La Banque de France et l’ACPR ont publié le 27 avril 2026 une alerte qui change le niveau de risque pour les entreprises : les fraudeurs n’usurpent plus seulement un logo, une adresse email ou une signature. Ils peuvent utiliser l’intelligence artificielle pour fabriquer une vidéo, une voix ou un message imitant un dirigeant de la Banque de France, de l’ACPR, d’une banque, d’un groupe ou d’une entreprise cliente.
Pour un dirigeant, un DAF, un responsable comptable ou une PME, le sujet n’est donc plus seulement la fraude au président classique. La question urgente devient : que faire si un salarié a exécuté un virement après un message vocal, une visioconférence ou un email qui semblait venir du dirigeant, de la banque ou d’un partenaire connu ?
La demande Google confirme l’intérêt immédiat. Les requêtes « fraude au président », « fraude au président », « arnaque au président » et « arnaque président » atteignent chacune environ 880 recherches mensuelles en France, avec une concurrence faible. Les requêtes plus étroites comme « arnaque au faux président » ou « escroquerie au président » sont moins volumineuses, mais elles portent une intention forte : comprendre le risque, réagir vite, déposer plainte, demander un recall bancaire et savoir si la banque, l’assureur, le salarié ou un tiers peut être mis en cause.
Cet article relève du droit des affaires : virement frauduleux, responsabilité bancaire, preuve de l’ordre de paiement, assurance fraude, faute interne, plainte pénale, recouvrement et protection de la trésorerie de l’entreprise.
La réponse courte : il faut agir dans l’heure, puis qualifier juridiquement le virement
En cas de fraude au président ou de deepfake visant l’entreprise, la première urgence est bancaire. Il faut appeler la banque, demander immédiatement le blocage ou le retour des fonds, obtenir un écrit horodaté de la demande de recall et identifier le compte bénéficiaire si la banque peut communiquer les éléments nécessaires.
La deuxième urgence est probatoire. Il faut conserver les emails, enregistrements, liens, numéros appelants, captures d’écran, logs de connexion, échanges internes, ordres de virement, validation comptable, délégation de pouvoirs, plafonds bancaires et procédures de double signature. Une entreprise qui efface le message frauduleux ou qui ne documente pas l’heure de réaction affaiblit son dossier.
La troisième urgence est juridique. Il faut distinguer deux situations. Si le virement a été techniquement initié sans autorisation de l’entreprise, le régime des opérations de paiement non autorisées peut être discuté. L’article L. 133-18 du code monétaire et financier prévoit alors un principe de remboursement rapide par le prestataire de services de paiement, sous conditions. L’article L. 133-23 du code monétaire et financier impose à la banque de prouver notamment que l’opération a été authentifiée, enregistrée et comptabilisée, et que l’utilisateur a commis une fraude ou une négligence grave lorsqu’elle l’invoque.
Si, en revanche, le virement a été ordonné par une personne habilitée de l’entreprise, trompée par l’escroc, le dossier se déplace souvent vers l’obligation de vigilance de la banque, l’existence ou non d’anomalies apparentes, la faute interne éventuelle et l’escroquerie. Le raisonnement n’est pas automatique.
Deepfake et fraude au président : ce qui change en 2026
La fraude au président repose sur une pression simple : urgence, confidentialité, autorité. Le fraudeur se fait passer pour le dirigeant, un avocat, un expert-comptable, une banque, un client stratégique ou un supérieur hiérarchique. Il demande un virement inhabituel, souvent vers un compte étranger ou nouvellement indiqué.
Le deepfake renforce ce mécanisme. Un email douteux pouvait être relu. Une voix familière au téléphone peut convaincre plus vite. Une courte vidéo peut créer une illusion de présence. Une visioconférence avec une image altérée peut neutraliser les réflexes de contrôle, surtout si la demande arrive en fin de journée, pendant une absence du dirigeant ou lors d’une opération confidentielle.
Le piège est là. Beaucoup d’entreprises ont des procédures écrites de paiement, mais elles acceptent des exceptions lorsque le message paraît venir « du haut ». La fraude au président exploite moins une faiblesse informatique qu’une faille de gouvernance : la personne qui paie pense désobéir à la procédure pour obéir au dirigeant.
En 2026, la bonne procédure doit donc prévoir une règle claire : aucune voix, aucune vidéo, aucun message d’urgence, même crédible, ne suffit à valider un virement nouveau ou inhabituel. Le contrôle doit passer par un canal séparé, connu à l’avance, vers un numéro déjà enregistré, avec validation croisée.
