Fraude au faux RIB : faut-il payer une seconde fois son fournisseur, et qui doit supporter la perte ?

Une facture exacte, un courriel apparemment habituel, un nouveau relevé d’identité bancaire : il n’en faut parfois pas davantage pour détourner le règlement d’une entreprise. Le client donne son ordre de virement, son compte est débité et son logiciel comptable classe la facture parmi les dépenses réglées. Pourtant, le fournisseur n’a rien reçu. Lorsque celui-ci réclame son paiement, deux victimes se retrouvent face à face, chacune avec une raison compréhensible de refuser de supporter la perte.

La réponse juridique est désormais particulièrement nette sur un point : payer un escroc qui se fait passer pour le fournisseur ne libère pas, en principe, de la dette envers le véritable fournisseur. Dans un arrêt du 17 juin 2026, la chambre commerciale de la Cour de cassation a expressément écarté la protection du paiement au créancier apparent lorsque le destinataire des fonds usurpe l’identité du créancier. La bonne foi du client trompé ne suffit donc pas à rendre le paiement libératoire. [1]

Ce constat ne règle cependant pas toute l’affaire. Il ne signifie ni que le client doit définitivement supporter seul la perte, ni que le fournisseur est à l’abri de toute responsabilité, ni que la banque doit nécessairement rembourser. Il faut examiner séparément la dette commerciale, la façon dont l’ordre bancaire a été constitué, les obligations du prestataire de paiement et les fautes éventuellement commises dans la transmission des coordonnées ou dans la réaction à la fraude.

Deux évolutions imposent une vigilance particulière dans les dossiers récents. Depuis le 9 octobre 2025, la vérification du bénéficiaire modifie le traitement des virements en euros entrant dans son champ : la concordance entre le nom renseigné et l’IBAN doit être contrôlée avant l’autorisation du paiement. Par ailleurs, dans l’affaire Tukowiecka du 15 octobre 2026, la Cour de justice de l’Union européenne a distingué le remboursement immédiat d’une opération non autorisée de la question de savoir qui en supportera finalement les pertes. Aucune de ces évolutions ne dispense de qualifier précisément l’opération litigieuse. [9, 10, 13]

Le présent article examine les rapports soumis au droit français. Lorsque le fournisseur, le client ou l’établissement destinataire se trouve à l’étranger, la loi applicable, la compétence du juge et les possibilités d’exécution doivent être vérifiées séparément. Les exemples pratiques qui suivent sont fictifs ; ils illustrent des mécanismes, sans reproduire un dossier du cabinet.

I. Le virement au fraudeur laisse en principe subsister la dette envers le fournisseur

A. Depuis l’arrêt du 17 juin 2026, la bonne foi ne transforme pas l’usurpateur en créancier apparent

Le débit du compte n’établit pas, à lui seul, le paiement de la facture

La première difficulté vient du mot « paiement ». Pour le service comptable du client, le paiement est souvent l’opération qui a fait sortir l’argent du compte. Pour le droit des obligations, il faut encore que cette opération corresponde à l’exécution de la dette envers la personne qui pouvait valablement recevoir les fonds. Un débit bancaire peut être parfaitement réel sans avoir éteint la créance du fournisseur.

L’article 1342-2 du Code civil pose le principe : le règlement doit être fait au créancier ou à la personne désignée pour le recevoir. Le texte prévoit aussi la validité du paiement à une personne qui n’avait pas qualité pour le recevoir lorsque le créancier le ratifie ou en a profité. Ces hypothèses ont une utilité pratique, mais elles ne se confondent pas avec la disparition de fonds sur un compte appartenant à un escroc. [2]

Il faut donc distinguer trois identités : celle du fournisseur mentionné au contrat, celle de la personne autorisée à encaisser et celle du titulaire du compte crédité. Elles peuvent normalement coïncider. Elles peuvent aussi être différentes pour des raisons légitimes : mandat d’encaissement, affacturage, cession de créance ou organisation de trésorerie dûment établie. Le problème n’est pas la différence en elle-même, mais l’absence de titre permettant au destinataire de recevoir le règlement pour le compte du créancier.

Une entreprise ne démontre pas ce titre en produisant seulement un RIB portant le logo du fournisseur. Ce document donne des coordonnées et présente une identité ; il ne certifie pas, par sa seule apparence, que son émetteur avait le pouvoir de désigner un autre compte. La même prudence s’impose lorsque le bénéficiaire a été enregistré dans la banque en ligne sous le nom commercial du fournisseur : ce libellé peut avoir été choisi par le payeur lui-même.

Le justificatif de virement reste indispensable. Il permet d’établir le montant débité, la date, l’identifiant bancaire utilisé et, selon les documents disponibles, la référence de l’opération. Mais il ne faut pas lui demander de prouver ce qu’il ne prouve pas. Une ligne « bénéficiaire : fournisseur habituel » dans l’interface du client ne démontre pas nécessairement que la banque destinataire a crédité un compte détenu par ce fournisseur.

Ce que la Cour de cassation a effectivement jugé

L’arrêt du 17 juin 2026, n° 24-13.306, concernait une fourniture de carburant à un navire, avec l’intervention d’un intermédiaire établi en Italie. Un courriel dont l’adresse ressemblait à celle du fournisseur avait transmis une facture et des coordonnées bancaires frauduleuses. L’acheteur avait réglé plus de 103 000 euros sur le compte ainsi indiqué. Les fonds n’avaient pas pu être récupérés. [1]

La cour d’appel avait considéré que l’acheteur avait pu légitimement croire payer son fournisseur et avait retenu le caractère libératoire du règlement. La Cour de cassation censure cette analyse au visa de l’article 1342-3 du Code civil, selon lequel le paiement effectué de bonne foi à un créancier apparent est valable. Elle énonce : « N’est pas créancier apparent, au sens de ce texte, le tiers qui usurpe l’identité du créancier. » [1]

La distinction est déterminante. L’acheteur savait quelle société détenait la créance. Il s’était trompé sur les coordonnées permettant de la payer, parce qu’un tiers se faisait passer pour elle. Cette fraude ne permettait pas de traiter le tiers comme un créancier apparent. La Cour a cassé l’arrêt et renvoyé l’affaire devant la cour d’appel de Lyon ; elle n’a pas, dans cet arrêt de cassation, liquidé tous les recours et toutes les responsabilités entre les intervenants.

La solution évite que la simple imitation d’un créancier suffise à transférer à celui-ci le risque de tout paiement détourné. Elle produit toutefois un effet sévère pour le débiteur trompé : l’argent a quitté son patrimoine, mais la dette commerciale demeure. Dans la situation visée, la défense consistant seulement à soutenir « j’ai payé de bonne foi les coordonnées reçues » ne répond plus à la règle énoncée par la Cour.

Il serait donc trompeur de présenter encore la théorie du créancier apparent comme une solution générale permettant d’échapper à un second règlement en cas de faux RIB. L’article 1342-3 n’a pas disparu ; son domaine ne couvre simplement pas l’usurpation d’identité caractérisée dans cet arrêt. Les autres situations d’apparence ou de représentation doivent être analysées pour elles-mêmes, sans rebaptiser artificiellement le fraudeur « mandataire » afin de contourner la solution.

Deux sorties d’argent, mais une seule dette commerciale

Prenons une entreprise qui doit 48 000 euros à son fournisseur. Elle reçoit un message annonçant un changement de banque, saisit le nouvel IBAN et valide le virement. Le compte crédité appartient à un tiers sans lien avec le fournisseur. En l’absence d’une autre cause d’extinction de la dette, le fournisseur peut toujours réclamer ses 48 000 euros. Le premier transfert constitue une perte pour le client ; il ne devient pas le règlement de la facture par le seul fait que son montant correspond exactement à celui-ci.

Si le client paie ensuite le véritable fournisseur, il aura décaissé 96 000 euros, mais il n’aura pas payé deux fois juridiquement la même personne. Il aura subi un détournement de 48 000 euros et exécuté une obligation de 48 000 euros. Cette distinction commande le calcul du préjudice : le recours vise notamment à récupérer ou à faire indemniser la somme détournée, sans permettre un enrichissement par cumul des remboursements.

