Les recherches des internautes français sur l’IBAN s’envolent depuis le 25 septembre 2026, et Google suggère « arnaque rib entreprise », « faux rib qui est responsable » et « arnaque rib que faire ». La raison est documentée par la presse : l’Agence de services et de paiement (ASP), qui verse des aides publiques pour le compte de l’État, a confirmé l’exposition des données personnelles et bancaires, dont l’IBAN, de plus de 143 000 bénéficiaires du dispositif « Coup de pouce énergie », avec un risque assumé de tentatives d’escroquerie ciblées (Capital, 25 septembre 2026 ; Le Parisien, 25 septembre 2026). Des IBAN volés en masse alimentent directement la fraude qui frappe les entreprises : le faux changement de RIB du fournisseur, qui détourne vos règlements vers le compte d’un escroc. Votre comptable a payé de bonne foi, la banque a exécuté l’ordre, l’argent a disparu, et la banque refuse de rembourser. Ce dossier répond aux questions que les dirigeants tapent réellement : comment l’arnaque fonctionne et que faire dans les premières heures, puis qui est responsable et qui paie au regard des arrêts les plus récents, dont une décision de la Cour de cassation du 9 septembre 2026 rendue pour une entreprise victime de 365 000 euros de virements détournés.
I. Arnaque au RIB : comment votre entreprise se fait piéger par un faux changement de RIB
Le scénario ne varie presque jamais, et c’est cette stabilité qui le rend dangereux : un message qui ressemble en tout point à celui de votre fournisseur annonce un changement de coordonnées bancaires, joint un RIB en apparence régulier, et votre entreprise règle ses factures sur le compte d’un escroc. La fraude ne pirate pas votre banque, elle pirate votre confiance. Comprendre le mécanisme commande les bons réflexes, car les premières heures décident souvent de ce qui pourra être récupéré.
A. Arnaque RIB par mail : le faux message du fournisseur qui change ses coordonnées bancaires
Le mode opératoire standard tient en trois temps. D’abord, les escrocs s’introduisent dans la boucle de mails : soit ils piratent la messagerie de votre entreprise ou de votre fournisseur, soit ils créent une adresse contrefaite qui imite celle d’un interlocuteur connu à une lettre près. Ensuite, au moment où une facture importante arrive à échéance, ils envoient un message annonçant un changement de RIB, avec un nouvel IBAN et parfois un faux courrier à en-tête du fournisseur. Enfin, votre comptable exécute le virement de bonne foi, en pensant régler le vrai créancier. La découverte intervient des semaines plus tard, quand le vrai fournisseur relance pour facture impayée.
Les montants en jeu n’ont rien d’anecdotique. Une société civile immobilière qui faisait construire un immeuble a ainsi viré 189 893,14 euros le 20 janvier 2020 puis 175 404,11 euros le 24 février 2020 sur un compte ouvert dans les livres d’une banque portugaise, après un courriel du 15 janvier 2020 présenté comme venant de son constructeur et annonçant que son compte habituel n’était plus actif : la fraude n’a été découverte que le 25 février 2020 (Cass. com., 9 septembre 2026, n° 25-15.225, décision sur courdecassation.fr). Une société de programmes de fidélisation a, elle, émis cinq virements d’un total de 31 000 euros vers des comptes en Pologne entre fin août et mi-septembre 2021, en pensant régler son fournisseur, avant de déposer plainte pour escroquerie le 17 septembre 2021 (CA Bordeaux, 18 février 2025, RG n° 23/02920, décision sur courdecassation.fr). Et des particuliers qui faisaient construire leur maison ont perdu 29 583 euros puis 39 444 euros après deux courriels reçus le même 3 mai 2023, le premier authentique à 10h02 avec de vrais appels de fonds, le second frauduleux à 16h17 avec un RIB contrefait (Cass. com., 1er juillet 2026, n° 25-15.283, décision sur courdecassation.fr).
