organisme lui-même qui a cédé, en amont. Ce scénario est rare et relève de la responsabilité de l'entité publique, mais il existe, et aucun prestataire sérieux ne devrait prétendre le contraire.

En pratique : la vérification par preuve de contrôle élimine la quasi-totalité des tentatives, celles qui reposent sur du document falsifié et de l'ingénierie sociale. C'est le même niveau de logique que la validation bancaire par micro-virement, pas une garantie métaphysique, mais une barrière que le fraudeur ordinaire ne franchit pas.

Check-list : sécuriser vos ventes au secteur public

Que vous utilisiez Chorus Pay ou non, voici les réflexes qui protègent :

• Ne jamais expédier sur la seule foi d'un bon de commande PDF, aussi soigné soit-il. Un document se falsifie, un accès ne se falsifie pas.
• Vérifier l'adresse de livraison contre l'adresse officielle de l'entité. Une livraison de matériel municipal dans un point relais ou une adresse résidentielle doit déclencher une alerte immédiate.
• Recontacter l'organisme sur un canal que vous résolvez vous-même : le standard trouvé sur le site officiel de la mairie, l'email de l'annuaire des administrations. Jamais le numéro ou l'adresse indiqués dans la commande.
• Exiger un numéro d'engagement juridique quand l'entité en utilise (c'est le cas des services de l'État et de nombreuses collectivités) et le mentionner dans la facture Chorus Pro.
• Se méfier de l'urgence. « Livraison impérative avant vendredi » est un classique de la fraude : la pression temporelle vise à court-circuiter vos vérifications.
• Automatiser la preuve de contrôle si vous traitez du volume. La vérification manuelle ne passe pas à l'échelle ; un mécanisme de code via canal officiel, si.

Vendre au secteur public sans y laisser sa marge

Le marché public est attractif : des acheteurs solvables, des délais de paiement encadrés par la loi, des volumes récurrents. La fraude à la fausse commande est le revers de cette attractivité, et elle prospère précisément chez les fournisseurs qui n'ont pas industrialisé leurs vérifications.

Chorus Pay intègre cette vérification directement dans le parcours de commande : vos clients publics commandent en ligne comme n'importe quel acheteur, la preuve de contrôle se fait automatiquement, et vous n'expédiez que ce qui est réellement commandé par de réels organismes. Le tout sans ajouter une seule tâche manuelle à votre équipe.

Réserver une démo →