Votre fournisseur attendait 18 000 euros. Vous avez validé le virement depuis votre espace professionnel, avec le RIB reçu par courriel. Trois jours plus tard, le vrai fournisseur relance pour impayé. Le RIB venait d’une adresse piratée. L’argent a crédité un compte inconnu, parfois déjà vidé. Qui supporte la perte ? Votre banque doit-elle rembourser ? Le fournisseur peut-il exiger un second paiement ? Deux arrêts de la chambre commerciale de la Cour de cassation rendus en 2026 tranchent des situations presque identiques et fixent une ligne claire : tout dépend de qui a fourni l’identifiant, de qui a rédigé l’ordre et des diligences accomplies dans les heures qui suivent. Ce guide expose la marche à suivre, les textes applicables et les recours concrets pour une entreprise qui a payé sur un faux RIB.

I. Virement parti sur un faux RIB : qui paie et que faire dans les premières heures

A. Faux RIB du fournisseur : le virement est-il autorisé et la dette est-elle éteinte

Le scénario type est stable. Une facture est attendue. Un courriel imitant l’adresse du fournisseur, parfois à une lettre près, annonce un changement de coordonnées bancaires et joint un nouveau relevé d’identité bancaire. Le comptable saisit l’IBAN reçu et valide le virement. Le faux RIB désigne en réalité un compte ouvert par l’escroc, souvent dans un autre établissement, parfois à l’étranger. La supercherie est découverte à la relance du créancier légitime.

Sur le plan pénal, ces faits relèvent de l’escroquerie. Aux termes de l’article 313-1 du code pénal, « L’escroquerie est le fait, soit par l’usage d’un faux nom ou d’une fausse qualité, soit par l’abus d’une qualité vraie, soit par l’emploi de manoeuvres frauduleuses, de tromper une personne physique ou morale et de la déterminer ainsi, à son préjudice ou au préjudice d’un tiers, à remettre des fonds, des valeurs ou un bien quelconque, à fournir un service ou à consentir un acte opérant obligation ou décharge. » L’escroquerie est punie de cinq ans d’emprisonnement et de 375 000 euros d’amende. Le dépôt de plainte reste donc une étape obligatoire, même quand l’auteur est introuvable : le récépissé de plainte sert auprès de la banque, de l’assureur et du juge civil.

Sur le plan du paiement, la question centrale porte sur l’autorisation. Le droit des services de paiement distingue l’opération autorisée par le payeur et l’opération non autorisée. Quand le dirigeant ou le comptable a lui-même saisi l’IBAN frauduleux et validé l’ordre avec ses codes, l’opération a été matériellement autorisée dans son montant et son identifiant, même si le consentement était vicié par la tromperie sur le bénéficiaire réel. Cette nuance commande tout le régime de remboursement bancaire.

Le texte pivot figure dans le code monétaire et financier. Aux termes de l’article L. 133-21 du code monétaire et financier, « Un ordre de paiement exécuté conformément à l’identifiant unique fourni par l’utilisateur du service de paiement est réputé dûment exécuté pour ce qui concerne le bénéficiaire désigné par l’identifiant unique. » Le même article ajoute : « Si l’identifiant unique fourni par l’utilisateur du service de paiement est inexact, le prestataire de services de paiement n’est pas responsable de la mauvaise exécution ou de la non-exécution de l’opération de paiement. » En pratique, quand l’entreprise a elle-même fourni l’IBAN erroné, la banque qui exécute conformément à cet IBAN n’est pas de plein droit tenue de rembourser sur le fondement du régime des opérations non autorisées.

La Cour de cassation vient de le rappeler avec fermeté. Par arrêt du 1er juillet 2026, chambre commerciale, financière et économique, pourvoi n° 25-15.283, la Cour casse un arrêt qui avait condamné une banque à restituer le montant de deux virements effectués après réception d’un courriel frauduleux. Les faits sont proches de ceux d’une entreprise : le 3 mai 2023, des payeurs reçoivent « à partir d’une adresse électronique controuvée portant le nom d’une préposée » un courriel avec un RIB et un IBAN attribués à tort au vrai créancier ; le 11 mai 2023, deux virements sont effectués « conformément aux identifiants figurant dans le courriel frauduleux » et créditent un compte dont le vrai créancier n’est pas titulaire. La Cour juge : « alors qu’elle constatait que les opérations de paiement avaient été exécutées conformément aux identifiants uniques fournis par M. et Mme [L], la cour d’appel a violé le texte susvisé. » La décision est consultable sur le site officiel : Cass. com., 1er juillet 2026, n° 25-15.283. Pour une entreprise qui a elle-même saisi le faux IBAN, le remboursement automatique par la banque ne peut donc pas être présenté comme acquis.

