Votre comptable reçoit un courriel de votre fournisseur habituel avec un nouveau relevé d’identité bancaire, il saisit l’IBAN, valide le virement, et l’argent part sur le compte d’un escroc. Quand vous appelez votre banque, la réponse tombe : l’ordre a été exécuté conformément à l’IBAN que vous avez fourni, aucun remboursement automatique n’est dû. Depuis le 9 octobre 2025, cette réponse ne suffit plus. Toutes les banques de la zone euro doivent vérifier que le nom du bénéficiaire correspond à l’IBAN avant l’exécution, et vous alerter en cas de discordance. Deux décisions récentes de cours d’appel, rendues à Bordeaux le 18 février 2025 et à Montpellier le 7 avril 2026, dessinent la ligne de partage : le virement vers un faux IBAN reste un virement autorisé, mais la banque répond de son défaut d’alerte, de sa lenteur à tenter de récupérer les fonds et de son manquement à son devoir de vigilance. Cet article expose la méthode complète : comprendre pourquoi le remboursement automatique ne joue pas, exploiter l’alerte de discordance nom-IBAN, lancer la procédure de récupération dans les premières heures, déposer plainte utilement et trancher la question qui angoisse chaque dirigeant : faudra-t-il payer une seconde fois le véritable fournisseur.

I. Votre virement vers un faux IBAN est un virement autorisé : ce que la banque vous doit vraiment

A. Pourquoi le remboursement automatique ne s’applique pas quand votre entreprise a elle-même validé le virement

Le réflexe naturel consiste à invoquer le remboursement des opérations non autorisées. L’article L133-18 du code monétaire et financier dispose que « le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant ». Le texte ajoute que le prestataire « rétablit le compte débité dans l’état où il se serait trouvé si l’opération de paiement non autorisée n’avait pas eu lieu ». Lu rapidement, ce mécanisme semble promettre un remboursement sous vingt-quatre heures. La réalité contentieuse est inverse dans le cas du faux RIB : quand votre entreprise a saisi elle-même l’IBAN frauduleux et validé l’ordre, l’opération est qualifiée d’autorisée, et ce régime protecteur ne s’applique pas.

La cour d’appel de Bordeaux l’a rappelé le 18 février 2025 dans une affaire qui ressemble à des centaines de dossiers d’entreprise. La société Romactis, spécialisée dans les programmes de fidélisation, avait émis cinq virements d’un montant total de 31 000 euros vers des comptes situés en Pologne, en pensant régler son fournisseur I Feel Goods (CA Bordeaux, 4e ch. civ., 18 février 2025, RG 23/02920). Un escroc s’était infiltré dans les échanges de courriels, avait usurpé l’identité de l’interlocutrice habituelle et avait fait modifier l’IBAN par la comptable de la société. La société invoquait les articles L133-18 et L133-19 pour obtenir le remboursement. La cour répond que « les opérations litigieuses ne peuvent être qualifiées d’opération de paiement non autorisées, puisque la banque s’est limitée à exécuter exactement les ordres donnés par la société Romactis, et qu’il est constant qu’elle a bien effectué les virements demandés entre les mains du bénéficiaire désigné par l’IBAN fourni par société Romactis elle-même ». La demande de remboursement automatique est donc rejetée.

Le fondement de ce rejet se trouve à l’article L133-21 du code monétaire et financier, aux termes duquel « Un ordre de paiement exécuté conformément à l’identifiant unique fourni par l’utilisateur du service de paiement est réputé dûment exécuté pour ce qui concerne le bénéficiaire désigné par l’identifiant unique ». En matière de virement, l’identifiant unique est l’IBAN. Quand l’IBAN saisi désigne le compte de l’escroc, la banque qui exécute vers cet IBAN exécute correctement l’ordre au sens de ce texte, même si le nom inscrit sur l’ordre correspond à votre vrai fournisseur. Le même article précise que « Si l’identifiant unique fourni par l’utilisateur du service de paiement est inexact, le prestataire de services de paiement n’est pas responsable de la mauvaise exécution ou de la non-exécution de l’opération de paiement ». La cour d’appel de Montpellier l’a confirmé le 7 avril 2026 dans un dossier de loyers trimestriels versés sur un faux RIB prétendument adressé par le bailleur : la société locataire « se plaçant dans le cadre d’une opération qu’elle affirme avoir autorisée, et non dans le cadre d’une opération non autorisée au sens du code monétaire et financier », elle ne pouvait exiger le remboursement automatique (CA Montpellier, ch. commerciale, 7 avril 2026, RG 25/00601). Dans ses conclusions, la société reconnaissait elle-même que le régime légal de remboursement des paiements non autorisés ne s’appliquait pas à son dossier, puisqu’elle se plaçait sur le terrain d’une opération autorisée.