Face à ce mécanisme, la prévention vaut mieux que n’importe quel procès, et elle tient à des règles internes simples. Premier réflexe : ne jamais valider un changement de RIB reçu par le seul courrier électronique, quel que soit l’expéditeur apparent. La vérification passe par un rappel téléphonique au numéro du fournisseur que vous connaissez déjà, jamais au numéro figurant dans le message suspect. Deuxième réflexe : instaurer une double validation pour tout changement de coordonnées bancaires d’un tiers, avec une personne qui contrôle et une personne qui paie, et consigner la vérification par écrit. Troisième réflexe : activer les options proposées par votre banque, plafonds par pays ou listes de bénéficiaires autorisés. Dans l’affaire bordelaise, le tribunal a relevé que la société n’avait pas souscrit l’option permettant de limiter les virements à une liste de pays autorisés et à des plafonds déterminés, ce qui a pesé dans son échec. Quatrième réflexe : souscrire une assurance fraude et cyber, dont les garanties couvrent parfois le détournement de virements, et vérifier chaque année les exclusions. Enfin, inscrivez la procédure de vérification des RIB dans vos contrats avec vos principaux fournisseurs : une clause qui impose la confirmation téléphonique de tout changement de coordonnées protège les deux parties et fournit une preuve de votre diligence en cas de litige.
B. Arnaque RIB : que faire dans les premières heures pour récupérer les fonds
Dès la découverte, chaque heure compte car les fonds transitent vite, parfois à l’étranger. La première mesure consiste à bloquer tout autre règlement en cours vers le même bénéficiaire et à alerter par écrit votre banque en demandant le rappel des fonds. Ce rappel n’est pas une faveur commerciale : l’article L. 133-21 du code monétaire et financier prévoit que « Toutefois, le prestataire de services de paiement du payeur s’efforce de récupérer les fonds engagés dans l’opération de paiement », et ajoute que la banque du bénéficiaire « communique au prestataire de services de paiement du payeur toutes les informations utiles pour récupérer les fonds ». Si votre banque ne parvient pas à récupérer les sommes, le même texte dispose qu’elle « met à disposition du payeur, à sa demande, les informations qu’il détient pouvant documenter le recours en justice du payeur en vue de récupérer les fonds ». Exigez donc, par écrit, la trace complète de l’opération et l’identité de l’établissement destinataire : ces éléments serviront ensuite contre l’escroc.
La deuxième mesure consiste à déposer plainte sans attendre. Les faits correspondent à l’escroquerie définie par l’article 313-1 du code pénal : « L’escroquerie est le fait, soit par l’usage d’un faux nom ou d’une fausse qualité, soit par l’abus d’une qualité vraie, soit par l’emploi de manoeuvres frauduleuses, de tromper une personne physique ou morale et de la déterminer ainsi, à son préjudice ou au préjudice d’un tiers, à remettre des fonds, des valeurs ou un bien quelconque, à fournir un service ou à consentir un acte opérant obligation ou décharge », punie de « cinq ans d’emprisonnement et de 375 000 euros d’amende ». L’usurpation de l’identité de votre fournisseur tombe en outre sous l’article 226-4-1 du code pénal : « Le fait d’usurper l’identité d’un tiers ou de faire usage d’une ou plusieurs données de toute nature permettant de l’identifier en vue de troubler sa tranquillité ou celle d’autrui, ou de porter atteinte à son honneur ou à sa considération, est puni d’un an d’emprisonnement et de 15 000 € d’amende ». Déposez plainte pour escroquerie et usurpation d’identité, en joignant les messages frauduleux avec leurs en-têtes techniques, les RIB reçus, les ordres de virement et la chronologie des échanges avec le vrai fournisseur. La constitution de partie civile, possible dès le dépôt de plainte, préservera votre droit à indemnisation dans le procès pénal.