Conséquence directe sur la dette envers le vrai fournisseur : le paiement sur un faux compte ne libère pas l’entreprise. Le créancier légitime n’a rien reçu. Il peut exiger le paiement du prix, avec intérêts de retard et frais contractuels, sauf faute de sa part dans la compromission de sa messagerie. L’entreprise paie donc deux fois dans le pire des cas, sauf recours contre l’escroc ou contre un responsable solvable. D’où l’importance des premières heures : chaque heure perdue réduit les chances de gel des fonds.

La conduite à tenir dans les premières heures suit un ordre précis. Premièrement, appeler immédiatement sa banque, par téléphone puis par écrit, pour demander le rappel des fonds, dit recall, auprès de la banque du bénéficiaire, et signaler une opération frauduleuse. Deuxièmement, demander par écrit à sa banque de mettre en oeuvre l’effort de récupération prévu par l’article L. 133-21 du code monétaire et financier : « le prestataire de services de paiement du payeur s’efforce de récupérer les fonds engagés dans l’opération de paiement. » Troisièmement, déposer plainte pour escroquerie et transmettre le récépissé aux deux banques. Quatrièmement, écrire au vrai fournisseur pour l’informer, contester les pénalités de retard pendant l’enquête et lui proposer un échéancier partiel afin d’éviter la suspension des livraisons. Cinquièmement, préserver les preuves : courriel d’origine avec en-têtes complets, fausse adresse, facture d’origine, ordre de virement, relevés, échanges avec la banque. Sixièmement, déclarer le sinistre à l’assurance cyber ou à l’assurance fraude si le contrat existe, dans le délai de déclaration, souvent de cinq jours ouvrés.

Le délai de signalement à la banque obéit à une règle stricte. Aux termes de l’article L. 133-24 du code monétaire et financier, « L’utilisateur de services de paiement signale, sans tarder, à son prestataire de services de paiement une opération de paiement non autorisée ou mal exécutée et au plus tard dans les treize mois suivant la date de débit sous peine de forclusion ». Pour un professionnel, la convention de compte peut prévoir un délai distinct, souvent plus court. Un signalement tardif fait perdre le bénéfice des régimes protecteurs. Le signalement doit donc partir le jour même, avec accusé de réception.

B. Obtenir le remboursement de la banque et la restitution des fonds : recall, faute et négociation

Le régime du remboursement automatique vise d’abord les opérations non autorisées. Aux termes de l’article L. 133-18 du code monétaire et financier, « le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant ». Ce texte protège le client dont l’instrument a été utilisé sans son autorisation, par exemple après vol de codes. Dans le cas du faux RIB saisi et validé par l’entreprise elle-même, les banques opposent que l’opération était autorisée dans son identifiant et refusent ce remboursement immédiat. L’arrêt du 1er juillet 2026 conforte cette lecture quand l’ordre a été exécuté conformément à l’identifiant fourni par le payeur.

Le refus de remboursement immédiat ne clôt pas le dossier. Trois voies subsistent. La première est la récupération technique des fonds. Si les sommes sont encore sur le compte de destination, la banque du bénéficiaire peut les restituer après accord ou sur injonction. La banque du payeur doit y aider. Le texte précité impose à la banque du bénéficiaire de communiquer les informations utiles à la récupération des fonds. Si la récupération échoue, la banque du payeur doit mettre à disposition du payeur, à sa demande, les éléments en sa possession permettant de documenter un recours en justice en vue de récupérer les fonds. Cette phrase doit figurer dans la réclamation écrite : demander expressément l’identité du titulaire du compte destinataire et les informations détenues pour agir en justice.

La deuxième voie est la responsabilité pour faute de la banque. Le régime harmonisé de l’identifiant unique n’exclut pas toute action de droit commun quand la banque a joué un rôle actif. C’est l’apport majeur de l’arrêt du 4 mars 2026, chambre commerciale, financière et économique, pourvoi n° 25-11.959, consultable ici : Cass. com., 4 mars 2026, n° 25-11.959. Dans cette affaire, des clients avaient transmis à leur banque un RIB frauduleux imitant celui de leur notaire ; la banque avait elle-même établi l’ordre de virement avant de le soumettre à leur signature, sans relever des incohérences manifestes. La Cour approuve la condamnation de la banque et énonce : « si la responsabilité contractuelle de droit commun fondée sur l’article 1231-1 du code civil n’est pas applicable à l’exécution par le prestataire de services de paiement d’un ordre de paiement conformément à l’identifiant unique fourni par l’utilisateur, tel n’est pas le cas lorsque le prestataire de services de paiement ne s’est pas borné à exécuter l’ordre de paiement. » Elle ajoute que « la banque ne s’étant pas bornée, en sa qualité de prestataire de services de paiement, à exécuter un ordre de virement conformément à l’identifiant unique fourni par M. et Mme [K], mais avait elle-même rédigé cet ordre », elle devait indemniser ses clients pour manquement à son devoir de vigilance.

