Une société civile immobilière fait construire un immeuble et règle les situations de travaux par virement. Un escroc intercepte la messagerie, annonce un changement de coordonnées bancaires et communique l’IBAN d’un compte ouvert à l’étranger. Deux virements partent, pour un total de 365 297,25 euros, vers le compte des fraudeurs. La société demande à sa banque de lui rendre cet argent. La cour d’appel de Lyon refuse pour les deux virements. Le 9 septembre 2026, la chambre commerciale de la Cour de cassation coupe le litige en deux : le premier virement reste perdu, le second doit être remboursé. Commentée le 16 octobre 2026, cette décision mérite une lecture attentive car elle fixe, avec un arrêt jumeau du 1er juillet 2026 rendu dans un dossier de construction de maison individuelle, la méthode complète du contentieux du faux RIB : ce que la banque peut opposer au client, et ce qu’elle doit prouver virement par virement.

I. Virement exécuté sur l’IBAN donné par le client : la banque est couverte, même si le RIB était faux

Le point de départ du raisonnement tient en une phrase de l’arrêt du 9 septembre 2026, qui reprend le visa de l’article L. 133-21 du code monétaire et financier : «Un ordre de paiement exécuté conformément à l’identifiant unique fourni par l’utilisateur du service de paiement est réputé dûment exécuté pour ce qui concerne le bénéficiaire désigné par l’identifiant unique. Si l’identifiant unique fourni par l’utilisateur du service de paiement est inexact, le prestataire de services de paiement n’est pas responsable de la mauvaise exécution ou de la non-exécution de l’opération de paiement. » Tout l’enjeu pratique du faux RIB se joue dans cette distinction entre le nom du créancier que le client avait en tête et l’identifiant chiffré qu’il a effectivement transmis à sa banque.

A. Le faux RIB relève du régime spécial des services de paiement, pas de la faute ordinaire de la banque

Dans l’affaire jugée le 9 septembre 2026 (Com. 9 sept. 2026, n° 25-15.225), la SCI avait confié la construction d’un immeuble à une entreprise. Le 13 janvier 2020, elle adresse à sa banque, le Crédit lyonnais, la situation de travaux numéro 6 revêtue d’un bon à payer, accompagnée d’une facture de 189 893,14 euros qui mentionne le compte véritable de l’entreprise à la Société générale. Deux jours plus tard, elle transfère à la banque un courriel présenté comme venant de l’entreprise : le compte ne serait plus actif, voici le nouvel IBAN, ouvert dans les livres de la banque Santander Totta, pour les prochains virements, y compris celui de la situation numéro 6. Le 20 janvier 2020, le virement de 189 893,14 euros part vers ce compte. La société soutenait alors que sa banque avait manqué à son devoir de vigilance et demandait, sur le fondement du droit commun de la responsabilité contractuelle, le remboursement et des dommages et intérêts.

La Cour de cassation écarte cette voie, dans son arrêt du 9 septembre 2026 (n° 25-15.225), d’un revers de main qui doit retenir l’attention de tout payeur : « La responsabilité contractuelle de droit commun n’est pas applicable lorsque l’opération relève du régime exclusif de responsabilité prévu à l’article L. 133-21 du code monétaire et financier. » Dès lors que le premier virement avait été exécuté au crédit du compte Santander Totta conformément à l’identifiant unique fourni par la SCI elle-même, l’arrêt de la cour d’appel qui rejetait la demande pour ce premier virement est approuvé. Ni les anomalies du courriel frauduleux, ni l’absence de vérification par la banque, ni l’argument tiré du professionnalisme de l’établissement ne permettent de rouvrir ce premier dossier par la porte du droit commun. Le régime est exclusif : quand l’identifiant fourni fait foi, la discussion sur la vigilance n’a plus lieu d’être pour ce virement.

Cette exclusivité n’est pas nouvelle. Elle prolonge l’arrêt fondateur du 24 janvier 2018 (Com. 24 janv. 2018, n° 16-22.336), rendu dans une affaire où un ordre de virement comportant un numéro de compte erroné avait crédité un tiers : « si l’identifiant unique fourni par l’utilisateur du service de paiement est inexact, le prestataire de services de paiement n’est pas responsable de la mauvaise exécution de l’opération de paiement qui en est la conséquence ». Huit ans plus tard, la chambre commerciale applique la même logique à la fraude : que l’inexactitude vienne d’une erreur de saisie ou d’un escroc, la banque qui exécute fidèlement l’identifiant reçu n’engage pas sa responsabilité sur ce terrain. Pour les entreprises qui paient leurs fournisseurs par virement, la leçon est sévère : le contrôle du RIB avant envoi conditionne tout, car après exécution conforme, le droit commun ne offre aucune session de rattrapage.

