Un responsable financier à Casablanca reçoit un courriel bien rédigé et parfaitement mis en forme, « Action requise, inscrivez votre entreprise au nouveau système de facturation électronique avant la date limite ». La même semaine, un fournisseur de longue date écrit pour signaler qu’il a « mis à jour son RIB en prévision du nouveau système » et demande que le prochain paiement soit envoyé vers un nouveau compte. Les deux courriels paraissent banals. Les deux sont des cas de fraude à la facture électronique, et la réforme marocaine de la facturation électronique n’arrêtera ni l’un ni l’autre.
C’est la partie inconfortable de cette histoire. La réforme que le Maroc met en place au titre de l’article 145 du Code Général des Impôts (CGI) est un projet réel et sérieux pour combler le manque à gagner fiscal. Ce n’est pas un système de sécurisation des paiements. Comprendre précisément ce qu’elle vérifie, et ce qu’elle ne vérifie pas, est la première étape pour protéger votre entreprise contre la fraude à la facture électronique.
Ce que change vraiment la facturation électronique au Maroc face à la fraude à la facture électronique
La réforme marocaine, introduite par la loi de finances 2024, fait basculer le pays vers un modèle de « clearance », aussi appelé contrôle continu des transactions. Au lieu qu’une entreprise émette une facture puis la déclare plus tard, la facture est envoyée à une plateforme gérée par la Direction Générale des Impôts (DGI) pour validation, avant même d’avoir un effet juridique et fiscal.
La plateforme de la DGI contrôle le format de la facture, sa signature électronique qualifiée, l’ICE (Identifiant Commun de l’Entreprise) des deux parties, et les champs de données obligatoires. Seuls les formats structurés sont acceptés : UBL 2.1 et UN/CEFACT CII en XML. Une facture en PDF, un scan ou une facture envoyée simplement par courriel ne seront pas conformes. Les factures validées doivent ensuite être archivées dix ans, dans un format inaltérable. Au lancement, la DGI est le validateur central ; des prestataires de services certifiés (PSC) devraient être agréés plus tard.
Le déploiement est progressif : les grandes entreprises d’abord, celles dont le chiffre d’affaires dépasse 200 millions de dirhams (MAD), soit environ 1 655 entreprises, puis les PME vers 2027-2028, et enfin les très petites entreprises, pour couvrir à terme environ 1,2 million d’entreprises marocaines. Les structures sans ERP auront un portail web gratuit ; les autres se connecteront par EDI. Le directeur général des impôts, Younes Idrissi Kaitouni, présente la réforme comme une mesure de prévention plutôt que de coercition, mais cela ne change rien à ce que le système vérifie techniquement.
Le clearance valide le document : sa structure, sa signature, ses identifiants fiscaux. Il ne valide ni la relation commerciale derrière la facture, ni le compte bancaire qui y figure. Une facture parfaitement conforme et validée par la DGI peut malgré tout porter des instructions de paiement frauduleuses. C’est pourquoi la fraude à la facture électronique ne disparaît pas avec la réforme : la conformité fiscale et la sécurité des paiements sont deux problèmes presque totalement distincts, et un seul des deux est réellement traité par ce chantier.
Menace n° 1 : faux enrôlement DGI et hameçonnage lié à la facturation électronique
Le principal avantage des attaquants aujourd’hui, c’est l’incertitude. Au moment de la rédaction de cet article, le décret d’application de la réforme n’était toujours pas publié par le Secrétariat Général du Gouvernement, et aucun calendrier ni seuil précis n’était paru au Bulletin Officiel. Une partie de la presse marocaine a évoqué la date du 1er septembre 2026 comme point de départ, mais cette date n’est pas officiellement confirmée et ne doit pas être présentée comme un fait acquis. Le portail de facturation électronique de la DGI n’est lui non plus pas encore ouvert à l’ensemble des entreprises.