Cette qualification a trois conséquences pratiques immédiates. D’abord, inutile d’exiger un remboursement sous vingt-quatre heures sur le fondement de l’article L133-18 : la banque opposera la qualification d’opération autorisée, et les juges suivront si l’ordre a bien été validé depuis votre espace. Ensuite, le plafond de 50 euros prévu par l’article L133-19 du code monétaire et financier en cas d’opération consécutive à la perte ou au vol de l’instrument de paiement ne concerne pas non plus le faux RIB, puisqu’il suppose une utilisation de l’instrument à votre insu. Enfin, le délai de treize mois de l’article L133-24 du code monétaire et financier, selon lequel « L’utilisateur de services de paiement signale, sans tarder, à son prestataire de services de paiement une opération de paiement non autorisée ou mal exécutée et au plus tard dans les treize mois suivant la date de débit sous peine de forclusion », ne crée aucun droit au remboursement automatique pour un virement autorisé, même fraudé dans son origine. La voie du remboursement passe donc ailleurs : par le défaut d’alerte sur la discordance nom-IBAN, par le manquement au devoir de vigilance et par la procédure de récupération des fonds, que la banque doit mettre en oeuvre sans traîner.

Le dirigeant doit aussi intégrer que sa propre vigilance sera examinée. L’article L133-16 du code monétaire et financier impose que « Dès qu’il reçoit un instrument de paiement, l’utilisateur de services de paiement prend toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées ». Dans l’affaire Romactis, la cour relève que la comptable avait modifié l’IBAN seule, sur la simple foi des courriels reçus, alors que le courriel du 30 août 2021 demandait de préciser la date de paiement d’une facture émise par l’expéditeur apparent lui-même, et que le courriel du 7 septembre 2021, rédigé dans « un français très approximatif », invoquait des « coordonnées bancaires inactives » pour justifier un second RIB, toujours vers la Pologne. La cour en déduit que la négligence de la société est à l’origine de son propre préjudice. Concrètement, tout dossier de récupération doit documenter les vérifications effectuées avant validation : appel au numéro connu du fournisseur, contrôle du domaine de l’expéditeur, comparaison avec les RIB antérieurs, double validation interne. Ces pièces serviront à démontrer que l’entreprise n’a pas validé aveuglément, et à déplacer le débat vers les manquements de la banque.

B. La vérification du bénéficiaire depuis le 9 octobre 2025 : l’alerte nom-IBAN que votre banque ne peut plus ignorer

Depuis le 9 octobre 2025, toutes les banques de la zone euro appliquent le service de vérification du bénéficiaire, conformément au règlement européen 2024/886. La Fédération bancaire française l’a annoncé le 25 septembre 2025 : ce dispositif vise à sécuriser les virements en faisant vérifier par la banque que le nom du bénéficiaire saisi correspond bien au titulaire de l’IBAN destinataire. Au moment où vous saisissez un nouvel IBAN, votre banque interroge automatiquement la banque du bénéficiaire et vous affiche l’un des quatre résultats suivants : « Correspondance exacte » quand le nom et l’IBAN concordent, « Correspondance partielle » quand le nom est proche mais pas identique, « Aucune correspondance » quand le nom ne correspond pas à l’IBAN, et « Vérification impossible » quand le compte ne peut être vérifié. Le client est alors informé du résultat et peut corriger ou confirmer son ordre. Point capital pour les litiges : même en cas de discordance signalée, le client garde la liberté de passer outre et d’exécuter le virement en connaissance de cause.