La situation devient plus délicate lorsqu’une partie des fonds revient après le second paiement. Le remboursement bancaire, l’indemnité d’assurance, la restitution obtenue contre le titulaire du compte et les dommages-intérêts doivent être rapprochés. Les recours subrogatoires et les stipulations du protocole conclu entre client et fournisseur peuvent modifier la personne qui conserve le droit d’agir. Il faut tenir un compte précis des sommes réellement perdues et récupérées.

Pour le fournisseur, cette analyse a également une conséquence : il doit poursuivre la bonne personne. Le destinataire habituel de ses factures, l’entreprise qui a matériellement donné le virement et le cocontractant débiteur ne sont pas toujours identiques dans un groupe. Un paiement centralisé ou l’intervention d’un courtier ne suffit pas à changer le débiteur du prix. L’examen du contrat précède donc la mise en demeure.

Les exceptions réelles doivent être recherchées, pas présumées

L’absence d’effet libératoire suppose que les fonds n’aient pas valablement atteint le créancier ou une personne habilitée. Si le fournisseur a réellement désigné le compte d’un tiers pour encaisser, si ce tiers détenait un pouvoir pertinent ou si les fonds sont finalement parvenus au fournisseur dans des conditions permettant d’imputer le règlement à la dette, l’analyse peut différer. Les éléments établissant cette situation doivent être conservés et discutés contradictoirement.

Une désignation authentique peut elle-même être contestée : la personne qui l’a faite avait-elle le pouvoir d’engager la société ? L’adresse était-elle réellement sous son contrôle ? L’instruction concernait-elle cette facture ou une autre opération ? Le client ne doit pas confondre un message authentique contenant une erreur et un message fabriqué par un tiers. Ces deux scénarios peuvent conduire à des responsabilités différentes.

La ratification mérite la même rigueur. Un fournisseur qui aide son client à demander un rappel des fonds ou qui transmet des pièces aux enquêteurs ne reconnaît pas nécessairement la validité du paiement. Coopérer pour limiter le dommage n’équivaut pas, à soi seul, à abandonner la créance. À l’inverse, un accord exprès organisant l’imputation d’un règlement ou la prise en charge d’une perte doit être interprété selon son contenu exact.

Il est utile de préserver cette distinction dans les courriels échangés après la découverte. Écrire que les parties vont « régler le problème ensemble » n’a pas la précision d’un accord sur le montant restant dû, sur le débiteur de l’indemnisation ou sur la suspension des poursuites. L’intention commerciale de préserver la relation ne remplace pas la rédaction d’un accord lorsque les sommes sont importantes.

Le fournisseur doit prouver sa créance ; le client doit établir sa libération

L’article 1353 du Code civil répartit la charge de la preuve : celui qui réclame l’exécution d’une obligation doit l’établir ; celui qui se prétend libéré doit justifier le paiement ou un autre fait extinctif. Le fournisseur doit donc réunir le contrat, la commande, les éléments de livraison ou de réalisation de la prestation et les pièces établissant le montant exigible. La fraude ne le dispense pas de démontrer qu’il détient effectivement la créance invoquée. [3]

Le client doit, de son côté, identifier le compte crédité et expliquer pourquoi le règlement serait opposable au fournisseur. S’il reconnaît que les fonds ont été reçus par un escroc dépourvu de pouvoir, il ne peut se contenter d’un avis de débit. Il peut en revanche contester une livraison, une échéance, un montant ou rechercher la responsabilité du fournisseur pour un comportement distinct. Ces défenses doivent être présentées séparément, avec les pièces correspondant à chacune.

Cette méthode évite de laisser le débat se réduire à une opposition morale entre deux victimes. L’absence d’intention frauduleuse du client ne prouve pas l’extinction de sa dette ; l’absence de réception des fonds par le fournisseur ne prouve pas l’absence de toute faute de sa part. Les questions se croisent économiquement, mais elles restent juridiquement distinctes.

B. La responsabilité éventuelle du fournisseur dépend de la preuve d’une faute et de son rôle dans le détournement

Un piratage n’établit pas automatiquement une faute indemnisable

Après la découverte d’un faux RIB, le client affirme souvent que la fraude provient nécessairement de la messagerie de son fournisseur. Celui-ci soutient au contraire que le piratage a eu lieu chez le client. Tant qu’aucun élément technique ne permet de trancher, ces affirmations restent des hypothèses. Elles ne doivent pas devenir les prémisses d’une assignation ou d’un refus définitif de paiement.

Plusieurs mécanismes sont possibles. Le fraudeur peut utiliser une adresse très proche de celle du fournisseur, sans pénétrer aucun système de ce dernier. Il peut accéder à la messagerie du client et remplacer une pièce jointe. Il peut compromettre la boîte du fournisseur et répondre dans une conversation authentique. Il peut encore exploiter une fuite de documents obtenue chez un intermédiaire. Le fait de connaître le montant exact d’une facture constitue un indice, non une preuve suffisante de l’endroit où l’intrusion s’est produite.

La responsabilité du fournisseur suppose d’identifier une obligation pertinente, un manquement, un dommage et un lien de causalité. Dans la relation contractuelle, l’article 1231-1 du Code civil constitue notamment un fondement à examiner. Il ne permet pas de déduire une garantie absolue de cybersécurité du seul fait qu’une entreprise communique par courriel. À l’inverse, être victime d’un escroc ne fait pas disparaître une faute propre qui aurait contribué au préjudice. [22]

Un fournisseur informé d’une compromission de sa messagerie, mais qui laisse un client effectuer un paiement imminent sans lui transmettre l’alerte utile dont il dispose, se trouve dans une situation différente d’un fournisseur dont le nom a été imité à son insu. Encore faut-il dater la connaissance de l’incident, identifier les moyens de prévenir le client et démontrer que cette intervention aurait pu éviter tout ou partie du transfert.

La chronologie est souvent plus utile que l’accusation générale de négligence

Le premier document de travail devrait être une chronologie comprenant l’émission de la facture authentique, les différents messages reçus, la modification du bénéficiaire, la validation du virement, sa réception par la banque, son exécution, la découverte de la fraude et les premières alertes. Une heure peut compter autant qu’une date lorsqu’il s’agit de déterminer si une information pouvait encore empêcher l’opération.

Supposons que le fournisseur détecte à 9 heures un accès frauduleux à sa messagerie, que le client annonce à 10 heures qu’il va payer et que l’alerte ne lui parvienne qu’en fin de journée. Cette succession justifie une analyse de causalité. Si le virement avait déjà été irrévocablement exécuté la veille, le même défaut d’alerte ne pourrait pas être présenté comme la cause de ce premier transfert, même s’il a pu favoriser d’autres paiements.

Il faut également distinguer la date à laquelle un salarié constate une anomalie et celle à laquelle l’entreprise dispose d’éléments suffisamment précis pour comprendre qu’un faux RIB circule. Une alerte générale de sécurité n’a pas nécessairement la même portée qu’un courriel identifiant le compte frauduleux, les factures visées et les destinataires menacés. Le contenu de l’information influence les diligences que l’on peut raisonnablement attendre de celui qui la reçoit.

Cette analyse doit porter aussi sur le comportement du client. A-t-il reçu plusieurs coordonnées contradictoires ? Avait-il déjà un IBAN authentifié dans ses données fournisseurs ? A-t-il demandé une confirmation par un canal indépendant ? Une procédure de double validation existait-elle et a-t-elle été appliquée ? Ces éléments ne rendent pas l’escroquerie légitime ; ils peuvent influer sur la responsabilité et sur la répartition finale du dommage.

Ce qu’il faut conserver dans les courriels et les pièces jointes

Une capture d’écran permet de comprendre un échange, mais elle ne conserve pas toutes ses informations techniques. Les messages originaux, dans un format qui préserve leurs en-têtes, les pièces jointes originales et les traces des accès à la messagerie sont généralement plus utiles pour identifier le parcours de la fraude. Le simple transfert d’un message à un collègue peut perdre des éléments nécessaires à cette reconstitution.