Le même article L. 133-21 du code monétaire et financier tempère toutefois la sévérité de cette solution par une obligation d’assistance qui pèse sur la banque du payeur : « le prestataire de services de paiement du payeur s’efforce de récupérer les fonds engagés dans l’opération de paiement », le prestataire du bénéficiaire lui communiquant « toutes les informations utiles pour récupérer les fonds », et « Si le prestataire de services de paiement du payeur ne parvient pas à récupérer les fonds engagés dans l’opération de paiement, il met à disposition du payeur, à sa demande, les informations qu’il détient pouvant documenter le recours en justice du payeur en vue de récupérer les fonds ». Autrement dit, la banque qui refuse le remboursement du virement exécuté sur l’identifiant fourni par le client ne peut pas se contenter de classer le dossier : elle doit tenter de récupérer les sommes auprès de l’établissement du bénéficiaire et fournir au client les éléments permettant d’agir en justice contre le titulaire du compte crédité. Dans le dossier jugé le 9 septembre 2026, le premier virement de 189 893,14 euros reste perdu au sens du remboursement bancaire, mais la société conserve une créance contre les auteurs de la fraude et leurs complices, et c’est à sa banque de lui remettre les informations détenues pour documenter ce recours. En pratique, la victime doit donc adresser à sa banque, dès la découverte de la fraude, une demande écrite de récupération des fonds et de communication de ces informations, et conserver la preuve de cette demande : un refus ou une inertie de l’établissement sur ce terrain de l’assistance peut nourrir un grief distinct de celui du remboursement.

B. Vouloir payer le vrai créancier ne suffit pas quand l’IBAN transmis désigne un escroc

L’arrêt jumeau du 1er juillet 2026 (Com. 1er juill. 2026, n° 25-15.283), rendu par la même formation et le même conseiller rapporteur, verrouille le raisonnement par l’autre bout. Des particuliers faisaient construire leur maison et réglaient les appels de fonds du constructeur par virement. Le 3 mai 2023 à 10h02, le constructeur transmet de nouveaux appels de fonds ; le même jour à 16h17, les clients reçoivent, depuis une adresse controuvée au nom d’une préposée du constructeur, un courriel avec un RIB et un IBAN attribués à ce dernier. Le 11 mai 2023, deux virements sont exécutés conformément à ces identifiants et créditent un compte dont le constructeur n’est pas titulaire. La cour d’appel de Riom avait condamné la banque en retenant que le consentement des payeurs n’était intervenu qu’à l’égard du constructeur désigné comme bénéficiaire, et que la substitution de l’IBAN falsifié, antérieure ou postérieure à l’ordre, ne changeait rien à l’absence d’autorisation.

La chambre commerciale, dans son arrêt du 1er juillet 2026 (n° 25-15.283), censure cette analyse au visa du même article L. 133-21 du code monétaire et financier, qui transpose l’article 88 de la directive du 25 novembre 2015 sur les services de paiement dans le marché intérieur : « En statuant ainsi, alors qu’elle constatait que les opérations de paiement avaient été exécutées conformément aux identifiants uniques fournis par M. et Mme [L], la cour d’appel a violé le texte susvisé. » La Cour ajoute le fondement européen de la solution en reprenant l’arrêt de la Cour de justice de l’Union européenne du 21 mars 2019, Tecnoservice (C-245/18), selon lequel «La Cour de justice de l’Union européenne, dans son arrêt du 21 mars 2019, (C-245/18, Tecnoservice), a dit pour droit que l’article 74, paragraphe 2 de la directive 2007/64/CE, repris par l’article 88 de la directive (UE) 2015/2366 du 25 novembre 2015 dans les dispositions telles que transposées et rapportées ci-dessus, doit être interprété en ce sens que, lorsqu’un ordre de paiement est exécuté conformément à l’identifiant unique fourni par l’utilisateur de services de paiement, lequel ne correspond pas au nom du bénéficiaire indiqué par ce même utilisateur, la limitation de la responsabilité du prestataire de services de paiement, prévue par cette disposition, est applicable ». Autrement dit, le décalage entre le nom du bénéficiaire voulu et l’IBAN effectivement transmis ne rouvre pas la responsabilité de la banque : seul l’identifiant compte. La Cour précise même qu’en l’absence de doute raisonnable sur l’interprétation de l’article 88 de la directive compte tenu de cet arrêt, il n’y a pas lieu de saisir la Cour de justice d’une question préjudicielle.