Cette alerte change l’équilibre probatoire des dossiers de faux RIB pour tous les virements postérieurs au 9 octobre 2025. Avant cette date, les banques répondaient, comme dans l’affaire montpelliéraine, qu’avant l’entrée en vigueur de ce service elle n’avait pas à vérifier l’identité du bénéficiaire du virement. Depuis l’entrée en vigueur du service, l’entreprise peut exiger la production des journaux de vérification : l’alerte a-t-elle été déclenchée, avec quel résultat, à quelle heure, et l’opérateur qui a validé a-t-il passé outre une mention d’absence de correspondance. Si la banque n’a affiché aucune alerte alors que le nom du fournisseur ne correspondait manifestement pas au titulaire du compte destinataire, elle devra expliquer cette défaillance technique. Si elle a affiché une alerte et que votre salarié est passé outre, la banque s’en prévaudra pour soutenir votre négligence, et votre dossier devra démontrer pourquoi la validation est intervenue malgré tout : pression du fournisseur apparent, urgence de chantier, consignes internes contournées par l’escroc. Dans les deux cas, la capture d’écran du parcours de validation, les journaux de l’espace bancaire et les échanges internes horodatés deviennent des pièces maîtresses.

L’alerte ne supprime pas le devoir général de vigilance du banquier, qui subsiste à côté du dispositif automatisé. La cour d’appel de Bordeaux (CA Bordeaux, 4e ch. civ., 18 février 2025, RG 23/02920) rappelle que le banquier supporte, sur le fondement du droit commun, une obligation de surveillance du fonctionnement des comptes, tempérée par un principe de non-ingérence dans les affaires du client. Il doit relever les anomalies apparentes, qu’elles soient matérielles à la lecture des documents ou intellectuelles au regard de la nature et du contexte des opérations. En pratique, les tribunaux examinent le montant au regard du chiffre d’affaires et des habitudes de paiement, la nouveauté du bénéficiaire, le pays de destination et la soudaineté des ordres. Dans l’affaire Romactis, la banque a convaincu la cour que les cinq virements, d’un total de 31 000 euros, restaient modestes au regard du chiffre d’affaires et des habitudes de paiement de la société, que le destinataire désigné restait le fournisseur habituel et que la Pologne, membre de l’Union européenne, n’était pas un pays à risques.. À l’inverse, un premier virement massif vers un pays sans aucun lien avec vos relations d’affaires, un fractionnement inhabituel en plusieurs ordres rapprochés ou un bénéficiaire qui n’a jamais figuré dans vos écritures constituent des anomalies que la banque aurait dû relever. Votre mise en demeure devra donc chiffrer ces écarts : historique des paiements au vrai fournisseur, pays habituels, montants moyens, ancienneté de la relation.

La vigilance attendue de l’entreprise a été documentée par les pouvoirs publics pendant la bascule vers la facturation électronique, période que les escrocs exploitent pour glisser de faux RIB. La fiche réflexe de Cybermalveillance.gouv.fr décrit l’escroquerie au virement comme la manoeuvre consistant à usurper l’identité d’un créancier habituel pour faire adresser le virement sur un compte détenu par l’escroc, et recommande de vérifier tout changement de coordonnées par un canal distinct avant de payer. Le guide France Num d’avril 2026 sur la fraude aux faux fournisseurs alerte sur la reproduction de factures modifiées et sur la demande de changement de RIB qui l’accompagne, et invite à contrôler l’adresse d’expédition, le domaine et la cohérence du message. Ces référentiels ne sont pas du droit, mais les juges s’y réfèrent pour apprécier la négligence : une entreprise qui a formalisé une procédure de vérification par rappel téléphonique au numéro connu, qui a formé sa comptabilité et qui conserve la trace de ses contrôles se présente autrement qu’une structure où un seul salarié modifie l’IBAN sur simple courriel. Joignez à votre dossier la procédure interne, les attestations de formation et le journal des appels passés au fournisseur, car ces éléments pèsent dans l’appréciation partagée des fautes.

