Le 1^er septembre 2026, l’Autorité des marchés financiers a alerté les professionnels après plusieurs signalements de courriels usurpant son identité. Les messages invitent leurs destinataires, régulés ou non par l’AMF, à signer des documents à la suite d’un prétendu « avis de violation de l’AMF ». Leur objet peut afficher « [Action requise] Avis de violation de l’AMF | ref ::#<numéro> » et une adresse d’expédition présentant le nom « AMF Autorité des Marchés Financiers – AMF_Service @amf-france.org », alors que l’adresse technique réelle peut se terminer par eigen.eng.br ou laxmipackaging.co.in. L’alerte officielle de l’AMF demande de ne pas donner suite.

Une entreprise qui reçoit ce message ne doit ni cliquer, ni répondre, ni signer, ni transférer la pièce jointe à plusieurs collaborateurs. Elle doit conserver l’original du courriel, prévenir immédiatement les personnes qui peuvent engager un paiement ou communiquer une information, puis vérifier si une boîte aux lettres, un poste ou un compte bancaire a été compromis. La situation devient plus urgente encore si un salarié a renseigné un mot de passe, si un document a été signé, si un RIB a été remplacé ou si un virement est parti.

La difficulté est double. Il faut neutraliser une attaque en cours tout en construisant une preuve exploitable : en-têtes techniques, chronologie, journaux de connexion, échanges avec la banque, pièces jointes, captures et témoignages. Il faut aussi choisir la bonne qualification juridique sans transformer une simple tentative de hameçonnage en infraction déjà établie. La réponse suivante distingue donc le réflexe immédiat, la conservation des preuves, la plainte, les mesures judiciaires et la discussion avec la banque ou l’assureur.

I. Faux courriel AMF reçu par une entreprise : comment reconnaître la fraude et protéger les preuves ?

A. Quels indices montrent qu’un « avis de violation » n’est pas une procédure AMF ?

Le premier indice est le décalage entre l’apparence du message et son circuit réel. Un expéditeur peut afficher le nom d’un régulateur, son logo et une adresse qui semble officielle dans l’interface de messagerie. Cette présentation ne prouve pas que le message a été envoyé par l’AMF. Le champ visible « De » peut être falsifié, l’adresse de réponse peut rediriger vers une autre boîte et les liens peuvent conduire vers un domaine sans rapport avec l’organisme imité. Le message signalé par l’AMF joue précisément sur cette confusion : l’objet est alarmant, un numéro de référence lui donne une allure de dossier et l’instruction de signer crée une pression procédurale artificielle.

Le deuxième indice tient à la demande. Un destinataire doit se demander ce que le document lui ferait accomplir : ouvrir un espace, transmettre une pièce d’identité, confirmer un compte, signer un formulaire, payer une prétendue sanction ou communiquer des codes. Une autorité administrative ou un régulateur ne se vérifie pas au moyen du lien reçu dans un courriel suspect. Il faut ouvrir séparément le site officiel, retrouver la page de contact publique, puis demander une confirmation par un canal indépendant. Le numéro ou le lien indiqué dans le message ne constitue pas ce canal indépendant.

Le troisième indice est technique. Dans une entreprise, l’équipe informatique ou le prestataire de sécurité doit examiner l’adresse complète, les champs Reply-To, Return-Path, les lignes Received, le domaine d’envoi, les résultats SPF, DKIM et DMARC, l’identifiant de message et les éventuelles redirections. Une simple capture de l’écran de la boîte de réception est utile pour la chronologie mais rarement suffisante pour attribuer l’envoi. Il faut exporter le message au format original, généralement .eml ou .msg, sans le réenregistrer dans un traitement de texte. La copie doit conserver les pièces jointes, leur nom, leur taille et, si possible, leur empreinte cryptographique.

Le quatrième indice est comportemental. Un courriel qui exige le secret, interdit de prévenir la direction, fixe un délai très court ou menace d’une sanction immédiate doit être traité comme une tentative de manipulation. Le ton sérieux ou le vocabulaire juridique ne change rien. La référence à un « avis de violation » ne crée pas, à elle seule, une procédure contradictoire, une amende ou une obligation de signature. Le dirigeant doit suspendre la chaîne d’action au lieu de chercher à satisfaire le prétendu émetteur.