Il faut préserver, lorsque cela est possible et proportionné, les différentes versions de la facture et du RIB, les messages de changement de coordonnées, les validations internes, les échanges téléphoniques documentés et les avis de virement. Le fichier présenté comme « la facture » peut avoir été remplacé plusieurs fois. Une comparaison des versions aide à déterminer si seul l’IBAN a été modifié ou si le contenu entier a été réécrit.

L’analyse informatique doit être confiée à une personne compétente lorsque les enjeux le justifient. Une adresse visible ne suffit pas à prouver l’origine technique du message ; un compte authentique peut avoir été compromis ; un message frauduleux peut reprendre une conversation réelle. Le rapport utile explique les constatations, les méthodes et les limites, au lieu de conclure immédiatement que « la faute vient de l’autre entreprise ».

Il faut contenir l’incident sans attendre, tout en demandant au prestataire informatique de préserver les éléments disponibles. Changer les mots de passe, révoquer les sessions actives et sécuriser les accès peuvent être nécessaires ; effacer systématiquement les boîtes, les journaux et les fichiers suspects risque de détruire les preuves. La sécurité et la preuve doivent être organisées ensemble, avec des accès limités aux personnes qui en ont besoin.

Une mesure judiciaire peut aider à établir les faits avant le procès

Lorsque les pièces déterminantes sont détenues par un tiers ou que les parties s’opposent sur l’origine de la fraude, une mesure d’instruction peut être envisagée avant le procès. L’article 145 du Code de procédure civile permet, sous ses conditions, de conserver ou d’établir la preuve de faits dont pourrait dépendre la solution d’un litige. Il faut démontrer un motif légitime et demander une mesure légalement admissible, ciblée et proportionnée. [16]

Ce mécanisme ne permet pas d’exiger l’accès indifférencié à toute la messagerie d’un fournisseur ou à tous les dossiers d’une banque. Les secrets protégés, les droits des tiers et les règles du contradictoire doivent être respectés. Une demande précise portant sur une période, des messages identifiés ou certaines traces est plus défendable qu’une recherche générale destinée à découvrir, sans hypothèse documentée, une faute quelconque.

Le choix entre référé et requête dépend également des conditions procédurales. L’urgence économique ne dispense pas de justifier une éventuelle dérogation au contradictoire. Il faut aussi articuler la mesure avec l’enquête pénale : leurs objets, leurs destinataires et leurs calendriers ne sont pas identiques. Le dépôt d’une plainte n’apporte pas nécessairement, à bref délai, les documents requis pour répondre à une demande de paiement.

Une demande indemnitaire ne neutralise pas mécaniquement la facture

Le client peut avoir une dette de prix envers le fournisseur et soutenir que celui-ci lui doit des dommages-intérêts. Ce sont deux prétentions distinctes. La compensation légale suppose notamment des obligations réciproques, fongibles, certaines, liquides et exigibles ; une compensation judiciaire peut être demandée dans les conditions qui lui sont propres. L’annonce d’une future action en responsabilité ne suffit pas à effacer une facture exigible. [21]

La stratégie doit tenir compte de cette dissociation. Un fournisseur peut engager une action en paiement pendant que le client instruit son recours bancaire. Le client peut former des demandes reconventionnelles ou appeler d’autres intervenants en garantie lorsque les conditions procédurales le permettent. Mais il doit expliquer concrètement le lien entre les demandes, au lieu de compter sur la seule existence de la fraude pour suspendre le litige.

Dans un dossier commercial, une provision peut être sollicitée en référé si l’obligation n’est pas sérieusement contestable. L’article 873 du Code de procédure civile fournit ce cadre devant le président de la juridiction commerciale compétente. L’arrêt du 17 juin 2026 renforce la position du fournisseur sur l’argument du créancier apparent, sans rendre automatiquement infondée toute autre contestation du client. [17]

Un accord temporaire peut parfois préserver la relation : paiement partiel, échéancier, suspension conventionnelle de certaines poursuites, échange organisé des preuves. Il doit préciser sa durée, le sort des intérêts, les réserves de responsabilité et la répartition des sommes qui seraient ultérieurement récupérées. Un échéancier mal rédigé peut créer un second contentieux au moment même où les parties cherchent à éviter le premier.

Un protocole doit préserver les recours réellement utiles

Si client et fournisseur décident de partager provisoirement la perte, ils doivent déterminer qui mènera les démarches contre la banque, le titulaire du compte ou l’assureur. Le partage économique n’opère pas nécessairement, à lui seul, transfert de toutes les créances. La personne qui reçoit une indemnité et celle qui conserve le droit d’agir doivent pouvoir justifier leur position.

Il faut également éviter qu’une renonciation générale libère involontairement un tiers, compromette une subrogation de l’assureur ou exclue un préjudice encore inconnu. Les termes « solde de tout compte », « renonciation à tout recours » ou « règlement définitif » peuvent avoir des effets très différents d’une simple suspension amiable. La rédaction doit suivre le périmètre de l’accord effectivement négocié.

La bonne question, à ce stade, n’est donc pas seulement de savoir qui a été le plus imprudent. Il faut déterminer ce qui est dû immédiatement, ce qui demeure contesté, quelles preuves manquent encore et quels recours risquent d’être perdus pendant la discussion. C’est cette articulation qui permet de négocier sans affaiblir inutilement la position de l’une ou de l’autre partie.

II. La récupération des fonds dépend du mécanisme bancaire et de la réaction à la fraude

A. Le recours contre la banque exige de qualifier l’ordre, puis de vérifier le régime applicable à sa date

L’expression « virement frauduleux » ne désigne pas un régime unique

Trois opérations peuvent produire la même perte tout en relevant d’analyses différentes. Dans la première, le client reçoit un faux RIB et saisit lui-même l’IBAN frauduleux. Dans la deuxième, il donne un ordre comportant les coordonnées exactes du fournisseur, puis un tiers modifie l’ordre à son insu. Dans la troisième, l’escroc utilise les accès bancaires compromis pour initier une opération que le client n’a pas autorisée.

Le point commun est l’escroquerie ; la différence est la formation de l’ordre de paiement. Il faut examiner l’identité de celui qui l’a donné, ses pouvoirs, les données qu’il a validées et le moment de leur éventuelle modification. Une plainte décrivant simplement un « piratage bancaire » ne permet pas à elle seule de choisir le fondement du remboursement.

Cette qualification ne dépend pas du vocabulaire utilisé dans la première réponse de la banque. Celle-ci peut classer l’incident parmi les virements « autorisés » parce que les identifiants du client ont été employés. Le client peut, au contraire, déclarer n’avoir jamais autorisé le paiement parce qu’il ignorait l’identité réelle du titulaire du compte. Le juge doit confronter ces affirmations aux faits et aux dispositions applicables, non s’en tenir à l’étiquette choisie par l’une des parties.

La distinction vaut également dans l’entreprise. Le salarié qui prépare le fichier de paiement n’est pas nécessairement celui qui a le pouvoir de le transmettre à la banque. La convention bancaire, les habilitations, les plafonds et les validations prévues doivent être examinés. Une irrégularité dans les règles internes de l’entreprise n’a pas toujours le même effet qu’une violation des pouvoirs contractuellement portés à la connaissance du prestataire de paiement.

Premier scénario : le client a lui-même fourni l’IBAN frauduleux

L’article L. 133-21 du Code monétaire et financier accorde une place centrale à l’identifiant unique. Lorsque l’ordre est exécuté conformément à celui fourni par l’utilisateur, il est réputé correctement exécuté pour le bénéficiaire désigné par cet identifiant. Si celui-ci est inexact, le texte écarte, dans les conditions qu’il prévoit, la responsabilité du prestataire pour mauvaise exécution ou non-exécution. [4]

Ce dispositif explique pourquoi une banque peut avoir exécuté correctement un virement qui a, économiquement, enrichi un escroc. Son système a adressé la somme au compte identifié dans l’ordre reçu. La question de l’absence de paiement du fournisseur ne se confond pas avec celle de la conformité de l’exécution bancaire. Avant même de discuter une faute, il faut identifier ce que la banque devait faire et ce qu’elle a effectivement fait.

