Le 9 septembre 2026, la chambre commerciale de la Cour de cassation a rendu, sous le numéro 25-15.225, un arrêt publié au Bulletin qui déplace le débat des virements détournés. La question n’est plus seulement de savoir si un jeton, un code ou une authentification forte a bien été utilisé. Elle est de savoir qui, de la banque ou du client, doit prouver que le paiement a été autorisé quant au bénéficiaire, lorsque deux documents successifs désignent des IBAN différents. Dans l’affaire, une SCI avait d’abord transmis la facture de son entrepreneur, puis un courriel annonçant un nouveau compte au Portugal, puis une seconde facture qui mentionnait de nouveau le véritable IBAN français. Le premier virement, exécuté vers le compte portugais, est resté à la charge du client. Le second a donné lieu à cassation parce que la cour d’appel avait exigé de la SCI qu’elle produise elle-même l’ordre de paiement.
Cette solution parle aux entreprises, aux SCI, aux professionnels qui paient des situations de travaux et aux particuliers confrontés à la même mécanique : un faux RIB glissé dans une chaîne de courriels. Elle parle aussi aux avocats, parce qu’elle articule le consentement, l’identifiant unique et la charge de la preuve. Le même été, la doctrine commentait un arrêt voisin du 1er juillet 2026 : l’authentification ne fait pas présumer le consentement. L’arrêt du 9 septembre 2026 ajoute une pièce manquante : même lorsqu’un premier ordre a visé un IBAN frauduleux, la banque ne peut pas s’en prévaloir pour le virement suivant sans produire l’ordre afférent. Le présent décryptage part de cette décision, la confronte aux textes officiels et à la jurisprudence de la chambre commerciale, puis indique ce qu’il faut demander, conserver et assigner. Il ne se substitue pas à un examen du dossier. Il distingue ce que le juge a réellement jugé, ce que les parties ont soutenu et ce que le code organise comme recours.
Le cabinet a déjà exposé, dans le paiement entre professionnels face à la fraude aux coordonnées bancaires, le créancier apparent et l’identifiant unique. L’arrêt du 9 septembre 2026 n’y figurait pas : il n’était pas rendu. L’angle d’aujourd’hui est plus étroit. Il porte sur la preuve de l’autorisation quant au bénéficiaire, opération par opération, lorsque la facture suivante rétablit le véritable IBAN.
I. Mon virement vers un nouvel IBAN est-il un paiement que j’ai autorisé ?
A. Comment la banque prouve-t-elle que j’ai consenti à payer ce bénéficiaire ?
Le point de départ n’est pas la fraude pénale, ni le devoir général de vigilance du banquier. C’est la définition légale de l’opération autorisée. Deux articles du code monétaire et financier doivent être lus ensemble, sans les fondre.
L’article L. 133-6 du code monétaire et financier dispose : « Une opération de paiement est autorisée si le payeur a donné son consentement à son exécution. »
L’article L. 133-7 du code monétaire et financier dispose : « Le consentement est donné sous la forme convenue entre le payeur et son prestataire de services de paiement. » Le même article ajoute : « En l’absence d’un tel consentement, l’opération ou la série d’opérations de paiement est réputée non autorisée. »
Ces deux phrases interdisent de confondre l’usage d’un moyen d’authentification et le consentement donné à un bénéficiaire déterminé. Un jeton, un SMS ou un certificat peut établir que quelqu’un a utilisé l’instrument. Ils n’établissent pas, à eux seuls, que le payeur a consenti à créditer tel IBAN.
Dans l’arrêt Com. 9 septembre 2026, n° 25-15.225, F-B, la Cour rappelle : « Selon les articles L. 133-6 et L. 133-7 du code monétaire et financier, une opération de paiement est autorisée si l’utilisateur a donné son consentement à son exécution, sous la forme convenue entre le payeur et son prestataire de services de paiement. »
Le visa de cassation du second moyen n’est pas l’article L. 133-23, pourtant invoqué par la SCI, mais l’article 1353 du code civil combiné aux alinéas 1ers des articles L. 133-6 et L. 133-7. L’article 1353 du code civil énonce : « Celui qui réclame l’exécution d’une obligation doit la prouver. Réciproquement, celui qui se prétend libéré doit justifier le paiement ou le fait qui a produit l’extinction de son obligation. » Transposé au paiement, cela signifie que le prestataire qui se prétend fondé à débiter le compte doit justifier de l’autorisation.