Cet écart entre « la réforme arrive » et « personne n’a encore publié les règles exactes ni le portail définitif » est précisément la fenêtre que la fraude exploite. Il permet à un attaquant d’envoyer un courriel convaincant du type « inscrivez votre entreprise maintenant », car la plupart des destinataires n’ont aucun calendrier officiel auquel le confronter. Certains éditeurs de solutions signalent aussi un risque connexe : le nom du portail de la DGI peut facilement être confondu avec celui d’un service de paiement marocain existant, sans lien avec lui. Ce n’est pas une accusation, seulement un détail qu’un collaborateur pressé ne remarquera pas.
Une véritable administration fiscale ne demandera jamais de cliquer sur un lien pour « activer » la facturation électronique, ni de fournir des identifiants ou un certificat de signature par courriel, et ne menacera pas de pénalités pour un système sans date confirmée. Si un courriel presse une inscription urgente, vérifiez-le auprès de votre comptable ou des canaux officiels de la DGI, avec la même rigueur que face à toute tentative de commande frauduleuse.
Menace n° 2 : la fraude au changement de RIB fournisseur
C’est la forme classique de la fraude à la facture électronique, et la réforme ne la touche en rien. Un attaquant compromet la messagerie d’un fournisseur, souvent à la suite d’un hameçonnage antérieur, ou usurpe son nom de domaine de façon suffisamment proche pour tromper un regard rapide. Depuis cette boîte mail, il envoie à votre service financier une correspondance d’apparence banale : « Nous avons changé de banque, merci d’utiliser le RIB ci-dessous pour les prochaines factures. »
Si votre équipe met à jour ses fiches fournisseur et règle la facture suivante sur ce compte, l’argent part directement chez un criminel. La facture elle-même peut être authentique à tous égards, montant correct, entreprise correcte, référence correcte, seule la destination du paiement ayant changé. C’est ce qui rend la fraude à la facture électronique si efficace : elle vise un processus auquel votre équipe fait déjà confiance, pas un système dont elle se méfierait.
La compromission de messagerie professionnelle (business email compromise, ou BEC), terme générique pour cette attaque, n’a rien de marginal. Le FBI, via son Internet Crime Complaint Center (IC3), a enregistré 24 768 signalements de BEC aux États-Unis en 2025, pour 3,05 milliards de dollars de pertes déclarées, soit environ 123 000 dollars par signalement en moyenne, sur fond de plus de 55 milliards de dollars de pertes déclarées en dix ans. Ce sont des chiffres américains, cités pour l’ampleur du phénomène, pas une estimation marocaine. La vitesse compte tout autant : une étude Kaspersky sur le Maroc montre qu’environ 49 % des fraudes par messagerie qui aboutissent le font en moins de 30 minutes après le premier contact, d’où l’intérêt d’une pause obligatoire avant tout paiement.
Menace n° 3 : la nouvelle surface d’attaque créée par la facturation électronique elle-même
La réforme crée aussi de nouveaux éléments à protéger, qui n’existaient pas auparavant. Connecter un ERP à la plateforme de la DGI, directement ou via un prestataire de services certifié, suppose de nouveaux identifiants d’API donnant accès aux données fiscales et de facturation de l’entreprise. Ces identifiants méritent un accès selon le principe du moindre privilège, une rotation régulière et une surveillance, pas un mot de passe partagé dans un tableur.
La signature électronique qualifiée exigée pour valider les factures est, dans les faits, un identifiant de niveau paiement : mal protégée, elle permet à quiconque la détient de produire des factures portant la signature juridique de votre entreprise. L’archive inaltérable de dix ans est elle aussi une cible, un vaste ensemble structuré de données financières utile à qui prépare une future fraude à la facture électronique. Enfin, les éditeurs tiers de facturation électronique et les PSC font désormais partie de votre risque fournisseur, à évaluer comme tout prestataire touchant directement à vos finances. Sécuriser ces systèmes suit les mêmes réflexes que pour sécuriser un site web : moindre privilège, mises à jour et surveillance continue.