Dans l’arrêt du 15 janvier 2025, n° 23-15.437, la Cour de cassation a refusé de contourner ce régime par l’obligation de vigilance de droit commun. Des clients avaient transmis les coordonnées substituées par un fraudeur. La cour d’appel avait retenu la responsabilité bancaire en raison d’anomalies affectant les informations reçues. La cassation rappelle le caractère exclusif du régime applicable et écarte l’ajout d’un fondement concurrent de responsabilité dans cette configuration. [5]

Une décision du 1er juillet 2026, n° 25-15.283, illustre encore la difficulté. Des particuliers avaient réglé des appels de fonds liés à la construction de leur maison à partir d’un RIB envoyé par une adresse frauduleuse. La Cour de cassation censure l’analyse qui faisait de l’erreur sur le véritable destinataire un défaut d’autorisation suffisant, alors que la banque avait suivi les identifiants fournis par les payeurs. Cet arrêt n’est pas publié au Bulletin ; il confirme néanmoins concrètement l’importance du moment où les coordonnées ont été substituées. [6]

Ces décisions ne doivent pas être lues comme une immunité générale des banques pour l’avenir. Elles ne permettent pas non plus de conclure que tout paiement décidé sous l’effet d’une tromperie est remboursable comme une opération non autorisée. Leur application suppose de rapprocher les faits, la période concernée et les obligations particulières aujourd’hui applicables, notamment celles relatives à la vérification du bénéficiaire.

Dans un dossier antérieur à l’application de cette vérification, l’argument « le nom du fournisseur figurait sur le RIB, donc la banque devait obligatoirement refuser le compte différent » peut se heurter directement au régime de l’identifiant unique. Pour un virement plus récent entrant dans le champ de la vérification, le débat doit aussi porter sur l’exécution de cette obligation propre. La même discordance documentaire n’a donc pas nécessairement la même portée selon la date de l’opération.

Deuxième scénario : l’ordre correctement rédigé a ensuite été falsifié

La situation diffère lorsque le donneur d’ordre avait indiqué le véritable IBAN, puis qu’un tiers l’a remplacé après la rédaction régulière de l’instruction. Dans l’arrêt du 1er juin 2023, pourvois n° 21-19.289 et 21-21.831, la Cour de cassation a retenu qu’un ordre dont l’IBAN a été ultérieurement modifié à l’insu du donneur d’ordre ne constitue pas une opération autorisée. [7]

Le raisonnement ne peut donc pas être remplacé par une question abstraite sur la qualité visuelle de la falsification. Lorsque l’ordre exécuté ne correspond pas à celui autorisé, l’examen doit partir du régime des opérations non autorisées, avec ses règles de remboursement et de preuve. Il ne suffit pas de demander si l’employé de banque aurait pu déceler la modification à l’œil nu.

L’enjeu probatoire est considérable. Il faut conserver l’ordre initial, son mode de transmission, la version reçue par la banque et les données finalement exécutées. Si le client ne produit qu’un RIB frauduleux reçu avant la saisie, il ne démontre pas une falsification postérieure de l’ordre. Inversement, une copie datée de l’instruction authentique peut permettre d’identifier précisément la divergence avec l’opération exécutée.

Prenons un exemple fictif. Une entreprise transmet un ordre signé comportant le compte habituel du fournisseur. La copie conservée et les traces d’envoi concordent. Le document traité par la banque comporte un autre IBAN. Ce dossier ne doit pas être présenté de la même façon que celui dans lequel le dirigeant a personnellement remplacé le compte habituel par celui reçu dans un courriel trompeur. Le montant perdu peut être identique ; la preuve du consentement ne l’est pas.

La distinction peut aussi apparaître dans les fichiers de paiement. Il faut alors reconstituer le fichier préparé, celui validé et celui transmis. Une capture de l’écran comptable prise après l’incident ne suffit pas toujours à démontrer le contenu du fichier au moment de la validation. La conservation des versions et des journaux d’événements devient un élément du raisonnement juridique, et pas seulement une question informatique.

Troisième scénario : les accès ont servi à une opération qui n’a pas été consentie

Un tiers peut accéder à la banque en ligne et effectuer un virement en utilisant des données de sécurité compromises. L’opération a alors une apparence technique de régularité, mais la question reste de savoir si le payeur l’a autorisée. L’authentification d’un accès ou l’usage d’un dispositif de sécurité ne doivent pas être confondus avec la démonstration complète du consentement à l’opération litigieuse.

L’article L. 133-23 du Code monétaire et financier organise notamment la preuve lorsque l’utilisateur nie avoir autorisé le paiement ou soutient qu’il a été mal exécuté. L’enregistrement de l’utilisation de l’instrument ne suffit pas nécessairement, à lui seul, à prouver l’autorisation ou une faute intentionnelle ou gravement négligente du payeur. Pour les utilisateurs professionnels, il faut cependant vérifier les dérogations contractuelles légalement permises, notamment au titre de l’article L. 133-2. [11]

Le dossier doit décrire ce que la personne a effectivement vu et fait. A-t-elle validé un ajout de bénéficiaire, un montant précis, une connexion, un changement d’appareil ou une opération présentée frauduleusement comme une mesure de sécurité ? Les différentes actions ne sont pas interchangeables. Il faut demander les éléments techniques pertinents, tout en évitant de transformer une supposition du client en certitude sur le fonctionnement du système bancaire.

De même, les mots « je n’ai rien autorisé » ou « j’ai validé à la demande d’un faux conseiller » ne dispensent pas de reconstruire le parcours. L’analyse juridique doit être fidèle aux gestes réellement accomplis. Cacher une validation ou donner plusieurs versions incompatibles de l’incident fragilise la preuve ; reconnaître une action technique ne signifie pas pour autant accepter toutes les conséquences juridiques que la banque veut en déduire.

Le remboursement immédiat et la charge finale des pertes sont deux questions différentes

Pour une opération non autorisée relevant de l’article L. 133-18, le texte prévoit un remboursement immédiatement après la connaissance ou le signalement de l’opération et, en tout état de cause, au plus tard à la fin du premier jour ouvrable suivant. L’exception vise de bonnes raisons de soupçonner une fraude de l’utilisateur, communiquées par écrit à la Banque de France. Il s’agit de la fraude du client lui-même, et non de la simple constatation qu’un tiers l’a escroqué. [12]

Le 15 octobre 2026, dans l’affaire C-70/25, Tukowiecka, la CJUE a précisé que l’allégation d’une négligence grave du payeur ne suffit pas à écarter ce remboursement immédiat. Le prestataire peut ensuite demander que le client supporte les pertes s’il établit les conditions requises. Le communiqué officiel distingue expressément ces deux temps. [13]

Pour une entreprise, cette distinction peut changer la gestion de trésorerie du litige. La discussion sur une éventuelle faute du payeur ne doit pas être confondue avec le droit à la restitution immédiate lorsqu’il est applicable. Il faut néanmoins examiner le statut de l’utilisateur et les clauses professionnelles valables relatives à la preuve ou à la charge des pertes, sans leur attribuer un pouvoir de dérogation que les textes ne leur donnent pas.

Cet arrêt européen ne tranche pas, par lui-même, la qualification de chaque faux RIB. Il ne permet pas d’affirmer qu’un virement devient non autorisé dès lors que son auteur a été trompé sur l’opération commerciale. Dans le scénario de l’IBAN frauduleux fourni par le client, le régime de l’identifiant unique et les obligations de vérification restent à examiner. L’ordre des questions est donc décisif : qualifier, puis appliquer la règle de remboursement pertinente.

L’obligation légale de remboursement ne dépend pas, lorsqu’elle est due, du succès préalable du rappel interbancaire ou de l’arrestation de l’escroc. Ces démarches poursuivent d’autres objectifs. Une réponse qui invite seulement le client à attendre la récupération éventuelle des fonds ne répond pas nécessairement à une demande fondée sur une opération non autorisée. La réclamation doit formuler distinctement ce qui est demandé à la banque à ce titre et ce qui est demandé pour retrouver les sommes.

