La fraude au RIB et la fin du créancier apparent : l’arrêt du 17 juin 2026 ou la construction d’un nouveau régime de responsabilité
La fraude au changement de coordonnées bancaires, désignée sous l’acronyme FOVI (fraude au changement de RIB ou au fournisseur), a causé 183 millions d’euros de pertes en 2024 selon l’Observatoire de la sécurité des moyens de paiement de la Banque de France, en progression de 12 % sur un an. Ce phénomène, qui consiste à intercepter une communication entre un créancier et son débiteur pour y substituer un relevé d’identité bancaire frauduleux, place le droit des obligations devant une difficulté théorique majeure : le paiement effectué de bonne foi entre les mains de l’usurpateur est-il libératoire ? La chambre commerciale de la Cour de cassation, par un arrêt de formation plénière du 17 juin 2026 promis à la plus large diffusion, a tranché : l’usurpateur d’identité n’est pas un créancier apparent au sens de l’article 1342-3 du code civil. Cette décision, qui met fin à une jurisprudence de fond casuistique et hétérogène, s’inscrit dans un mouvement jurisprudentiel plus large amorcé depuis 2023 par la même chambre, visant à clarifier l’articulation entre le droit commun des obligations et le régime spécial des services de paiement issu du code monétaire et financier. L’analyse de cette construction prétorienne constitue l’objet de la présente étude.
I. La clarification du concept de créancier apparent en matière de fraude bancaire
A. L’usurpation d’identité exclue du champ de l’article 1342-3 du code civil
L’arrêt rendu le 17 juin 2026 par la chambre commerciale, financière et économique de la Cour de cassation, en formation plénière, sous le numéro de pourvoi 24-13.306, publié au Bulletin et au Rapport, constitue la première prise de position de la Haute juridiction sur l’interprétation de l’article 1342-3 du code civil en présence d’une fraude au RIB. Le visa de l’arrêt est limpide : « Aux termes de ce texte, le paiement fait de bonne foi à un créancier apparent est valable. » Mais la Cour ajoute immédiatement, dans un attendu de principe qui fera date : « N’est pas créancier apparent, au sens de ce texte, le tiers qui usurpe l’identité du créancier » (Com., 17 juin 2026, FP-B+R, n° 24-13.306).
L’espèce soumise à la Cour de cassation présentait des faits caractéristiques du phénomène de la FOVI. Une société italienne, Eazybunker, agissant comme courtier pour le compte d’une société maltaise, Sea Fleurs, avait acquis du gazole auprès d’une société française, Petrogarde, pour l’avitaillement d’un yacht à Marseille. Postérieurement à la transaction, le courtier avait reçu un courriel provenant d’une adresse électronique falsifiée, comportant en pièce jointe un relevé d’identité bancaire modifié. Le paiement avait été effectué sur ce compte frauduleux. La cour d’appel d’Aix-en-Provence, par un arrêt du 21 décembre 2023, avait jugé le paiement libératoire au motif que le débiteur « avait pu légitimement croire qu’il avait affaire à son créancier ». La Cour de cassation censure cette analyse au visa de l’article 1342-3 du code civil, estimant que « la cour a violé, par fausse application, le texte susvisé » dès lors qu’il ressortait de ses propres constatations que le débiteur « savait que son créancier était la société Petrogarde » et n’avait pas payé « à un créancier apparent, mais à une personne se faisant passer frauduleusement pour la société Petrogarde » (Com., 17 juin 2026, précité).