La solidité européenne de cette construction mérite d’être soulignée car elle limite les échappatoires contentieuses. La chambre commerciale rappelle que l’article L. 133-21 du code monétaire et financier transpose l’article 88, intitulé « identifiants uniques inexacts », de la directive du 25 novembre 2015 sur les services de paiement dans le marché intérieur, et reprend, dans ce même arrêt du 1er juillet 2026, l’interprétation donnée par la Cour de justice de l’Union européenne dans l’arrêt Tecnoservice du 21 mars 2019. Surtout, elle écarte la demande de renvoi préjudiciel formulée par les clients en retenant « l’absence de doute raisonnable » sur l’interprétation de l’article 88 compte tenu de cet arrêt. Cette mention n’est pas de pure forme : elle signifie que la solution est tenue pour acquise au niveau européen et que les juridictions du fond ne pourront pas contourner le régime de l’identifiant unique en invoquant une incertitude d’interprétation du droit de l’Union. Pour les plaideurs, la conséquence est directe : dans un dossier de faux RIB où le client a transmis l’identifiant frauduleux, soulever une question préjudicielle sur ce point revient à demander à la Cour de trancher une question qu’elle déclare déjà tranchée.

Pris ensemble, les deux arrêts de l’été 2026 dessinent une première étape sans appel pour les victimes : quand le client a lui-même fourni l’identifiant frauduleux et que la banque l’a exécuté fidèlement, ni le devoir de vigilance, ni l’intention de payer le vrai créancier, ni le droit commun de la responsabilité ne permettent d’obtenir le remboursement de ce virement. C’est précisément pour cette raison que la seconde étape de l’arrêt du 9 septembre 2026 mérite d’être lue avec soin : tout se joue alors sur la preuve, virement par virement.

II. Chaque virement s’autorise séparément : à la banque de prouver l’ordre, pas au client de prouver le contraire

Un mois après le premier virement litigieux, la SCI adresse à sa banque, le 13 février 2020, la situation de travaux numéro 7 revêtue d’un bon à payer, accompagnée d’une facture de 175 404,11 euros qui mentionne, cette fois encore, le véritable IBAN de l’entreprise à la Société générale. Le 24 février 2020, le virement part néanmoins vers le compte Santander Totta des fraudeurs. Le 25 février, la société découvre la fraude et alerte sa banque. Pour ce second virement, la cour d’appel de Lyon avait rejeté les demandes au motif que la SCI ne justifiait pas d’instructions spécifiques à la situation numéro 7 et que l’instruction donnée par le courriel du 15 janvier 2020 restait applicable. C’est cette analyse que la Cour de cassation casse, et c’est là que se trouve l’apport pratique majeur de l’arrêt pour toutes les entreprises qui règlent des chantiers, des fournisseurs ou des appels de fonds par virements successifs.

A. Une instruction donnée pour un virement ne couvre pas les virements suivants quand la facture désigne le vrai compte

Le visa de cassation associe l’article 1353 du code civil et les premiers alinéas des articles L. 133-6 et L. 133-7 du code monétaire et financier. Le premier de ces textes pose qu’« Une opération de paiement est autorisée si le payeur a donné son consentement à son exécution », tandis que le second précise que « Le consentement est donné sous la forme convenue entre le payeur et son prestataire de services de paiement » et qu’« En l’absence d’un tel consentement, l’opération ou la série d’opérations de paiement est réputée non autorisée ». La Cour, dans ce même arrêt du 9 septembre 2026, en déduit une règle de preuve claire : « Il résulte des deux derniers de ces textes que la charge de la preuve de l’autorisation du paiement initié par le payeur donnée au prestataire de services de paiement, sous la forme convenue entre eux, repose sur le prestataire de services de paiement. »