Cette prudence n’est pas seulement informatique. Elle protège la qualification future des faits. L’article 441-1 du code pénal définit le faux comme une altération frauduleuse de la vérité accomplie dans un écrit ou un support pouvant établir la preuve d’un droit ou d’un fait à conséquences juridiques. L’entreprise ne doit pas affirmer, avant analyse, que toute pièce jointe constitue un faux pénal. Elle doit en revanche conserver l’objet, le document et les éléments qui montrent l’usage du nom, du logo ou de la signature de l’AMF. La qualification pourra être discutée dans la plainte et précisée par l’enquête.

L’usurpation du régulateur peut également relever de plusieurs qualifications selon ce que le message a permis d’obtenir. L’article 313-1 du code pénal vise notamment le fait, soit par l’usage d’un faux nom ou d’une fausse qualité, soit par l’abus d’une qualité vraie, soit par l’emploi de manoeuvres frauduleuses, de tromper une personne physique ou morale et de la déterminer à remettre des fonds, un bien, un service ou à consentir un acte. Un courriel qui ne provoque aucune remise et ne fait que tenter d’obtenir une signature ne se traite pas comme un virement consommé : la tentative, les actes préparatoires et le dommage doivent être décrits séparément.

L’article 226-4-1 du code pénal prévoit que Le fait d’usurper l’identité d’un tiers ou de faire usage d’une ou plusieurs données de toute nature permettant de l’identifier peut être puni, y compris lorsque les faits sont commis en ligne. Cette disposition vise principalement l’identité d’un tiers et ne permet pas d’étiqueter automatiquement toute imitation de marque ou de fonction. Elle donne toutefois un axe à examiner lorsque les fraudeurs reprennent le nom d’une personne, d’un salarié, d’un dirigeant ou d’un interlocuteur identifié pour convaincre la victime.

La réception du courriel ne permet pas davantage de conclure à une intrusion dans la messagerie. Si un compte a été ouvert par un tiers, si des règles de transfert ont été ajoutées ou si des données ont été extraites, les articles 323-1 et 323-3 du code pénal peuvent entrer dans l’analyse. Le premier réprime le fait Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données. Le second vise notamment le fait Le fait d’introduire frauduleusement des données dans un système de traitement automatisé, d’extraire, de détenir, de reproduire, de transmettre, de supprimer ou de modifier frauduleusement les données qu’il contient. Ces textes appellent des constatations techniques : adresse IP, authentification, règle de messagerie, journal d’administration, poste utilisé et données effectivement manipulées.

La bonne méthode consiste à préserver trois versions de la preuve. La première est l’original technique placé dans un support protégé, avec la date et la personne qui l’a exporté. La deuxième est une copie de travail destinée à l’analyse informatique, afin de ne jamais modifier la pièce conservée. La troisième est une restitution lisible : capture de l’interface, transcription des éléments importants, impression PDF et tableau chronologique. Chaque copie doit être rattachée à son empreinte ou à une note de conservation. Cette organisation est utile si l’entreprise doit démontrer qu’elle n’a pas répondu, qu’elle a agi rapidement ou qu’une action frauduleuse est intervenue après la réception du message.

B. Quelles actions accomplir dans les premières heures après le courriel ?

La première décision est de geler l’action demandée, sans supprimer le message. Le salarié qui a reçu le courriel doit prévenir le dirigeant, le responsable financier, la direction informatique et, selon l’organisation, le délégué à la protection des données. Le message doit être isolé dans la messagerie sans être transféré à des collaborateurs qui pourraient cliquer par inadvertance. Le service informatique peut créer une copie d’analyse, désactiver temporairement un compte suspect et rechercher si le même message a été distribué à d’autres boîtes.

