Le 15 octobre 2026, la Cour de justice de l’Union européenne a rendu un arrêt qui change concrètement la vie des entreprises victimes de piratage bancaire. Dans l’affaire C-70/25, la Cour juge qu’une banque ne peut pas refuser de rembourser immédiatement une opération de paiement non autorisée au motif que le client aurait rendu l’opération possible par négligence grave. La presse française s’en est fait l’écho dès le 16 octobre 2026, parlant d’un tournant pour les victimes d’arnaques bancaires. Pour une société dont le compte professionnel vient d’être vidé après le clic malheureux d’un comptable sur un faux message de la banque, la portée est directe : la banque doit recréditer le compte d’abord, et ne pourra discuter de la faute du salarié qu’ensuite, avec la charge de la preuve sur ses épaules. Cet article explique le mécanisme du remboursement, la limite exacte posée par l’arrêt européen, les preuves que la banque devra rapporter devant le juge français et la méthode pas à pas pour contester, dans les délais que la loi impose.

I. Le virement parti sans l’accord de la société : un régime qui rembourse d’abord

A. Opération non autorisée sur un compte professionnel : le remboursement immédiat et ses intérêts de retard

En droit français des paiements, tout dépend d’une distinction simple : l’opération a-t-elle été autorisée par le payeur, ou non. Une opération est autorisée quand la société, par son représentant ou son salarié habilité, a donné son consentement à son exécution, selon la procédure convenue avec la banque. Elle est non autorisée quand un tiers a initié le paiement en usurpant les identifiants, en détournant une session ou en ajoutant un bénéficiaire à l’insu du titulaire du compte. Le cas typique pour une entreprise : le comptable reçoit un courriel qui imite parfaitement celui de la banque, clique, saisit ses codes sur une fausse page, et le pirate ajoute un compte bénéficiaire puis vide le solde par virements successifs. La société n’a jamais voulu payer ce bénéficiaire : l’opération est non autorisée, même si les codes véritables ont techniquement servi.

À l’inverse, quand la société a elle-même ordonné le virement vers un faux RIB transmis par un escroc qui se faisait passer pour un fournisseur, le transfert est juridiquement autorisé : la société a consenti à payer ce compte-là, même si son consentement a été surpris par une tromperie. Le régime du remboursement décrit ici ne s’applique pas à cette hypothèse, qui relève d’autres recours, notamment contre l’auteur de l’escroquerie et, selon les circonstances, contre la banque pour manquement à son devoir de vigilance. Sur ce cas du faux RIB de fournisseur, nous avons consacré un développement distinct que le lecteur peut consulter ici : faux RIB transmis par un escroc : payer deux fois et se retourner contre qui en 2026. Vérifier d’abord dans quelle catégorie se situe le virement litigieux conditionne toute la suite.

Pour les opérations non autorisées, l’article L. 133-18 du code monétaire et financier pose une obligation claire : « En cas d’opération de paiement non autorisée signalée par l’utilisateur dans les conditions prévues à l’article L. 133-24 […] le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, sauf s’il a de bonnes raisons de soupçonner une fraude de l’utilisateur du service de paiement et s’il communique ces raisons par écrit à la Banque de France. » (article L. 133-18 du code monétaire et financier). Le compte débité doit être rétabli dans l’état où il se serait trouvé si l’opération n’avait pas eu lieu, et la date de valeur du crédit ne peut pas être postérieure à celle du débit.

Le même texte sanctionne le retard de la banque par des intérêts de plus en plus lourds : les sommes dues produisent intérêt au taux légal majoré de cinq points, puis au taux légal majoré de dix points au-delà de sept jours de retard, et au taux légal majoré de quinze points au-delà de trente jours de retard (article L. 133-18 du code monétaire et financier). Concrètement, chaque semaine de refus injustifié renchérit la facture de l’établissement. La seule échappatoire prévue par le texte vise la fraude du client lui-même : la banque doit avoir de bonnes raisons de soupçonner une fraude de l’utilisateur et communiquer ces raisons par écrit à la Banque de France. Un simple doute, une suspicion vague ou un dossier transmis au juge sans écrit à la Banque de France ne suffisent pas.