La troisième mesure consiste à prévenir le vrai fournisseur et à auditer vos autres règlements : un pirate installé dans votre messagerie a pu viser plusieurs échéances, et le fournisseur usurpé doit savoir que son identité sert à escroquer ses clients. Faites vérifier votre système d’information et changez les accès. Enfin, ne nourrissez aucun espoir sur le remboursement automatique prévu pour les opérations non autorisées : l’article L. 133-18 du code monétaire et financier impose à la banque de rembourser « le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant », mais votre virement, ordonné par votre comptable dûment habilitée, est une opération autorisée. C’est précisément cette qualification qui fait basculer tout le litige, et qui explique la position de votre banque.
II. Faux RIB : qui est responsable et qui paie
La question « faux rib, qui est responsable » reçoit une réponse brutale en jurisprudence : quand votre entreprise a elle-même donné l’ordre de virement avec l’IBAN de l’escroc, la banque n’a en principe rien à rembourser, car l’opération est réputée correctement exécutée. Ce principe souffre toutefois deux correctifs majeurs, la charge de la preuve qui pèse sur la banque et son obligation de vigilance face aux opérations manifestement anormales. Les quatre arrêts récents qui suivent dessinent la carte complète du contentieux.
A. Virement exécuté : pourquoi votre banque refuse de rembourser
Le verrou juridique s’appelle l’article L. 133-21 du code monétaire et financier, qui transpose l’article 88 de la directive européenne sur les services de paiement : « Un ordre de paiement exécuté conformément à l’identifiant unique fourni par l’utilisateur du service de paiement est réputé dûment exécuté pour ce qui concerne le bénéficiaire désigné par l’identifiant unique. Si l’identifiant unique fourni par l’utilisateur du service de paiement est inexact, le prestataire de services de paiement n’est pas responsable de la mauvaise exécution ou de la non-exécution de l’opération de paiement. » En langage courant : si l’IBAN que vous avez fourni correspond au compte effectivement crédité, la banque a bien exécuté sa mission, même si cet IBAN était celui d’un escroc. La Cour de cassation a jugé ce régime exclusif de tout autre fondement : « seul est applicable le régime de responsabilité défini aux articles L. 133-18 à L. 133-24 du code monétaire et financier, qui transposent les articles 71 à 74 de la directive (UE) 2015/2366 du 25 novembre 2015 concernant les services de paiement dans le marché intérieur, modifiant les directives 2002/65/CE, 2009/110/CE et 2013/36/UE et le règlement (UE) n° 1093/2010, et abrogeant la directive 2007/64/CE, à l’exclusion de tout régime alternatif de responsabilité résultant du droit national » (Cass. com., 15 janvier 2025, n° 23-15.437, décision sur courdecassation.fr). Autrement dit, vous ne pouvez pas contourner l’obstacle en invoquant la responsabilité contractuelle de droit commun : « La responsabilité contractuelle de droit commun n’est pas applicable lorsque l’opération relève du régime exclusif de responsabilité prévu à l’article L. 133-21 du code monétaire et financier » (Cass. com., 9 septembre 2026, n° 25-15.225, décision sur courdecassation.fr). La responsabilité contractuelle de l’article 1231-1 du code civil, selon lequel « Le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure » (article 1231-1 du code civil), est donc écartée dans ce contentieux.
Deux arrêts de 2026 appliquent ce verrou à des victimes d’escroquerie au RIB. Dans l’affaire BNP Paribas, la cour d’appel avait condamné la banque à restituer les fonds en retenant que les victimes n’avaient jamais consenti à payer un tiers inconnu et que la substitution de l’IBAN falsifié, antérieure ou postérieure à l’ordre, ne changeait rien à l’absence d’autorisation. La Cour de cassation censure ce raisonnement : « En statuant ainsi, alors qu’elle constatait que les opérations de paiement avaient été exécutées conformément aux identifiants uniques fournis par M. et Mme [L], la cour d’appel a violé le texte susvisé » (Cass. com., 1er juillet 2026, n° 25-15.283, décision sur courdecassation.fr). Victime d’une escroquerie avérée, laissant près de 69 000 euros sur un compte d’escroc : la banque n’a pas à payer, parce que l’ordre a été exécuté conformément à l’IBAN fourni.