La deuxième décision est de sécuriser les accès. Les mots de passe d’une boîte potentiellement compromise doivent être renouvelés depuis un appareil sain, avec l’authentification multifacteur activée lorsque le service le permet. Il faut examiner les sessions actives, les règles de transfert, les délégations, les applications autorisées et les appareils récemment connectés. Une modification ne doit pas effacer les journaux disponibles. Si un poste a ouvert une pièce jointe ou exécuté une macro, il doit être isolé du réseau selon les instructions du prestataire de sécurité. Il ne faut pas réinstaller ou nettoyer massivement le poste avant d’avoir préservé les traces utiles.

La troisième décision concerne les paiements. Si un salarié a préparé ou émis un virement, l’entreprise doit appeler immédiatement la banque par le numéro figurant dans le contrat ou sur son site officiel. Elle doit demander le blocage, le rappel ou la contestation de l’opération, préciser qu’elle soupçonne une fraude et obtenir un numéro de dossier. La demande doit être confirmée par écrit, mais l’écrit ne doit pas retarder l’appel. Les informations à transmettre sont l’heure, le montant, le compte débité, le compte bénéficiaire, le libellé, le canal de validation et les circonstances de la découverte.

Si aucun virement n’est parti, la banque peut quand même être prévenue lorsque le message visait les comptes, les mandats ou les procédures de paiement de la société. Une surveillance renforcée et la vérification des bénéficiaires récemment ajoutés peuvent éviter une seconde étape. L’entreprise doit vérifier ses factures, les RIB modifiés, les demandes de changement de coordonnées et les paiements en attente. La fraude ne se limite pas au lien du message : elle peut utiliser les informations récoltées pour appeler ensuite le service comptable.

La quatrième décision est d’informer les partenaires exposés. Si le courriel mentionne un fournisseur, un client, un avocat, un notaire ou une banque, l’entreprise doit les contacter par une adresse déjà connue. Elle doit avertir les salariés susceptibles de recevoir une variante, sans diffuser inutilement la pièce jointe active. Si des données personnelles apparaissent dans le message ou dans un compte compromis, le responsable du traitement doit documenter l’analyse du risque et vérifier avec le DPO si une violation de données doit être notifiée à la CNIL. La page de la CNIL sur le spam, le phishing et les arnaques rappelle de ne pas répondre ni ouvrir les éléments douteux ; elle invite aussi à conserver les originaux avant tout signalement.

La cinquième décision vise l’assurance. Une police cyber ou une garantie fraude peut imposer un appel à une plateforme d’assistance, un délai de déclaration, un dépôt de plainte ou l’intervention d’un prestataire référencé. L’entreprise doit lire les conditions particulières et la clause de déclaration sans attendre la fin de l’analyse. Une déclaration précoce, factuelle et réservée protège mieux les droits qu’un récit tardif qui mélange les hypothèses et les certitudes. Il faut demander à l’assureur quelles mesures d’urgence sont autorisées et conserver la preuve de l’appel, des courriels et des pièces transmises.

La sixième décision est le signalement. Le message peut être transmis à l’AMF par le canal retrouvé sur son site officiel, à la plateforme Cybermalveillance.gouv.fr et aux services de police ou de gendarmerie. L’alerte publique n’a pas la même fonction que la plainte de la société : le signalement aide à faire cesser la campagne, tandis que la plainte formalise un préjudice, demande une enquête et permet à la personne morale de se constituer victime. La société doit conserver la preuve de chaque démarche.

La chronologie doit être rédigée le jour même. Elle indique la réception, l’ouverture éventuelle, le clic éventuel, la saisie d’informations, la signature, la demande bancaire, le blocage, la découverte, les appels, les mesures informatiques et les signalements. Les noms des personnes doivent être associés à des faits précis : qui a reçu, qui a ouvert, qui a constaté, qui a appelé et qui a exporté l’original. Une chronologie courte et datée sera plus utile qu’un long récit rédigé plusieurs semaines plus tard.

