Votre comptable reçoit un courriel qui ressemble en tout point à celui de votre fournisseur habituel : même logo, même signature, même ton. Seule différence, glissée au détour d’une phrase anodine : les coordonnées bancaires ont changé, et la prochaine facture doit être réglée sur un nouveau relevé d’identité bancaire joint en pièce jointe. Le virement part, pour plusieurs dizaines de milliers d’euros. Quelques jours plus tard, le vrai fournisseur relance pour facture impayée, et l’entreprise comprend qu’elle a payé un escroc. Ce scénario, baptisé fraude au faux RIB ou fraude au changement de RIB, figure parmi les attaques les plus coûteuses subies par les entreprises françaises. Pendant que la presse locale rapporte chaque semaine de nouvelles vagues d’arnaques téléphoniques, comme ces faux gendarmes qui appellent les habitants du Maine-et-Loire ou ces faux coursiers signalés à plusieurs reprises dans la région d’Angers, les directions financières font face à une version feutrée et redoutable de la même mécanique : l’usurpation de la confiance d’un partenaire connu. La question que posent les dirigeants et les comptables est alors très concrète : face à un faux RIB, qui est responsable, et comment obtenir le remboursement du virement frauduleux ? La réponse tient en deux temps. D’abord, l’escroquerie est caractérisée et doit être traitée comme une infraction pénale, avec plainte, preuves et traçage des fonds. Ensuite, le remboursement se joue sur trois tableaux : la vigilance de la banque qui a exécuté l’ordre, la responsabilité éventuelle du partenaire dont la messagerie a servi à tromper l’entreprise, et les garanties d’assurance. Chacun de ces tableaux obéit à des règles précises, que cet article expose pas à pas.
I. Faux RIB : qui est responsable du virement frauduleux ?
Quand l’argent a quitté le compte, le premier réflexe doit être juridique : qualifier les faits. Un faux RIB adressé par un escroc qui se fait passer pour votre fournisseur réunit tous les éléments d’une escroquerie au sens du code pénal, et cette qualification commande toute la suite — plainte, enquête, gel des fonds, puis demandes de remboursement. Identifier les responsables suppose ensuite de distinguer trois cercles : l’auteur de la fraude, qui répond pénalement ; la banque, dont l’obligation de vigilance peut être engagée ; et le partenaire commercial dont la boîte de messagerie compromise a servi d’instrument, dont la responsabilité civile peut être discutée lorsqu’une faute est établie.
A. Escroquerie au virement bancaire : la qualification pénale et les preuves à réunir
L’article 313-1 du code pénal définit l’escroquerie dans des termes qui épousent exactement le mécanisme du faux RIB : « L’escroquerie est le fait, soit par l’usage d’un faux nom ou d’une fausse qualité, soit par l’abus d’une qualité vraie, soit par l’emploi de manoeuvres frauduleuses, de tromper une personne physique ou morale et de la déterminer ainsi, à son préjudice ou au préjudice d’un tiers, à remettre des fonds, des valeurs ou un bien quelconque, à fournir un service ou à consentir un acte opérant obligation ou décharge. » (article 313-1 du code pénal). L’escroc qui envoie un faux RIB sous l’identité du fournisseur use d’une fausse qualité et déploie des manœuvres — faux courriel, faux en-tête, parfois faux tampon ou fausse lettre sur papier à en-tête — pour déterminer l’entreprise à remettre des fonds. Le texte punit ces faits de cinq ans d’emprisonnement et de 375 000 euros d’amende, et l’article 313-7 ajoute des peines complémentaires : « Les personnes physiques coupables de l’un des délits prévus aux articles 313-1 , 313-2 , 313-6 et 313-6-1 encourent également les peines complémentaires suivantes », au nombre desquelles l’interdiction des droits civiques, civils et de famille, l’interdiction d’exercer l’activité professionnelle à l’occasion de laquelle l’infraction a été commise, la fermeture des établissements ayant servi à commettre les faits et la confiscation de la chose qui en est le produit (article 313-7 du code pénal).
La jurisprudence retient une lecture exigeante mais réaliste des manœuvres frauduleuses : un montage, même sobre, suffit dès lors qu’il est construit pour obtenir la remise des fonds. La chambre criminelle de la Cour de cassation a ainsi approuvé des juges qui avaient relevé que des actes « ont constitué des manoeuvres frauduleuses destinées à en obtenir le versement pour ensuite la détourner » (Cass. crim., 30 avril 2025, n° 23-83.051). Un courriel de changement de RIB envoyé depuis une adresse piratée ou une adresse sosie — une lettre modifiée dans le nom de domaine, un faux ordre signé du nom du dirigeant du fournisseur — relève de la même logique : la mise en scène extérieure au mensonge caractérise la manœuvre. Conservez donc tout : le message d’origine avec ses en-têtes techniques complets, la pièce jointe du faux RIB, les échanges antérieurs avec le vrai fournisseur, l’ordre de virement et l’avis d’exécution de votre banque. Ces pièces établissent à la fois la fausse qualité, la manœuvre et le préjudice, c’est-à-dire le montant détourné, les frais bancaires et, le cas échéant, les pénalités payées au vrai fournisseur pour retard de règlement.
