Votre comptable reçoit un courriel parfaitement imité de votre fournisseur habituel : ses coordonnées bancaires viennent de changer, voici le nouveau RIB, merci de régler la facture de 38 000 euros sur ce compte sans attendre. Le virement part le jour même. Une semaine plus tard, le vrai fournisseur relance pour facture impayée. Le RIB était faux, sa messagerie avait été piratée, et l’argent de votre entreprise a atterri sur un compte ouvert à l’étranger avant de s’évaporer. Ce scénario porte un nom : la fraude au faux RIB. Elle frappe chaque semaine des entreprises françaises, des PME du BTP aux cabinets de services, et elle prospère sur un réflexe banal, payer vite une facture attendue. La première question du dirigeant est toujours la même : qui va supporter la perte, ma société ou ma banque ? La seconde suit aussitôt : comment récupérer l’argent ? Les réponses ont changé avec deux arrêts récents de la Cour de cassation, dont un rendu le 4 mars 2026 qui condamne une banque à rembourser plus de 60 000 euros. Cet article expose les règles applicables, la frontière exacte entre le refus de remboursement et la responsabilité de la banque, puis la méthode pas à pas pour maximiser vos chances de revoir les fonds, avec les réflexes propres aux entreprises de Paris et d’Île-de-France.
I. Faux RIB payé par votre entreprise : qui supporte la perte, votre société ou votre banque ?
A. Votre banque a exécuté l’IBAN que vous lui avez transmis : le verrou de l’identifiant unique
Le point de départ tient en une règle que beaucoup de dirigeants découvrent trop tard : quand votre entreprise donne elle-même l’ordre de virement avec un IBAN, la banque qui exécute cet ordre à l’identique est en principe libérée, même si le bénéficiaire réel est un escroc. Le texte qui verrouille cette solution est l’article L. 133-21 du code monétaire et financier, qui dispose : « Un ordre de paiement exécuté conformément à l’identifiant unique fourni par l’utilisateur du service de paiement est réputé dûment exécuté pour ce qui concerne le bénéficiaire désigné par l’identifiant unique. Si l’identifiant unique fourni par l’utilisateur du service de paiement est inexact, le prestataire de services de paiement n’est pas responsable de la mauvaise exécution ou de la non-exécution de l’opération de paiement. » L’identifiant unique, c’est l’IBAN que votre comptable a saisi ou transmis. Si cet IBAN est celui du fraudeur, l’opération est réputée bien exécutée pour ce qui concerne le destinataire, et la banque n’est pas responsable de l’erreur d’aiguillage. Elle n’a pas à vérifier que le nom du bénéficiaire inscrit sur la facture correspond au titulaire réel du compte : elle exécute des chiffres, pas une identité.
La Cour de cassation a fermé ce verrou à double tour le 10 septembre 2025. Dans un litige où une société avait fait ajouter sur sa liste de bénéficiaires le compte d’un prétendu fournisseur, avant d’ordonner un virement qui avait crédité un compte ouvert en Roumanie, la cour d’appel de Bordeaux avait condamné la banque en lui reprochant un manquement à son devoir de vigilance face à un RIB étranger suspect. La chambre commerciale a cassé cet arrêt au visa des articles 1231-1 du code civil et L. 133-21 du code monétaire et financier. Elle énonce d’abord que « La responsabilité contractuelle de droit commun résultant du premier de ces textes n’est pas applicable en présence d’un régime de responsabilité exclusif. » Puis elle rappelle que, selon le second, « un ordre de paiement exécuté conformément à l’identifiant unique fourni par l’utilisateur du service de paiement est réputé dûment exécuté pour ce qui concerne le bénéficiaire désigné par l’identifiant unique. Si l’identifiant unique fourni par l’utilisateur du service de paiement est inexact, le prestataire de services de paiement n’est pas responsable de la mauvaise exécution ou de la non-exécution de l’opération de paiement. » En appliquant un devoir général de vigilance issu du droit commun, la cour d’appel avait, selon la Haute juridiction, violé le premier texte par fausse application et le second par refus d’application (Cass. com., 10 sept. 2025, n° 24-15.485). Pour votre entreprise, la leçon est directe : si c’est vous qui avez fourni l’IBAN frauduleux et que la banque s’est bornée à l’exécuter, la demande de remboursement se heurte à ce régime exclusif, et le juge ne peut pas contourner l’obstacle en invoquant une vague obligation de prudence.
