Faux RIB et responsabilité bancaire : la chambre commerciale redessine les frontières de l’obligation de vigilance
La réception d’un relevé d’identité bancaire falsifié constitue, pour toute entreprise, une menace dont la réalisation peut obérer sa trésorerie en quelques heures. Les escroqueries au faux RIB, par lesquelles un tiers malveillant intercepte les échanges entre un créancier et son débiteur pour substituer ses propres coordonnées bancaires à celles du véritable bénéficiaire, ont connu une progression exponentielle depuis la généralisation du télétravail et la dématérialisation des échanges commerciaux. Face à ces agissements, la victime se tourne naturellement vers l’établissement bancaire qui a exécuté l’ordre de virement, en invoquant un manquement à son obligation de vigilance. La chambre commerciale de la Cour de cassation a rendu, au cours du premier semestre 2026, une série d’arrêts qui redessinent en profondeur le périmètre de cette obligation et l’articulation entre les régimes de responsabilité applicables au prestataire de services de paiement, opposant notamment l’arrêt du 4 mars 2026 publié au Bulletin sur le faux RIB grossier à celui, rendu le même jour, qui ferme la voie de l’indemnisation fondée sur les obligations de lutte contre le blanchiment. L’analyse de cette construction prétorienne révèle un double mouvement : d’une part, un cantonnement rigoureux des obligations extra-contractuelles de la banque, dont le périmètre se trouve strictement borné par la finalité des dispositifs légaux qui les instituent ; d’autre part, une résurgence maîtrisée du droit commun de la responsabilité contractuelle lorsque le prestataire ne s’est pas borné à exécuter l’ordre de paiement mais en a lui-même rédigé les termes. Ces deux lignes de force permettent désormais de tracer une frontière lisible entre les hypothèses dans lesquelles la banque engage sa responsabilité et celles où le risque de la fraude au faux RIB demeure à la charge exclusive de l’entreprise.
I. Le double cantonnement des obligations extra-contractuelles de la banque
A. L’imperméabilité du régime LCB-FT à l’action en responsabilité de la victime
Le dispositif de lutte contre le blanchiment de capitaux et le financement du terrorisme impose aux organismes financiers une obligation de vigilance à l’égard de leur clientèle, codifiée aux articles L. 561-4-1 à L. 561-14-2 du code monétaire et financier. Les victimes d’escroqueries au faux RIB ont fréquemment tenté de mobiliser ce corpus normatif pour établir la responsabilité de leur banque, en soutenant que l’établissement aurait dû détecter le caractère suspect de l’opération litigieuse et, partant, s’abstenir d’exécuter le virement. La chambre commerciale a fermement écarté cette argumentation dans un arrêt du 4 mars 2026, publié au Bulletin, qui revêt une portée considérable pour la pratique du contentieux bancaire. La Cour y énonce que « l’obligation de vigilance à l’égard de la clientèle imposée aux organismes financiers en application des articles L. 561-4-1 à L. 561-14-2 du code monétaire et financier a pour seule finalité la lutte contre le blanchiment de capitaux et le financement du terrorisme » et en déduit qu’« en conséquence la victime d’agissements frauduleux ne peut se prévaloir de leur inobservation pour réclamer des dommages et intérêts à l’organisme financier » (Com. 4 mars 2026, n° 24-19.588, Publié Bulletin). Cette solution, rendue en formation de section, consacre une distinction radicale entre la finalité institutionnelle de la réglementation LCB-FT, qui relève de la préservation de l’ordre public économique et financier, et la protection des intérêts individuels des clients des établissements bancaires. En d’autres termes, le non-respect par la banque de ses obligations de vigilance à l’égard de sa clientèle, si grave soit-il, ne saurait être invoqué par le client victime d’une fraude pour obtenir réparation de son préjudice individuel. La Cour de cassation a, dans cette même décision, renforcé le contrôle de la négligence grave du payeur en censurant une décision de première instance qui avait exonéré le client au motif que celui-ci avait été contacté par un numéro correspondant au numéro officiel de son agence, sans rechercher si, à réception du message de confirmation adressé par la banque mentionnant que les opérations litigieuses constituaient des opérations de validation de paiement et non d’annulation, ce client n’était pas en mesure de suspecter leur caractère frauduleux.