La fraude au président n’autorise pas à généraliser les solutions du faux RIB

La fraude au président repose souvent sur un faux ordre d’un dirigeant, exécuté par un salarié ou un mandataire habilité à transmettre des virements. Lorsque l’opération est autorisée et que sa mauvaise exécution n’est pas invoquée, la jurisprudence admet que la responsabilité contractuelle de la banque puisse être recherchée pour manquement à son obligation de vigilance. Cela ne supprime pas les distinctions précédentes. [8]

Dans l’arrêt du 12 juin 2025, n° 24-13.697, la Cour de cassation a admis ce terrain de responsabilité, tout en censurant la décision qui n’avait pas recherché si la banque avait satisfait à son devoir en obtenant confirmation d’une personne habilitée à émettre les ordres. L’existence d’un recours possible n’équivaut donc pas à la preuve de la faute. L’arrêt a fait l’objet, le 19 novembre 2025, d’une rectification matérielle du visa, sans modification de cette articulation. [8]

L’arrêt du 19 novembre 2025, n° 24-17.780, confirme le rôle de la qualification. La Cour y distingue le régime des opérations non autorisées ou mal exécutées et l’obligation contractuelle de vigilance dans une opération autorisée dont la mauvaise exécution n’était pas alléguée. Elle censure néanmoins les motifs retenus pour caractériser l’anomalie apparente dans les circonstances du dossier. [8]

Pour construire une demande, il faut donc expliquer pourquoi le cas relève de cette jurisprudence et non simplement citer un arrêt favorable en matière de fraude. Une opération ordonnée par un collaborateur habilité, un IBAN substitué dans une facture, un ordre falsifié après sa signature et une intrusion bancaire ne peuvent être rassemblés dans une seule catégorie sans perdre l’élément qui commande la solution.

Le caractère inhabituel d’un virement doit être apprécié concrètement

Le devoir de vigilance ne transforme pas le banquier en contrôleur de l’opportunité de toutes les dépenses de son client. Dans les situations où ce devoir peut être invoqué, l’anomalie doit être apparente et suffisamment caractérisée. Un montant élevé, un nouveau bénéficiaire ou un compte situé à l’étranger constituent des données à examiner, mais pas une démonstration automatique de responsabilité.

Les arrêts du 12 juin 2025, n° 24-10.168, et du 25 mars 2026, n° 24-18.093, illustrent cette exigence. Les juges ont pris en compte les circonstances de fonctionnement des comptes et la conformité des opérations à la volonté exprimée, sans déduire mécaniquement une faute bancaire de montants importants ou de destinations internationales. [8]

Une entreprise qui travaille avec des partenaires étrangers n’est pas dans la même situation qu’un titulaire dont les opérations ont une autre structure. Mais l’absence de flux antérieur vers un bénéficiaire ne prouve pas, à elle seule, que le paiement devait être refusé. La démonstration utile consiste à rapprocher plusieurs éléments, à établir ce qui était effectivement visible pour la banque et à déterminer quelle diligence précise aurait été nécessaire.

La question des confirmations est tout aussi importante. Qui la banque a-t-elle appelé ? Cette personne disposait-elle des pouvoirs adéquats ? A-t-elle confirmé le compte, le montant et l’opération litigieuse, ou seulement répondu à une question générale ? Une trace de contact ne prouve pas toujours le contenu de la vérification. Inversement, une confirmation suffisamment précise obtenue auprès d’une personne habilitée peut affaiblir la demande du client.

Depuis le 9 octobre 2025, la vérification du bénéficiaire ajoute une obligation distincte

Le règlement européen du 13 mars 2024 a introduit, dans le règlement SEPA, un service de vérification du bénéficiaire, souvent appelé VoP. Pour les virements en euros relevant du dispositif et du calendrier applicable, il ne s’agit plus de traiter seulement l’IBAN comme une donnée technique : la correspondance avec l’identité renseignée doit être vérifiée avant que le payeur autorise l’opération. Le mécanisme concerne les virements ordinaires comme les virements instantanés. [9, 10]

Il faut être précis sur son champ. L’appartenance d’un pays à l’espace SEPA n’implique pas, à elle seule, que tous ses établissements soient soumis à la même obligation à la même date. La situation des prestataires hors zone euro, celle de pays SEPA extérieurs à l’Espace économique européen et celle des transferts non-SEPA doivent être distinguées. Un virement en euros France–Italie n’appelle donc pas nécessairement la même vérification de calendrier qu’un transfert vers un compte suisse. [9]

L’obligation doit aussi être replacée dans le canal réellement utilisé. Un ordre saisi par le client dans l’application, un fichier regroupant plusieurs paiements et un ordre papier ne suivent pas nécessairement le même parcours. Les modalités et exceptions doivent être vérifiées dans les textes et la convention, au lieu de déduire du mot « virement » qu’un écran identique devait apparaître dans tous les cas.

La vérification peut aboutir à une concordance, à une concordance partielle, à une absence de concordance ou à l’impossibilité de réaliser le contrôle. Ces résultats n’ont pas la même signification. Une concordance partielle peut provenir d’une différence de dénomination ; une indisponibilité ne constitue pas une confirmation de l’identité du titulaire. Le message exact présenté avant la validation doit être conservé. [9]

Le contrôle ne certifie ni la facture ni le droit d’encaisser

La VoP confronte des informations relatives au compte et au bénéficiaire. Elle ne vérifie pas que la marchandise a été livrée, que le contrat est authentique, que la facture correspond à une dette ou que le titulaire du compte est habilité à percevoir le prix de cette vente. Ce point résulte de l’objet même du contrôle : une concordance bancaire ne peut pas établir à elle seule la légitimité de toute l’opération commerciale.

Un fraudeur peut chercher à faire renseigner au client le nom réel du titulaire du compte détourné, en présentant celui-ci comme une nouvelle société d’encaissement. Dans cet exemple, une concordance nom–IBAN ne répondrait pas à la question du pouvoir de cette société de recevoir les fonds. Il resterait nécessaire de vérifier, auprès du véritable fournisseur, l’authenticité et la portée du changement demandé.

La même difficulté apparaît lorsqu’un message impose de modifier le nom jusqu’à faire disparaître l’alerte. L’utilisateur peut alors parvenir à une correspondance technique tout en s’éloignant de l’identité de son créancier. La preuve devra conserver les données initiales et leurs modifications successives. Seule une lecture complète du parcours permettra de comprendre pourquoi le paiement a été validé.

Pour cette raison, l’entreprise ne devrait pas demander à ses équipes de « faire passer le virement » en corrigeant systématiquement les noms selon les indications reçues par courriel. La correction d’une abréviation connue n’a pas le même sens que la substitution d’une société totalement différente. Une procédure interne utile demande de documenter la cause du changement et son authentification commerciale.

L’alerte ignorée et le service défaillant ne sont pas équivalents

Lorsque le prestataire a correctement rempli ses obligations et que le client décide de poursuivre malgré l’avertissement, la protection du régime de l’identifiant unique peut jouer au profit du prestataire. Il faut toutefois établir la réalité, le contenu et le moment de l’alerte. Une mention générique dans les conditions contractuelles n’est pas la preuve de l’information effectivement délivrée lors de ce virement. [10]

La situation diffère si la vérification requise n’a pas été fournie, si une réponse inexacte a été transmise ou si un dysfonctionnement a contribué au versement à un destinataire non voulu. Le régime européen prévoit les conséquences du non-respect des obligations de vérification. Les réponses de la Commission aux questions d’application abordent expressément le dysfonctionnement et la responsabilité respective des prestataires ; elles constituent des indications d’interprétation, non un arrêt de la CJUE. [10]

Il faut donc éviter deux raccourcis opposés : « j’ai validé, la banque est nécessairement libérée » et « le service était indisponible, le remboursement est nécessairement acquis ». L’analyse doit établir le champ de l’obligation, le manquement, le rôle de celui-ci dans l’opération et le régime de responsabilité applicable. L’indisponibilité du contrôle mérite une investigation ; elle ne doit pas être assimilée sans examen à une alerte de non-concordance correctement produite.