Deux erreurs fréquentes affaiblissent les dossiers. La première consiste à effacer le message frauduleux ou à répondre à l’escroc pour « vérifier », ce qui alerte l’auteur et complique le traçage. La seconde consiste à attendre : chaque heure compte car les fonds transitent vite vers des comptes rebonds, parfois à l’étranger. La qualification pénale étant acquise dès la remise des fonds provoquée par la tromperie, l’entreprise victime doit agir le jour même, simultanément sur le terrain bancaire et sur le terrain policier, comme l’explique la partie suivante.
B. Escroquerie en ligne : porter plainte vite et faire tracer les fonds au plus vite
Le dépôt de plainte n’est pas une formalité : il déclenche l’enquête, permet les réquisitions vers les banques et fige la qualité de victime de l’entreprise pour la suite des recours. L’article 15-3 du code de procédure pénale dispose que « Les officiers et agents de police judiciaire sont tenus de recevoir les plaintes déposées par les victimes d’infractions à la loi pénale, y compris lorsque ces plaintes sont déposées dans un service ou une unité de police judiciaire territorialement incompétents. Dans ce cas, la plainte est, s’il y a lieu, transmise au service ou à l’unité territorialement compétents. » (article 15-3 du code de procédure pénale). Concrètement, aucun service ne peut refuser la plainte de l’entreprise au motif que le compte destinataire se trouve dans un autre ressort ou que l’auteur présumé opère depuis l’étranger. Pour une escroquerie commise sur internet, la plainte peut être préparée puis déposée via la plateforme de signalement et de plainte en ligne des forces de l’ordre, avant un rendez-vous de signature au commissariat ou en gendarmerie. Joignez-y un dossier ordonné : chronologie des faits, identité du vrai fournisseur et montant de la facture d’origine, copie du message frauduleux et du faux RIB, preuve du virement avec l’IBAN destinataire, le nom du titulaire annoncé et les références d’exécution.
En parallèle de la plainte, l’entreprise doit demander à sa banque, par écrit et sans délai, d’adresser à la banque du compte bénéficiaire une demande de rappel des fonds, souvent appelée recall dans la pratique interbancaire, et de tenter de bloquer toute somme encore disponible. Un virement SEPA exécuté ne peut pas être annulé d’un simple appel : une fois les fonds crédités sur le compte destinataire, seul le titulaire de ce compte ou une décision de justice peut en autoriser la restitution, et la banque destinataire oppose le secret professionnel aux demandes directes de la victime. La voie praticable consiste donc à exiger de votre propre banque qu’elle saisisse immédiatement la banque destinataire, qu’elle conserve la trace écrite de cette démarche et qu’elle vous communique l’identité du prestataire destinataire. Cette démarche doit être datée et conservée : elle servira plus tard à démontrer que l’entreprise a limité son préjudice, et elle met la banque face à ses propres obligations de diligence.
La constitution de partie civile devant le juge pénal, dès que l’enquête le permet, complète le dispositif : elle autorise l’entreprise à demander réparation de son préjudice dans le procès pénal lui-même. La chambre criminelle statue régulièrement sur les intérêts civils des victimes constituées parties civiles et vérifie d’office la régularité de leurs demandes, comme l’illustre un arrêt récent où elle relève que les juges avaient « tenu compte d’office du caractère définitif de la relaxe prononcée pour certains faits d’escroquerie et du débouté des demandes des parties civiles en lien avec ces faits » (Cass. crim., 5 mars 2025, n° 23-86.615). Le message pratique est simple : ne laissez pas le volet pénal se dérouler sans vous. Une entreprise qui a déposé plainte, transmis ses pièces et déclaré sa constitution de partie civile reste informée de la procédure et peut chiffrer ses demandes — capital détourné, frais, perte d’exploitation documentée — au lieu de subir l’issue de l’enquête de loin.