Par ailleurs, la chambre commerciale a également précisé, dans un arrêt du 20 mai 2026, les contours de l’exclusivité du régime spécial des opérations de paiement par rapport au droit commun de la responsabilité contractuelle. Statuant au visa des articles 1231-1 du code civil, L. 133-5 et L. 133-21 du code monétaire et financier, la Cour a rappelé que « la responsabilité contractuelle de droit commun résultant du premier de ces textes n’est pas applicable en présence d’un régime de responsabilité exclusif », se référant expressément à la jurisprudence Beobank de la Cour de justice de l’Union européenne du 16 mars 2023 (C-351/21) qui interprète les articles 58, 59 et 60 de la directive 2015/2366 sur les services de paiement (Com. 20 mai 2026, n° 25-14.005). Cette construction, qui fait application directe de la jurisprudence européenne, consolide l’édifice d’un régime de responsabilité harmonisé au sein de l’Union et exclut, par principe, le cumul des fondements de responsabilité pour un même fait générateur. Il en résulte que lorsqu’une opération de paiement a été exécutée conformément à l’identifiant unique fourni par l’utilisateur, le prestataire de services de paiement ne peut voir sa responsabilité engagée sur le fondement de l’article 1231-1 du code civil, alors même qu’un manquement à un devoir général de prudence pourrait être invoqué par la victime.
B. Le principe d’exclusivité du régime des opérations de paiement non autorisées
La directive européenne 2015/2366 du 25 novembre 2015, transposée aux articles L. 133-6 et suivants du code monétaire et financier, a institué un régime complet et harmonisé de responsabilité du prestataire de services de paiement en cas d’opération non autorisée ou mal exécutée. La chambre commerciale en a tiré les conséquences les plus rigoureuses dans un arrêt du 4 février 2026, par lequel elle énonce qu’« il résulte de la combinaison de ces textes qu’en cas d’opération de paiement non autorisée, seul s’applique le régime de responsabilité du prestataire de services de paiement prévu par le code monétaire et financier, exclusif du droit commun de la responsabilité contractuelle » (Com. 4 févr. 2026, n° 24-22.320). Cette solution, qui confirme une jurisprudence désormais constante, prohibe tout cumul ou toute articulation entre le régime spécial du code monétaire et financier et le droit commun de la responsabilité contractuelle. La Cour de justice de l’Union européenne avait déjà posé les prémisses de cette exclusivité dans son arrêt du 2 septembre 2021, en énonçant que « le régime harmonisé de responsabilité pour les opérations non autorisées ou mal exécutées établi par la directive ne saurait être concurrencé par un régime alternatif de responsabilité prévu par le droit national reposant sur les mêmes faits et le même fondement qu’à condition de ne pas porter préjudice au régime ainsi harmonisé et de ne pas porter atteinte aux objectifs et à l’effet utile de cette directive » (CJUE 2 sept. 2021, CRCAM, C-337/20).
Cette exclusivité emporte des conséquences pratiques déterminantes pour l’entreprise victime d’une escroquerie au faux RIB. Dès lors que l’ordre de virement a été exécuté conformément à l’identifiant unique fourni par l’utilisateur, la responsabilité de la banque ne peut être recherchée que dans le cadre du régime spécial institué par le code monétaire et financier, lequel prévoit une cause d’exonération au bénéfice du prestataire lorsque le payeur a commis une négligence grave dans la préservation de ses données de sécurité personnalisées. À cet égard, l’arrêt du 4 mars 2026 sur le volet LCB-FT de l’affaire offre une illustration saisissante de la rigueur du contrôle exercé par la Cour de cassation sur l’appréciation de cette négligence grave. La Cour y censure le jugement qui s’était borné à considérer que le client, contacté par un interlocuteur utilisant le numéro officiel de son agence bancaire, n’avait pas commis de négligence, sans rechercher si les messages de confirmation adressés par la banque elle-même n’auraient pas dû alerter le client sur le caractère frauduleux des opérations. Cette exigence accrue dans l’appréciation de la négligence grave du payeur traduit une volonté de la chambre commerciale de responsabiliser l’utilisateur du service de paiement, y compris dans des circonstances où la sophistication de la fraude est particulièrement élevée.