Les pièces recherchées sont alors très concrètes : les données bénéficiaires soumises au contrôle, la réponse reçue, le message affiché, son horodatage, les modifications éventuelles et l’autorisation finale. La seule production du relevé de compte ne permet pas de répondre à ces questions. Le client a intérêt à solliciter la conservation de ces traces dès sa réclamation.

Les paiements par lots nécessitent une lecture particulière du contrat

Les utilisateurs non consommateurs peuvent, dans les conditions prévues par le dispositif, renoncer à la vérification pour des ordres soumis en lots. Cette possibilité n’équivaut pas à une dispense générale de contrôle de tous leurs paiements. Elle ne permet pas davantage au prestataire de considérer que chaque client professionnel a nécessairement renoncé au service. [10]

Il faut vérifier l’existence du choix, sa portée et sa date. La personne qui a exercé l’option disposait-elle du pouvoir pertinent ? Le virement litigieux appartenait-il effectivement au lot visé ? Le parcours utilisé correspondait-il au contrat ? Si l’entreprise a choisi une organisation particulière, cette organisation doit être retrouvée dans les documents, pas supposée après la fraude.

Pour une direction financière, la question est aussi organisationnelle. Une renonciation peut être associée à d’autres contrôles, mais ceux-ci ne doivent pas être présentés comme équivalents sans analyse. Si les données fournisseurs sont modifiées sans vérification indépendante, un fichier de paiement régulièrement signé peut reproduire l’erreur à grande échelle. La validation du fichier ne contrôle pas, par elle-même, l’origine de chaque nouvelle coordonnée.

Le risque est particulièrement visible dans les groupes : une équipe centralise les fournisseurs, une autre prépare les paiements, une troisième signe les fichiers. L’identité de celui qui connaît réellement le partenaire et celle de celui qui autorise le transfert divergent. La prévention doit relier ces fonctions, tandis que le contentieux doit retrouver ce qui a été transmis entre elles.

Le délai de signalement ne se confond pas avec le temps disponible pour réfléchir

L’article L. 133-24 impose de signaler sans tarder une opération non autorisée ou mal exécutée, avec une limite de treize mois à compter du débit, sous les réserves du texte. Pour les utilisateurs professionnels, un délai distinct peut être convenu. Une entreprise ne doit donc jamais partir du principe qu’elle dispose nécessairement de treize mois, ni considérer le délai maximal comme une autorisation d’attendre. [14]

La convention de compte et les conditions des services à distance doivent être obtenues dans leur version applicable. Les clauses concernant les contestations, les habilitations et la preuve peuvent être dispersées dans plusieurs documents. Une version actuelle téléchargée sur le site de la banque ne démontre pas toujours ce qui liait les parties au moment de l’opération.

Il faut également distinguer le signalement de l’opération et l’action judiciaire ultérieure. L’existence d’un délai de prescription pour une action ne neutralise pas une forclusion ou un délai contractuel de signalement applicable. Les échanges amiables, les réponses de la banque et la plainte doivent être datés, sans présumer qu’ils suspendent ou interrompent tous les délais de tous les recours.

Une réclamation utile identifie le compte, les virements, les montants, les dates, le mécanisme connu et les documents encore demandés. Elle sollicite le rappel des fonds, la conservation des preuves et, lorsqu’un fondement existe, le remboursement ou la réparation. Elle peut réserver la qualification définitive si des éléments manquent, mais ne doit pas remplacer les faits par des formules contradictoires.

La banque destinataire n’est pas automatiquement un second débiteur de l’indemnisation

Le titulaire du compte ayant reçu les fonds peut être un escroc, une personne ayant prêté son compte ou une autre victime dont l’identité a été utilisée. La banque qui tient ce compte n’est pas, du seul fait de sa réception du virement, tenue de payer l’intégralité du préjudice à la victime. Son rôle et ses obligations doivent être examinés sur un fondement adapté.

Il faut distinguer ses devoirs dans l’exécution et la récupération du paiement, son intervention éventuelle dans la vérification du bénéficiaire et une faute propre qui serait alléguée et prouvée. Accuser globalement l’établissement d’avoir « ouvert un compte frauduleux » ne suffit pas : il faut déterminer les documents disponibles, les anomalies pertinentes et leur lien avec le détournement.

Les obligations de lutte contre le blanchiment ne constituent pas non plus, à elles seules, une formule de remboursement universelle au profit de tout tiers lésé. Le dossier doit préciser quel droit peut être invoqué par quelle personne et à l’encontre de quel intervenant. Les communications protégées et les informations couvertes par le secret bancaire ne deviennent pas librement accessibles parce qu’un client étranger au compte en demande copie.

L’article L. 133-21 prévoit toutefois une coopération pour récupérer les fonds et, en cas d’échec, la mise à disposition du payeur, à sa demande, des informations détenues par son prestataire pouvant documenter son recours en justice. Cette voie doit être exploitée avec précision. Elle n’équivaut pas à l’ouverture sans restriction de tous les dossiers de l’établissement destinataire. [4]

B. L’urgence consiste à préserver les fonds, les preuves et les garanties sans abandonner les recours

Demander immédiatement le rappel des fonds, sans le confondre avec un remboursement

Dès que la fraude est découverte, le payeur doit alerter sa banque par un canal fiable et demander le traitement urgent de l’incident. Si l’ordre n’a pas encore été exécuté et peut encore être arrêté, il faut solliciter son blocage. S’il a été exécuté, il faut demander une procédure de rappel des fonds, souvent désignée par le terme anglais « recall ». Cette demande n’est ni une annulation garantie ni une reconnaissance de responsabilité de la banque.

Le rappel cherche à faire revenir des fonds déjà partis. Son succès dépend notamment de leur présence sur le compte destinataire, des diligences réalisées et des règles applicables. Le remboursement légal d’une opération non autorisée, lorsqu’il est dû, répond à un autre fondement. L’indemnisation d’une faute bancaire en constitue encore un troisième. Ces demandes peuvent être articulées, mais ne doivent pas être confondues dans une seule formule vague demandant de « faire opposition ».

Il faut communiquer immédiatement les références utilisables : compte débité, montant, date, identifiant du virement, IBAN destinataire, coordonnées du véritable fournisseur et éléments révélant la fraude. Une alerte téléphonique devrait être confirmée par écrit, avec conservation de l’heure, du canal utilisé et des réponses reçues. La qualité des informations permet de traiter l’opération précise, plutôt que d’ouvrir seulement un dossier général de réclamation.

Le virement instantané rend cette réaction particulièrement urgente. Il ne faut pas annoncer au client qu’il disposerait d’un délai de rétractation comparable à celui de certains achats en ligne. Une fois l’opération exécutée, la restitution dépend d’un mécanisme distinct. L’impossibilité d’une révocation ordinaire ne signifie cependant pas qu’il faille renoncer à alerter, à demander un rappel ou à poursuivre les recours disponibles.

Lorsque la banque refuse de rembourser au motif qu’elle a suivi l’IBAN fourni, il reste utile de demander quelles démarches de récupération ont été engagées et à quelle heure. Dans les cas couverts par l’article L. 133-21, l’absence de responsabilité pour l’identifiant inexact n’efface pas les obligations de récupération et d’information prévues par ce texte. [4]

Un retard allégué dans le traitement de l’alerte doit être analysé pour lui-même. Il faut établir les fonds qui pouvaient encore être récupérés et la probabilité qu’une diligence appropriée aurait changé l’issue. Il serait excessif d’attribuer automatiquement à un retard toute la perte initiale si l’argent avait déjà disparu. À l’inverse, l’échec final du rappel ne suffit pas à démontrer que toutes les diligences utiles ont été accomplies à temps.

Déposer plainte sans attendre d’avoir résolu toutes les responsabilités civiles

La plainte doit décrire les faits et joindre les éléments disponibles. Il n’est pas nécessaire de connaître déjà l’identité civile de l’escroc ou de disposer d’une expertise informatique complète pour signaler le détournement. Le montant, les comptes concernés, la chronologie, les courriels et les documents frauduleux peuvent être fournis, puis complétés au fil des constatations. Le dispositif public Cybermalveillance recommande une action rapide auprès de la banque et des autorités, parallèlement à la conservation des preuves. [18]

Selon les faits, les qualifications pénales peuvent concerner notamment l’escroquerie et, lorsqu’une intrusion est établie, des atteintes à un système de traitement automatisé de données. Il faut éviter de présenter comme acquis le piratage d’un système déterminé si la seule donnée connue est une adresse de courriel imitée. La description exacte des faits est plus utile qu’une accumulation de qualifications non étayées.