Que faire dans les 24 premières heures après un virement frauduleux ?
La première démarche est d’alerter la banque par téléphone et par écrit. Le message doit indiquer le montant, la date, l’heure, l’IBAN bénéficiaire, le nom du bénéficiaire apparent, le motif, l’identifiant de l’opération et la raison de la contestation. Il faut demander explicitement le rappel des fonds, le blocage des opérations en cours et la conservation des traces.
La deuxième démarche est de sécuriser les accès. Si l’escroc a obtenu des identifiants, il faut modifier les mots de passe, révoquer les accès bancaires compromis, suspendre les bénéficiaires suspects, revoir les plafonds et vérifier les connexions récentes. Si le fraudeur n’a pas pénétré le système mais a manipulé un salarié, il faut tout de même contrôler la messagerie et les règles de transfert automatiques.
La troisième démarche est de déposer plainte. L’article 313-1 du code pénal définit l’escroquerie comme le fait de tromper une personne par un faux nom, une fausse qualité, l’abus d’une qualité vraie ou des manoeuvres frauduleuses pour la déterminer à remettre des fonds. La fraude au président et le deepfake entrent naturellement dans cette logique lorsqu’ils déterminent l’entreprise à payer.
La quatrième démarche est d’avertir l’assureur. Beaucoup de contrats multirisques professionnelles, cyber, fraude, responsabilité des dirigeants ou criminalité financière contiennent des délais de déclaration courts. Il faut relire les exclusions : absence de double signature, virement volontaire, faute intentionnelle, défaut de procédure interne, plafond par sinistre, franchise, sous-limite fraude informatique ou ingénierie sociale.
La cinquième démarche est d’organiser le dossier civil. Si le compte bénéficiaire est identifié, une action contre le bénéficiaire apparent peut être envisagée, notamment en restitution ou responsabilité sur le fondement de l’article 1240 du code civil lorsque les conditions sont réunies. Si la banque a exécuté des opérations affectées d’anomalies apparentes, sa responsabilité contractuelle peut aussi être discutée.
La banque doit-elle rembourser l’entreprise victime ?
Il n’existe pas de réponse unique. C’est souvent le point le plus mal compris.
Lorsque l’entreprise affirme qu’elle n’a jamais autorisé l’opération, il faut analyser les règles du code monétaire et financier sur les opérations non autorisées, l’authentification forte, la charge de la preuve et la négligence grave. L’article L. 133-19 du code monétaire et financier prévoit notamment les cas où le payeur supporte ou ne supporte pas les pertes liées à une opération non autorisée.
Mais la fraude au président présente souvent une difficulté différente : l’ordre est donné par un salarié ou mandataire habilité, qui croit agir sur instruction du dirigeant. Dans ce cas, les juges recherchent si la banque devait détecter une anomalie apparente. Le montant était-il inhabituel ? Le compte bénéficiaire était-il nouveau ? Le pays de destination était-il atypique ? Le rythme des virements était-il anormal ? Le motif était-il incohérent ? La banque avait-elle été alertée ? Les plafonds habituels étaient-ils respectés ?
La Cour de cassation a rappelé, dans un arrêt du 12 juin 2025 relatif à une fraude au président, que l’absence d’anomalies apparentes peut conduire à écarter la responsabilité de la banque lorsque les virements restent dans les plafonds convenus, sont couverts par le solde et partent vers une banque agréée dans l’Union européenne. La décision est accessible sur le site de la Cour de cassation : Com. 12 juin 2025, n° 24-10.168.
À l’inverse, d’autres décisions retiennent la responsabilité de la banque lorsque les virements cumulent des signaux inhabituels : montants élevés, comptes étrangers nouveaux, opérations concentrées sur une courte période, rupture avec l’historique du client, absence d’appel de confirmation malgré une opération manifestement atypique. C’est pourquoi le dossier doit être reconstitué à partir des faits bancaires, pas seulement à partir du sentiment d’injustice.
Quelle responsabilité interne pour le salarié ou le dirigeant ?
La tentation est forte de chercher immédiatement un responsable interne. Elle doit être maniée avec prudence.
Un salarié trompé par une fraude sophistiquée n’est pas nécessairement fautif. Il faut vérifier son niveau d’habilitation, les consignes reçues, la formation donnée, les procédures applicables, l’existence d’une double validation, les pressions exercées par le fraudeur, les indices visibles et la réaction après découverte de la fraude.
