Votre comptable reçoit un courriel qui ressemble en tout point à celui de votre fournisseur habituel : même logo, même signature, même ton. Seule différence, glissée en bas du message : les coordonnées bancaires ont changé, avec un nouveau relevé d’identité bancaire en pièce jointe. Le virement de 38 000 euros part le jour même. Trois jours plus tard, le vrai fournisseur relance pour facture impayée. Le nouveau RIB était faux, le compte appartient à un escroc, et les fonds se sont évaporés. Quand vous demandez à votre banque de vous rembourser, elle refuse : vous avez vous-même validé l’opération, avec authentification forte, et le code monétaire et financier ne l’obligerait à rembourser que les opérations non autorisées. Ce refus est-il définitif ? La réponse est nuancée, et la jurisprudence récente des juridictions parisiennes et du sud de la France apporte des précisions directement exploitables : le 9 septembre 2026, la cour d’appel de Paris a confirmé le rejet de la demande d’un client contre sa banque après des règlements frauduleux validés par authentification forte, tandis que le 7 avril 2026, la cour d’appel de Montpellier a rappelé que la banque, même lorsqu’elle n’a pas à rembourser, reste tenue de s’efforcer de récupérer les fonds et peut voir sa responsabilité engagée en cas de négligence dans cette démarche. Entre ces deux pôles, la Cour de cassation encadre strictement la preuve que la banque doit rapporter pour faire supporter les pertes au client. Cet article explique quand la banque peut refuser de rembourser un virement parti sur un faux RIB, quand elle doit payer, et comment contester son refus pas à pas, avec les délais, les pièces et les juridictions compétentes à Paris et en Île-de-France.

I. Le refus de remboursement de la banque après un virement sur faux RIB : quand peut-elle refuser de payer ?

A. Virement sur faux RIB : une opération autorisée que la banque n’a pas à rembourser automatiquement

Le point de départ du raisonnement tient en une distinction que beaucoup de chefs d’entreprise découvrent trop tard : l’arnaque au faux RIB donne lieu, dans l’immense majorité des cas, à une opération de paiement autorisée. La victime a elle-même saisi l’IBAN de l’escroc, validé l’ordre sur son espace bancaire, parfois après une authentification forte par code reçu sur son téléphone. Or le régime protecteur du remboursement automatique ne vise que les opérations non autorisées. Il faut donc regarder en face la situation la plus fréquente : quand le dirigeant ou le comptable a valablement authentifié le virement vers le compte indiqué par le faux message, la banque exécute un ordre régulier et ne doit en principe rien rembourser au titre de l’article L. 133-18 du code monétaire et financier, qui dispose que « le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant ». Ce texte, consultable sur l’article L. 133-18 du code monétaire et financier, ne joue que si l’opération était non autorisée. Un virement que vous avez vous-même ordonné et authentifié n’entre pas dans ce cadre, même si votre consentement a été surpris par une manoeuvre frauduleuse.

Cette lecture sévère vient d’être confirmée à Paris dans une espèce qui parle à toutes les entreprises. Un avocat parisien, titulaire d’un compte professionnel, avait contesté trois règlements frauduleux passés sur son compte en juillet 2022 pour des montants de 3 820,08 euros, 3 972,33 euros et 2 577 euros, en demandant le remboursement et des dommages et intérêts. Sa banque avait refusé dès le 7 octobre 2022 au motif que les opérations avaient fait l’objet d’une authentification forte, position maintenue malgré une mise en demeure du 25 octobre 2022. Le tribunal judiciaire de Paris l’a débouté par jugement du 15 mai 2024, et la cour d’appel de Paris a confirmé ce jugement par un arrêt du 9 septembre 2026 opposant un client à la Bred Banque populaire. La cour rappelle le fondement applicable aux instruments dotés de données de sécurité personnalisées : « le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17 », texte issu de l’article L. 133-19 du code monétaire et financier. Autrement dit, même sur le terrain des opérations non autorisées, la banque échappe au remboursement si elle démontre une négligence grave du client, et l’authentification forte pèse lourd dans cette appréciation.