Comment protéger votre entreprise contre la fraude à la facture électronique
Un ensemble court et discipliné de contrôles referme la majeure partie de la brèche laissée ouverte par la réforme.
- Vérification par rappel téléphonique à chaque changement de RIB. Composez un numéro déjà connu de vous, jamais celui indiqué dans le courriel, et confirmez oralement avant toute mise à jour.
- Double autorisation au-delà d’un certain montant. Les paiements dépassant un seuil défini nécessitent la validation d’une seconde personne, différente de celle qui a initié l’opération.
- Authentification à deux facteurs (2FA) sur chaque boîte mail financière. Cette étape de connexion supplémentaire, au-delà du mot de passe, rend des identifiants volés bien moins utiles à un attaquant.
- SPF, DKIM et DMARC sur votre nom de domaine. Ces standards d’authentification des courriels compliquent l’envoi de messages qui semblent provenir de votre domaine ou de celui d’un fournisseur de confiance.
- Traiter le certificat de signature comme un identifiant de paiement. Restreignez son accès et journalisez chaque utilisation.
- Évaluer votre éditeur de facturation électronique et tout PSC avant de connecter vos systèmes, en vérifiant comment ils protègent les identifiants et les données archivées.
- Former le service financier à ce scénario précis, pas au phishing en général. Montrez-lui côte à côte un vrai faux courriel DGI et une vraie arnaque au RIB, pour rendre le schéma reconnaissable. Savoir comment bloquer les hackers rend cette formation plus efficace qu’un avertissement générique.
Que faire si vous avez déjà payé une facture frauduleuse
Agissez en quelques minutes. Contactez immédiatement votre banque pour demander un rappel de virement ou un blocage, car plus une banque intervient tôt, plus les chances de récupération sont élevées. Conservez le courriel original, ses en-têtes complets et ses pièces jointes, sans rien transférer ni supprimer. Signalez l’incident au service antifraude de votre banque et aux autorités marocaines compétentes. Enfin, vérifiez si c’est votre propre messagerie ou celle de votre fournisseur qui a été compromise : si l’attaquant y a encore accès, une seconde tentative est probable, il vaut donc mieux écarter rapidement tout risque de cyberextorsion qui prolongerait l’incident.
Foire aux questions
La réforme de la facturation électronique au Maroc réduit-elle le risque de fraude à la facture électronique ?
Elle réduit certaines fraudes fiscales en validant le format, la signature et les identifiants fiscaux d’une facture avant qu’elle n’ait un effet juridique. Elle ne vérifie ni le RIB ni la relation commerciale, si bien que la fraude à la facture électronique liée au paiement n’est pas affectée.
Une date officielle de démarrage de la facturation électronique a-t-elle été confirmée ?
Non. Au moment de la rédaction, le décret d’application n’était pas publié et aucun calendrier officiel n’était paru au Bulletin Officiel. Les dates qui circulent dans la presse, y compris le 1er septembre 2026, restent non confirmées.
Qu’est-ce que la compromission de messagerie professionnelle ?
La compromission de messagerie professionnelle (business email compromise, ou BEC) est une fraude où un attaquant se fait passer pour un contact de confiance, souvent via une messagerie compromise ou usurpée, pour pousser une entreprise à envoyer de l’argent ou à modifier ses coordonnées bancaires. C’est le mécanisme derrière la plupart des arnaques au changement de RIB fournisseur.
La réforme marocaine de la facturation électronique est une avancée réelle vers la transparence fiscale, et les entreprises doivent s’y préparer sérieusement. Mais se préparer à la conformité et prévenir la fraude à la facture électronique sont deux chantiers différents. Traitez chaque demande de changement de RIB, et chaque courriel urgent annonçant un nouveau système public, avec la même rigueur de vérification, aussi officiel qu’il paraisse. Pour aller plus loin, consultez notre panorama de la cybersécurité au Maroc.