La chambre commerciale l’écrit au paragraphe 21 de l’arrêt n° 25-15.225 du 9 septembre 2026 : « Il résulte des deux derniers de ces textes que la charge de la preuve de l’autorisation du paiement initié par le payeur donnée au prestataire de services de paiement, sous la forme convenue entre eux, repose sur le prestataire de services de paiement. » Ce n’est pas un obiter. C’est le visa qui justifie la cassation partielle.
La formule rejoint, deux mois plus tôt, un arrêt rendu contre le même établissement. Les motifs du 1er juillet 2026 éclairent le 9 septembre, à condition de ne pas les confondre : le premier juge le token, le second juge le bénéficiaire.
L’arrêt Com. 1er juillet 2026, n° 25-13.134, F-B énonce : « Il résulte des deux premiers de ces textes qu’une opération de paiement est autorisée si le payeur a donné son consentement à son exécution, et qu’en l’absence d’un tel consentement, donné sous la forme convenue entre le payeur et le prestataire de service de paiement, l’opération est réputée non autorisée. »
Le même arrêt du 1er juillet 2026 ajoute : « L’utilisation de l’instrument de paiement telle qu’enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l’opération a été autorisée par le payeur. »
Le grief retenu par l’arrêt n° 25-13.134 est le suivant : « En statuant ainsi, alors que la société Lincotek contestait avoir consenti à ces opérations et soutenait que ses données de sécurité personnalisées avaient été utilisées à son insu, la cour d’appel, en déduisant le consentement des opérations litigieuses du recours à la forme convenue contractuellement, a inversé la charge de la preuve et violé les textes susvisés. »
L’article L. 133-23 du code monétaire et financier, que la SCI invoquait le 9 septembre, dit sur le terrain de l’authentification : « Lorsqu’un utilisateur de services de paiement nie avoir autorisé une opération de paiement qui a été exécutée, ou affirme que l’opération de paiement n’a pas été exécutée correctement, il incombe à son prestataire de services de paiement de prouver que l’opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre. »
Le deuxième alinéa de l’article L. 133-23 ajoute : « L’utilisation de l’instrument de paiement telle qu’enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l’opération a été autorisée par le payeur ou que celui-ci n’a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant en la matière. »
La Cour, le 9 septembre, n’a pas eu besoin de ce texte pour casser : il lui a suffi de L. 133-6, L. 133-7 et 1353, parce que le débat portait sur le bénéficiaire désigné, non sur le jeton. Cette distinction a une conséquence pratique. Si votre banque produit un journal d’authentification forte, un SMS, un certificat ou un horodatage, elle n’a pas encore prouvé que vous avez consenti à payer cette personne, sur cet IBAN. L’arrêt du 9 septembre 2026 le montre dans une configuration plus fine que le hameçonnage classique : le client avait bien voulu payer son entrepreneur ; la contestation portait sur le compte crédité. La charge de la preuve de l’autorisation quant au bénéficiaire pèse sur le prestataire. C’est le cœur de l’apport.
Le régime s’applique aux opérations relevant du chapitre Ier du titre III du livre Ier du code monétaire et financier. L’article L. 133-1 en fixe le champ territorial. Lorsque le prestataire du payeur est en France et celui du bénéficiaire dans un autre État de l’Espace économique européen, et que l’opération est en euros, le II de cet article rend le chapitre applicable. Un virement vers un IBAN portugais, comme dans l’espèce, n’échappe donc pas au dispositif par le seul fait qu’il sort de France.
L’article L. 133-1 du code monétaire et financier précise aussi que le chapitre ne s’applique pas aux opérations de paiement effectuées entre prestataires de services de paiement pour leur propre compte. Cette exception ne concerne pas le client qui paie un entrepreneur.
B. L’identifiant unique que j’ai transmis m’empêche-t-il de récupérer le premier virement ?
La SCI a perdu sur le premier virement de 189 893,14 euros. Ce n’est pas un détail. La Cour a rejeté le pourvoi sur ce chef.
Le dispositif de l’arrêt n° 25-15.225 commence ainsi : « CASSE ET ANNULE, sauf en ce qu’il rejette la demande de la SCI Ra-immo en remboursement du premier virement d’un montant de 189 893,14 euros » Autrement dit, transmettre un nouveau RIB peut, selon les faits, valoir fourniture d’un identifiant unique, avec les conséquences de l’article L. 133-21.