Pour organiser cette réponse, l’entreprise peut suivre la liste suivante :

• ne pas cliquer, répondre, signer ou payer ;
• exporter le courriel original et conserver les en-têtes complets ;
• isoler les comptes et appareils potentiellement compromis ;
• appeler la banque si un paiement ou un changement de RIB est intervenu ;
• prévenir l’assureur, l’AMF, l’informatique et les personnes internes utiles ;
• rédiger une chronologie et réunir les pièces avant la plainte ;
• ne communiquer aux partenaires que par un canal vérifié indépendamment.

Ces réflexes rejoignent les recommandations publiques diffusées aux entreprises sur les fraudes, mais le dossier AMF appelle une analyse plus ciblée : l’objectif n’est pas seulement de reconnaître un hameçonnage, mais de préserver la preuve d’une usurpation d’autorité et de mesurer ses effets sur les paiements, les accès et la réputation de la société.

II. Faux courriel AMF : quels recours pour l’entreprise après une signature, un paiement ou une fuite de données ?

A. Comment déposer plainte et obtenir rapidement les preuves ou le retrait ?

La plainte doit décrire un ensemble de faits, pas seulement joindre une capture. Elle précise l’identité de la société, la qualité de la personne qui agit, la date de réception, l’adresse affichée, l’adresse technique, l’objet, le contenu de la demande, les pièces jointes, les clics éventuels, les données communiquées, les paiements et les conséquences. Elle indique que l’AMF a publié une alerte correspondant au mode opératoire, sans affirmer que les auteurs sont identifiés. Une plainte contre X peut être déposée auprès de la police ou de la gendarmerie, adressée au procureur de la République ou effectuée par les dispositifs adaptés aux entreprises. La personne morale doit joindre les justificatifs de son identité, de ses pouvoirs et de son préjudice.

La qualification pénale est cumulative seulement lorsque les faits le justifient. L’escroquerie de l’article 313-1 suppose une manœuvre qui a déterminé une remise, un service ou un acte produisant une obligation ou une décharge. Un paiement obtenu par un faux ordre ou une signature apposée sous une identité usurpée peut ouvrir cette discussion. Le faux et l’usage de faux de l’article 441-1 supposent une altération frauduleuse de la vérité ayant une portée juridique et un préjudice potentiel ou avéré. L’accès frauduleux à une messagerie ou l’extraction de données peut appeler les articles 323-1 et 323-3. Le dossier doit donc distinguer l’existence du message, la tentative, le résultat et le dommage.

La société doit joindre les pièces techniques dans leur format d’origine : fichier .eml, en-têtes, pièces jointes, hachages, journaux d’authentification, historique des règles de messagerie, relevés bancaires, accusés de réception, demandes de rappel, échanges avec l’AMF, l’assureur et le prestataire informatique. Elle doit aussi ajouter les preuves commerciales : factures perturbées, retards, frais d’intervention, perte d’exploitation, clients prévenus, engagements non tenus ou atteinte à la réputation. Le principe de responsabilité de l’article 1240 du code civil suppose ensuite de relier le dommage à un fait daté et documenté.

La société peut demander à un commissaire de justice de constater l’existence d’une page, d’un formulaire ou d’un fichier accessible en ligne. Le constat ne remplace pas l’original du courriel, mais il fixe un état du contenu au moment de l’intervention. Lorsque le fournisseur de messagerie, l’hébergeur, le registrar ou la plateforme détient des informations indispensables, la demande peut être formulée dans le cadre de l’enquête pénale. Dans un litige civil ou commercial, l’article 145 du code de procédure civile autorise, lorsqu’il existe un motif légitime, des mesures d’instruction avant tout procès afin de conserver ou d’établir la preuve de faits dont dépendrait la solution du litige. Le texte prévoit que les mesures d’instruction légalement admissibles peuvent être ordonnées à la demande de tout intéressé, sur requête ou en référé. La mesure doit être précisément ciblée : fournisseur, période, identifiant, boîte, adresse IP, fichier ou journal demandé.