La plainte ne suspend pas automatiquement la dette envers le fournisseur. Elle ne vaut pas non plus reconnaissance par les autorités d’une faute bancaire. Elle peut soutenir l’enquête, permettre des recherches et contribuer à documenter d’autres démarches, mais elle ne remplace ni la contestation adressée à la banque ni la déclaration de sinistre à l’assureur.

Il ne faut pas davantage attendre passivement l’issue de l’enquête pour surveiller les délais civils. Les personnes poursuivies, les juridictions compétentes et les fondements peuvent être différents. L’organisation utile consiste à suivre un calendrier commun recensant les démarches pénales, bancaires, contractuelles et judiciaires, sans supposer qu’une seule action préserve l’ensemble.

Le délai de soixante-douze heures en assurance cyber doit être identifié immédiatement

L’article L. 12-10-1 du Code des assurances subordonne le versement d’une indemnité prévue par une clause couvrant les pertes et dommages causés par certaines atteintes à un système de traitement automatisé de données au dépôt d’une plainte dans les soixante-douze heures suivant la connaissance de l’atteinte par la victime. Il vise les personnes morales et les personnes physiques dans le cadre de leur activité professionnelle. [15]

Ce texte justifie un réflexe rapide, mais aussi une qualification exacte. Il ne faut pas transformer toute fraude par courriel en intrusion informatique ni affirmer que toutes les assurances couvrent le détournement d’un virement. Une usurpation par adresse ressemblante, sans atteinte au système de l’assuré, peut soulever une analyse différente. Le contrat et les circonstances doivent être examinés, tout en préservant sans attendre la possibilité de déposer plainte dans le délai utile.

La déclaration à l’assureur constitue une démarche distincte. Il faut retrouver la police, les conditions particulières et les avenants, identifier la garantie éventuellement concernée et respecter ses modalités. Une assurance dénommée « cyber » peut couvrir certains frais de réponse à incident sans prendre en charge tous les transferts volontairement ordonnés sous l’effet d’une tromperie. Une garantie fraude peut prévoir un périmètre, un plafond et des conditions différents.

Le dossier doit distinguer la somme détournée, les frais d’investigation, les frais de remise en état, les pertes d’exploitation et les frais de défense. Les franchises, plafonds, exclusions et conditions de mise en œuvre ne sont pas nécessairement identiques pour tous ces postes. L’assuré doit demander une position motivée sur la garantie pertinente, plutôt que se satisfaire d’un refus général au motif que « le virement a été validé ».

Il faut aussi vérifier les conditions de recours à un prestataire informatique ou à un expert. Certaines polices organisent l’assistance et l’intervention de partenaires déterminés. La nécessité de contenir rapidement l’attaque doit être conciliée, autant que possible, avec ces dispositions. Les dépenses engagées doivent être documentées, avec leur objet et leur nécessité, pour éviter qu’une discussion de garantie s’ajoute à une absence de justificatifs.

Enfin, un accord avec le fournisseur ou la banque peut affecter le recours de l’assureur après indemnisation. Avant de renoncer à une action, il faut vérifier la subrogation et les engagements souscrits. La recherche d’un règlement amiable reste possible ; elle doit simplement intégrer les droits de ceux qui ont déjà indemnisé ou pourraient indemniser le sinistre.

Le délai de notification des données personnelles répond à une autre logique

Si une messagerie ou un système contenant des données personnelles a été compromis, l’entreprise doit également apprécier ses obligations au titre du RGPD. Une violation présentant un risque pour les droits et libertés doit, sous les conditions applicables, être notifiée à la CNIL dans les meilleurs délais et, si possible, dans les soixante-douze heures après sa connaissance. Un risque élevé peut imposer l’information des personnes concernées. [19]

Il ne faut pas confondre ce calendrier avec celui du dépôt de plainte prévu par le Code des assurances. Le destinataire, le fait déclencheur et la finalité ne sont pas les mêmes. Une notification à la CNIL ne remplace pas une plainte ; une plainte ne dispense pas d’évaluer la violation de données. L’entreprise doit documenter l’incident et son analyse, y compris lorsque les conditions d’une notification ne sont pas réunies.

Identifier le bon défendeur avant d’engager les frais d’une procédure

La perspective d’un recours dépend aussi de l’identité et de la solvabilité de la personne poursuivie. Le titulaire apparent du compte peut avoir servi de relais avant un transfert vers d’autres comptes. Il peut avoir reçu des fonds sans être l’auteur de tous les messages frauduleux. L’action en restitution et l’action en responsabilité doivent être construites à partir de ce qui peut être établi contre lui.

Il faut éviter de diriger toutes les demandes vers l’intervenant le plus visible sans vérifier la cause juridique de son obligation. La banque du payeur, la banque destinataire, le fournisseur, l’intermédiaire commercial et le prestataire informatique n’ont pas accompli les mêmes actes. Le montant réclamé à chacun doit correspondre au dommage dont la réparation peut lui être demandée, avec une articulation empêchant toute double indemnisation.

L’appel en garantie peut être utile lorsque plusieurs responsabilités sont susceptibles d’être discutées dans un même litige. Il n’est cependant pas toujours possible ni opportun de regrouper toutes les personnes dans une seule procédure, notamment en présence de clauses de compétence ou d’acteurs étrangers. Le choix doit tenir compte de la recevabilité, des délais, des coûts et de la possibilité réelle d’exécuter la décision.

Une démarche transfrontalière commence par des questions simples : dans quel pays se trouve le compte ? Quelle entité juridique le tient ? Où se trouve le défendeur ? Quel droit gouverne le rapport concerné ? La seule utilisation d’un IBAN européen ne donne pas une réponse uniforme. Les mécanismes européens de coopération ou de recouvrement peuvent être utiles, sous réserve de leur champ et de leurs conditions.

Une mesure conservatoire peut protéger le recouvrement, sous conditions

L’article L. 511-1 du Code des procédures civiles d’exécution permet, lorsque la créance paraît fondée en son principe et que des circonstances menacent son recouvrement, de solliciter l’autorisation d’une mesure conservatoire. Dans un détournement de fonds, cette piste peut mériter un examen rapide lorsque des biens ou des comptes saisissables ont été identifiés. Elle ne garantit pas que les sommes sont encore disponibles. [20]

La demande suppose un dossier sur la créance et sur le risque. Le simple souhait de geler le patrimoine de toute personne liée au virement ne suffit pas. Il faut choisir le débiteur visé, la mesure adaptée et la juridiction compétente, puis respecter les formalités et les délais nécessaires pour conserver les effets de la mesure.

Lorsque le compte est à l’étranger, une décision française ne doit pas être présentée comme immédiatement opérante partout. Il peut être nécessaire d’utiliser une procédure locale ou un instrument européen adapté. L’utilité économique de la mesure dépend de la rapidité d’accès aux informations, du coût et des chances de trouver un actif. Un examen précoce permet de décider avant que les démarches ordinaires aient consommé le temps disponible.

Évaluer le préjudice sans additionner des sommes qui se recouvrent

Le montant détourné constitue le point de départ, mais le préjudice allégué doit être rapproché de ce qui a été récupéré. Une banque peut restituer une partie des fonds ; un assureur peut verser une indemnité assortie d’une franchise ; le fournisseur peut consentir une remise ; une saisie peut produire un paiement. Ces événements doivent être intégrés au décompte avant toute demande définitive.

Les frais annexes doivent être justifiés et reliés à la faute invoquée. Il peut s’agir, selon le cas, de frais bancaires, d’investigation, de financement temporaire ou d’autres conséquences démontrables. Une difficulté de trésorerie ne prouve pas automatiquement l’intégralité d’une perte commerciale ultérieure. Il faut documenter les échéances, les décisions rendues nécessaires par l’incident et les autres causes possibles.