L’article L. 133-21 du code monétaire et financier dispose : « Un ordre de paiement exécuté conformément à l’identifiant unique fourni par l’utilisateur du service de paiement est réputé dûment exécuté pour ce qui concerne le bénéficiaire désigné par l’identifiant unique. » Le même article poursuit : « Si l’identifiant unique fourni par l’utilisateur du service de paiement est inexact, le prestataire de services de paiement n’est pas responsable de la mauvaise exécution ou de la non-exécution de l’opération de paiement. »
La Cour, au paragraphe 17 de l’arrêt du 9 septembre 2026, reprend ce texte en indiquant : « Selon ce dernier texte, qui transpose l’article 88 de la directive n° 2015/2366 du 25 novembre 2015 relative aux services de paiement dans la marché intérieur, un ordre de paiement exécuté conformément à l’identifiant unique fourni par l’utilisateur du service de paiement est réputé dûment exécuté pour ce qui concerne le bénéficiaire désigné par l’identifiant unique. » La citation officielle comporte la formulation dans la marché intérieur ; elle n’est pas corrigée ici.
Les faits retenus pour le premier virement sont précis. Le 13 janvier 2020, la SCI adresse un certificat de paiement et une facture portant l’IBAN Société générale de l’entrepreneur. Le 15 janvier, elle transfère un courriel, présenté comme provenant de l’entrepreneur, indiquant que ce compte n’est plus actif et joignant un IBAN Santander Totta, aux fins d’effectuer les prochains virements y compris la situation n° 6. Le 20 janvier, le virement part vers le Portugal. Le 25 février, la SCI écrit que la demande de modification était frauduleuse. La cour d’appel a vu dans ces envois successifs un ordre de payer le premier montant sur le nouveau compte. La Cour de cassation refuse de réexaminer cette appréciation souveraine : le moyen ne tendait, selon elle, qu’à remettre en cause l’appréciation des envois successifs de courriels.
Sur le devoir de vigilance, la SCI invoquait l’article 1231-1 du code civil : anomalies apparentes, second RIB en quarante-huit heures, compte étranger, fautes d’orthographe, certificat non daté. La Cour écarte le grief par un motif de régime.
L’arrêt n° 25-15.225 énonce : « La responsabilité contractuelle de droit commun n’est pas applicable lorsque l’opération relève du régime exclusif de responsabilité prévu à l’article L. 133-21 du code monétaire et financier. »
Le même arrêt du 9 septembre 2026 ajoute, après avoir écarté la critique de l’appréciation des faits : le premier virement avait été exécuté conformément à l’identifiant unique fourni par la SCI, de sorte que l’arrêt d’appel n’encourt pas les griefs fondés sur la responsabilité civile de droit commun.
L’article 1231-1 du code civil dispose : « Le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure. » Ce texte n’a pas été appliqué au premier virement, précisément parce que le régime du code monétaire et financier l’évince lorsqu’il est exclusif.
Cette exclusivité n’est pas nouvelle. L’arrêt Com. 15 janvier 2025, n° 23-15.437, F-B juge : « La responsabilité contractuelle de droit commun résultant du premier de ces textes n’est pas applicable en présence d’un régime de responsabilité exclusif. »
Dans le même arrêt du 15 janvier 2025, la Cour en a tiré que, dès lors que la responsabilité d’un prestataire est recherchée en raison d’une opération de paiement non autorisée ou mal exécutée, seul est applicable le régime des articles L. 133-18 à L. 133-24, à l’exclusion de tout régime alternatif de droit national. L’arrêt du 9 septembre 2026 applique la même logique à L. 133-21 lorsque l’identifiant unique a été fourni par le client.
La ligne est ancienne. L’arrêt Com. 24 janvier 2018, n° 16-22.336, FS-P+B+I avait déjà énoncé : « il résulte de ce texte que si l’identifiant unique fourni par l’utilisateur du service de paiement est inexact, le prestataire de services de paiement n’est pas responsable de la mauvaise exécution de l’opération de paiement qui en est la conséquence »
L’article L. 133-21 n’abandonne pas le client : le prestataire « s’efforce de récupérer les fonds engagés dans l’opération de paiement ». À défaut de récupération, il « met à disposition du payeur, à sa demande, les informations qu’il détient pouvant documenter le recours en justice du payeur en vue de récupérer les fonds ». Ce n’est pas un remboursement. C’est une obligation de moyens de recouvrement, distincte de l’article L. 133-18.