Concrètement, pour une entreprise victime d’un faux RIB, deux obligations légales servent de grille de lecture au juge. D’abord, l’article L. 133-16 du code monétaire et financier prévoit que « Dès qu’il reçoit un instrument de paiement, l’utilisateur de services de paiement prend toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées ». Ensuite, l’article L. 133-17 du même code impose à l’utilisateur qui a connaissance d’une utilisation non autorisée de son instrument d’en informer « sans tarder, aux fins de blocage de l’instrument, son prestataire ou l’entité désignée par celui-ci ». Appliquées au faux RIB, ces dispositions signifient que l’entreprise doit montrer qu’elle n’a pas été gravement négligente : procédure interne de vérification des changements de RIB par contre-appel sur un numéro connu, double validation des virements importants, réaction immédiate dès la découverte de la fraude. À l’inverse, valider sans aucun contrôle un changement de coordonnées reçu par simple courriel, sans rappeler le fournisseur sur sa ligne habituelle, expose l’entreprise au grief de négligence grave. La fiche réflexe officielle de Cybermalveillance, qui décrit l’escroquerie au virement comme une usurpation de l’identité d’un créancier pour faire réaliser un virement vers un compte détenu par un escroc, recommande d’ailleurs d’alerter immédiatement la banque et le créancier usurpé et de conserver tous les messages et relevés : ces réflexes, détaillés sur la fiche officielle consacrée à la fraude au virement et au faux RIB, constituent aussi les premières pièces du dossier de contestation. Les conseils pratiques du ministère de l’économie sur les arnaques au faux RIB vont dans le même sens et insistent sur la vérification systématique par un autre canal que le courriel.

Il reste une porte étroite mais réelle du côté du plafond de 50 euros prévu pour les instruments perdus ou volés : l’article L. 133-19 du code monétaire et financier limite à 50 euros les pertes supportées par le payeur avant information en cas d’utilisation consécutive à la perte ou au vol de l’instrument. Ce plafond ne joue toutefois pas dans le faux RIB classique, où ni la carte ni les codes n’ont été perdus ou volés, mais où l’ordre a été passé avec les propres moyens d’authentification du client. Retenez donc la règle pratique : après un virement validé vers un faux RIB, la demande de remboursement automatique a peu de chances de prospérer telle quelle, et la contestation doit se déplacer vers la négligence de la banque dans la récupération des fonds, vers un manquement à ses propres obligations de sécurité, ou vers la démonstration que l’opération relevait en réalité du régime non autorisé, par exemple en cas de prise en main à distance de l’ordinateur de l’entreprise par un pirate.

B. L’exception du virement non autorisé : le remboursement de plein droit et ses limites

Le tableau change du tout au tout quand l’opération peut être qualifiée de non autorisée. Tel est le cas lorsque l’ordre n’a pas été passé par le client mais par un tiers qui s’est introduit dans ses systèmes : piratage de la messagerie, prise en main à distance de l’ordinateur de la comptabilité par un maliciel, détournement des codes d’accès à l’insu de l’entreprise. Dans cette hypothèse, le client n’a consenti à rien, et le régime protecteur s’applique à plein. L’article L. 133-18 du code monétaire et financier impose alors à la banque de rembourser « immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant », avec remise du compte dans l’état où il se serait trouvé si l’opération n’avait pas eu lieu. Le retard est sanctionné lourdement : les sommes dues produisent intérêt au taux légal majoré de cinq points, puis de dix points au-delà de sept jours de retard, et de quinze points au-delà de trente jours. Seule échappatoire pour la banque : démontrer par écrit à la Banque de France de bonnes raisons de soupçonner une fraude de l’utilisateur lui-même.

La Cour de cassation veille strictement à ce que les juges du fond ne renversent pas cette charge de la preuve au détriment du client. Dans un arrêt de cassation du 9 mars 2022 rendu sur le pourvoi d’une société de carrosserie contre ses deux banques, la chambre commerciale a censuré une cour d’appel qui avait fait supporter à l’entreprise les pertes d’un virement frauduleux réalisé après la prise en main à distance de son ordinateur par un pirate. La Haute juridiction énonce que « c’est au prestataire de services de paiement qu’il incombe de rapporter la preuve que l’utilisateur, qui nie avoir autorisé une opération de paiement, a agi frauduleusement ou n’a pas satisfait intentionnellement ou par négligence grave à ses obligations. Cette preuve ne peut se déduire du seul fait que l’instrument de paiement ou les données personnelles qui lui sont liées ont été effectivement utilisés. » La cour d’appel de Dijon avait retenu que le virement n’avait pu avoir lieu que parce que la clé de sécurité était restée branchée et l’opérateur absent de son poste, sans que la banque ait à prouver quoi que ce soit de plus ; la cassation est intervenue précisément parce que la banque n’avait pas rapporté la preuve positive d’une négligence grave imputable à la société. Pour une entreprise, cet arrêt est une arme centrale : face à un refus de remboursement, exiger de la banque qu’elle établisse des faits précis de fraude ou de négligence grave, et non de simples présomptions tirées de l’utilisation des codes.