Lorsque la faute reprochée est un retard dans l’alerte ou dans une tentative de récupération, le préjudice peut soulever une question de perte de chance. Il faut alors démontrer la chance réelle qui a été perdue, et non réclamer mécaniquement tout le montant du détournement sans lien avec cette faute. La qualification exacte influence le calcul autant que la preuve.

Le second règlement au fournisseur doit, lui aussi, être conservé au dossier. Il permet de montrer comment la situation commerciale a été régularisée, mais n’autorise pas à compter deux fois la même somme comme dommage. Le coût économique peut être aggravé par le financement nécessaire ; cette aggravation doit être distinguée du paiement de la dette initialement due.

Les contrôles à instaurer doivent porter sur le changement de coordonnées

La prévention la plus utile s’attache à l’événement qui ouvre la possibilité du détournement : la création ou la modification d’un bénéficiaire. Il est préférable de vérifier le changement auprès d’un interlocuteur connu, en utilisant un numéro déjà établi, plutôt que de répondre au message qui vient précisément d’annoncer de nouvelles coordonnées. Un numéro fourni dans le courriel suspect ne constitue pas un canal indépendant.

L’entreprise peut organiser une séparation entre la personne qui modifie la fiche fournisseur et celle qui autorise le paiement. Encore faut-il que la seconde dispose d’une preuve de vérification, et pas seulement d’un indicateur « validé » saisi par la première. Le contrôle doit être proportionné aux risques, mais il doit avoir un contenu réel et laisser une trace exploitable.

Un fournisseur peut, de son côté, annoncer ses procédures de changement de compte, maintenir à jour ses interlocuteurs et réagir rapidement lorsqu’une tentative d’usurpation est identifiée. Une mention sur une facture demandant de vérifier tout changement par téléphone peut être utile. Elle ne crée pas, par elle-même, une exonération absolue de responsabilité ; elle contribue à une organisation et doit être cohérente avec les pratiques effectivement suivies.

Un paiement test de faible montant ne certifie pas, à lui seul, l’identité du bénéficiaire : un fraudeur peut confirmer l’avoir reçu. La question reste de savoir qui confirme et par quel canal. De même, le retour d’un premier virement n’établit pas nécessairement que des coordonnées de remplacement envoyées ensuite sont authentiques. Les contrôles ne doivent pas être abandonnés au moment où une difficulté technique rend les équipes pressées de finaliser le règlement.

Le travail juridique en amont consiste à rendre ces étapes opposables et compréhensibles : habilitations claires, circuit de modification connu, clauses adaptées, assurance cohérente avec le risque et conservation des preuves. Le travail contentieux consiste ensuite à vérifier ce qui a réellement été fait. Une procédure écrite que personne n’applique protège moins qu’un contrôle simple, exécuté et documenté.

La décision à prendre après un faux RIB

Le client trompé doit d’abord faire traiter le virement, préserver ses preuves et ses garanties, puis répondre à la demande du fournisseur sur des fondements précis. Le fournisseur doit établir sa créance, sécuriser ses communications et examiner loyalement les éléments susceptibles de mettre en cause sa propre conduite. Chacun a intérêt à coopérer à la récupération des fonds sans confondre cette coopération avec une renonciation à ses droits.

Depuis l’arrêt du 17 juin 2026, l’argument tiré de la seule bonne foi ne suffit plus à soutenir que le règlement à l’usurpateur a éteint la dette. Le choix du recours doit ensuite suivre les faits : coordonnées frauduleuses saisies par le client, ordre altéré après validation, opération non consentie, vérification du bénéficiaire défaillante ou faute distincte d’un partenaire. C’est en reconstituant cette chaîne, et en agissant avant la disparition des preuves et l’expiration des délais, que l’on peut déterminer qui doit réellement supporter la perte.

Sources juridiques et publiques

Les numéros entre crochets renvoient aux références ci-dessous. Les décisions sont distinguées des documents pédagogiques des administrations et des indications d’interprétation de la Commission européenne. Les exemples et les recommandations de constitution du dossier relèvent de l’analyse pratique exposée dans l’article.

[1] Paiement au tiers usurpateur. Cour de cassation, chambre commerciale, 17 juin 2026, n° 24-13.306, publié au Bulletin, ECLI:FR:CCASS:2026:CO00317. Voir particulièrement les paragraphes 6 à 10 et le dispositif de renvoi.

[2] Destinataire du paiement et créancier apparent. Code civil, dispositions générales sur le paiement, articles 1342 à 1342-10 ; article 1342-3.

[3] Charge de la preuve. Code civil, article 1353.

[4] Identifiant unique, récupération et information du payeur. Code monétaire et financier, notamment article L. 133-21.

[5] Exclusivité du régime et IBAN fourni par le client. Cour de cassation, chambre commerciale, 15 janvier 2025, n° 23-15.437, publié au Bulletin ; texte sur le site de la Cour de cassation.

[6] Faux RIB dans des appels de fonds de construction. Cour de cassation, chambre commerciale, 1er juillet 2026, n° 25-15.283, non publié au Bulletin. Voir les paragraphes 8 à 12. Les montants contradictoires figurant dans différentes parties du texte publié ne sont pas repris dans l’article.

[7] Falsification de l’IBAN après la rédaction de l’ordre. Cour de cassation, chambre commerciale, 1er juin 2023, n° 21-19.289 et 21-21.831, publié au Bulletin.

[8] Opérations autorisées et obligation de vigilance. Cour de cassation, chambre commerciale, 12 juin 2025, n° 24-13.697, et rectification matérielle du 19 novembre 2025 ; 12 juin 2025, n° 24-10.168 ; 19 novembre 2025, n° 24-17.780 ; 25 mars 2026, n° 24-18.093.

[9] Vérification du bénéficiaire : calendrier et fonctionnement. Comité national des moyens de paiement, guide d’utilisation de la VoP, septembre 2025, diffusé par la Banque de France ; Banque de France, le virement SEPA ; Banque de France, incidents et litiges relatifs aux virements SEPA.

[10] Mise en œuvre du règlement sur les virements instantanés. Commission européenne, DG FISMA, questions et réponses sur l’application du règlement, notamment questions 138 à 146. Ce document expose des indications d’interprétation sans préjuger de celle de la CJUE. Le dispositif est issu du règlement (UE) 2024/886 du 13 mars 2024 modifiant notamment le règlement (UE) n° 260/2012 ; les dispositions relatives à la vérification figurent dans l’article 5 quater de ce dernier, désigné « Article 5c » dans la version anglaise.

[11] Autorisation, preuve et dérogations professionnelles. Code monétaire et financier, chapitre III, notamment articles L. 133-2, L. 133-6, L. 133-7 et L. 133-23. Pour les conséquences financières de l’opération non autorisée, voir aussi les articles L. 133-18 à L. 133-20.

[12] Remboursement de l’opération non autorisée. Code monétaire et financier, article L. 133-18.

[13] Remboursement immédiat et négligence grave. CJUE, affaire C-70/25, Tukowiecka, arrêt du 15 octobre 2026 : communiqué officiel n° 147/26 ; fiche officielle de l’affaire. L’analyse de ce point s’appuie sur le communiqué officiel ; elle ne transpose pas cette solution aux virements qui ne relèvent pas du régime des opérations non autorisées.

[14] Signalement et délai applicable aux professionnels. Code monétaire et financier, article L. 133-24.

[15] Assurance cyber et dépôt de plainte. Code des assurances, article L. 12-10-1.

[16] Mesures de preuve avant tout procès. Code de procédure civile, article 145, rédaction applicable depuis le 1er septembre 2025.

[17] Référé commercial. Code de procédure civile, article 873.

[18] Démarches pratiques contre la fraude au virement. Cybermalveillance.gouv.fr, fiche sur les faux ordres de virement, mise à jour le 14 octobre 2026.

[19] Violation de données personnelles. CNIL, notifier une violation de données personnelles ; CNIL, règles à suivre.

[20] Mesures conservatoires. Code des procédures civiles d’exécution, article L. 511-1.

[21] Compensation. Code civil, articles 1347 et 1347-1.

[22] Responsabilité contractuelle. Code civil, article 1231-1.