La portée de cette solution est considérable. Elle rompt avec l’approche casuistique qui prévalait jusqu’alors devant les juges du fond, lesquels appréciaient souverainement le caractère libératoire du paiement en fonction des indices de négligence du débiteur. Ainsi, certaines juridictions jugeaient le paiement libératoire lorsque la fraude n’était pas décelable à la lecture du courriel (Nancy, 25 septembre 2023, n° 22/02049) ou lorsque le message et le RIB présentaient une apparence d’authenticité (TJ Lyon, 7 janvier 2025, n° 24/06246 ; TJ Paris, 14 janvier 2025, n° 24/03208). D’autres, au contraire, refusaient le caractère libératoire en relevant des anomalies qui auraient dû alerter le débiteur (Riom, 20 mai 2025, n° 24/01822 ; Paris, 21 décembre 2023, n° 20/16722). En énonçant un principe de portée générale — l’usurpateur d’identité n’est pas un créancier apparent — la Cour de cassation substitue à la casuistique du fond une règle de droit claire et prévisible, dont la source est l’interprétation de l’article 1342-3 du code civil.
Cette solution s’inscrit dans la continuité de la jurisprudence de la chambre commerciale relative à la distinction entre la notion de créancier apparent et celle de créancier putatif. Déjà, la cour d’appel de Bordeaux, par un arrêt du 12 mars 2025, avait relevé que le paiement effectué sur la foi d’un RIB falsifié ne pouvait être tenu pour libératoire dès lors que l’escroc ne bénéficiait d’aucune apparence légitime de créance. La Cour de cassation consacre et systématise cette analyse en lui conférant l’autorité d’un attendu de principe.
B. La distinction entre créancier apparent et usurpateur d’identité
L’apport théorique majeur de l’arrêt du 17 juin 2026 réside dans la distinction qu’il opère entre le créancier apparent, seul bénéficiaire de la règle protectrice de l’article 1342-3 du code civil, et l’usurpateur d’identité, qui en est exclu. Cette distinction était latente dans la jurisprudence antérieure mais n’avait jamais été formulée avec une telle netteté. La théorie de l’apparence, dont l’article 1342-3 constitue une application légale en matière de paiement, postule que le tiers qui a légitimement cru à l’existence d’une situation juridique conforme à la réalité apparente doit être protégé. Encore faut-il que l’apparence émane du véritable créancier ou qu’elle lui soit imputable. Or, dans l’hypothèse d’une usurpation d’identité, l’apparence est créée de toutes pièces par le fraudeur, sans aucun fait du créancier véritable.
La chambre commerciale rejoint ainsi la position qu’avait esquissée la cour d’appel de Montpellier dans un arrêt du 26 septembre 2024, selon laquelle « le paiement n’a pas été fait à un créancier apparent mais à un faux créancier ayant usurpé l’identité du créancier véritable », de sorte que « celui-ci n’a jamais investi l’escroc d’une quelconque possession de sa créance. » L’arrêt du 17 juin 2026 valide pleinement ce raisonnement et lui donne une portée normative en le rattachant à l’interprétation de l’article 1342-3 du code civil. Il en résulte une conséquence pratique immédiate : le débiteur qui a payé entre les mains de l’usurpateur n’est pas libéré et demeure tenu de payer le véritable créancier, ce qui le contraint à supporter la charge de la fraude, sauf à pouvoir exercer un recours contre l’escroc ou, le cas échéant, contre le prestataire de services de paiement.
Cette solution place le débiteur dans une situation délicate. Il subit une double peine : il doit payer une seconde fois le montant de la dette entre les mains du créancier véritable tout en ayant perdu les fonds versés à l’escroc. La Cour de cassation assume cette rigueur en considérant que la protection du créancier véritable, dont l’identité a été usurpée sans qu’aucune faute ne lui soit imputable, doit prévaloir sur celle du débiteur, fût-il de bonne foi. Le choix de politique jurisprudentielle est clair : c’est au débiteur, partie au contrat, qu’il incombe de vérifier l’authenticité des coordonnées bancaires qui lui sont communiquées, et non au créancier de répondre d’une usurpation dont il est lui-même victime. Par ailleurs, cette solution a le mérite de ne pas faire dépendre le caractère libératoire du paiement d’une appréciation subjective des diligences du débiteur, source d’insécurité juridique.