Deux précisions encadrent ce constat. D’abord, un virement au faux RIB est une opération autorisée par le payeur : c’est votre entreprise qui a donné l’ordre, même si son consentement reposait sur une tromperie. Le régime protecteur des opérations non autorisées, celui de l’article L. 133-18 du code monétaire et financier, ne s’applique donc pas à ce cas de figure. Ce texte prévoit que « le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant », sauf s’il « a de bonnes raisons de soupçonner une fraude de l’utilisateur du service de paiement et s’il communique ces raisons par écrit à la Banque de France ». Retenez ce mécanisme pour l’hypothèse inverse, bien distincte du faux RIB classique : si le pirate s’est introduit dans votre espace bancaire en ligne et a initié lui-même le virement à votre insu, l’opération est non autorisée et le remboursement sous vingt-quatre heures ouvrées devient exigible. La frontière entre les deux situations se joue sur une question de fait, qui a saisi l’ordre, et vos relevés de connexion comme vos journaux d’habilitation comptable servent à l’établir. Ensuite, quand l’opération non autorisée résulte de la perte ou du vol d’un instrument de paiement, l’article L. 133-19 du code monétaire et financier limite la part restant à votre charge : le payeur supporte avant l’information prévue pour le blocage les pertes liées à l’utilisation de cet instrument, « dans la limite d’un plafond de 50 € ». Mais ce même article fait basculer la totalité des pertes sur le payeur dans un cas que les banques invoquent systématiquement : « Le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17. » Or l’article L. 133-16 du code monétaire et financier impose à l’utilisateur de prendre « toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées ». Identifiants partagés entre collaborateurs, mot de passe enregistré dans un tableur en clair, poste comptable sans double authentification : chaque négligence documentée nourrit l’argument de la négligence grave. Sécuriser les accès bancaires de l’entreprise n’est donc pas seulement une bonne pratique informatique, c’est une condition de vos droits au remboursement quand le pirate opère directement depuis vos comptes.
B. La banque a rédigé l’ordre ou laissé passer un faux grossier : sa responsabilité contractuelle reste engagée
Le verrou de l’identifiant unique ne protège la banque que lorsqu’elle s’est bornée à exécuter l’ordre que vous lui avez donné. Dès qu’elle sort de ce rôle passif, le droit commun de la responsabilité contractuelle reprend ses droits. C’est l’apport majeur de l’arrêt du 4 mars 2026, qui mérite toute votre attention si votre virement est passé par le guichet ou par un conseiller. Dans cette affaire, des acquéreurs d’un bien immobilier avaient reçu par courriel un RIB au nom de l’étude de notaires chargée de recevoir l’acte, envoyé depuis une adresse imitant frauduleusement celle de leur propre notaire. Ils avaient transmis ce RIB à leur banque avec le décompte des sommes à verser, puis la banque leur avait adressé, toujours par courriel, un ordre de virement reprenant les références de ce RIB, qu’ils avaient signé avant de le retourner. Le virement, qui représentait leur apport personnel, avait crédité un compte dont le bénéficiaire est resté inconnu. La cour d’appel d’Amiens avait condamné la banque à verser 60 343,69 euros, et la banque soutenait devant la Cour de cassation que le régime des articles L. 133-18 à L. 133-24 excluait toute responsabilité de droit commun. La chambre commerciale a rejeté le pourvoi (Cass. com., 4 mars 2026, n° 25-11.959). Elle rappelle d’abord que « si la responsabilité contractuelle de droit commun fondée sur l’article 1231-1 du code civil n’est pas applicable à l’exécution par le prestataire de services de paiement d’un ordre de paiement conformément à l’identifiant unique fourni par l’utilisateur, tel n’est pas le cas