Ce verrou probatoire est confirmé par l’article L. 133-23 du code monétaire et financier, aux termes duquel « Lorsqu’un utilisateur de services de paiement nie avoir autorisé une opération de paiement qui a été exécutée, ou affirme que l’opération de paiement n’a pas été exécutée correctement, il incombe à son prestataire de services de paiement de prouver que l’opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre », le texte ajoutant que « L’utilisation de l’instrument de paiement telle qu’enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l’opération a été autorisée par le payeur ou que celui-ci n’a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant en la matière ». La banque doit donc produire des éléments positifs, y compris, le cas échéant, pour prouver la fraude ou la négligence grave de l’utilisateur. Dans un contentieux, cela se traduit par des demandes précises : journaux de connexion, traces d’authentification, preuve du système de détection des anomalies, démonstration que l’entreprise a contourné les alertes. Une banque qui se borne à affirmer que l’opération a été authentifiée ne satisfait pas à cette exigence.

Reste le délai pour agir, qui est couperet. L’article L. 133-24 du code monétaire et financier dispose que « L’utilisateur de services de paiement signale, sans tarder, à son prestataire de services de paiement une opération de paiement non autorisée ou mal exécutée et au plus tard dans les treize mois suivant la date de débit sous peine de forclusion », sauf si la banque ne lui a pas fourni les informations sur l’opération. Pour les professionnels, ce délai peut être aménagé par contrat, parfois à la baisse, ce qui impose de relire la convention de compte dès le premier jour. En pratique, les entreprises agissent dans les heures qui suivent la découverte de la fraude, mais la forclusion de treize mois constitue la limite absolue au-delà de laquelle toute contestation devient irrecevable. Signalez donc par écrit, conservez la preuve de l’envoi, et doublez tout appel téléphonique d’un courriel ou d’un message via la messagerie sécurisée de la banque. Enfin, notez que le rejet du pourvoi d’une banque contre une société cliente dans une décision de la Cour de cassation du 9 octobre 2019 entre la Bred et la société Yolaw, même rendu par une motivation non détaillée, illustre que les banques ne gagnent pas systématiquement ces contentieux et que chaque dossier se joue sur les faits et la preuve. Si votre situation mêle plainte pénale, rappel de fonds et discussion sur le remboursement, la présentation d’ensemble de ces démarches est détaillée dans notre dossier consacré à l’arnaque au faux RIB, de la plainte au remboursement, utile en complément de la contestation du refus bancaire traitée ici.

II. Contester le refus de la banque et récupérer les fonds : la méthode pas à pas

A. Faire rappeler les fonds, déposer plainte et mettre la banque en demeure dans les délais

Dès la découverte du faux RIB, l’urgence commande trois actions menées en parallèle, dans les heures qui suivent. Premièrement, demander à votre banque le rappel des fonds, appelé recall dans le langage interbancaire : tant que la somme n’a pas été retirée ou revirée par l’escroc, la banque du bénéficiaire peut être invitée à bloquer puis à restituer les fonds. C’est ici qu’intervient un apport récent et important de la jurisprudence : dans un arrêt du 7 avril 2026 de la cour d’appel de Montpellier entre la Banque populaire du Sud et une SARL, les juges ont admis que le retard de plus d’une semaine entre la découverte de la fraude et l’initiation de la procédure de rappel caractérisait une négligence de la banque, « tenue de s’efforcer de récupérer les fonds engagés dans l’opération de paiement », sans qu’aucun texte n’exige au préalable du client un dépôt de plainte ou une autre démarche auprès de tiers. La société a finalement été déboutée parce qu’elle n’a pas rapporté la preuve que ce retard lui avait fait perdre une chance de récupérer des fonds virés trois mois plus tôt, mais le principe est posé et il est favorable aux entreprises diligentes : exigez le recall par écrit dès le premier jour, faites horodater votre demande, et relancez quotidiennement. Si la banque tarde, cette inertie devient un grief autonome de responsabilité, distinct de la question du remboursement automatique.