Il convient toutefois de nuancer la rigueur de la solution en observant qu’elle ne ferme pas toute voie d’indemnisation au débiteur victime de la fraude. Celui-ci conserve la possibilité d’engager, sur le fondement du droit commun de la responsabilité civile, une action contre le fraudeur lorsqu’il peut être identifié. Il peut également, dans les conditions qui seront examinées dans la seconde partie de cette étude, rechercher la responsabilité du prestataire de services de paiement, notamment lorsque le banquier teneur du compte de l’escroc a manqué à son obligation de vigilance lors de l’ouverture dudit compte. La cour d’appel de Versailles, par un arrêt du 19 mai 2026, a ainsi rappelé que « le banquier est tenu d’un devoir général de vigilance qui l’oblige à détecter et dénoncer les anomalies apparentes, matérielles ou intellectuelles, identifiées dans l’exécution de ses missions » (CA Versailles, 19 mai 2026, n° 25/02628).
II. L’articulation avec le régime de responsabilité des prestataires de services de paiement
A. L’exclusivité du régime du code monétaire et financier
L’arrêt du 17 juin 2026 ne saurait être lu isolément. Il s’inscrit dans une construction jurisprudentielle cohérente de la chambre commerciale relative à l’articulation entre le droit commun des obligations et le régime spécial des opérations de paiement issu du code monétaire et financier. Cette construction a été amorcée par deux arrêts du 15 janvier 2025, rendus le même jour en formation de section et publiés au Bulletin, qui ont posé le principe de l’exclusivité du régime de responsabilité des prestataires de services de paiement.
Dans le premier de ces arrêts, la chambre commerciale a énoncé que « dès lors que la responsabilité d’un prestataire de services de paiement est recherchée en raison d’une opération de paiement non autorisée ou mal exécutée, seul est applicable le régime de responsabilité défini aux articles L. 133-18 à L. 133-24 du code monétaire et financier, à l’exclusion de tout régime alternatif de responsabilité résultant du droit national » (Com., 15 janvier 2025, Publié Bulletin, n° 23-15.437). Elle a notamment jugé que l’article L. 133-21 du même code, selon lequel « un ordre de paiement exécuté conformément à l’identifiant unique fourni par l’utilisateur du service de paiement est réputé dûment exécuté pour ce qui concerne le bénéficiaire désigné par l’identifiant unique », est exclusif de toute application des règles de droit commun. La cour d’appel qui avait cru pouvoir retenir que ce texte « ne dispense pas le banquier de son obligation de vigilance en vertu de laquelle il lui appartient de vérifier la régularité des opérations bancaires qui lui sont soumises en contrôlant l’absence d’anomalie apparente » a été censurée pour violation de la loi.
Cette solution trouve son fondement dans la jurisprudence de la Cour de justice de l’Union européenne, que la chambre commerciale cite expressément. Dans son arrêt Beobank du 16 mars 2023 (C-351/21), la Cour de Luxembourg a en effet jugé que « le régime de responsabilité des prestataires de services de paiement prévu à l’article 60, paragraphe 1, de la directive 2007/64 ainsi qu’aux articles 58 et 59 de cette directive a fait l’objet d’une harmonisation totale », de sorte que « sont incompatibles avec ladite directive tant un régime de responsabilité parallèle au titre d’un même fait générateur qu’un régime de responsabilité concurrent qui permettrait à l’utilisateur de services de paiement d’engager cette responsabilité sur le fondement d’autres faits générateurs » (Com., 15 janvier 2025, précité, citant CJUE, 16 mars 2023, Beobank, C-351/21). La chambre commerciale en a déduit que la responsabilité contractuelle de droit commun résultant de l’article 1231-1 du code civil n’est pas applicable en présence d’un régime de responsabilité exclusif.