II. Récupérer l’argent du faux IBAN et éviter de payer deux fois : la méthode complète

A. Les 72 premières heures : rappel bancaire, gel des fonds, plainte et dossier de preuve

Quand le virement est parti, chaque heure compte parce que l’escroc s’efforce de vider le compte de réception. La première demande à adresser à votre banque est la procédure de rappel des fonds, prévue par l’article L133-21 du code monétaire et financier : le texte dispose que « le prestataire de services de paiement du payeur s’efforce de récupérer les fonds engagés dans l’opération de paiement » quand l’identifiant est inexact. Concrètement, votre banque adresse à la banque du bénéficiaire une demande de retour des fonds, avec le motif de fraude, et sollicite le gel puis la restitution des sommes encore disponibles. L’affaire jugée à Montpellier montre l’enjeu du calendrier : après un virement de 20 275,75 euros vers un faux RIB présenté comme celui du bailleur, la société s’est manifestée auprès de son agence le 4 octobre 2023, la banque a répondu qu’il n’existait « pas de solution en matière d’annulation », puis a exigé le dépôt d’une plainte avant d’initier la procédure de retour des fonds le 13 octobre seulement, soit plus d’une semaine après la découverte de la fraude. La cour approuve le tribunal d’avoir retenu une négligence de la banque, tenue de tenter de récupérer les fonds sans pouvoir exiger du client des démarches préalables auprès de tiers. Autrement dit, la banque ne peut subordonner le rappel au dépôt préalable d’une plainte, ni répondre qu’il n’existe aucune solution. Mais la cour rejette finalement la demande parce que la société, qui invoquait la perte d’une chance de récupérer des fonds virés « en réalité trois mois plus tôt », ne démontrait pas que le retard d’une semaine lui avait fait perdre une chance réelle.

La leçon opérationnelle est directe : signalez la fraude par écrit dès sa découverte, exigez l’initiation immédiate de la procédure de rappel avec le motif de fraude, et faites horodater chaque échange. Un courriel part le même jour vers le conseiller et le service fraude avec un objet explicite de contestation pour fraude au faux RIB, accompagné du faux message, du faux RIB, de l’ordre exécuté et de la facture authentique, puis une lettre recommandée confirme l’ensemble. Demandez une confirmation écrite de l’envoi de la demande de retour des fonds à la banque du bénéficiaire, avec sa date et sa référence, ainsi que la réponse de cette banque. Si votre banque conditionne le rappel au dépôt d’une plainte, exécutez les deux en parallèle sans discuter : déposez plainte immédiatement, mais exigez que le rappel parte le même jour. Conservez les accusés de réception, car un rappel tardif ou une réponse évasive du type « aucune solution possible » engage la responsabilité de votre établissement sur le fondement du droit commun de l’inexécution, rappelé par l’article 1231-1 du code civil, selon lequel « Le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure ».

Le dépôt de plainte doit être précis et rapide, car il conditionne l’action des enquêteurs et la crédibilité de votre dossier civil. Les faits relèvent de l’article 313-1 du code pénal, qui définit « L’escroquerie » comme « le fait, soit par l’usage d’un faux nom ou d’une fausse qualité, soit par l’abus d’une qualité vraie, soit par l’emploi de manoeuvres frauduleuses, de tromper une personne physique ou morale et de la déterminer ainsi, à son préjudice ou au préjudice d’un tiers, à remettre des fonds, des valeurs ou un bien quelconque, à fournir un service ou à consentir un acte opérant obligation ou décharge ». Déposez plainte contre X pour escroquerie, en joignant l’intégralité des messages avec leurs en-têtes techniques, les deux RIB successifs le cas échéant, les factures authentiques et falsifiées, les journaux de validation bancaire et le relevé du virement. Signalez les faits sur la plateforme dédiée et informez votre assureur cyber sans délai, car les polices imposent des délais de déclaration courts. Pour les montants importants, demandez au service d’enquête la réquisition rapide des flux auprès des banques concernées : l’identification du compte de réception, la traçabilité des rebonds et l’éventuelle saisie des fonds restants dépendent de la célérité des réquisitions. Une plainte tardive ou approximative, qui se borne à déclarer un « litige commercial », affaiblit toute la suite.