Appliquée aux faits, cette règle inverse l’issue du litige pour le second virement. La Cour relève que la transmission du 13 février 2020 était accompagnée d’une facture mentionnant le véritable IBAN de l’entreprise : dès lors, « de sorte qu’il incombait au prestataire de services de paiement, sur qui reposait la charge de prouver que l’opération avait été autorisée quant au bénéficiaire, de produire l’ordre de paiement relatif à ce virement ». En exigeant au contraire de la SCI qu’elle justifie de ses instructions spécifiques à la situation numéro 7, la cour d’appel « a inversé la charge de la preuve » et violé les textes visés. L’arrêt (Com. 9 sept. 2026, n° 25-15.225) est cassé sur ce point, l’affaire renvoyée devant la cour d’appel de Lyon autrement composée, la banque condamnée aux dépens et à verser 3 000 euros à la SCI en application de l’article 700 du code de procédure civile.

La portée de cette solution dépasse largement le chantier concerné. Dans la vie des entreprises comme dans celle des particuliers qui font construire, les paiements se font par virements successifs : situations de travaux, appels de fonds, factures mensuelles. L’arrêt du 9 septembre 2026 juge que l’autorisation ne se prolonge pas tacitement d’un virement au suivant. Quand la dernière facture en date désigne le compte véritable du créancier, la banque ne peut pas présumer que le client voulait reconduire l’instruction frauduleuse du mois précédent : elle doit établir, pièce en main, que le client a autorisé ce virement-là vers ce compte-là. Pour le contentieux, cela signifie que chaque virement contesté donne lieu à sa propre discussion probatoire, avec ses propres pièces, et que le sort du premier virement ne scelle pas celui des suivants.

On pourrait se demander si des virements mensuels versés pour un même chantier forment une « série d’opérations » dont l’autorisation initiale vaudrait pour la suite. Les textes lus dans ce dossier répondent par la négative dans cette configuration. L’article L. 133-6 du code monétaire et financier prévoit qu’« Une série d’opérations de paiement est autorisée si le payeur a donné son consentement à l’exécution de la série d’opérations, notamment sous la forme d’un mandat de prélèvement », et l’article L. 133-7 du même code ajoute que « Le consentement à l’exécution d’une série d’opérations de paiement peut aussi être retiré, avec pour effet que toute opération postérieure est réputée non autorisée ». La série suppose un consentement donné une fois pour l’ensemble, comme un mandat de prélèvement. Or les règlements de situations de travaux sont des ordres distincts, chacun transmis avec son bon à payer et sa facture : chacun porte son propre consentement, exprimé « sous la forme convenue entre le payeur et son prestataire de services de paiement ». C’est exactement ce que juge l’arrêt du 9 septembre 2026 en exigeant la preuve de l’autorisation « quant au bénéficiaire » pour le second virement, malgré l’instruction du mois précédent. La qualification de série ne peut donc pas servir à la banque pour prolonger l’effet d’un courriel frauduleux : chaque situation de travaux payée constitue une opération autonome dont l’autorisation se prouve séparément.

B. En pratique, la banque doit produire l’ordre de paiement : ce que cela change pour le dossier de la victime

Le raisonnement de la Cour s’articule avec l’article L. 133-23 du code monétaire et financier, invoqué par le pourvoi : « Lorsqu’un utilisateur de services de paiement nie avoir autorisé une opération de paiement qui a été exécutée, ou affirme que l’opération de paiement n’a pas été exécutée correctement, il incombe à son prestataire de services de paiement de prouver que l’opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre. » Ce texte vise d’abord l’opération dont le client nie l’autorisation ou dénonce la mauvaise exécution. L’arrêt du 9 septembre 2026 complète le dispositif pour l’hypothèse miroir : le client reconnaît avoir ordonné un virement, mais conteste l’avoir autorisé vers le compte qui a été crédité. Dans les deux cas, la charge probatoire pèse sur l’établissement, pas sur le client. La cour d’appel avait commis exactement l’erreur que ces textes interdisent : reprocher au payeur de ne pas produire le courriel de transmission de l’ordre pour la situation numéro 7, alors que c’était à la banque de verser aux débats l’ordre de paiement du second virement.