Le second arrêt concerne directement une entreprise. La SCI qui avait viré 189 893,14 euros puis 175 404,11 euros contestait les deux virements et invoquait la responsabilité de droit commun. Pour le premier virement, exécuté conformément à l’IBAN transmis, la Cour approuve le rejet des demandes : le régime exclusif de l’article L. 133-21 ferme la porte à toute indemnisation sur le fondement du droit commun. Mais pour le second virement, la Cour casse : la facture jointe à l’ordre du 13 février 2020 mentionnait le véritable IBAN du constructeur, et c’est à la banque de prouver l’autorisation donnée quant au bénéficiaire. La Cour rappelle qu’« Il résulte des deux derniers de ces textes que la charge de la preuve de l’autorisation du paiement initié par le payeur donnée au prestataire de services de paiement, sous la forme convenue entre eux, repose sur le prestataire de services de paiement » (Cass. com., 9 septembre 2026, n° 25-15.225, décision sur courdecassation.fr).
Les textes visés par cet arrêt sont les articles L. 133-6 et L. 133-7 du code monétaire et financier : « Une opération de paiement est autorisée si le payeur a donné son consentement à son exécution » et « Le consentement est donné sous la forme convenue entre le payeur et son prestataire de services de paiement », tandis qu’« En l’absence d’un tel consentement, l’opération ou la série d’opérations de paiement est réputée non autorisée ». En pratique, l’article L. 133-23 du code monétaire et financier impose à la banque de prouver que « l’opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre ». Moralité pour votre entreprise : conservez chaque ordre de virement, chaque facture et chaque consigne donnée à la banque, car si l’IBAN figurant sur votre ordre diffère de celui exécuté, la charge de la preuve jouera contre l’établissement.
Le sort de la société Romactis illustre enfin le cas où l’entreprise perd sur toute la ligne : virements passés par sa comptable habilitée, opérations jugées cohérentes avec ses relations d’affaires, absence d’anomalie relevée, et option de filtrage par pays non souscrite. Le tribunal de commerce de Bordeaux l’a déboutée de l’ensemble de ses demandes, et la cour d’appel a confirmé le jugement en ajoutant 3 000 euros au titre des frais irrépétibles (CA Bordeaux, 18 février 2025, RG n° 23/02920). Quand l’ordre est régulier, l’exécutant habilité et l’opération sans anomalie apparente, aucun fondement ne permet de faire payer la banque.
B. Faux RIB : faire payer l’escroc et obtenir l’indemnisation de votre banque
La principale brèche dans la muraille de l’article L. 133-21 s’appelle l’obligation de vigilance de la banque face aux anomalies apparentes. Une société victime d’une fraude dite « au président », où un tiers usurpant l’identité du dirigeant avait fait ordonner par la comptable sept virements d’un total de 2 121 903,81 euros vers Hong-Kong entre le 11 et le 22 décembre 2017, a obtenu la condamnation de sa banque à 1 060 951,90 euros. La Cour de cassation a rejeté le pourvoi de la banque en approuvant les juges du fond : « faisant ressortir l’existence d’anomalies apparentes affectant les ordres de paiement, la cour d’appel a exactement retenu que la banque était tenue d’alerter la société afin d’obtenir la confirmation des ordres litigieux en exécution de son obligation de vigilance » (Cass. com., 2 octobre 2024, n° 23-13.282, décision sur courdecassation.fr). Les indices retenus dessinent le portrait-robot de l’anomalie apparente : ordres rapprochés et répétés, période inhabituelle de l’année, montants élevés sans rapport avec les ordres habituels, bénéficiaires hors des relations d’affaires et situés hors de l’espace habituel d’activité. Face à de tels signaux, la banque doit alerter et obtenir confirmation, en pratique directement auprès du dirigeant, avant d’exécuter.