Constituez en parallèle le dossier qui servira contre la banque et face au vrai fournisseur qui réclamera son dû. Rassemblez le contrat et la convention de compte, les conditions de la banque en ligne, les écrans et journaux de validation du virement litigieux, la preuve de l’alerte de vérification du bénéficiaire ou de son absence, l’historique de douze mois de paiements au vrai fournisseur avec montants et pays, la procédure interne de changement de RIB, les traces de contre-appel et les attestations des salariés. Faites établir par votre expert-comptable un tableau comparatif des flux habituels et du flux frauduleux, et chiffrez le préjudice : principal détourné, frais bancaires, intérêts de retard réclamés par le vrai fournisseur, coût du financement de remplacement, temps interne de gestion de crise. Adressez ensuite une mise en demeure à votre banque qui articule trois griefs distincts : défaut d’alerte sur la discordance nom-IBAN malgré le service de vérification, défaut de détection d’anomalies apparentes au regard de votre historique, et retard ou refus dans la procédure de récupération des fonds. Cette mise en demeure doit citer les pièces, chiffrer les sommes et impartir un délai de restitution, car elle deviendra la pièce centrale de l’assignation si la banque ne restitue pas.

B. Faire payer la banque ou le destinataire : responsabilités, second paiement et réflexes parisiens

Une fois le rappel tenté, trois voies de récupération se combinent : la restitution par votre banque pour manquement à ses obligations, l’action contre la banque du bénéficiaire qui a laissé repartir les fonds, et la gestion du second paiement réclamé par le vrai fournisseur. Contre votre banque, l’action se fonde sur le droit commun de la responsabilité, et non sur le remboursement automatique. L’article 1240 du code civil pose que « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer ». Vous devrez démontrer une faute : absence d’alerte de discordance alors que le service de vérification aurait dû signaler l’écart, validation d’un ordre présentant des anomalies apparentes que la banque aurait dû relever, ou retard dans la procédure de récupération. La banque répondra en invoquant votre négligence exclusive, comme dans l’affaire Romactis où la cour impute le préjudice à la négligence de la société et confirme le rejet de ses demandes, avec 3 000 euros au titre des frais irrépétibles d’appel. L’issue dépend donc de la faute la mieux documentée : une entreprise qui prouve sa procédure de contre-appel, la sophistication de l’usurpation et l’absence d’alerte malgré une discordance manifeste obtient des dommages-intérêts, tandis qu’une validation sur un message truffé d’incohérences, sans aucun contrôle, conduit au partage de responsabilité ou au rejet pur et simple.

L’action contre la banque du bénéficiaire obéit à la même logique et suppose de la faire agir vite. Dès que votre banque a identifié l’établissement destinataire, adressez-lui une demande directe de gel conservatoire des fonds pour fraude, en rappelant qu’elle a reçu une demande de retour des fonds et qu’elle doit la traiter loyalement. Si les fonds ont été transférés malgré l’alerte fraude, sa responsabilité pour faute dans le traitement du rappel peut être recherchée. En pratique, cette action se joue par voie d’assignation en paiement ou en référé-expertise pour figer la traçabilité, avec demande de communication des mouvements du compte de réception. Les chances de succès dépendent de la rapidité : quand le compte a été vidé dans les heures qui ont suivi la réception, la restitution devient illusoire et le débat se déplace vers l’indemnisation par les banques. Quand une partie des fonds subsiste, le juge peut ordonner leur restitution à hauteur du solde disponible. Ne négligez pas non plus la piste assurantielle : les polices cyber et fraude couvrent parfois le détournement de virement, sous réserve d’une déclaration immédiate et du respect des procédures de vérification stipulées au contrat.