La portée de cette exclusivité a toutefois été précisée par un arrêt du 19 novembre 2025, également publié au Bulletin. La chambre commerciale y a jugé que le régime exclusif du code monétaire et financier « ne s’applique qu’aux opérations de paiement non autorisées ou mal exécutées », de sorte que lorsque l’opération a été autorisée et régulièrement exécutée, la responsabilité de droit commun de la banque peut être recherchée sur le fondement de l’obligation contractuelle de vigilance. Elle a cependant censuré la cour d’appel qui avait retenu un manquement à cette obligation en se fondant sur « des motifs impropres à caractériser l’existence d’anomalies apparentes », rappelant que « le banquier, tenu à l’obligation de ne pas s’immiscer dans les affaires de son client, ne doit l’alerter qu’en présence d’anomalies apparentes aisément décelables par un professionnel normalement diligent » (Com., 19 novembre 2025, Publié Bulletin, n° 24-17.056).
L’articulation entre ce régime de responsabilité et la solution dégagée par l’arrêt du 17 juin 2026 est essentielle. Lorsque le débiteur a effectué le virement sur la foi d’un RIB falsifié, l’opération de paiement est autorisée au sens des articles L. 133-6 et L. 133-7 du code monétaire et financier : le payeur a bien donné son consentement à l’opération et à son montant. Il s’agit donc d’une opération de paiement autorisée mais dont le bénéficiaire effectif n’est pas le créancier véritable. Dans cette hypothèse, le régime de responsabilité du code monétaire et financier ne trouve pas à s’appliquer, puisqu’il n’y a ni opération non autorisée ni mauvaise exécution. Le débiteur ne peut donc pas obtenir du prestataire de services de paiement le remboursement des fonds sur le fondement de l’article L. 133-18 du code monétaire et financier. Il doit se tourner vers le droit commun, soit en invoquant un manquement de la banque à son obligation de vigilance — sur le fondement de l’article 1231-1 du code civil — soit en agissant directement contre l’escroc sur le fondement de la responsabilité civile délictuelle.
Cette distinction avait été clairement posée par un arrêt antérieur de la chambre commerciale, rendu le 1er juin 2023 et publié au Bulletin. La Cour y avait jugé que « ne constitue pas une opération autorisée un ordre de virement régulier lors de sa rédaction mais dont le numéro IBAN du compte destinataire a été ultérieurement modifié par un tiers à l’insu du donneur d’ordre » (Com., 1er juin 2023, Publié Bulletin, n° 21-19.289). Dans cette hypothèse, le régime protecteur de l’article L. 133-18 du code monétaire et financier trouve pleinement à s’appliquer et impose au prestataire de services de paiement de rembourser immédiatement le payeur. La frontière entre l’opération non autorisée et l’opération autorisée mais frauduleusement détournée est ainsi au cœur de l’office du juge et commande l’application de régimes de responsabilité radicalement différents.
B. Les conséquences pratiques pour les entreprises et les praticiens
La combinaison de l’arrêt du 17 juin 2026, qui écarte la qualification de créancier apparent, et de la jurisprudence désormais bien établie sur l’exclusivité du régime du code monétaire et financier, produit des conséquences pratiques considérables pour les entreprises et leurs conseils, qu’il importe d’analyser méthodiquement.
En premier lieu, pour l’entreprise débitrice qui reçoit une communication de changement de coordonnées bancaires de la part de son créancier, la règle est désormais claire : si le RIB reçu est frauduleux, le paiement effectué sur ce compte ne sera pas libératoire et le créancier véritable pourra toujours en exiger le règlement. La bonne foi du débiteur, qui était le critère central de l’application de l’article 1342-3 du code civil, devient indifférente lorsque l’interlocuteur n’est pas un créancier apparent mais un usurpateur. Cette solution, pour rigoureuse qu’elle soit, présente l’avantage de la prévisibilité. Le débiteur sait qu’il supporte le risque de la fraude et doit, en conséquence, mettre en place des procédures internes de vérification systématique de toute demande de modification de coordonnées bancaires : contre-appel téléphonique au numéro connu du créancier, vérification croisée avec les documents contractuels, confirmation écrite sur papier à en-tête. Ces diligences, sans être imposées par la loi, constituent des mesures de sauvegarde que le dirigeant avisé ne peut négliger.