Transposez ce raisonnement à votre arnaque au faux RIB : un premier règlement vers un pays où vous n’avez jamais payé, un montant inhabituel pour ce fournisseur, un changement brutal de coordonnées suivi d’un ordre urgent, voilà des anomalies que votre conseil mettra en avant pour engager la responsabilité de la banque sur le terrain du manquement à la vigilance, distinct du remboursement automatique qui vous est refusé. Rassemblez vos relevés sur plusieurs années, vos tableaux de virements habituels par fournisseur, pays et montant, et toute alerte que la banque aurait dû voir. À l’inverse, si vos virements vers l’escroc ressemblent à vos paiements ordinaires, comme dans l’affaire Romactis, ne fondez pas votre stratégie sur ce seul terrain.
Le deuxième front vise l’escroc lui-même et ceux qui l’ont aidé. Votre plainte pour escroquerie et usurpation d’identité, assortie d’une constitution de partie civile, permet de demander au juge pénal la réparation intégrale de votre préjudice. Sur le terrain civil, l’article 1240 du code civil dispose que « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer » : tout complice identifié, y compris le titulaire d’un compte « mule » qui a laissé transiter les fonds, répond de votre dommage. Demandez à votre banque, sur le fondement de l’article L. 133-21, les informations qu’elle détient pour documenter ce recours, et sollicitez du juge d’instruction ou du tribunal la communication des réquisitions bancaires. En parallèle, déclarez le sinistre à votre assureur fraude : les polices couvrent souvent les détournements de virements sous conditions de procédures internes, d’où l’importance des règles de double validation décrites plus haut.
Pour situer votre dossier dans l’ensemble des fraudes aux paiements, deux repères utiles sur ce site : notre dossier sur les remboursements après piratage de carte bancaire (Cyberattaque France carte bancaire : 600 000 numéros volés, opposition, remboursement et plainte), qui relève d’un régime plus favorable puisque l’opération y est non autorisée, et notre dossier sur les suites d’une cyberattaque massive (Données personnelles piratées : que faire après la cyberattaque visant l’Afpa). Si c’est votre situation personnelle de bénéficiaire d’une aide dont l’IBAN a fuité qui vous préoccupe, notre dossier sur le remboursement bancaire et la plainte après une fuite d’IBAN (IBAN volé, que faire : remboursement de votre banque, plainte et recours après la fuite de l’ASP) traite ce versant. Le présent article, lui, défend l’entreprise qui a payé un escroc en pensant payer son fournisseur.
Conclusion
Un faux changement de RIB fait basculer votre entreprise dans le régime le plus sévère du droit des paiements : le virement que votre comptable a ordonné est autorisé, la banque l’a exécuté conformément à l’IBAN fourni, et l’article L. 133-21 la décharge en principe de toute responsabilité, sans recours possible au droit commun de la responsabilité contractuelle. Les arrêts BNP Paribas du 1er juillet 2026 et SCI Ra-immo du 9 septembre 2026 le confirment sans détour. Votre défense se joue donc sur trois tableaux : agir dans l’heure pour le rappel des fonds et la plainte pour escroquerie, exploiter la charge de la preuve qui pèse sur la banque dès que l’autorisation quant au bénéficiaire est discutée, et démontrer des anomalies apparentes que la vigilance bancaire aurait dû intercepter, comme la condamnation maintenue dans l’affaire de la fraude au président de 2,12 millions d’euros. En amont, une procédure écrite de vérification des RIB, une double validation et des plafonds par pays valent mieux que n’importe quel procès. Si le préjudice est déjà là, faites chiffrer rapidement vos chances : chaque dossier dépend de vos ordres exacts, de vos habitudes de paiement et des alertes que votre banque a manquées.
Besoin d’un avis rapide sur votre dossier
Si votre entreprise a payé un faux fournisseur après un changement de RIB reçu par mail, une consultation téléphonique sous 48 heures avec un avocat du cabinet permet de verrouiller la preuve, d’organiser le rappel des fonds et de chiffrer vos recours contre la banque et l’escroc. Consultation téléphonique : 80 EUR TTC. Le cabinet accompagne les entreprises à Paris et en Île-de-France. Téléphone : 06 46 60 58 22. Contact : formulaire de contact.
Source : Cour de cassation – Base Open Data « Judilibre » & « Légifrance ».