II. La résurgence maîtrisée du droit commun dans la rédaction des ordres de paiement
A. La distinction cardinale entre exécution et rédaction de l’ordre
Si le principe d’exclusivité du régime spécial des opérations de paiement limite considérablement les possibilités d’engager la responsabilité de la banque sur le fondement du droit commun, la chambre commerciale a néanmoins préservé une voie d’indemnisation lorsque le prestataire ne s’est pas borné à exécuter l’ordre de paiement mais en a lui-même rédigé les termes. L’arrêt du 4 mars 2026, également publié au Bulletin, consacre cette distinction fondamentale dont la portée pratique est considérable. La Cour y énonce que « si la responsabilité contractuelle de droit commun fondée sur l’article 1231-1 du code civil n’est pas applicable à l’exécution par le prestataire de services de paiement d’un ordre de paiement conformément à l’identifiant unique fourni par l’utilisateur, tel n’est pas le cas lorsque le prestataire de services de paiement ne s’est pas borné à exécuter l’ordre de paiement » (Com. 4 mars 2026, n° 25-11.959, Publié Bulletin). En l’espèce, la banque avait elle-même établi l’ordre de virement en y insérant un RIB fourni par le notaire des acquéreurs, avant de le soumettre à la signature des clients. Ce RIB, qui comportait des incohérences manifestes, n’avait pas été vérifié par le professionnel bancaire, pourtant rompu à l’examen des coordonnées bancaires. La cour d’appel d’Amiens, dont l’arrêt a été confirmé, avait retenu que les incohérences figurant sur l’ordre de paiement « ne pouvaient laisser aucun doute, pour un professionnel normalement diligent, sur le fait que l’identifiant était un faux grossier ».
Cette solution opère une distinction subtile mais essentielle entre deux séquences temporelles et fonctionnelles distinctes. La première, qui relève de l’exécution de l’ordre, est régie par le régime exclusif du code monétaire et financier : la banque qui se borne à traiter un ordre de virement émis par son client n’engage pas sa responsabilité de droit commun, quand bien même elle aurait pu détecter une anomalie dans l’IBAN du bénéficiaire. La seconde, qui relève de la rédaction même de l’ordre, échappe à ce régime exclusif et réintègre le giron du droit commun de la responsabilité contractuelle. Dès lors que la banque a elle-même confectionné le support de l’ordre de paiement en y portant les coordonnées bancaires du bénéficiaire désigné par son client, elle endosse une obligation de vigilance dont le fondement se trouve dans le contrat de prestation de services bancaires et non dans le seul code monétaire et financier. Cette distinction trouve un écho dans la jurisprudence antérieure de la chambre commerciale relative au devoir de non-immixtion du banquier, dont les contours se trouvent ici précisés : le banquier ne saurait s’immiscer dans les affaires de son client en vérifiant systématiquement chaque RIB qui lui est transmis, mais lorsqu’il accepte de rédiger lui-même l’ordre de virement, il assume corrélativement une obligation de vigilance renforcée.
L’arrêt du 4 mars 2026 sur le faux RIB s’inscrit ainsi dans une architecture jurisprudentielle cohérente qui articule, sans les confondre, le régime spécial des opérations de paiement et le droit commun de la responsabilité contractuelle. La Cour de cassation prend soin de rattacher expressément sa solution à la jurisprudence de la Cour de justice de l’Union européenne, en rappelant que, selon l’arrêt CRCAM du 2 septembre 2021, le régime alternatif de responsabilité prévu par le droit national ne saurait porter préjudice au régime harmonisé institué par la directive de 2015. Dès lors, les juridictions du fond sont tenues de vérifier, lorsqu’elles sont saisies d’une action en responsabilité contre un prestataire de services de paiement, si le fondement invoqué relève du régime spécial du code monétaire et financier ou du droit commun de la responsabilité contractuelle, cette qualification déterminant le régime probatoire applicable et les causes d’exonération invocables par l’établissement bancaire.
Ce cadre jurisprudentiel doit être rapproché de la jurisprudence de la Cour de cassation relative à l’obligation de vigilance dans l’exécution des ordres de paiement présentant des anomalies apparentes. La cour d’appel de Versailles, dans un arrêt du 9 septembre 2025, a ainsi écarté la responsabilité de la banque Boursorama dans l’exécution d’un virement de 138 900 euros vers un compte espagnol, en retenant que ce virement, bien que d’un montant exceptionnel, ne présentait aucune anomalie apparente de nature à éveiller les soupçons d’un professionnel normalement diligent, le client ayant lui-même initié l’opération en fournissant l’IBAN du bénéficiaire (CA Versailles, 9 sept. 2025, n° 24/05458). Par ailleurs, l’article 1231-1 du code civil, fondement du droit commun de la responsabilité contractuelle, dispose que le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure. Cette disposition constitue le socle sur lequel la chambre commerciale a construit, dans son arrêt du 4 mars 2026, la responsabilité de la banque qui a elle-même rédigé l’ordre de virement sans déceler les incohérences manifestes du RIB.