Deuxièmement, déposez plainte pour escroquerie. L’article 313-1 du code pénal définit l’escroquerie comme « le fait, soit par l’usage d’un faux nom ou d’une fausse qualité, soit par l’abus d’une qualité vraie, soit par l’emploi de manoeuvres frauduleuses, de tromper une personne physique ou morale et de la déterminer ainsi, à son préjudice ou au préjudice d’un tiers, à remettre des fonds, des valeurs ou un bien quelconque, à fournir un service ou à consentir un acte opérant obligation ou décharge », punie de cinq ans d’emprisonnement et de 375 000 euros d’amende. Le faux RIB entre typiquement dans ce texte : usage d’une fausse qualité de créancier et manoeuvres frauduleuses ayant déterminé le virement. Le dépôt de plainte se fait au commissariat, à la gendarmerie ou par courrier au procureur de la République, avec constitution de partie civile possible pour obtenir réparation dans le cadre du procès pénal. Joignez le faux courriel avec ses en-têtes techniques, la fausse facture, le faux RIB, l’ordre de virement, les relevés, et la chronologie précise des faits. La plainte sert aussi le volet bancaire : beaucoup d’établissements exigent une copie du récépissé pour instruire la demande de rappel des fonds, et le signalement sur la plateforme officielle 17Cyber rattachée à Cybermalveillance renforce la traçabilité des démarches.

Troisièmement, mettez la banque en demeure par écrit de rembourser ou, à titre subsidiaire, de justifier précisément son refus et de produire la preuve de l’effort de récupération. Cette lettre, envoyée en recommandé avec accusé de réception, doit rappeler le numéro et la date du virement, le montant, la date de découverte de la fraude, la demande de recall déjà formulée, et viser les textes : remboursement des opérations non autorisées, charge de la preuve pesant sur le prestataire, intérêts majorés en cas de retard. Demandez la communication des journaux d’authentification et des alertes de sécurité déclenchées ou non par l’opération, ainsi que l’attestation des diligences de rappel auprès de la banque du bénéficiaire. Si la réponse reste un refus sec, saisissez le médiateur bancaire, après épuisement du recours interne : la saisine interrompt peu les délais judiciaires, de sorte qu’il faut la mener sans tarder à agir au fond en parallèle quand les montants sont importants. En cas de dysfonctionnement grave du traitement de la réclamation, un signalement à l’Autorité de contrôle prudentiel et de résolution reste possible. Chaque étape doit être documentée : sans écrits datés, la négligence de la banque dans le recall, pourtant sanctionnable depuis l’arrêt de Montpellier, devient impossible à prouver, comme l’a appris à ses dépens la société qui n’a pas établi sa perte de chance.

B. Saisir le juge à Paris et en Île-de-France : preuves, montants et double paiement du vrai fournisseur

Quand la voie amiable échoue, l’assignation devient nécessaire, et le choix de la juridiction conditionne la rapidité du recouvrement. Pour une entreprise francilienne, deux juges se partagent le contentieux. Le litige contre la banque, prestataire de services de paiement, relève du tribunal judiciaire : à Paris, il s’agit du tribunal judiciaire de Paris, dont la neuvième chambre traite une part importante du contentieux bancaire, comme l’illustrent les jugements rendus en 2023 et 2024 dans les affaires évoquées plus haut. Le litige contre le vrai fournisseur qui réclame son paiement malgré le virement à l’escroc relève en revanche du tribunal de commerce, à Paris le tribunal de commerce de Paris, dès lors que les deux parties sont commerçantes et que la facture impayée est un acte de commerce. Cette répartition a une conséquence pratique : l’entreprise victime peut se retrouver demanderesse contre sa banque d’un côté, et défenderesse face à son fournisseur de l’autre, dans deux procédures distinctes. Anticipez cette dualité dans la stratégie : les pièces réunies pour l’une servent l’autre, notamment la preuve que le virement à l’escroc ne valait pas paiement au vrai créancier.

Ce dernier point mérite une explication nette, car il coûte cher aux entreprises qui le négligent. Payer l’escroc ne libère pas de la dette envers le vrai fournisseur : le paiement n’est libératoire que s’il est reçu par le créancier ou par une personne habilitée à recevoir pour lui, ce que l’escroc n’est pas. Le fournisseur impayé peut donc exiger un second paiement, assorti des pénalités de retard et de l’indemnité forfaitaire de recouvrement, puis agir en injonction de payer devant le tribunal de commerce. Ne laissez pas cette seconde procédure prospérer sans défense organisée : demandez des délais de paiement au juge, discutez les pénalités si les conditions générales ne vous ont jamais été opposées, et articulez ce dossier avec votre recours contre la banque et contre l’escroc. Pour construire cette défense, les règles de l’injonction de payer et des pénalités entre sociétés sont exposées dans notre dossier consacré aux factures impayées entre sociétés, de l’injonction de payer aux pénalités, directement applicable quand le vrai fournisseur vous assigne alors que les fonds ont été détournés.