Cette démarche est particulièrement utile lorsque la société craint la disparition des données ou une rotation rapide des journaux. Une requête trop générale risque d’être contestée. Il faut expliquer le fait déjà établi, le lien avec le fournisseur visé, l’information recherchée, la durée de conservation probable et l’utilité pour l’action. Une société peut aussi faire établir un rapport d’analyse par son prestataire informatique, à condition de décrire ses méthodes, ses accès et les limites de ses conclusions. Le rapport ne doit pas se présenter comme une expertise judiciaire s’il ne l’est pas.

Le retrait ou le blocage d’un contenu peut justifier une procédure d’urgence. Devant le tribunal judiciaire, l’article 835 du code de procédure civile permet au président de prescrire les mesures conservatoires ou de remise en état nécessaires pour prévenir un dommage imminent ou faire cesser un trouble manifestement illicite, même en présence d’une contestation sérieuse. Le texte autorise notamment à faire cesser un trouble manifestement illicite. Devant le tribunal de commerce, l’article 873 du même code reprend la possibilité de prescrire les mesures conservatoires ou de remise en état qui s’imposent. La juridiction dépend du défendeur, de la nature de la demande, du contenu à retirer et du fondement invoqué.

Une demande de retrait doit identifier l’URL, le nom de domaine, le contenu, la date de constat, le risque et la mesure demandée. Si le contenu se trouve chez un hébergeur étranger, la société doit conserver les conditions d’utilisation, les coordonnées du service abuse et la preuve de ses notifications. Si le faux courriel ne renvoie à aucun site actif, une action de retrait n’est pas toujours le levier prioritaire : la plainte, la conservation des en-têtes et la demande de données de connexion peuvent être plus utiles. L’atteinte à la réputation doit aussi être distinguée d’une simple alerte interne. La société doit prouver quels clients, partenaires ou salariés ont effectivement reçu le message et quelle confusion s’est produite.

L’article 1240 du code civil offre un fondement de responsabilité extracontractuelle lorsque la faute, le dommage et le lien de causalité sont établis. Sa règle est formulée ainsi : Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer. Elle peut être invoquée contre un auteur identifié, un complice ou un intervenant dont le comportement fautif est établi, mais l’identification du fraudeur demeure souvent la première difficulté. La société doit éviter d’accuser publiquement une personne ou une entreprise sur la seule base d’un nom repris dans le message.

Les recours doivent être coordonnés. Une plainte peut protéger la dimension pénale, une requête de l’article 145 préparer une action civile, un référé obtenir une mesure immédiate et une déclaration à l’assureur préserver une garantie contractuelle. L’entreprise doit désigner un pilote du dossier afin d’éviter qu’un salarié transmette une pièce différente à la banque, à l’assureur et aux enquêteurs. Les versions contradictoires nuisent à la crédibilité de la chronologie et compliquent l’analyse de la causalité.

B. La banque ou l’assureur doivent-ils indemniser l’entreprise après un virement frauduleux ?

La réponse dépend d’abord de la nature de l’opération. Un virement effectué sans ordre ou sans consentement de l’utilisateur ne se traite pas comme un virement ordonné par une personne habilitée après une manipulation. Un salarié peut avoir utilisé ses identifiants et pourtant soutenir que l’opération n’était pas autorisée par la société, mais la banque examinera la convention de compte, les pouvoirs, le mode de validation, les alertes et les circonstances. L’entreprise doit exposer précisément ce que le salarié a fait, ce qu’il croyait valider et ce qui a été techniquement exécuté.

L’article L. 133-18 du code monétaire et financier dispose qu’en cas d’opération de paiement non autorisée signalée dans les conditions prévues par le texte, le prestataire rembourse au payeur le montant de l’opération non autorisée immédiatement, sous réserve des conditions et exceptions prévues par le régime. La banque doit être alertée sans tarder, même si l’entreprise n’a pas encore toutes les explications. L’écrit doit demander le rappel des fonds, l’identification de la banque bénéficiaire, la conservation des éléments de transaction et la confirmation de la position de l’établissement.