Le lecteur doit donc séparer deux situations. Si le juge retient que vous avez vous-même fourni l’IBAN frauduleux comme identifiant unique, L. 133-21 bloque, en principe, l’action en mauvaise exécution et l’action en responsabilité civile de droit commun pour le même fait. Si le juge retient que vous n’avez pas consenti à ce bénéficiaire, ou que la banque n’en rapporte pas la preuve, le débat bascule vers l’opération non autorisée. L’arrêt du 9 septembre 2026 est un arrêt de partage : le premier virement tombe d’un côté, le second de l’autre.
Une limite supplémentaire : L. 133-21 ne dit pas que toute transmission d’un RIB est un identifiant unique. Dans l’espèce, la cour d’appel a interprété le transfert du courriel du 15 janvier comme un ordre. La Cour de cassation n’a pas érigé cette lecture en règle générale ; elle a refusé de la censurer. Un autre dossier, avec un transfert sans instruction, un commentaire ambigu ou une confirmation expresse contraire, peut aboutir à une autre qualification. Le moyen tiré de l’absence d’autorisation expresse et dépourvue d’équivoque a été écarté comme une critique de l’appréciation des faits, non comme une règle de droit autonome.
II. Comment récupérer le second virement et saisir le tribunal ?
A. Que faire si la banque me demande de produire l’ordre de paiement ?
Le second virement, de 175 404,11 euros, est le véritable apport de l’arrêt. Le 13 février 2020, la SCI adresse la situation de travaux n° 7, un bon à payer et une facture qui porte l’IBAN véritable de l’entrepreneur à la Société générale. Le 24 février, la banque vire néanmoins vers le compte Santander Totta. La cour d’appel de Lyon a rejeté la demande de remboursement.
Selon l’arrêt n° 25-15.225, la cour d’appel a retenu que « la SCI ne justifie pas de ses instructions de paiement spécifiques à la situation n°7 ». C’est cette exigence qui a été censurée.
La Cour dit pourquoi, au paragraphe 23 de l’arrêt du 9 septembre 2026 : « En statuant ainsi, alors qu’elle relevait que la transmission du 13 février 2020 était accompagnée d’une facture mentionnant le véritable IBAN de la société Hanny, de sorte qu’il incombait au prestataire de services de paiement, sur qui reposait la charge de prouver que l’opération avait été autorisée quant au bénéficiaire, de produire l’ordre de paiement relatif à ce virement, la cour d’appel, qui a inversé la charge de la preuve, a violé les textes susvisés. »
Concrètement, si votre banque vous écrit que vous devez justifier de vos instructions ou produire le courriel d’ordre, alors qu’une facture jointe désigne un autre IBAN que celui qui a été crédité, cette exigence est contraire à la règle posée le 9 septembre 2026. C’est à elle de verser l’ordre. Le client n’a pas à démontrer un négatif : qu’il n’a pas demandé le compte portugais pour cette seconde opération. La banque qui s’est déjà prévalue d’un premier ordre portant sur l’IBAN frauduleux ne peut pas en déduire, par inertie, l’autorisation du virement suivant.
La stratégie documentaire en découle. Conservez la facture, le bon à payer, les en-têtes de courriel, les accusés de réception, les extraits de compte et, surtout, la correspondance par laquelle la banque refuse le remboursement. Demandez par écrit la production de l’ordre de paiement, du journal d’authentification, de l’identifiant unique utilisé et des diligences de recouvrement. Si la banque oppose un soupçon de fraude de l’utilisateur, l’article L. 133-18 encadre strictement cette exception.
L’article L. 133-18 du code monétaire et financier organise le remboursement : « le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant », sauf s’il a « de bonnes raisons de soupçonner une fraude de l’utilisateur du service de paiement » et s’il « communique ces raisons par écrit à la Banque de France ».
Le même article L. 133-18 ajoute que le prestataire « rétablit le compte débité dans l’état où il se serait trouvé si l’opération de paiement non autorisée n’avait pas eu lieu ». En cas de manquement, des intérêts moratoires majorés s’appliquent : cinq points dès le manquement, dix points au-delà de sept jours, quinze points au-delà de trente jours. Ces pénalités sont dans le texte ; elles ne sont pas une négociation commerciale.
La banque peut encore tenter de reporter la perte sur le client en invoquant la négligence grave. L’article L. 133-19 du code monétaire et financier dispose en son IV : « Le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17. »
Cette exception n’inverse pas la charge de la preuve. L’arrêt Com. 23 octobre 2024, n° 23-16.267, FS-B a énoncé qu’ « il incombe au prestataire de services de paiement de rapporter la preuve d’une négligence grave de son client ». Un appel en spoofing, un numéro qui s’affiche comme celui de la conseillère, ne suffit pas, à lui seul, à caractériser cette négligence. A fortiori, le fait d’avoir été trompé une première fois sur un RIB n’établit pas, à lui seul, une négligence grave pour le virement suivant, surtout si la facture ultérieure rétablit le véritable IBAN.