Devant le juge, la demande contre la banque s’articule en trois chefs. D’abord, le remboursement du montant du virement sur le fondement des opérations non autorisées, quand la configuration technique le permet, avec les intérêts majorés prévus par la loi en cas de retard : taux légal majoré de cinq points, porté à dix points au-delà de sept jours et à quinze points au-delà de trente jours. Ensuite, à titre subsidiaire ou cumulé selon les cas, la réparation du préjudice causé par la négligence de la banque dans la récupération des fonds, sur le fondement du droit commun de la responsabilité. L’article 1240 du code civil dispose que « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer », et l’arrêt de Montpellier du 7 avril 2026 donne à ce fondement un contenu précis : retard caractérisé dans le recall, absence de preuve d’efforts diligents, perte de chance de récupérer les fonds. L’indemnisation prend alors la forme de dommages et intérêts égaux à la chance perdue, ce qui suppose de chiffrer rigoureusement ce qui aurait pu être sauvé : solde du compte bénéficiaire au jour où le recall aurait dû partir, traçabilité des fonds, attestations de la banque du bénéficiaire. Enfin, le préjudice moral et financier accessoire : frais bancaires, coût de l’expertise informatique, temps de mobilisation des équipes, atteinte à la trésorerie documentée par les découverts et les retards de paiement en chaîne.

La preuve se prépare dès le premier jour et conditionne tout. Conservez les messages frauduleux dans leur format d’origine avec les en-têtes complets, qui permettent d’identifier l’adresse d’expédition réelle et les serveurs traversés. Faites constater par un commissaire de justice ou par un prestataire d’informatique légale l’état des boîtes de messagerie et des postes de travail, surtout si vous soupçonnez une intrusion ou un maliciel : la qualification d’opération non autorisée en dépend. Demandez à votre banque, par écrit, les journaux d’authentification de l’opération litigieuse, les seuils d’alerte appliqués aux virements vers un nouvel IBAN, et la preuve des diligences de rappel avec leurs dates. Faites également écrire par la banque du bénéficiaire, si elle peut être identifiée, l’historique du compte ayant reçu les fonds. À Paris, les juridictions traitent chaque semaine ce type de dossiers et sanctionnent les approximations : une entreprise qui affirme sans pièce que sa banque n’a rien tenté s’expose au débouté, tandis qu’une chronologie documentée heure par heure, assortie des écrits de la banque, place le débat sur le terrain favorable de la charge de la preuve qui pèse sur le prestataire. N’oubliez pas le volet pénal en parallèle : la constitution de partie civile devant le juge d’instruction ou le tribunal correctionnel permet de demander la condamnation de l’escroc, s’il est identifié, au remboursement des sommes détournées, et les décisions pénales alimentent ensuite le dossier civil contre la banque.

Conclusion

Un virement parti sur un faux RIB n’est pas une cause perdue, mais ce n’est pas non plus un remboursement automatique. Quand vous avez vous-même validé l’ordre, la banque peut refuser de payer au titre des opérations non autorisées, et la cour d’appel de Paris vient de le confirmer le 9 septembre 2026 dans un dossier où l’authentification forte avait été utilisée. En revanche, la banque ne peut pas se retrancher derrière ce refus pour rester passive : elle doit prouver positivement votre fraude ou votre négligence grave, comme l’exige la Cour de cassation depuis son arrêt du 9 mars 2022, et elle doit s’efforcer de récupérer les fonds sans attendre votre plainte, comme l’a jugé la cour d’appel de Montpellier le 7 avril 2026. La méthode qui protège vos droits tient en quatre réflexes : signaler et demander le rappel des fonds par écrit dans les heures qui suivent, déposer plainte pour escroquerie avec un dossier de preuves complet, mettre la banque en demeure en visant les textes et en exigeant ses journaux et ses diligences, puis saisir le tribunal judiciaire de Paris contre la banque et organiser la défense face au vrai fournisseur devant le tribunal de commerce. Chaque heure compte pour le recall, chaque écrit compte pour le procès : documentez tout, et contestez tout refus qui ne serait motivé par aucun fait précis.