Une autre illustration de la rigueur avec laquelle les juridictions apprécient la responsabilité des prestataires de services de paiement est fournie par l’arrêt de la cour d’appel de Montpellier du 11 mars 2025, qui a écarté la responsabilité de la Caisse régionale de Crédit agricole dans l’exécution d’un virement de 12 500 euros effectué via la plateforme Le Bon Coin pour l’achat d’une motocyclette qui s’est révélé frauduleux. La cour a considéré que la banque, qui avait exécuté l’ordre de virement conformément aux instructions de son client, n’avait commis aucun manquement à son obligation de vigilance, le service des fraudes de la banque ayant d’ailleurs alerté le client dès le lendemain de l’opération (CA Montpellier, 11 mars 2025, n° 23/05568). Ces décisions des juridictions du fond confirment que le curseur de la responsabilité bancaire est désormais placé au niveau de la rédaction de l’ordre de paiement, et non de sa simple exécution.
L’article L. 133-19 du code monétaire et financier dispose que le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées s’il n’a pas satisfait intentionnellement ou par négligence grave à l’obligation de préserver la sécurité de ses données de sécurité personnalisées et d’utiliser l’instrument de paiement conformément aux conditions régissant son utilisation. L’article L. 133-21 du même code précise qu’un ordre de paiement exécuté conformément à l’identifiant unique fourni par l’utilisateur est réputé dûment exécuté pour ce qui concerne le bénéficiaire désigné par cet identifiant, le prestataire n’étant pas responsable de la mauvaise exécution si l’identifiant unique fourni est inexact. La chambre commerciale, dans son arrêt du 4 mars 2026, a précisément articulé ces dispositions avec l’article 1231-1 du code civil, en retenant que si ce dernier texte est écarté lorsque le prestataire exécute l’ordre conformément à l’identifiant unique, il retrouve son empire lorsque le prestataire a lui-même rédigé cet ordre et y a inséré un identifiant manifestement incohérent.
Or, précisément, l’hypothèse dans laquelle le prestataire de services de paiement a lui-même rédigé l’ordre échappe au champ d’application de ce régime harmonisé, dès lors qu’elle ne constitue pas une simple exécution d’un ordre de paiement mais un acte préparatoire à cette exécution, régi par le droit commun des obligations.
B. Les conséquences pratiques pour l’entreprise confrontée à une fraude au virement
La construction prétorienne dégagée par la chambre commerciale au premier semestre 2026 emporte des conséquences pratiques immédiates pour les entreprises et leurs conseils. En premier lieu, elle impose une analyse rigoureuse de la chronologie et des modalités de l’ordre de virement frauduleux. Si l’ordre a été émis par l’entreprise elle-même, en utilisant un RIB qui lui avait été communiqué par un tiers malveillant, la responsabilité de la banque sera, sauf circonstances exceptionnelles, régie par le seul régime spécial du code monétaire et financier. À ce titre, l’entreprise devra démontrer qu’elle n’a commis aucune négligence grave dans la préservation de ses données de sécurité et dans la vérification des coordonnées bancaires qui lui ont été transmises. En deuxième lieu, si l’ordre de virement a été rédigé par la banque elle-même, à la demande de l’entreprise cliente, et que le RIB inséré par la banque comportait des anomalies apparentes, l’entreprise pourra rechercher la responsabilité de l’établissement sur le fondement du droit commun de la responsabilité contractuelle, en invoquant un manquement à son obligation de vigilance dans la rédaction de l’acte.
Cette articulation entre régime spécial et droit commun trouve une illustration supplémentaire dans la jurisprudence des cours d’appel rendue au cours des derniers mois. La cour d’appel de Versailles, dans un arrêt du 19 mai 2026, a ainsi eu à connaître du cas d’un client de Boursorama qui avait effectué un virement de 29 500 euros sur le compte d’un tiers en paiement d’un acompte pour un véhicule d’occasion, avant de constater qu’il avait été victime d’une escroquerie. La cour a infirmé le jugement de première instance qui avait retenu la responsabilité de la banque pour manquement à ses obligations de vigilance LCB-FT, en faisant application de la distinction entre la finalité de ces obligations et les intérêts individuels du client, conformément à la solution dégagée par la chambre commerciale le 4 mars 2026 (CA Versailles, 19 mai 2026, n° 25/02628). De même, la cour d’appel de Rouen, dans un arrêt du 22 janvier 2026, a confirmé le rejet de l’action en responsabilité d’un client âgé de 79 ans qui avait effectué huit virements pour un montant total de 170 068 euros vers des comptes étrangers, en retenant que la banque n’avait pas à s’immiscer dans les affaires de son client, même face à des opérations d’un montant inhabituel au regard des revenus de ce dernier (CA Rouen, 22 janv. 2026, n° 25/00994).