II. Escroquerie au virement : obtenir le remboursement de la banque
Une fois la plainte déposée et le rappel des fonds demandé, la question financière devient centrale : qui supporte la perte ? Le réflexe naturel consiste à exiger de sa banque le remboursement immédiat du virement, mais le droit applicable distingue deux situations très différentes. Si l’opération n’a pas été autorisée — ordre falsifié, fraude sur les instruments de paiement sans validation du client — la loi impose un remboursement rapide. Si l’entreprise a elle-même validé le virement, trompée par le faux RIB, l’opération est juridiquement autorisée et le remboursement automatique n’existe pas : le terrain se déplace vers le devoir de vigilance de la banque, vers la responsabilité du partenaire compromis et vers les garanties d’assurance. Comprendre cette ligne de partage évite de perdre des mois dans des réclamations mal fondées et oriente l’effort vers les demandes qui peuvent aboutir.
A. Anomalie apparente : quand la banque doit vous alerter avant de payer
Le régime légal du remboursement vise d’abord les opérations non autorisées. L’article L. 133-18 du code monétaire et financier prévoit qu’« En cas d’opération de paiement non autorisée signalée par l’utilisateur dans les conditions prévues à l’article L. 133-24 , le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant » (article L. 133-18 du code monétaire et financier). Le signalement doit intervenir vite : « L’utilisateur de services de paiement signale, sans tarder, à son prestataire de services de paiement une opération de paiement non autorisée ou mal exécutée et au plus tard dans les treize mois suivant la date de débit sous peine de forclusion » (article L. 133-24 du code monétaire et financier). Dans une fraude au faux RIB classique, toutefois, c’est bien le comptable de l’entreprise qui a saisi et validé l’ordre, avec les codes de sécurité requis : l’opération est autorisée, même si le consentement a été surpris par la fraude. Les banques opposent systématiquement cet argument pour refuser le remboursement automatique, et les juges l’admettent en principe. Le combat se déplace alors sur un autre fondement : le banquier a-t-il manqué à son devoir de vigilance en exécutant sans alerter un ordre porteur d’anomalies apparentes ?
La Cour de cassation a donné à cette question une réponse très concrète dans une affaire de fraude au président, mécanisme cousin du faux RIB, où une société avait adressé sept ordres de virement frauduleux pour plus d’un million d’euros. La chambre commerciale a approuvé la cour d’appel qui avait relevé que « les ordres de virement litigieux, par leur caractère rapproché et répété, par la période de l’année à laquelle ils intervenaient, leurs montants élevés par rapport aux ordres habituellement donnés et par le fait qu’ils étaient établis au bénéfice de sociétés ne faisant pas partie des relations d’affaires de la société et situées en dehors de l’espace habituel de son activité, auraient dû conduire la banque à se renseigner sur leur validité directement auprès du dirigeant supposé », puis a jugé que « faisant ressortir l’existence d’anomalies apparentes affectant les ordres de paiement, la cour d’appel a exactement retenu que la banque était tenue d’alerter la société afin d’obtenir la confirmation des ordres litigieux en exécution de son obligation de vigilance » (Cass. com., 2 octobre 2024, n° 23-13.282, publié au Bulletin). Transposé au faux RIB, ce raisonnement offre une grille d’analyse précise : premier virement vers un nouvel IBAN pour un fournisseur habituel, bénéficiaire situé dans un pays avec lequel l’entreprise ne travaille jamais, montant inhabituel ou fractionné, urgence invoquée dans le message, changement de RIB annoncé uniquement par courriel sans confirmation téléphonique. Chacun de ces signaux, et plus encore leur cumul, peut constituer une anomalie apparente que la banque devait déceler par un contrôle de premier niveau, sans s’immiscer dans les affaires du client.
Pour transformer cette jurisprudence en demande de remboursement, l’entreprise doit écrire à sa banque une réclamation circonstanciée : rappeler la chronologie, lister les anomalies apparentes que le service des paiements pouvait voir — nouveau bénéficiaire, rupture avec les habitudes du compte, zone géographique inhabituelle —, viser l’obligation de vigilance et chiffrer le préjudice. Si la réponse est négative ou tardive, le médiateur bancaire puis le tribunal judiciaire prennent le relais, avec un dossier enrichi des relevés de compte antérieurs qui démontrent les habitudes de paiement de l’entreprise et du refus écrit de la banque. Les entreprises exposées aux fraudes au président et aux faux ordres de virement trouveront un exposé complémentaire des réflexes bancaires dans notre analyse dédiée à la fraude au président par deepfake et faux virement en entreprise. L’expérience montre que les établissements transigent plus volontiers lorsque la démonstration des anomalies est documentée et que la plainte pénale suit son cours, car une condamnation de l’auteur facilite ensuite le recours contributif de la banque elle-même.