La Cour de cassation applique cette exception à la lettre. Le 30 septembre 2026, la chambre commerciale a cassé un arrêt qui avait refusé tout remboursement à une cliente au motif que sa contestation présenterait un caractère frauduleux, alors que le virement avait été exécuté sur la foi d’un faux fabriqué par un tiers et que la cliente avait validé par message un virement destiné à exécuter une condamnation civile, et non à payer les honoraires de son avocat : « En statuant ainsi, alors qu’elle avait constaté que Mme [P] avait, dans le SMS adressé à son avocat, validé ce virement pour exécuter une condamnation civile et non pour payer les honoraires de celui-ci, ce qui excluait le caractère frauduleux de sa demande de restitution des fonds, la cour d’appel a violé le texte susvisé. » (Cass. com., 30 sept. 2026, n° 25-16.643). Pour une entreprise, la leçon est nette : la banque qui veut se retrancher derrière la fraude doit viser une fraude de la société elle-même, en lien avec l’exécution de l’opération, et l’écrire à la Banque de France. La maladresse d’un salarié, même établie, n’est pas une fraude.

B. La négligence du salarié ne bloque plus le remboursement : l’apport de l’arrêt européen du 15 octobre 2026

Pendant des années, le scénario était immuable : la société contestait les virements, et la banque répondait que le comptable avait commis une négligence grave en cliquant sur un lien frauduleux, en communiquant ses codes ou en validant un bénéficiaire inconnu, de sorte qu’aucun remboursement n’était dû. L’article L. 133-19 du code monétaire et financier semblait lui donner raison sur le fond, puisqu’il prévoit que « Le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17. » (article L. 133-19, IV, du code monétaire et financier). Les banques en déduisaient qu’elles pouvaient refuser le remboursement dès qu’une négligence grave paraissait caractérisée, sans avancer les fonds.

C’est précisément ce raisonnement que la Cour de justice de l’Union européenne vient de censurer. Saisie par le tribunal d’arrondissement de Koszalin, en Pologne, d’un litige opposant une cliente à la banque PKO BP au sujet d’une opération non autorisée, la première chambre de la Cour a jugé le 15 octobre 2026, dans l’affaire C-70/25, que l’article 73, paragraphe 1, et l’article 74, paragraphe 1, de la directive sur les services de paiement dans le marché intérieur du 25 novembre 2015, dite seconde directive sur les services de paiement, doivent se comprendre comme interdisant à un prestataire de services de paiement de refuser le remboursement immédiat du montant d’une opération non autorisée au motif que le payeur aurait rendu cette opération possible par une négligence grave, en méconnaissance de ses obligations d’utilisateur. Référence de la décision : Cour de justice de l’Union européenne, première chambre, 15 octobre 2026, affaire C-70/25.

Le raisonnement tient en deux temps, et les deux temps comptent autant l’un que l’autre. Premier temps : le remboursement est immédiat et inconditionnel, sauf la fraude du payeur lui-même signalée par écrit à la Banque de France. La négligence grave, même évidente, même reconnue, n’autorise pas la banque à garder les fonds en attendant l’issue d’un débat sur les responsabilités. Second temps : la négligence grave n’est pas effacée pour autant ; elle pourra être discutée ensuite, dans le cadre du partage de responsabilité entre la banque et le payeur, et c’est à la banque de rapporter la preuve de cette négligence ou de cette fraude. Pour l’entreprise, l’effet pratique est considérable : la trésorerie est reconstituée sans attendre, ce qui permet de payer les salaires et les fournisseurs pendant que le litige sur la faute suit son cours, au lieu de subir une asphyxie financière de plusieurs mois.

Ce découpage protège aussi les sociétés contre l’argument favori des établissements, celui du salarié fautif. Qu’un comptable ait cliqué sur un faux courriel, validé un bénéficiaire après un appel de faux conseiller ou communiqué un code reçu par message ne change rien à l’obligation de rembourser d’abord. La banque pourra ensuite tenter de démontrer que ce comportement caractérise une négligence grave au sens des articles L. 133-16 et L. 133-17, qui imposent à l’utilisateur de préserver la sécurité de ses données personnalisées et d’informer sans tarder sa banque en cas de perte, de vol ou de détournement (article L. 133-16 du code monétaire et financier ; article L. 133-17 du code monétaire et financier). Mais cette discussion intervient après le remboursement, jamais avant, et c’est à elle d’en apporter les éléments.

II. Obtenir et sécuriser le remboursement : preuves, délais et réflexes

A. La banque doit prouver avant d’accuser : authentification, journaux et négligence grave

Quand la banque refuse de rembourser ou réclame ensuite à la société le montant recrédité en invoquant la négligence grave, le procès se joue sur la preuve, et la loi fait peser cette preuve sur l’établissement. L’article L. 133-23 du code monétaire et financier dispose que « Lorsqu’un utilisateur de services de paiement nie avoir autorisé une opération de paiement qui a été exécutée, ou affirme que l’opération de paiement n’a pas été exécutée correctement, il incombe à son prestataire de services de paiement de prouver que l’opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre. » (article L. 133-23 du code monétaire et financier). Le même article ajoute que « L’utilisation de l’instrument de paiement telle qu’enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l’opération a été autorisée par le payeur ou que celui-ci n’a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant en la matière », et que la banque « fournit des éléments afin de prouver la fraude ou la négligence grave commise par l’utilisateur de services de paiement » (article L. 133-23 du code monétaire et financier).