L’article L. 133-19 du code monétaire et financier distingue plusieurs hypothèses. Il prévoit notamment que La responsabilité du payeur n’est pas engagée si l’opération de paiement non autorisée a été effectuée en détournant, à l’insu du payeur, l’instrument de paiement ou les données qui lui sont liées. À l’inverse, le payeur peut supporter les pertes si elles résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations de sécurité. Dans une entreprise, cette discussion se combine avec la preuve des délégations, des procédures internes, de la formation, des validations à deux personnes et des alertes mises à disposition par la banque.

La Cour de cassation, chambre commerciale, arrêt du 9 mars 2022, pourvoi n° 20-12.376, a rappelé que Cette preuve ne peut se déduire du seul fait que l’instrument de paiement ou les données personnelles qui lui sont liées ont été effectivement utilisés. La décision concernait une société victime d’un piratage informatique et d’un virement frauduleux sur un compte professionnel. Elle ne garantit pas le remboursement de toute fraude, mais elle interdit de conclure à la négligence grave par le seul constat que l’outil de sécurité a été utilisé. L’entreprise doit donc demander à la banque de préciser la preuve technique et contractuelle sur laquelle elle fonde un refus.

La jurisprudence récente impose aussi une distinction entre l’identifiant fourni par le client et l’ordre préparé par la banque. Dans l’arrêt du 4 mars 2026, pourvoi n° 25-11.959, publié au Bulletin, la Cour a jugé : En conséquence, si la responsabilité contractuelle de droit commun fondée sur l’article 1231-1 du code civil n’est pas applicable à l’exécution par le prestataire de services de paiement d’un ordre de paiement conformément à l’identifiant unique fourni par l’utilisateur, tel n’est pas le cas lorsque le prestataire de services de paiement ne s’est pas borné à exécuter l’ordre de paiement. La banque avait elle-même rédigé l’ordre de virement à partir d’un RIB présentant des incohérences apparentes. Le point utile pour une société est concret : conserver la version de l’ordre, identifier qui a saisi le bénéficiaire et distinguer la simple exécution d’une intervention active de l’établissement.

La décision du 1^er juillet 2026, pourvoi n° 25-15.283, rappelle en sens inverse que Si l’identifiant unique fourni par l’utilisateur du service de paiement est inexact, le prestataire de services de paiement n’est pas responsable de la mauvaise exécution ou de la non-exécution de l’opération de paiement. Dans cette affaire, les victimes avaient demandé des virements à partir d’un RIB frauduleux communiqué par courriel, et la Cour a cassé la décision qui avait retenu la responsabilité de la banque sur ce seul fondement. L’entreprise ne doit donc pas présenter le seul fait d’avoir été trompée comme une garantie de remboursement. Elle doit démontrer la nature de l’ordre, le bénéficiaire visé, le rôle de la banque, les alertes éventuelles et la diligence de sa réaction.

Le délai de contestation mérite une attention particulière. L’article L. 133-24 du code monétaire et financier impose à l’utilisateur de signaler l’opération non autorisée ou mal exécutée sans tarder et au plus tard dans les treize mois suivant la date de débit, sauf exceptions. Le texte prévoit aussi que, sauf lorsque l’utilisateur est une personne physique agissant pour des besoins non professionnels, les parties peuvent convenir d’un délai distinct. Une entreprise doit donc lire sa convention de services de paiement au lieu de retenir mécaniquement le délai de treize mois. Ce délai maximal ne justifie jamais d’attendre : le rappel des fonds dépend de la vitesse de réaction et des possibilités de gel chez la banque bénéficiaire.

La banque peut opposer les mesures de sécurité prévues par le contrat. L’article L. 133-16 du code monétaire et financier demande à l’utilisateur de prendre toute mesure raisonnable pour préserver la sécurité de ses données personnalisées et dispose que Dès qu’il reçoit un instrument de paiement, l’utilisateur de services de paiement prend toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées. La société doit réunir ses règles internes : double validation, séparation des tâches, rappel téléphonique, seuils de paiement, confirmation des nouveaux bénéficiaires, interdiction de traiter une demande urgente par un seul courriel. Elle doit aussi examiner si la procédure bancaire a été appliquée : authentification, confirmation, alerte de montant inhabituel, contrôle de l’habilitation et suivi de l’anomalie.