Concrètement, la victime d’un faux RIB qui règle plusieurs échéances doit structurer son dossier virement par virement. Pour chaque opération, rassembler l’ordre transmis (courriel, bon à payer, facture jointe), l’IBAN qui y figurait, le relevé d’exécution avec le compte effectivement crédité, et la chronologie des échanges avec la banque. Si, comme dans l’affaire jugée, une facture postérieure à la fraude mentionne le compte véritable du créancier, cet élément devient la pièce centrale : il oblige la banque à démontrer qu’une instruction contraire, postérieure et expresse, l’autorisait à payer ailleurs. À l’inverse, l’établissement qui exécute un virement sans conserver ni produire l’ordre correspondant se place en situation difficile, puisque le silence de son dossier joue contre lui. Les directions financières et les conducteurs de travaux ont intérêt à en tirer une règle de gestion simple : chaque ordre de virement doit mentionner expressément l’IBAN à créditer, sans renvoi implicite à des instructions antérieures, et chaque changement de coordonnées bancaires d’un fournisseur doit être vérifié par un canal indépendant, par exemple un appel vers un numéro connu, avant tout paiement.

La réaction pénale et conservatoire accompagne utilement la démarche civile sans s’y substituer. Le dépôt d’une plainte pour escroquerie documente la fraude et peut permettre d’identifier les titulaires des comptes de rebond, tandis que la conservation de l’intégralité des courriels avec leurs en-têtes techniques, des factures, des bons à payer et des avis d’exécution permet de reconstituer, virement par virement, la chaîne des instructions réellement données. Dans l’affaire jugée, la chronologie a joué un rôle décisif : courriel du 13 janvier avec la facture au vrai compte, message frauduleux transféré le 15 janvier, exécution le 20 janvier, puis nouvel ordre le 13 février avec la facture au vrai compte et exécution le 24 février. C’est cette chronologie précise, pièce par pièce, qui a permis à la Cour de distinguer le sort des deux virements. Les entreprises avisées conservent également la preuve de leurs demandes adressées à la banque, en particulier la demande de récupération des fonds et de communication des informations utiles au recours, prévue par l’article L. 133-21 du code monétaire et financier. Plus ces pièces sont complètes et ordonnées par virement, plus la discussion probatoire imposée par l’arrêt du 9 septembre 2026 tourne à l’avantage du payeur.

Deux précisions complètent le tableau. D’abord, la tentative de rouvrir le dossier par le devoir de vigilance a été rejetée pour le premier virement, mais cela ne signifie pas que la vigilance bancaire n’existe plus en toute hypothèse : cela signifie qu’elle ne peut pas être invoquée par la voie du droit commun quand le régime spécial de l’article L. 133-21 du code monétaire et financier s’applique, c’est-à-dire quand l’opération a été exécutée conformément à l’identifiant fourni par le client. Ensuite, l’hypothèse de l’opération que le client n’a jamais autorisée du tout, par exemple après captation de ses codes ou intervention d’un faux conseiller, obéit à d’autres textes que ceux du faux RIB, avec sa propre logique de remboursement et sa propre discussion sur le comportement du client ; les lecteurs concernés par ce cas distinct peuvent se reporter à l’analyse consacrée à la contestation d’une opération non autorisée et au remboursement par la banque. La distinction entre les deux situations conditionne toute la stratégie : payer soi-même sur un IBAN frauduleux ou subir une opération initiée par un tiers ne relève pas du même régime.

Conclusion

Le diptyque formé par les arrêts des 1er juillet et 9 septembre 2026 donne aux victimes de faux RIB une grille de lecture complète et sans illusion. Premier temps : le virement exécuté conformément à l’IBAN transmis par le client, même frauduleux, engage le régime exclusif de l’article L. 133-21 du code monétaire et financier, qui ferme la voie du droit commun et celle du devoir de vigilance, comme l’avaient déjà jugé la chambre commerciale le 24 janvier 2018 et la Cour de justice de l’Union européenne le 21 mars 2019. Second temps : chaque virement suivant s’apprécie séparément, et quand la facture jointe au dernier ordre désigne le compte véritable du créancier, c’est à la banque de produire l’ordre qui l’autorisait à payer ailleurs, en application des articles L. 133-6 et L. 133-7 du code monétaire et financier et de l’article 1353 du code civil. Pour les sociétés qui paient des chantiers et pour les particuliers qui font construire, la méthode qui découle de ces décisions tient en trois réflexes : vérifier tout changement de RIB par un canal indépendant avant de payer, libeller chaque ordre avec l’IBAN exact à créditer sans renvoi aux instructions précédentes, et conserver l’ensemble des ordres, factures et relevés d’exécution pour discuter chaque virement sur ses propres pièces. C’est sur ce terrain probatoire, virement par virement, que se gagne désormais le remboursement.