Reste la question la plus angoissante : le vrai fournisseur, impayé, exige un second règlement. Le principe est posé par l’article 1342-3 du code civil : « Le paiement fait de bonne foi à un créancier apparent est valable ». Pour être libéré par le paiement adressé à l’escroc, il faudrait démontrer que l’escroc était un créancier apparent et que le paiement a été fait de bonne foi, conditions que les juges apprécient strictement quand l’entreprise a payé sur un simple changement de RIB non vérifié. Dans la majorité des dossiers de faux fournisseur, le paiement à l’escroc n’est pas libératoire : la dette subsiste envers le vrai fournisseur, qui peut exiger un second paiement, outre d’éventuelles pénalités de retard. Cette analyse doit être croisée avec la prescription de l’article 2224 du code civil, selon lequel « Les actions personnelles ou mobilières se prescrivent par cinq ans à compter du jour où le titulaire d’un droit a connu ou aurait dû connaître les faits lui permettant de l’exercer ». Concrètement, négociez avec le vrai fournisseur un moratoire écrit : reconnaissez le principe du solde, contestez les pénalités liées à une fraude dont vous êtes victime, proposez un échéancier conditionné à l’issue des recours bancaires, et obtenez la suspension des poursuites pendant la procédure de rappel. Si le fournisseur vous assigne, appelez votre banque en garantie devant le même tribunal pour faire trancher l’ensemble du litige en une seule instance et éviter des décisions contradictoires. Pour un examen détaillé du débat sur le double paiement après un virement à l’escroc, la lecture du dossier consacré à l’entreprise qui a payé un escroc et doit payer deux fois complète utilement cette méthode.

À Paris et en Île-de-France, ce contentieux suit des circuits prévisibles qu’il faut activer sans attendre. Pour les litiges entre sociétés commerciales, le tribunal de commerce de Paris connaît des actions contre la banque et des appels en garantie, avec des délais d’audiencement compatibles avec une procédure au fond complétée par un référé-provision quand la créance bancaire paraît sérieusement fondée. Pour les litiges mixtes impliquant une société et un prestataire non commerçant, ou pour les demandes indemnitaires détachées, le tribunal judiciaire de Paris statue à juge unique ou en collégiale selon les montants. Les entreprises franciliennes gagnent à faire constater rapidement les pièces techniques par commissaire de justice à Paris : capture des en-têtes de messages, constats des écrans bancaires et de l’absence d’alerte, inventaire des RIB successifs. Préparez un dossier de pièces côté et paraphé, avec la chronologie minute par minute des 72 premières heures, car les juridictions parisiennes, saturées, sanctionnent les dossiers approximatifs par des renvois. Enfin, si le compte de réception se trouve dans une banque établie en Île-de-France, sollicitez sans délai une saisie conservatoire sur le fondement de l’autorisation du juge de l’exécution, avant que les fonds ne repartent vers l’étranger.

Conclusion

Le virement exécuté vers un faux IBAN reste un virement autorisé, et la banque qui a suivi votre IBAN refusera le remboursement automatique en invoquant l’identifiant unique. Depuis le 9 octobre 2025, ce refus ne clôt plus le débat : la vérification du bénéficiaire impose une alerte en cas de discordance entre le nom saisi et le titulaire du compte, et l’absence d’alerte ou le passage outre fautif deviennent le coeur du litige. Les arrêts de Bordeaux du 18 février 2025 et de Montpellier du 7 avril 2026 fixent la méthode : prouver vos propres vérifications, exiger le rappel immédiat des fonds sans accepter qu’on le subordonne à une plainte préalable, déposer une plainte précise pour escroquerie, chiffrer les anomalies que la banque aurait dû relever et traiter séparément la dette qui subsiste envers le vrai fournisseur. Engagez ces démarches dans les premières heures, conservez chaque horodatage et faites trancher l’ensemble du litige devant le même tribunal. C’est cette rigueur documentaire, et non l’invocation solitaire du remboursement automatique, qui permet de récupérer les fonds ou d’obtenir l’indemnisation de la banque.