En troisième lieu, la tentative d’invoquer un manquement de la banque à ses obligations de vigilance au titre de la lutte contre le blanchiment est désormais formellement condamnée par la Cour de cassation. Cette voie, qui avait prospéré devant certaines juridictions du fond, se trouve définitivement fermée par l’arrêt de section du 4 mars 2026, qui rappelle que ces obligations ont pour seule finalité la préservation de l’ordre public financier et non la protection des intérêts individuels des clients. En quatrième lieu, l’entreprise victime d’une fraude au virement devra porter une attention particulière aux messages de confirmation et d’alerte que lui adresse sa banque lors de l’exécution des opérations de paiement. La négligence grave du payeur s’apprécie désormais de manière plus exigeante, et la Cour de cassation n’hésite pas à censurer les décisions qui omettent de rechercher si les messages adressés par la banque elle-même n’auraient pas dû alerter le client sur le caractère suspect des opérations litigieuses.
En cinquième lieu, l’entreprise confrontée à une escroquerie au faux RIB ne saurait négliger les voies de recours extra-contractuelles à l’encontre de l’auteur de la fraude et des éventuels intermédiaires dont les comptes ont servi à recevoir les fonds détournés. Si l’identification de l’auteur de la fraude est souvent malaisée, en raison de l’usage de comptes ouverts sous de fausses identités ou auprès d’établissements situés dans des juridictions peu coopératives, le titulaire du compte bénéficiaire du virement frauduleux peut, dans certains cas, voir sa responsabilité engagée sur le fondement de la répétition de l’indu ou de l’enrichissement sans cause. La chambre commerciale a, par ailleurs, rappelé dans un arrêt du 4 mars 2026 relatif au droit de rétention dans les procédures collectives, que le juge-commissaire ne peut statuer sur le droit de rétention du créancier, cette question relevant de la compétence exclusive du juge du fond, ce qui illustre la complexité des recours lorsque le bénéficiaire du virement frauduleux fait l’objet d’une procédure collective.
En dernier lieu, la prévention demeure l’arme la plus efficace contre les escroqueries au faux RIB. La mise en place de procédures internes de vérification systématique des coordonnées bancaires avant tout virement significatif, la confirmation téléphonique des RIB auprès d’un interlocuteur connu et identifié de manière indépendante, et la sensibilisation des collaborateurs aux techniques d’ingénierie sociale constituent des mesures dont l’efficacité, sans être absolue, réduit considérablement le risque de fraude. La jurisprudence de la chambre commerciale au premier semestre 2026, en cantonnant strictement les obligations de la banque tout en préservant une voie d’indemnisation lorsque celle-ci a elle-même rédigé l’ordre de virement, invite les entreprises à une vigilance renforcée dans la gestion de leurs flux de paiement.
Conclusion
La chambre commerciale de la Cour de cassation a, par les arrêts rendus au cours du premier semestre 2026, substantiellement clarifié le régime de responsabilité applicable aux prestataires de services de paiement confrontés à une escroquerie au faux RIB. D’une part, elle a fermement cantonné les obligations extra-contractuelles de la banque en écartant l’invocabilité des obligations de vigilance LCB-FT par la victime et en réaffirmant l’exclusivité du régime spécial des opérations de paiement par rapport au droit commun de la responsabilité contractuelle. D’autre part, elle a préservé une voie d’indemnisation fondée sur l’article 1231-1 du code civil lorsque le prestataire ne s’est pas borné à exécuter l’ordre mais en a lui-même rédigé les termes, opérant ainsi une distinction fonctionnelle entre l’exécution et la confection de l’ordre de paiement. Cette architecture jurisprudentielle, qui s’inscrit dans le cadre harmonisé de la directive européenne sur les services de paiement, offre désormais une grille de lecture lisible pour l’entreprise confrontée à une fraude au virement, tout en l’invitant à ne pas relâcher sa propre vigilance dans la sécurisation de ses flux financiers.
Pour toute question relative à une escroquerie au faux RIB ou à un litige bancaire, vous pouvez contacter le cabinet. Appeler maintenant ou Écrire au cabinet.
Transmettez les pièces de votre dossier au cabinet. Maître Reda KOHEN vous répond personnellement sous 24 heures avec une première analyse stratégique.