lorsque le prestataire de services de paiement ne s’est pas borné à exécuter l’ordre de paiement ». Puis elle approuve les juges du fond : « la banque ne s’étant pas bornée, en sa qualité de prestataire de services de paiement, à exécuter un ordre de virement conformément à l’identifiant unique fourni par M. et Mme [K], mais avait elle-même rédigé cet ordre, cette dernière était tenue d’indemniser, sur le fondement du droit commun, ses clients du préjudice causé par ce manquement à son devoir de vigilance ». Le critère dégagé par l’arrêt est factuel et vérifiable : l’ordre établi par la banque comportait des incohérences apparentes qui ne pouvaient laisser aucun doute, pour un professionnel normalement diligent, sur le fait que l’identifiant transmis était un faux grossier. Transposé à votre entreprise, ce raisonnement couvre deux configurations fréquentes. La première est le virement préparé en agence ou par le conseiller : si c’est la banque qui a renseigné le formulaire d’ordre à partir du faux RIB et qui vous l’a soumis à signature sans relever des anomalies visibles, elle a endossé un rôle actif et son devoir de vigilance s’applique. La seconde est le RIB grossièrement falsifié transmis par vos soins mais dont les altérations sautaient aux yeux : chiffres aux typographies incohérentes, IBAN raturé ou recollé, nom de banque bénéficiaire contredisant le code pays de l’IBAN. Dans les deux cas, conservez précieusement l’original du RIB litigieux, la copie de l’ordre signé et tout échange avec le guichet, car c’est sur ces pièces que le juge apprécie le caractère apparent du faux.
Un arrêt de la cour d’appel de Paris illustre concrètement ce devoir de vigilance face au faux grossier. Une cliente avait ordonné en agence un virement de 139 000 euros au profit de sa soeur, sur la base d’un RIB falsifié reçu après le piratage de sa messagerie. Le tribunal de commerce de Paris puis la cour d’appel ont condamné la banque, retenant un manquement à son obligation de vigilance face à un RIB grossièrement falsifié. Les juges parisiens précisent que ce contrôle ne porte ni sur les motifs de l’opération ni sur l’identité du titulaire du compte, dans lesquels la banque n’a pas à s’immiscer, mais sur les anomalies apparentes des éléments transmis pour exécuter l’ordre, de sorte que la banque aurait dû constater que le consentement au virement était vicié par la falsification. La cour relève que la cliente, alertée du caractère suspect de l’IBAN, aurait vérifié ces données auprès de sa soeur avant de laisser partir une somme de 139 000 euros (CA Paris, pôle 5, ch. 6, 2 oct. 2024, RG 22/13776). Pour une entreprise, le parallèle est parlant : plus le montant est élevé et plus l’anomalie était visible, plus l’inaction de la banque pèse. Demandez systématiquement à votre banque, par écrit, si un contrôle de cohérence entre le nom du bénéficiaire annoncé et le titulaire du compte a été effectué, et réclamez la traçabilité de ce contrôle. Si la banque vous oppose le principe de non-ingérence dans vos affaires, répondez sur le terrain des arrêts du 4 mars 2026 et du 2 octobre 2024 : la non-ingérence couvre les motifs de l’opération, pas les faux apparents. Enfin, anticipez l’argument symétrique, celui de votre propre négligence. Les juges examinent toujours si votre entreprise a vérifié l’expéditeur réel du courriel, si elle a appelé le fournisseur sur un numéro connu avant de changer ses coordonnées bancaires, et si une procédure interne de double validation existait. Une société sans aucune procédure de vérification des changements de RIB s’expose à un partage de responsabilité qui réduit l’indemnité, même quand la banque a failli. Mettre en place aujourd’hui une règle écrite, aucun changement de coordonnées bancaires sans rappel vocal sur un numéro préenregistré, vaut à la fois comme prévention et comme preuve de diligence pour vos litiges futurs.