B. Fournisseur piraté, assurance et juge civil : les autres voies pour récupérer l’argent
La banque n’est pas le seul responsable potentiel. Lorsque le faux RIB a été adressé depuis la messagerie véritable du fournisseur, piratée ou insuffisamment sécurisée, la responsabilité civile de ce partenaire peut être recherchée sur le fondement du droit commun. L’article 1240 du code civil pose le principe : « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer. » (article 1240 du code civil). Encore faut-il démontrer une faute : messagerie sans double authentification malgré des alertes antérieures, absence de réaction après avoir été informé du piratage, transmission tardive de l’information aux clients exposés. À l’inverse, un fournisseur qui prouve qu’il a été lui-même victime d’une attaque sophistiquée, qu’il a alerté ses clients dès la découverte et déposé plainte, rendra cette action plus difficile. Dans tous les cas, conservez les échanges qui montrent ce que le fournisseur savait et quand il vous a prévenu : le calendrier de l’information est souvent décisif. Cette voie présente un avantage stratégique : le vrai fournisseur, soucieux de préserver la relation commerciale, accepte parfois de partager le coût, de rééchelonner la créance ou de joindre ses efforts aux vôtres contre l’auteur, ce qui vaut mieux qu’un procès frontal entre partenaires.
Le deuxième gisement de récupération se trouve dans les contrats d’assurance de l’entreprise : assurance fraude, assurance cyber, parfois garantie pertes financières des contrats multirisques professionnels. Ces polices couvrent fréquemment les détournements commis par des tiers au moyen de manipulations informatiques ou d’usurpations d’identité, sous réserve de déclarations rapides et du respect des mesures de prévention stipulées — procédure de validation des changements de RIB, double contrôle des virements sensibles, sensibilisation du personnel. Déclarez le sinistre par écrit dans le délai contractuel, souvent de quelques jours, en joignant la plainte et le dossier de preuves. En cas de refus de garantie, faites-le motiver par écrit et vérifiez trois points avant de contester : l’exclusion invoquée figure-t-elle clairement au contrat, s’applique-t-elle à une fraude externe plutôt qu’interne, et l’assureur démontre-t-il le manquement aux mesures de prévention qu’il vous reproche ? Les refus fondés sur des clauses générales et imprécises se discutent utilement devant le médiateur de l’assurance puis devant le juge.
La troisième voie, enfin, est l’action civile contre l’auteur lui-même et, lorsque les fonds ont transité par des comptes identifiés, contre les titulaires de ces comptes rebonds qui ne peuvent expliquer l’origine des sommes. La plainte pénale et la constitution de partie civile restent le cadre le plus efficace, car le juge répressif peut ordonner la confiscation et la restitution, et car l’enquête dispose de moyens de traçage — réquisitions bancaires, gel des avoirs — inaccessibles au justiciable seul. Mais l’entreprise ne doit pas négliger l’assignation civile, notamment quand l’auteur demeure inconnu : une action en responsabilité contre la banque pour manquement à la vigilance, ou contre le partenaire négligent sur le fondement de l’article 1240, peut prospérer indépendamment de l’identification de l’escroc. L’articulation des procédures exige une chronologie rigoureuse : plainte et demande de rappel des fonds le jour même, réclamation bancaire documentée dans la semaine, déclaration d’assurance dans le délai contractuel, mise en demeure du partenaire dès que son rôle se précise, puis saisine du médiateur ou du tribunal avant l’expiration des délais. Chaque étape alimente la suivante, et c’est cette discipline qui transforme un virement parti en une créance recouvrable.
Conclusion
Face à un faux RIB, la responsabilité se répartit selon une logique claire : l’auteur répond de l’escroquerie sur le terrain pénal, la banque répond de sa vigilance devant les anomalies apparentes, et le partenaire dont la messagerie compromise a servi d’instrument répond de ses propres négligences lorsqu’elles sont établies. L’entreprise victime n’est donc pas condamnée à supporter seule la perte, à condition d’agir vite et dans l’ordre : conserver les preuves, déposer plainte sans attendre, exiger par écrit le rappel des fonds, réclamer à la banque en visant précisément les anomalies qu’elle aurait dû voir, déclarer le sinistre à l’assurance et documenter le rôle du fournisseur. C’est cette mécanique, plus que l’émotion du moment, qui permet d’obtenir le remboursement d’un virement frauduleux et de sécuriser durablement la procédure de paiement de l’entreprise, avec une règle d’or pour l’avenir : aucun changement de RIB ne se valide jamais sur la seule foi d’un courriel.
Besoin d’un avis rapide sur votre dossier
Votre entreprise a payé un faux RIB ou un faux fournisseur et la banque refuse le remboursement ? Une consultation téléphonique sous 48 heures avec un avocat du cabinet, à Paris et en Île-de-France, permet de qualifier la fraude, de chiffrer les recours contre la banque et le partenaire, et d’engager sans tarder la plainte et le rappel des fonds. Appelez le 06 46 60 58 22 ou écrivez via notre page contact.