En deuxième lieu, pour l’entreprise créancière dont l’identité a été usurpée, la protection est renforcée. La solution de l’arrêt du 17 juin 2026 garantit qu’elle ne perdra pas sa créance du seul fait de l’usurpation de son identité. Il lui est toutefois recommandé d’adopter des pratiques de communication sécurisées avec ses débiteurs, telles que l’insertion dans les factures et les courriers d’une mention invitant à vérifier toute demande de changement de RIB par un canal distinct, ou le recours à des solutions de vérification de l’IBAN. Ces précautions ne sont pas juridiquement obligatoires mais constituent des éléments de fait que le juge pourra prendre en considération dans l’appréciation d’une éventuelle faute de la victime ayant concouru à la réalisation du dommage.
En troisième lieu, le rôle du banquier teneur de compte mérite une attention particulière. La cour d’appel de Versailles, dans son arrêt du 19 mai 2026 déjà cité, a rappelé que l’obligation de vigilance à l’égard de la clientèle imposée aux organismes financiers en application des articles L. 561-4 à L. 561-14-2 du code monétaire et financier a « pour seule finalité la lutte contre le blanchiment de capitaux et le financement du terrorisme », de sorte que « la victime d’agissements frauduleux ne peut se prévaloir de leur inobservation pour réclamer des dommages-intérêts à l’organisme financier » (CA Versailles, 19 mai 2026, n° 25/02628). La Cour de cassation a d’ailleurs confirmé cette solution le 4 mars 2026, en jugeant que les obligations de vigilance issues de la réglementation anti-blanchiment ne fondent pas une action en responsabilité au profit du tiers victime d’une escroquerie (Com., 4 mars 2026, Publié Bulletin, n° 24-19.588). En revanche, le banquier demeure tenu d’un devoir général de vigilance de droit commun, qui lui impose de détecter les anomalies apparentes dans le fonctionnement du compte de son client. La cour d’appel de Versailles a toutefois précisé que ce devoir est tempéré par le principe de non-immixtion, qui « impose au banquier de ne pas procéder à des investigations sur l’origine, le motif ou l’opportunité des mouvements du compte de son client » (CA Versailles, 19 mai 2026, précité).
En quatrième lieu, la question de la responsabilité du prestataire de services de paiement du payeur doit être distinguée selon que l’opération est autorisée ou non. Lorsque le RIB a été falsifié postérieurement à l’émission de l’ordre de virement par le débiteur, l’opération n’est pas autorisée et le remboursement est dû sur le fondement de l’article L. 133-18 du code monétaire et financier. En revanche, lorsque le débiteur a lui-même émis l’ordre de virement vers le compte de l’escroc en croyant, à tort, qu’il s’agissait de celui du véritable créancier, l’opération est autorisée et le régime protecteur du code monétaire et financier ne s’applique pas. C’est dans cette seconde hypothèse, la plus fréquente en pratique, que l’arrêt du 17 juin 2026 prend tout son sens : le débiteur ne peut ni se prévaloir du caractère libératoire du paiement sur le fondement de l’article 1342-3 du code civil, ni obtenir un remboursement automatique sur le fondement de l’article L. 133-18 du code monétaire et financier. Sa seule voie de recours est d’établir une faute de la banque sur le terrain du droit commun de la responsabilité civile, ce qui suppose de démontrer l’existence d’anomalies apparentes que le banquier aurait dû déceler.