Le fondement de cette action est le droit commun des contrats. Aux termes de l’article 1231-1 du code civil, « Le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure. » Pour une entreprise, la question devient factuelle : la banque s’est-elle bornée à exécuter l’IBAN saisi en ligne par le client, ou un conseiller a-t-il préparé l’ordre, recopié l’IBAN, validé sans contrôle alors que le RIB présentait des anomalies visibles, par exemple un nom de bénéficiaire différent, un pays incohérent, un RIB de particulier pour un fournisseur industriel. Quand la banque rédige, elle s’expose. Quand le client saisit seul en ligne, l’action est plus difficile, sauf manquement distinct, par exemple une alerte ignorée ou un dispositif de contrôle annoncé puis non appliqué.

La troisième voie concerne la négligence du payeur, que la banque invoque systématiquement. Aux termes de l’article L. 133-19 du code monétaire et financier, « Le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17. » Aux termes de l’article L. 133-16 du code monétaire et financier, « Dès qu’il reçoit un instrument de paiement, l’utilisateur de services de paiement prend toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées. » La banque soutient souvent que valider un nouveau RIB reçu par simple courriel, sans rappel au numéro connu du fournisseur, constitue une négligence grave. L’entreprise doit donc documenter ses procédures : vérification téléphonique au numéro habituel, double validation interne, charte de changement de RIB, formation du personnel. Ces pièces pèsent dans la négociation comme devant le juge.

La négociation avec la banque suit un canevas écrit. Courrier recommandé avec accusé de réception au service réclamations, avec date et heure du virement, montant, IBAN utilisé, copie du faux courriel, preuve du signalement immédiat, demande de recall et d’effort de récupération, demande des informations détenues pour agir en justice, demande de position écrite sous quinze jours. En cas de rejet, saisine du médiateur bancaire, puis action judiciaire. Pour les montants importants, le référé peut être envisagé afin d’obtenir rapidement une provision ou une mesure de conservation, sans garantir le succès au fond.

Deux décisions récentes de cours d’appel montrent que chaque dossier se joue sur les faits. La cour d’appel de Pau, 2e chambre, section 1, 19 janvier 2026, RG n° 24/01687, statue sur un virement de 65 390 euros exécuté vers un compte au Portugal après remise d’un RIB douteux en agence, avec plainte pour escroquerie et débat sur l’obligation de vigilance de la banque. La cour d’appel de Paris, pôle 5, chambre 6, 9 septembre 2026, RG n° 25/10372, statue sur un placement prétendu proposé par un faux directeur financier, avec des alertes préalables de la vraie banque et un RIB enregistré avant virement. Ces affaires confirment que les juges examinent le rôle exact de la banque, les alertes disponibles et le comportement du payeur, pièce par pièce.

II. Prouver la fraude, répartir la perte et verrouiller les paiements fournisseurs à Paris et en Île-de-France

A. Prouver l’escroquerie au faux RIB et agir contre l’escroc, le fournisseur et la banque du bénéficiaire

La preuve repose sur un dossier complet et daté. Conserver le courriel frauduleux avec ses en-têtes techniques, l’adresse exacte de l’expéditeur, l’horodatage, la facture d’origine, le faux RIB, l’ordre de virement, les relevés débit et crédit, les échanges avec le vrai fournisseur, les échanges avec la banque, le récépissé de plainte, la déclaration d’assurance. Faire établir par constat de commissaire de justice la teneur de la boîte de réception et des en-têtes quand le système le permet. Demander au fournisseur la copie de ses propres journaux de messagerie afin d’établir si sa boîte a été compromise ou usurpée.

La responsabilité de l’escroc relève du droit commun de la faute. Aux termes de l’article 1240 du code civil, « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer. » L’action contre l’escroc se heurte à son identification et à son insolvabilité, mais elle fonde la constitution de partie civile et la demande de dommages et intérêts devant le juge pénal, ainsi que l’action en répétition quand les fonds sont retrouvés sur un compte identifiable.