Pour le dirigeant, l’enjeu est souvent celui de la gouvernance. Si aucune procédure de paiement n’existe, si un seul collaborateur peut créer un bénéficiaire et déclencher un virement élevé, si les plafonds sont trop larges, si les absences du dirigeant ne sont pas organisées, ou si l’entreprise a déjà été alertée sur des tentatives de fraude sans réagir, l’assureur ou un associé peut discuter la gestion du risque.
La bonne question n’est donc pas seulement « qui a cliqué ? ». La bonne question est : l’entreprise avait-elle un circuit de paiement compatible avec le risque réel de fraude en 2026 ?
Les pièces à réunir pour contester, négocier ou assigner
Un dossier exploitable comprend au minimum les pièces suivantes :
- les ordres de virement et confirmations bancaires ;
- les échanges avec la banque, avec dates et heures ;
- la demande de recall et la réponse bancaire ;
- les emails, messages, liens, captures, numéros et fichiers utilisés par le fraudeur ;
- les délégations de signature et habilitations bancaires ;
- l’historique habituel des virements avant la fraude ;
- les plafonds de paiement et conditions de banque à distance ;
- les procédures internes de création de bénéficiaire et de double validation ;
- la plainte et les récépissés ;
- le contrat d’assurance et la déclaration de sinistre ;
- les éléments comptables montrant le préjudice de trésorerie.
Sans ces pièces, la discussion reste générale. Avec ces pièces, l’entreprise peut formuler une demande structurée : remboursement, partage de responsabilité, indemnisation assurantielle, action contre un bénéficiaire, mesure conservatoire ou transaction.
Paris et Île-de-France : quel réflexe pour une entreprise victime ?
À Paris et en Île-de-France, beaucoup de fraudes touchent des sociétés de services, cabinets, commerces, groupes familiaux, start-up, holdings ou PME qui gèrent des flux rapides. La réaction doit être centralisée. Le dirigeant doit désigner une personne chargée de parler à la banque, une autre chargée de rassembler les preuves, et une troisième chargée de bloquer les accès techniques si nécessaire.
Si une procédure judiciaire devient nécessaire, le choix dépendra du défendeur, du contrat bancaire, du siège social, des clauses de compétence, du montant et de la nature de l’action. Le tribunal des activités économiques de Paris peut être concerné pour certains litiges commerciaux. Une plainte pénale peut également être déposée rapidement, sans attendre la réponse définitive de la banque ou de l’assureur.
L’erreur serait d’attendre plusieurs semaines pour « voir si l’argent revient ». Dans une fraude au virement, le temps joue contre l’entreprise. Les fonds peuvent transiter très vite. Les preuves techniques peuvent disparaître. Les assureurs peuvent opposer un retard de déclaration. La banque peut considérer que le signalement n’a pas été assez précis.
Prévenir la prochaine fraude : la procédure minimale à adopter
La prévention doit être écrite, courte et opposable. Elle doit prévoir cinq règles.
Première règle : aucun nouveau RIB fournisseur, client, associé ou partenaire n’est validé sans confirmation par un canal séparé. L’appel doit se faire vers un numéro déjà connu, pas vers le numéro indiqué dans le message suspect.
Deuxième règle : aucun virement exceptionnel n’est exécuté sur la seule instruction d’un dirigeant, même par téléphone, message vocal ou visioconférence. Le deepfake impose de dissocier l’apparence de la preuve.
Troisième règle : la création d’un bénéficiaire et l’exécution du virement doivent être séparées lorsque le montant dépasse un seuil fixé à l’avance.
Quatrième règle : les absences du dirigeant, du DAF ou du comptable doivent être anticipées. Les fraudeurs ciblent souvent les moments où la chaîne de validation est désorganisée.
Cinquième règle : chaque tentative de fraude doit être archivée. Un message suspect, même sans paiement, peut devenir utile pour démontrer un mode opératoire, former l’équipe et adapter les plafonds.
La fraude au président par deepfake n’est pas seulement un sujet de cybersécurité. C’est un sujet de contrats bancaires, de preuve, d’assurance et de gouvernance d’entreprise. La société qui réagit vite, documente tout et qualifie correctement le virement garde des leviers. Celle qui traite l’incident comme une simple erreur comptable les perd souvent.
Besoin d’un avis rapide sur votre dossier
Consultation téléphonique en 48 heures avec un avocat du cabinet.
Analyse du virement, de la réponse bancaire, de l’assurance et des recours utiles.
Appelez le cabinet au 06 46 60 58 22 ou utilisez le formulaire de contact.
À Paris et en Île-de-France, nous pouvons vous aider à structurer les premières démarches et le dossier de preuve.