Cette articulation des régimes de responsabilité, pour complexe qu’elle soit, présente une cohérence d’ensemble qui mérite d’être soulignée. La chambre commerciale a construit, par touches successives depuis 2023, un système dans lequel la protection du créancier véritable est assurée par l’interprétation stricte de l’article 1342-3 du code civil, la protection du payeur est garantie par le régime spécial de responsabilité du code monétaire et financier en cas d’opération non autorisée, et la responsabilité du banquier est cantonnée aux hypothèses d’anomalies apparentes caractérisées, conformément au principe de non-immixtion. Ce système, s’il laisse subsister une zone de risque pour le débiteur qui aura été victime d’une fraude sans pouvoir démontrer une faute du banquier, a le mérite de la clarté et de la prévisibilité.
Enfin, il convient d’évoquer les conséquences de cette jurisprudence sur le plan probatoire. Le débiteur qui entend contester le caractère libératoire du paiement ou rechercher la responsabilité de la banque devra rapporter la preuve de la fraude, ce qui suppose de démontrer que le RIB sur lequel le virement a été effectué n’était pas celui du créancier véritable mais celui du fraudeur. Cette preuve, qui peut sembler simple en théorie, se heurte en pratique à des difficultés significatives : l’escroc a souvent disparu, le compte bancaire de réception a été clôturé, et les fonds ont été transférés à l’étranger par des circuits complexes. Le dépôt d’une plainte pénale, sans être une condition de l’action civile, constitue un préalable utile pour obtenir des éléments de preuve par le biais de l’enquête. Le débiteur diligent veillera également à conserver l’intégralité des échanges électroniques avec le fraudeur, les relevés d’identité bancaire falsifiés, et les justificatifs du virement litigieux.
Par ailleurs, l’assurance des risques informatiques et de fraude, souscrite par un nombre croissant d’entreprises, peut constituer une source d’indemnisation complémentaire pour le débiteur victime. Les contrats d’assurance couvrant le risque de cybercriminalité incluent généralement les fraudes au changement de RIB dans le périmètre des garanties. Il appartient au dirigeant de vérifier l’étendue de cette couverture et, le cas échéant, de la renforcer en intégrant une clause spécifique relative à la fraude aux virements.
La combinaison des solutions jurisprudentielles exposées ci-dessus invite à une conclusion simple : face à la fraude au RIB, la vigilance contractuelle et organisationnelle demeure la meilleure protection. L’arrêt du 17 juin 2026, en écartant la qualification de créancier apparent, renforce l’obligation pour le débiteur de vérifier l’authenticité des coordonnées bancaires avant tout paiement, tandis que la jurisprudence sur le régime exclusif du code monétaire et financier ne lui ouvre un droit à remboursement automatique que dans l’hypothèse, relativement rare en pratique, d’une modification du RIB postérieure à l’émission de l’ordre de virement.
Conclusion
L’arrêt de la chambre commerciale du 17 juin 2026 constitue un jalon essentiel dans la construction du régime juridique de la fraude au RIB. En écartant l’application de l’article 1342-3 du code civil à l’usurpateur d’identité, il met fin à l’incertitude qui résultait de la casuistique des juges du fond et pose une règle claire : le débiteur qui paie sur la foi d’un RIB falsifié n’est pas libéré de sa dette envers le créancier véritable. Cette solution, conjuguée aux principes dégagés par la chambre commerciale depuis 2023 sur l’exclusivité du régime de responsabilité des prestataires de services de paiement, dessine un paysage juridique désormais lisible, dans lequel chaque acteur — débiteur, créancier, banquier — voit sa responsabilité définie avec précision. La sécurité juridique qui en résulte, pour l’ensemble des opérateurs économiques, justifie la rigueur de la solution. Il appartient désormais aux praticiens d’en tirer les conséquences dans la rédaction des actes, la mise en place des procédures internes et le conseil aux dirigeants.
Transmettez les pièces de votre dossier au cabinet. Maître Reda KOHEN vous répond personnellement sous 24 heures avec une première analyse stratégique.