La responsabilité du vrai fournisseur est exceptionnelle mais doit être examinée. Si sa messagerie a été piratée et utilisée pour envoyer le faux RIB sans qu’il ait sécurisé ses systèmes, l’entreprise peut soutenir un manquement à son obligation de sécurité et de bonne foi dans l’exécution du contrat. Si le fournisseur a changé de RIB sans prévenir par un canal fiable, ou si un de ses préposés a transmis des informations facilitant l’usurpation, sa part de responsabilité peut être discutée. En revanche, quand l’usurpation est purement externe et indétectable pour lui, sa responsabilité est difficile à retenir. Dans tous les cas, l’entreprise reste tenue du prix envers lui tant que le paiement libératoire n’est pas intervenu, puis peut appeler le fournisseur en garantie ou solliciter un partage transactionnel quand les deux parties ont été trompées.

L’action contre la banque du bénéficiaire passe par l’identification du compte destinataire. Le payeur n’a pas de relation contractuelle avec elle. L’action directe en paiement est donc fermée. L’action utile consiste à obtenir, par la voie de la banque du payeur ou par réquisition judiciaire dans le cadre de la plainte, l’identification du titulaire, puis à assigner ce titulaire en restitution de l’indu ou en responsabilité pour recel et à solliciter une saisie conservatoire si des fonds subsistent. Quand le compte a été ouvert avec des pièces fausses, la responsabilité de la banque du bénéficiaire pour manquement à ses obligations de connaissance du client peut être recherchée, mais la preuve est exigeante et suppose l’accès au dossier d’ouverture, généralement par voie judiciaire.

Le contentieux contre sa propre banque doit être calibré à partir des deux arrêts de 2026. Si l’entreprise a saisi seule l’IBAN en ligne et validé sans intervention du conseiller, l’assignation fondée sur le seul remboursement automatique se heurte à l’article L. 133-21 du code monétaire et financier et à l’arrêt du 1er juillet 2026. L’action doit alors viser un manquement distinct et prouvé : défaut du système d’alerte, incohérence manifeste non signalée alors que la banque s’était engagée à contrôler, exécution malgré une opposition formée à temps, retard dans le recall. Si au contraire le conseiller a rédigé l’ordre, recopié l’IBAN, fait signer un formulaire pré-rempli sans vérification alors que le faux était grossier, l’arrêt du 4 mars 2026 ouvre la voie de la responsabilité contractuelle de droit commun. Les pièces déterminantes sont le formulaire d’ordre, sa rédaction manuscrite ou informatique, les mentions du bénéficiaire, les courriels de l’agence, les enregistrements d’appels et les conditions de la convention de compte.

Les délais et la prescription doivent être surveillés. La forclusion de treize mois pour le signalement, ou le délai conventionnel plus court pour un professionnel, court dès le débit. L’action en responsabilité contractuelle contre la banque se prescrit par cinq ans. L’action pénale pour escroquerie se prescrit par six ans à compter du dernier acte. Les intérêts de retard courent selon les clauses du contrat de fourniture et le taux légal. Les pénalités de retard entre professionnels doivent être prévues par écrit pour être exigibles, ce qui peut servir dans la discussion avec le vrai fournisseur quand aucune mise en demeure préalable n’a été adressée.

B. Entreprise à Paris et en Île-de-France : procédure, juridiction et verrouillage des paiements fournisseurs

À Paris et en Île-de-France, le réflexe procédural doit intégrer la densité des flux et la rapidité des juridictions commerciales. Pour une entreprise dont le siège est à Paris, l’action en paiement du fournisseur relève du tribunal de commerce de Paris quand les deux parties sont commerçantes, selon les clauses de compétence du contrat. L’action en responsabilité contre la banque relève du tribunal judiciaire ou du tribunal de commerce selon la qualité des parties et la convention de compte, avec une attention particulière aux clauses attributives de juridiction des contrats bancaires. L’action en restitution contre le titulaire inconnu du compte destinataire suppose une requête aux fins d’identification, puis une assignation. La plainte pour escroquerie peut être déposée au commissariat ou par courrier au procureur de la République du lieu du débit ou du lieu du siège, avec constitution de partie civile pour obtenir l’accès au dossier et les réquisitions bancaires.