Le troisième alinéa de l’article L. 133-23 complète le tableau : « Le prestataire de services de paiement, y compris, le cas échéant, le prestataire de services de paiement fournissant un service d’initiation de paiement, fournit des éléments afin de prouver la fraude ou la négligence grave commise par l’utilisateur de services de paiement. » La banque qui se tait, ou qui se borne à dire que l’opération a été authentifiée, ne satisfait ni ce texte, ni l’arrêt du 1er juillet 2026, ni celui du 9 septembre 2026.
La mise en demeure utile vise donc trois objets distincts : le remboursement de l’article L. 133-18 si l’opération est non autorisée ; la production de l’ordre et de l’identifiant unique ; à titre subsidiaire, les informations de recouvrement de L. 133-21 si le juge devait retenir un identifiant unique inexact.
Devant le juge, le débat n’est pas le même selon que le payeur est un consommateur ou un professionnel. L’arrêt du 9 septembre concerne une SCI, donc un utilisateur professionnel. Le chapitre s’applique néanmoins, comme le montre le visa. En revanche, l’article L. 133-24 permet, hors personne physique agissant pour des besoins non professionnels, de convenir d’un délai distinct du délai de treize mois. Avant d’assigner, il faut lire la convention de compte : un délai contractuel plus court, s’il est valable, peut forclore le signalement. Cette lecture n’a pas été faite dans l’arrêt, qui ne statue pas sur la forclusion.
B. Dans quel délai signaler l’opération, plaindre et assigner ?
L’article L. 133-24 du code monétaire et financier pose le délai de signalement : « L’utilisateur de services de paiement signale, sans tarder, à son prestataire de services de paiement une opération de paiement non autorisée ou mal exécutée et au plus tard dans les treize mois suivant la date de débit sous peine de forclusion à moins que le prestataire de services de paiement ne lui ait pas fourni ou n’ait pas mis à sa disposition les informations relatives à cette opération de paiement conformément au chapitre IV du titre 1er du livre III. »
Sans tarder et treize mois coexistent. Le second est un plafond de forclusion. Le premier peut, dans l’appréciation des faits, nourrir un débat sur la négligence, sans dispenser la banque de prouver cette négligence. Le même article permet, sauf personne physique agissant pour des besoins non professionnels, de convenir d’un délai distinct. La convention de compte d’une SCI doit donc être relue avant de conclure à treize mois.
Le signalement n’est pas la plainte pénale. Il s’adresse au prestataire, par un canal qui laisse une trace : lettre recommandée, message sécurisé de la banque, déclaration en agence avec copie. Il décrit les opérations, les dates, les montants, les IBAN, et nie l’autorisation quant au bénéficiaire. Il demande le remboursement et, subsidiairement, le recouvrement. Il joint la facture portant le véritable IBAN. Dans l’espèce du 9 septembre, la SCI avait informé la banque dès le 25 février 2020, le lendemain du second virement. Cette réactivité n’a pas suffi devant les juges du fond ; elle a néanmoins figé la chronologie dont la Cour a tiré le partage entre les deux virements.
La plainte, lorsqu’elle est déposée, sert la qualification pénale et peut aider au gel des fonds à l’étranger. Elle ne remplace pas le recours contre la banque. Le remboursement de l’article L. 133-18 est une obligation du prestataire du payeur, indépendante de l’issue pénale. Inversement, une plainte classée n’interdit pas l’action civile contre la banque. Les deux voies ne s’excluent pas. Elles n’ont pas le même objet : l’une vise l’escroc, l’autre le débiteur de l’obligation de remboursement ou de preuve.
Si le prestataire refuse, l’assignation suit. Pour une SCI ou une société, le tribunal des activités économiques ou le tribunal de commerce du siège, selon le déploiement de la réforme, sera souvent compétent pour le litige avec la banque. À Paris et en Île-de-France, les dossiers d’entreprises dont le siège est dans le ressort se nouent devant le tribunal de commerce de Paris ou, selon la nature de l’établissement et du contrat, devant le tribunal judiciaire. Le lieu de l’agence n’est pas toujours le bon critère ; la clause attributive de la convention de compte doit être lue, sous réserve des règles impératives. L’arrêt du 9 septembre 2026 renvoie devant la cour d’appel de Lyon autrement composée : il ne crée pas une compétence parisienne. Il crée une règle de preuve opposable dans tous les ressorts.