II. Virement détourné par un faux RIB : récupérer l’argent de votre entreprise étape par étape
A. Les premières heures : rappel des fonds, preuves figées et plainte pénale
Quand le détournement est découvert, chaque heure compte car les fonds transitent vite vers des comptes rebonds, souvent à l’étranger, avant tout retrait. La première démarche consiste à exiger par écrit de votre banque le rappel des fonds et la coopération au recouvrement. Ce n’est pas une faveur commerciale, c’est une obligation légale : le même article L. 133-21 du code monétaire et financier qui refuse le remboursement automatique impose que « le prestataire de services de paiement du payeur s’efforce de récupérer les fonds engagés dans l’opération de paiement », puis que « Le prestataire de services de paiement du bénéficiaire communique au prestataire de services de paiement du payeur toutes les informations utiles pour récupérer les fonds ». Et si la récupération échoue, « il met à disposition du payeur, à sa demande, les informations qu’il détient pouvant documenter le recours en justice du payeur en vue de récupérer les fonds ». Adressez donc à votre conseiller, le jour même, un courriel avec accusé de réception demandant expressément l’initiation d’une procédure de rappel des fonds vers la banque du bénéficiaire, la communication de l’identité de cette banque et de tout élément utile à votre recours, et la remise des informations détenues pour documenter une action en justice. Ajoutez que vous vous réservez tout recours au titre du devoir de vigilance. Cette lettre fige la date de votre diligence et prive la banque de l’argument selon lequel vous seriez resté passif. Sachez toutefois qu’un virement déjà exécuté ne peut pas faire l’objet d’une simple opposition comme un chèque ou un prélèvement : seule la banque du bénéficiaire peut, avec l’accord du titulaire du compte crédité ou sur décision de justice, restituer les sommes. D’où l’importance d’agir avant la dispersion des fonds, et de relancer votre banque tous les deux jours en conservant chaque réponse.
La deuxième démarche consiste à figer les preuves, car tout le contentieux ultérieur se jouera sur des pièces. Conservez le courriel frauduleux avec ses en-têtes techniques complets, qui permettent d’identifier l’adresse réelle d’expédition et les serveurs traversés ; une simple impression du corps du message ne suffit pas, exportez le message au format d’origine depuis votre messagerie. Gardez le faux RIB tel qu’il vous est parvenu, sans le modifier ni l’annoter, ainsi que le RIB authentique de votre fournisseur et l’historique de vos virements antérieurs vers ce dernier, qui démontrent le changement soudain de domiciliation. Photographiez ou archivez l’ordre de virement signé, les relevés débités, les échanges avec votre banque et avec le fournisseur, y compris l’horodatage de l’alerte. Faites constater par votre prestataire informatique les traces d’intrusion éventuelles dans votre propre messagerie, car si c’est votre boîte qui a été compromise, votre assureur et le juge voudront comprendre le vecteur. La troisième démarche est pénale : déposez plainte pour escroquerie, et le cas échéant pour accès frauduleux à un système de traitement automatisé de données. L’article 313-1 du code pénal définit l’escroquerie comme « le fait, soit par l’usage d’un faux nom ou d’une fausse qualité, soit par l’abus d’une qualité vraie, soit par l’emploi de manoeuvres frauduleuses, de tromper une personne physique ou morale et de la déterminer ainsi, à son préjudice ou au préjudice d’un tiers, à remettre des fonds, des valeurs ou un bien quelconque, à fournir un service ou à consentir un acte opérant obligation ou décharge », et la punit de « cinq ans d’emprisonnement et de 375 000 euros d’amende ». Le faux RIB adressé au nom de votre fournisseur entre typiquement dans ces manoeuvres frauduleuses. Quand la fraude s’appuie sur le piratage d’une messagerie, l’article 323-1 du code pénal s’ajoute : « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 € d’amende. » Déposez plainte au commissariat ou par courrier au procureur de la République, en joignant l’intégralité du dossier figé, et signalez les faits sur la plateforme officielle cybermalveillance.gouv.fr, qui oriente les entreprises victimes et conserve une trace datée de votre réactivité. Prévenez aussi votre fournisseur par écrit : s’il est la première victime du piratage de sa messagerie, votre signalement rapide limite la propagation à ses autres clients et établit votre bonne foi. Surveillez enfin le calendrier : l’article L. 133-24 du code monétaire et financier dispose que « L’utilisateur de services de paiement signale, sans tarder, à son prestataire de services de paiement une opération de paiement non autorisée ou mal exécutée et au plus tard dans les treize mois suivant la date de débit sous peine de forclusion ». Même si votre opération était autorisée, signalez-la sans tarder et ne laissez jamais passer ce délai de treize mois, car la banque vous l’opposera dès qu’un fondement voisin sera discuté. Les entreprises déjà sensibilisées aux cyberattaques visant les moyens de paiement, comme celles qui ont subi des débits frauduleux par carte après le piratage d’une boutique en ligne, retrouvent ici les mêmes réflexes : alerte bancaire immédiate, plainte et dossier probatoire complet.
B. Faire payer : banque, fournisseur piraté, assurance et juge à Paris
Une fois l’urgence traitée, la récupération des fonds suit trois voies complémentaires, à activer en parallèle plutôt que l’une après l’autre. La première voie est la mise en cause de votre banque sur le fondement du droit commun, dans les cas dégagés par la jurisprudence récente. L’article 1231-1 du code civil prévoit que « Le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure. » Appliqué à la banque, ce texte sanctionne le manquement à son devoir de vigilance quand elle a rédigé elle-même un ordre reprenant un faux apparent, comme dans l’arrêt du 4 mars 2026, ou quand elle a exécuté sans réagir un RIB grossièrement falsifié, comme dans l’arrêt parisien du 2 octobre 2024. Votre mise en demeure doit donc articuler précisément les faits : qui a rédigé l’ordre, quelles anomalies visibles figuraient sur le document, quel montant était en jeu, et quel contrôle la banque affirme avoir effectué. Réclamez le remboursement du montant viré, les frais bancaires liés, les intérêts de retard subis envers votre vrai fournisseur et, si le retard de paiement vous a fait perdre un marché ou une remise, le préjudice documenté. Joignez le dossier probatoire complet et fixez un délai de réponse de quinze jours. Si la banque refuse ou oppose l’article L. 133-21, faites examiner la réponse au regard des deux arrêts : le refus est fondé quand la banque s’est bornée à exécuter votre IBAN sans anomalie décelable, il devient contestable dès qu’elle a participé à la confection de l’ordre ou ignoré un faux évident. Les montants en jeu devant les tribunaux montrent que l’action vaut l’effort, 60 343,69 euros dans l’affaire jugée le 4 mars 2026, 139 000 euros dans l’affaire parisienne. Pour une PME francilienne, le contentieux se porte devant le tribunal des activités économiques de Paris quand le litige oppose deux commerçants ou une société à sa banque pour un compte professionnel, et la procédure d’injonction de payer reste disponible contre le débiteur de la facture dans les conditions exposées pour les factures impayées des entreprises. En référé, un juge parisien peut ordonner rapidement une mesure d’instruction ou la communication des informations bancaires nécessaires à votre recours, en vous appuyant sur l’obligation légale de la banque de mettre à votre disposition les informations documentant votre action en justice. Préparez un chiffrage rigoureux, capital viré, agios, pénalités contractuelles versées au fournisseur, coût du financement de substitution, car le juge indemnise le préjudice prouvé, pas l’inquiétude subie.