Les opérations inhabituelles peuvent enfin être replacées dans les obligations de vigilance applicables aux établissements assujettis. L’article L. 561-10-2 du code monétaire et financier prévoit un examen renforcé pour toute opération particulièrement complexe, d’un montant inhabituellement élevé ou dépourvue de justification économique ou d’objet licite. Le texte demande alors de se renseigner sur l’origine des fonds, leur destination, l’objet de l’opération et l’identité du bénéficiaire. Cette disposition ne transforme pas chaque virement contesté en faute bancaire. Elle peut cependant nourrir la discussion lorsque plusieurs signaux objectifs existaient : montant hors profil, bénéficiaire nouveau, destination inhabituelle, libellé incohérent, urgence et divergence entre le nom et le compte.

Le dossier adressé à la banque doit comporter une demande claire : remboursement ou position motivée sur le régime applicable, rappel des fonds, conservation des traces, communication des informations utiles sur la banque bénéficiaire, numéro de fraude, dates de traitement et identité du service chargé du dossier. Il faut demander une réponse écrite sans menacer inutilement l’établissement. Une réponse négative doit être analysée au regard de la convention, du statut professionnel du client, de l’habilitation du payeur et des faits techniques. Une action en responsabilité peut être envisagée sur le fondement de l’article 1231-1 du code civil lorsque l’inexécution d’une obligation contractuelle et le dommage sont établis. Ce texte prévoit que Le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts. L’arrêt du 4 mars 2026 rappelle toutefois que ce fondement ne contourne pas le régime spécial lorsque la banque s’est bornée à exécuter l’identifiant donné.

L’assureur obéit à une logique différente. La garantie fraude, cyber ou responsabilité des dirigeants dépend de la définition du sinistre, des exclusions, des délais, des mesures de prévention et de la plainte. La société doit déclarer les faits comme un incident susceptible d’évoluer, sans reconnaître une faute ou un défaut de contrôle qui n’est pas établi. Elle doit demander la prise en charge des frais d’analyse, de restauration, de conseil, de notification, de constat et de perte d’exploitation lorsque la police le prévoit. Elle doit conserver les factures et faire valider, lorsque le contrat l’impose, le choix du prestataire ou de l’avocat.

La société doit également vérifier si un tiers peut être responsable : prestataire informatique ayant laissé une règle de transfert active, fournisseur dont la boîte a été compromise, banque ayant exécuté un ordre non autorisé, salarié ayant agi en dehors de ses pouvoirs, hébergeur ayant tardé à retirer un contenu ou fraudeur identifié. La responsabilité du dirigeant n’est pas automatique parce qu’un salarié a été trompé. Elle se discute à partir des pouvoirs, des procédures connues, des alertes reçues, des décisions prises après la découverte et du dommage propre à la société.

À Paris et en Île-de-France, une société doit déterminer rapidement la juridiction compétente au regard de la demande : tribunal de commerce pour un litige entre commerçants ou relatif à un acte de commerce, tribunal judiciaire pour certaines demandes de retrait, de responsabilité civile ou de protection de droits, et juge des référés de la juridiction compétente pour l’urgence. Le siège social ne suffit pas toujours à lui seul. Le lieu du dommage, celui du défendeur, le fournisseur technique et la nature du recours peuvent modifier l’analyse. La préparation d’un dossier auprès d’un avocat en contentieux commercial à Paris doit donc commencer par la collecte des contrats, mandats, journaux, relevés, plaintes et échanges, non par un simple résumé du courriel.

La réparation de l’image exige enfin de mesurer la diffusion réelle. Une société peut prévenir ses clients qu’un message frauduleux n’émane pas d’elle ou de l’AMF, mais elle doit éviter de republier le lien malveillant et de diffuser les adresses personnelles des victimes. Elle peut demander aux partenaires de vérifier les factures et RIB par un canal convenu. Si un faux document attribue un comportement illicite à la société ou à un dirigeant, une demande de retrait et une action en responsabilité peuvent s’ajouter à la plainte. La communication doit rester factuelle : date de l’alerte, absence d’instruction donnée par la société, canal officiel de vérification et adresse de contact déjà connue.