Les pièces à produire au juge sont celles que la banque aurait dû produire. Ordre de paiement, journal d’authentification, IBAN réellement utilisé, facture, courriels, extraits, mise en demeure, réponse. Si la banque s’abstient, le silence s’interprète à la lumière de l’arrêt : c’est elle qui devait prouver l’autorisation quant au bénéficiaire. Le client peut demander un constat des pages de banque en ligne, une expertise des en-têtes de courriel, et la communication forcée des journaux techniques. Ces mesures n’inversent pas la charge de la preuve ; elles la mettent à exécution.
Le calendrier type, sous réserve de la convention, est donc le suivant. Jour du débit contesté : signalement écrit au prestataire, demande de remboursement et de production de l’ordre, information de l’entrepreneur véritable, plainte si les faits le justifient. Fin du premier jour ouvrable suivant la connaissance par la banque : terme du remboursement, sauf soupçon écrit adressé à la Banque de France. Au-delà : intérêts majorés. Treize mois, ou le délai contractuel plus court du professionnel : forclusion du signalement. L’action civile a son propre délai, qui ne ressuscite pas un signalement forclos. Ces chiffres ne se cumulent pas n’importe comment : l’article L. 133-24 est un délai de forclusion du signalement, distinct de la prescription de l’action.
Une dernière précaution, qui évite de perdre le second virement comme le premier. Ne confirmez pas, après coup, que tous les virements devaient partir sur le nouveau RIB si ce n’est pas ce que les documents disent. Dans l’espèce, le courriel du 25 février a été lu comme confirmant que le transfert du 15 janvier avait bien pour objet d’informer la banque des nouvelles références, ce qui a scellé le premier virement. Une lettre maladroite peut fournir à la banque l’identifiant unique qui lui manquait. Le signalement utile nie l’autorisation, désigne la facture portant le véritable IBAN, et demande à la banque de produire l’ordre. Il ne réécrit pas l’historique.
Les analyses déjà disponibles sur le hameçonnage, l’authentification forte ou le faux RIB rédigé par le conseiller ne couvrent pas cette séquence à deux temps. Village de la Justice a décrit la charge de la preuve face à l’authentification forte et, le 5 mars 2026, l’arrêt dans lequel la banque avait elle-même rédigé l’ordre. Le Monde du droit a rendu compte, le 10 juillet 2026, de la solution du 1er juillet sur le token. Aucune de ces pages n’examine l’arrêt du 9 septembre 2026 ni la facture ultérieure qui rétablit le véritable IBAN. C’est cette pièce, et la charge de la preuve quant au bénéficiaire, que le justiciable doit désormais mettre au centre du dossier.
Conclusion
L’arrêt du 9 septembre 2026 n’ouvre pas un droit automatique au remboursement de tout virement parti vers un faux IBAN. Il partage. Lorsque le juge retient que le client a fourni l’identifiant unique frauduleux, l’article L. 133-21 écarte, pour cette opération, la responsabilité de mauvaise exécution et la responsabilité civile de droit commun. Lorsque, pour l’opération suivante, une facture désigne un autre IBAN et que la banque ne produit pas l’ordre, la charge de la preuve de l’autorisation quant au bénéficiaire pèse sur le prestataire. L’inversion consistant à exiger du client qu’il produise l’ordre est une violation des articles L. 133-6, L. 133-7 et 1353.
L’arrêt Com. 9 septembre 2026, n° 25-15.225, F-B s’articule ainsi avec l’arrêt du 1er juillet 2026 : celui-ci avait cassé la présomption de consentement tirée du seul token ; celui-là ajoute que le consentement s’apprécie opération par opération, bénéficiaire par bénéficiaire. Pour le justiciable, l’urgence n’est pas de convaincre la banque de sa bonne foi. Elle est de signaler sans tarder, d’exiger le remboursement et la production de l’ordre, de ne pas confirmer à la légère un identifiant unique, et d’assigner sur le terrain que la Cour vient de tracer. Un examen des pièces — factures, courriels, convention de compte, délais — reste indispensable avant toute action.
Besoin d’un avis rapide sur votre dossier.
Consultation téléphonique en 48 heures avec un avocat du cabinet.
Exposez les virements contestés, les IBAN successifs et les pièces échangées avec la banque pour obtenir une première orientation.