Les spécificités franciliennes sont pratiques. Les entreprises parisiennes traitent des volumes élevés de factures, souvent avec validation à distance et ordres saisis en ligne sans passage en agence. Cette organisation renforce l’argument des banques fondé sur l’identifiant unique fourni par le client. Elle impose en retour une procédure interne écrite : interdiction de changer un RIB sur simple courriel, vérification systématique par rappel au numéro enregistré dans l’ERP et non au numéro figurant dans le courriel suspect, double validation au-delà d’un seuil, par exemple 5 000 euros, délai de carence de quarante-huit heures avant le premier virement vers un nouveau RIB, contrôle de cohérence entre le nom du bénéficiaire, le pays de l’IBAN et l’objet de la facture. Ces règles, diffusées et signées par le personnel, réduisent la fraude et réfutent la négligence grave.

Le verrouillage technique complète la procédure. Activer les plafonds de virement par bénéficiaire, l’authentification forte pour tout ajout de bénéficiaire, les notifications en temps réel, la liste blanche de bénéficiaires vérifiés, le contrôle du nom du bénéficiaire quand l’outil le propose. Conserver les journaux de connexion et de validation : ils prouvent qui a saisi l’IBAN, à quelle heure, depuis quelle adresse IP, avec quelle authentification. En cas de litige sur la rédaction de l’ordre au sens de l’arrêt du 4 mars 2026, ces journaux départagent la saisie autonome en ligne et la rédaction par la banque.

Les pièces à préparer pour un dossier parisien complet tiennent en une liste fermée. Contrat-cadre et convention de compte avec les clauses sur l’identifiant unique et les délais de signalement. Ordre de virement litigieux et preuve de sa rédaction. Faux courriel avec en-têtes et faux RIB. Facture d’origine et RIB habituel du fournisseur. Réclamation à la banque et réponse du service réclamations. Récépissé de plainte pour escroquerie. Déclaration d’assurance fraude ou cyber. Échanges avec le vrai fournisseur sur le maintien des livraisons. Procédure interne de changement de RIB et preuves de formation. Tableau chiffré du préjudice : principal détourné, intérêts, frais bancaires, surcoûts d’achat en urgence, perte de marge liée à l’arrêt des livraisons.

La stratégie de recouvrement combine les actions sans les confondre. Négocier avec le vrai fournisseur un étalement du second paiement pendant l’enquête, en échange d’une cession de créance contre l’escroc ou d’un partage du recouvrement à venir. Poursuivre le recall bancaire sans relâche pendant les premiers jours, quand le gel reste possible. Saisir le médiateur en cas de rejet écrit de la banque. Assigner au fond quand le dossier établit une rédaction de l’ordre par la banque ou un manquement distinct, en visant la restitution et les dommages et intérêts sur le fondement du droit commun. Se constituer partie civile au pénal pour accéder aux réquisitions et soutenir la demande indemnitaire sur le fondement de l’article 1240 du code civil et de l’article 313-1 du code pénal.

Deux erreurs fréquentes doivent être évitées. Attendre la fin de l’enquête pénale avant d’agir au civil fait courir la forclusion bancaire et laisse les fonds se dissiper. Publier le nom du fournisseur ou l’accuser publiquement d’escroquerie expose à une action en diffamation alors que l’enquête est en cours. Privilégier les écrits mesurés, les mises en demeure précises et les actions judiciaires ciblées.

Conclusion

Le faux RIB adressé à une entreprise ne se traite ni comme un simple impayé ni comme une erreur de saisie sans conséquence. Le paiement versé sur le compte de l’escroc ne libère pas la dette envers le vrai fournisseur. La banque n’est pas automatiquement tenue de rembourser quand l’ordre a été exécuté conformément à l’IBAN fourni par le client, comme le confirme l’arrêt du 1er juillet 2026. Elle répond en revanche de sa faute quand elle a elle-même rédigé l’ordre sans relever un faux manifeste, comme le juge l’arrêt du 4 mars 2026. L’entreprise qui agit dans les premières heures, signale sans tarder, exige le recall et l’effort de récupération, dépose plainte, préserve les en-têtes et chiffre son préjudice, maximise ses chances de gel et de restitution. À Paris et en Île-de-France, où les virements sont validés à distance et en volume, une procédure écrite de changement de RIB, une double validation et un délai de carence avant tout premier paiement vers un nouvel IBAN restent les protections les plus rentables. Un dossier complet permet ensuite de répartir la perte entre l’escroc, la banque fautive et, dans des cas limités, le fournisseur dont le système a facilité la tromperie.

Besoin d’un avis rapide sur votre dossier.

Consultation téléphonique en 48 heures avec un avocat du cabinet.
Téléphone : +33 6 46 60 58 22
Lien contact : https://kohenavocats.fr/formulaire-de-contact/

Intervention à Paris et en Île-de-France.