La deuxième voie vise le fournisseur dont la messagerie piratée a servi à vous tromper, ainsi que votre propre chaîne de sécurité. Sur le principe, votre dette envers le vrai fournisseur subsiste : payer un escroc ne libère pas l’acheteur, et le fournisseur reste fondé à réclamer le prix. Mais si la fraude a été rendue possible par la négligence de ce fournisseur, par exemple une messagerie professionnelle sans double authentification, aucune alerte à ses clients après un premier piratage connu, ou une pratique habituelle de changement de RIB par simple courriel, sa responsabilité délictuelle peut être recherchée. L’article 1240 du code civil dispose que « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer. » Il vous appartient alors de démontrer la faute, le lien avec votre paiement et le montant du dommage, en vous appuyant sur les en-têtes du courriel frauduleux, les signalements antérieurs éventuels et les manquements aux règles élémentaires de sécurité. Cette action se combine utilement avec une renégociation commerciale : un fournisseur sérieux, soucieux de préserver la relation, accepte souvent un échéancier, un partage du préjudice ou une remise sur les prochaines commandes, surtout quand sa propre légèreté a ouvert la porte aux fraudeurs. Examinez en parallèle vos contrats avec votre prestataire informatique et votre hébergeur de messagerie : si une prestation de sécurisation ou de filtrage était convenue et qu’elle a failli, leur responsabilité contractuelle entre en jeu, comme dans les cas de prestataire informatique piraté exposant son client. La troisième voie est assurantielle : relisez vos polices fraude, cyber et responsabilité civile professionnelle dès le premier jour. Les garanties fraude détournée couvrent parfois les faux ordres de virement sous conditions strictes, comme le respect d’une procédure de vérification téléphonique, et les garanties cyber prennent en charge l’expertise, l’assistance et parfois la perte. Déclarez le sinistre dans le délai contractuel, souvent cinq jours ouvrés, avec le récépissé de plainte et le dossier figé. À Paris et en Île-de-France, où les circuits sont courts, cumulez les démarches : plainte au commissariat de votre arrondissement ou courrier au procureur de la République de Paris, signalement à votre fédération professionnelle si la fraude vise tout un secteur, et information de votre expert-comptable pour le traitement fiscal de la perte et la TVA sur la facture demeurée impayée. Les entreprises parisiennes gagnent aussi à formaliser par écrit, avec chaque fournisseur régulier, un protocole de changement de coordonnées bancaires, appel de confirmation sur un numéro préenregistré, double signature interne au-delà d’un seuil, interdiction des changements annoncés par le seul courriel. Ce protocole, diffusé et signé par l’équipe comptable, réduit le risque de récidive et constitue, en cas de nouveau litige, la preuve que votre société satisfait à son obligation de mesures raisonnables de sécurité.
Conclusion
Un virement parti sur un faux RIB n’est pas une fatalité comptable, mais il ne se récupère ni par l’indignation ni par l’attente. La règle de base est sévère : quand votre entreprise a fourni elle-même l’IBAN frauduleux et que la banque s’est bornée à l’exécuter, l’article L. 133-21 fait obstacle au remboursement automatique, comme l’a confirmé la Cour de cassation le 10 septembre 2025. L’exception est désormais balisée avec une netteté nouvelle : quand la banque a rédigé elle-même l’ordre ou laissé passer un faux grossier sans réagir, elle répond de son manquement à son devoir de vigilance sur le fondement du droit commun, et l’arrêt du 4 mars 2026 comme celui de la cour d’appel de Paris du 2 octobre 2024 le démontrent chiffres à l’appui. Entre ces deux pôles, votre marge de récupération dépend de votre rapidité : rappel des fonds exigé par écrit le jour même, preuves figées dans les heures qui suivent, plainte pour escroquerie déposée sans délai, signalement dans les treize mois, puis mise en cause méthodique de la banque, du fournisseur négligent et de vos assureurs. Conservez chaque pièce, chiffrez chaque préjudice, et faites vérifier tout changement de RIB par un appel vocal sur un numéro connu avant de payer. C’est cette discipline, plus que tout argument d’autorité, qui fait basculer un dossier de faux RIB du côté des sommes récupérées.