La Cour de cassation en tire une exigence d’ordre chronologique dans l’administration de la preuve. Le 30 avril 2025, elle a cassé un arrêt qui avait fait supporter à une société les pertes d’opérations non autorisées au motif d’une négligence grave, sans avoir vérifié le préalable technique : « s’il entend faire supporter à l’utilisateur d’un instrument de paiement doté d’un dispositif de sécurité personnalisé les pertes occasionnées par une opération de paiement non autorisée rendue possible par un manquement de cet utilisateur, intentionnel ou par négligence grave, aux obligations mentionnées aux articles L. 133-16 et L 133-17 de ce code, le prestataire de services de paiement doit au préalable prouver que l’opération en cause a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre. » (Cass. com., 30 avr. 2025, n° 24-10.149). Dans cette affaire, les fonds d’une société avaient été détournés après un clic sur un courriel frauduleux ayant permis l’ajout d’un bénéficiaire puis des virements émis grâce aux identifiants du client sur le site de la banque. Malgré des incohérences qualifiées de facilement décelables, la cour d’appel aurait dû rechercher d’abord si les opérations avaient été authentifiées et correctement enregistrées. Pour une entreprise qui conteste, la demande à formuler est donc précise : exiger la production des journaux d’authentification, des enregistrements et la démonstration de l’absence de défaillance technique, avant tout débat sur le comportement du salarié.

Reste la question la plus délicate : le salarié manipulé par un faux conseiller commet-il une négligence grave ? La Cour de cassation refuse les réponses automatiques dans un sens comme dans l’autre. Le 9 septembre 2026, elle a censuré une cour d’appel qui avait écarté toute négligence grave au seul motif que la victime avait été appelée par un usurpateur se présentant comme un préposé de la banque, dont le numéro correspondait à celui de l’établissement, sans examiner concrètement si la divulgation volontaire des codes caractérisait une faute. La Cour rappelle d’abord le principe : « Il résulte du premier de ces textes que le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations, imposées par le second, d’une part de prendre toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées, d’autre part d’utiliser l’instrument de paiement conformément aux conditions régissant son utilisation. » (Cass. com., 9 sept. 2026, n° 25-15.038). Dans cette affaire, le client avait validé lui-même un virement de 9 000 euros présenté comme un test et communiqué ses nouveaux identifiants à son interlocuteur.

Pour l’entreprise, l’enseignement est double. D’un côté, une manipulation sophistiquée, avec usurpation du numéro de la banque et informations personnelles exactes, pèse en faveur du salarié et rend la négligence grave difficile à établir. De l’autre, la communication volontaire des codes et la validation d’opérations restent des faits que le juge apprécie concrètement, au cas par cas, sans présomption. C’est exactement pour cela que l’arrêt européen du 15 octobre 2026 compte autant : même si la banque dispose d’arguments sérieux sur la négligence, elle doit rembourser d’abord et plaider ensuite. La société n’a plus à financer le temps du procès sur sa trésorerie. On ajoutera que le plafond de 50 euros prévu pour les opérations consécutives à la perte ou au vol de l’instrument, avant l’information de la banque, ne joue que dans ce cas précis de perte ou de vol et connaît plusieurs exceptions, notamment quand l’opération a été effectuée sans utilisation des données de sécurité personnalisées ou par détournement à l’insu du payeur (article L. 133-19, I et II, du code monétaire et financier). Chaque situation appelle donc une qualification précise avant de chiffrer ce qui reste à la charge de la société.

B. Bloquer, signaler, contester dans les treize mois et assigner : la méthode pas à pas, y compris à Paris

La première heure décide souvent de l’issue. Dès la découverte des virements suspects, la personne habilitée doit faire bloquer l’instrument : l’article L. 133-17 impose à l’utilisateur qui a connaissance d’une utilisation non autorisée d’en informer sans tarder sa banque aux fins de blocage (article L. 133-17 du code monétaire et financier). Parallèlement, révoquer les bénéficiaires nouvellement ajoutés, changer tous les codes, isoler le poste informatique compromis et conserver chaque preuve : relevés, journaux de connexion, courriels frauduleux avec leurs en-têtes, captures du faux site, enregistrements d’appels, attestations des salariés. Le signalement sur la plateforme Perceval du ministère de l’intérieur, dédiée aux fraudes à la carte et aux opérations bancaires frauduleuses, et le dépôt de plainte complètent ce premier temps et donnent date certaine à la contestation.