La preuve de la réaction est presque aussi importante que la preuve de l’attaque. Conservez le ticket informatique, la confirmation de changement de mot de passe, l’appel à la banque, l’accusé du rappel de fonds, la déclaration d’assurance, le récépissé de plainte, le rapport d’analyse et les décisions internes de suspension. Cette chaîne montre que l’entreprise a limité le dommage et permet de répondre aux arguments fondés sur la négligence ou la tardiveté. Elle facilite aussi le suivi des données potentiellement compromises et la préparation d’une éventuelle mesure d’instruction.

Un plan de dossier peut être construit en cinq chemises numériques : « original et technique », « banque et paiements », « assurance et coûts », « plainte et signalements », « clients et réputation ». Dans chacune, les fichiers sont nommés avec la date, l’heure, l’auteur et une description courte. Les versions modifiées sont séparées des originaux. Les accès sont limités aux personnes chargées de la gestion de crise et du conseil. Cette discipline réduit le risque de perdre l’en-tête du message, d’écraser un journal ou de transmettre par erreur un lien actif.

Le critère de succès n’est pas seulement l’absence de débit. Une entreprise qui a empêché le paiement mais a laissé une boîte compromise doit encore traiter l’accès, les règles de transfert et les données consultées. Une société qui a obtenu un rappel bancaire doit encore déposer plainte, déclarer le sinistre selon le contrat et documenter la chaîne de décision. Une société qui n’a subi qu’une tentative doit conserver le message, signaler la campagne et contrôler les autres comptes. Chaque scénario appelle une réponse proportionnée, mais aucun ne justifie de supprimer la preuve avant analyse.

Conclusion

Le faux courriel AMF du 1^er septembre 2026 est conçu pour faire croire à une procédure officielle urgente et obtenir une signature, une information ou une action financière. La réaction utile tient en trois temps : interrompre la demande, sécuriser l’environnement et préserver l’original technique. La banque, l’assureur, le prestataire informatique, l’AMF et les enquêteurs doivent recevoir des informations cohérentes, datées et vérifiables.

La société ne doit pas confondre le nom affiché d’un expéditeur avec son identité technique, ni un virement réalisé par un salarié avec une opération automatiquement autorisée, ni une alerte de régulateur avec une sanction réelle. Les articles 313-1, 441-1, 226-4-1 et 323-1 du code pénal offrent des axes de qualification, mais la plainte doit partir des faits démontrés. Les articles L. 133-18 à L. 133-24 du code monétaire et financier imposent une réaction bancaire rapide et rendent déterminants le contrat, l’habilitation, l’identifiant, la procédure de validation et la preuve d’une éventuelle négligence grave.

Enfin, les arrêts de la Cour de cassation des 4 mars et 1^er juillet 2026 montrent que l’analyse de la banque se joue dans le détail de l’ordre de paiement : qui a fourni l’identifiant, qui a rédigé l’ordre, qui l’a validé et quelles anomalies étaient visibles. Une chronologie complète, un export .eml, un rapport technique, une plainte et une déclaration d’assurance préparés sans délai donnent à l’entreprise les meilleures bases pour récupérer les fonds, obtenir les données nécessaires et faire cesser la diffusion du faux message.

Besoin d’un avis rapide sur votre dossier.

Vous pouvez bénéficier d’une consultation téléphonique en 48 heures avec un avocat du cabinet.
Un premier échange permet d’examiner le courriel, le paiement éventuel, les preuves conservées et les démarches urgentes.

06 46 60 58 22
Prendre contact avec le cabinet

À Paris et en Île-de-France, l’analyse peut intégrer la compétence de la juridiction, les délais pratiques, les pièces à préparer et la stratégie de référé ou de contentieux commercial adaptée à la situation.