Vient ensuite la contestation écrite adressée à la banque, qui doit exiger le remboursement en visant l’opération non autorisée et rappeler l’obligation de recrédit au plus tard à la fin du premier jour ouvrable suivant. Si l’établissement oppose la négligence du salarié, lui répondre par l’arrêt du 15 octobre 2026 : cette négligence, à la supposer établie, ne l’autorise pas à refuser le remboursement immédiat. Si la banque invoque une fraude de la société, exiger qu’elle produise l’écrit adressé à la Banque de France avec les bonnes raisons de sa suspicion, comme l’exige l’article L. 133-18 (article L. 133-18 du code monétaire et financier). À défaut de cet écrit, le refus n’a pas de base légale. Lorsque le remboursement tarde, chiffrer les intérêts majorés prévus par le même texte et les réclamer : taux légal majoré de cinq points, puis de dix points au-delà de sept jours de retard, puis de quinze points au-delà de trente jours (article L. 133-18 du code monétaire et financier).

Le délai pour agir est strict et doit être pris au sérieux : « L’utilisateur de services de paiement signale, sans tarder, à son prestataire de services de paiement une opération de paiement non autorisée ou mal exécutée et au plus tard dans les treize mois suivant la date de débit sous peine de forclusion à moins que le prestataire de services de paiement ne lui ait pas fourni ou n’ait pas mis à sa disposition les informations relatives à cette opération de paiement conformément au chapitre IV du titre 1er du livre III. » (article L. 133-24 du code monétaire et financier). Passé treize mois après le débit, sans signalement, la contestation est forclose, sauf si la banque n’a pas fourni les informations sur l’opération. Le même article précise que, sauf lorsque l’utilisateur est une personne physique agissant pour des besoins non professionnels, les parties peuvent convenir d’un délai distinct : une société doit donc vérifier sa convention de compte, qui peut aménager ce délai, sans jamais laisser passer les treize mois légaux (article L. 133-24 du code monétaire et financier). En pratique, les sociétés avisées contestent par écrit dans les jours qui suivent la découverte, ce qui rend ce débat inutile.

À Paris et en Île-de-France, où sont établis le siège ou les directions de nombreuses banques, le contentieux suit le canal ordinaire : mise en demeure, recours au médiateur bancaire désigné par l’établissement, puis assignation devant le tribunal judiciaire. Le dossier à constituer comprend la convention de compte professionnel, les relevés faisant apparaître les opérations litigieuses et l’ajout du bénéficiaire, la lettre de contestation avec sa preuve d’envoi, le récépissé de plainte et le signalement Perceval, les journaux d’authentification réclamés à la banque, et tout élément montrant le mode opératoire du pirate, comme le courriel frauduleux ou la preuve de l’usurpation du numéro d’appel. Les sociétés franciliennes veilleront aussi à tracer l’impact de trésorerie, découverts, agios et retards de paiement subis du fait du refus de remboursement, car ces préjudices documentés nourrissent la demande de dommages et intérêts en complément du recrédit et des intérêts légaux majorés.

Conclusion

L’arrêt rendu le 15 octobre 2026 par la Cour de justice de l’Union européenne clarifie l’ordre des choses : face à une opération de paiement non autorisée, la banque de la société rembourse immédiatement, au plus tard à la fin du premier jour ouvrable suivant, et ne peut pas subordonner ce remboursement à un débat préalable sur la négligence du salarié. La négligence grave et la fraude restent des questions réelles, mais elles se plaident après, avec la preuve à la charge de la banque, sous le contrôle du juge français et dans le cadre dessiné par les articles L. 133-18, L. 133-19, L. 133-23 et L. 133-24 du code monétaire et financier. Pour une entreprise dont le compte professionnel a été piraté, la conduite à tenir tient en peu de mots : bloquer sans tarder, conserver chaque preuve, contester par écrit en visant l’opération non autorisée, exiger l’écrit à la Banque de France si la fraude est invoquée, et ne jamais laisser passer treize mois après le débit. Et si c’est la société elle-même qui a ordonné le virement vers un faux compte de fournisseur, le réflexe est inverse : ce transfert autorisé ne relève pas du remboursement automatique, et les recours suivent une autre voie.