Fraude au virement et faux RIB : quand l’entreprise trompée doit payer deux fois (Cour de cassation, 17 juin 2026)
Un fournisseur réclame le règlement d’une facture. Le débiteur reçoit, par courriel, cette facture accompagnée d’un relevé d’identité bancaire. Il vire la somme due. Quelques semaines plus tard, le véritable créancier réclame son paiement : le compte crédité était celui d’un escroc, qui avait usurpé l’adresse électronique du fournisseur. La question est alors brutale. Le débiteur, qui croyait régler sa dette, doit-il payer une seconde fois ?
Par un arrêt rendu en formation plénière de chambre le 17 juin 2026, publié au Bulletin et au Rapport, la chambre commerciale de la Cour de cassation répond clairement : oui, le paiement détourné vers un escroc qui s’est fait passer pour le créancier n’est pas libératoire (Cass. com., 17 juin 2026, n° 24-13.306, FP-B+R). La décision frappe parce qu’elle déplace le risque de l’arnaque au faux RIB sur celui qui a été trompé, et non sur celui dont l’identité a été usurpée. Elle ravive un adage que les juridictions du fond rappellent régulièrement : qui paye mal, paye deux fois.
L’enjeu n’est pas théorique. La fraude au changement de coordonnées bancaires et la fraude dite « au président » figurent parmi les escroqueries les plus répandues contre les entreprises. Elles reposent sur un schéma simple : un tiers s’insère dans une relation commerciale réelle, imite le créancier ou le dirigeant, et oriente un virement vers un compte qu’il contrôle. Lorsque les fonds sont partis, deux questions se posent en cascade : le débiteur est-il libéré de sa dette envers son créancier, et peut-il se retourner contre sa banque ? L’arrêt du 17 juin 2026, lu avec la jurisprudence récente de la chambre commerciale sur la responsabilité du banquier, dessine une exposition redoutable pour l’entreprise victime. Cet article en restitue l’architecture et en tire les conséquences pratiques.
I. Le paiement détourné vers un escroc n’est pas libératoire
A. La règle du créancier apparent et la limite posée le 17 juin 2026
Le point de départ est le principe de l’effet libératoire du paiement. Le paiement doit être fait au bon destinataire. L’article 1342-2 du code civil dispose que « le paiement doit être fait au créancier ou à la personne désignée pour le recevoir » (Legifrance). Le paiement adressé à une personne qui n’avait pas qualité pour le recevoir n’éteint pas la dette, sauf ratification ou profit du créancier. Le débiteur qui vire les fonds sur le compte d’un escroc n’a, en principe, pas payé son créancier.
Le code civil tempère cette rigueur par la théorie de l’apparence. L’article 1342-3 du code civil énonce que « le paiement fait de bonne foi à un créancier apparent est valable » (Legifrance). Ce texte protège le solvens qui, de bonne foi, règle entre les mains d’une personne qui présente toutes les apparences du créancier. Restait à savoir si l’escroc qui usurpe l’identité du créancier peut être qualifié de créancier apparent. C’est sur ce terrain que l’arrêt du 17 juin 2026 tranche.
Les faits relevaient d’un schéma désormais classique. Une société venderesse avait conclu une vente, par l’intermédiaire d’une société établie à l’étranger. Un courriel provenant d’une adresse électronique « ne différant que d’une lettre » de l’adresse véritable du créancier a transmis une facture et un relevé d’identité bancaire. La société débitrice a viré la somme sur le compte ainsi désigné, qui s’est révélé être « celui d’un escroc ». La cour d’appel avait jugé le paiement libératoire, retenant que la débitrice « a pu légitimement croire qu’elle avait affaire à son créancier ».
La Cour de cassation casse cet arrêt au visa de l’article 1342-3 du code civil. Sa motivation est lapidaire et porte une règle nouvelle de principe : « N’est pas créancier apparent, au sens de ce texte, le tiers qui usurpe l’identité du créancier. » La Cour en déduit que la débitrice, qui « savait que son créancier était » la société venderesse, « n’avait pas payé la somme due à un créancier apparent, mais à une personne se faisant passer frauduleusement » pour ce créancier, de sorte que la cour d’appel a violé le texte « par fausse application » (Cass. com., 17 juin 2026, n° 24-13.306).
La distinction est subtile mais décisive. Le créancier apparent est celui qui se présente comme un créancier alors qu’il ne l’est pas, mais sans dissimuler son identité réelle, par exemple l’héritier apparent ou le cessionnaire dont la cession est ensuite annulée. L’escroc, lui, ne se présente pas sous sa propre identité : il emprunte celle d’un créancier connu et déterminé. Le débiteur ne se trompe pas sur la qualité de créancier d’une personne identifiée ; il est trompé sur l’identité même de la personne payée. Dans ce dernier cas, l’apparence protectrice de l’article 1342-3 ne joue pas. Le débiteur reste tenu envers le véritable créancier.
La charge de la preuve accentue le risque. Le paiement se prouve par tout moyen, selon l’article 1342-8 du code civil (Legifrance), mais c’est au débiteur qui se prétend libéré qu’il appartient d’établir un paiement libératoire. La Cour de cassation veille à la juste application de ce texte (Cass. 1re civ., 15 mai 2024, n° 22-23.642 ; Cass. 2e civ., 7 juillet 2022, n° 19-25.060). Or, après l’arrêt du 17 juin 2026, la preuve d’un virement exécuté sur le compte d’un escroc ne suffit plus à démontrer la libération : elle prouve un paiement, non un paiement au créancier.
B. La frontière mouvante entre l’erreur excusable et la négligence du débiteur
L’arrêt du 17 juin 2026 ne signifie pas que tout paiement adressé à un escroc soit, en toute hypothèse, dépourvu d’effet libératoire pour une autre raison. Il statue sur un point précis : l’usurpateur n’est pas un créancier apparent. La question de la bonne foi et de la diligence du débiteur conserve sa place dans le raisonnement des juges du fond, notamment lorsque le débiteur invoque malgré tout l’apparence ou conteste sa propre faute.
Les juridictions du fond avaient développé, avant cet arrêt, une analyse nuancée. Certaines retenaient l’effet libératoire lorsque la fraude était indécelable. Ainsi, un tribunal a pu juger qu’« en cas de fraude qui n’est pas évidente, notamment quand les documents adressés aux fins de paiement ont une apparence d’authenticité, ne comportent pas d’anomalie aisément décelable », le paiement de bonne foi « est considéré comme fait auprès d’un créancier apparent » et libère le débiteur, en rappelant l’adage « qui paye mal, paye deux fois » (TJ Paris, 14 janvier 2025, n° 24/03208). À l’inverse, d’autres décisions sanctionnent le débiteur négligent. Une cour d’appel a jugé qu’un professionnel qui n’avait pas réagi à des indices d’anomalie « a commis une négligence fautive, devant conduire à dire qu'[il] n’a pas de bonne foi payé à un créancier apparent », et l’a condamné à régler une seconde fois la somme litigieuse (CA Limoges, 6 février 2025, n° 24/00169).
La diligence attendue est plus exigeante du professionnel. Un tribunal a retenu la négligence d’une société qui n’avait « pas vérifié la concordance entre le code BIC et le numéro IBAN figurant sur le RIB frauduleux », et qui, « agissant en qualité de professionnelle, et sans avoir utilisé les garanties requises en matière de virement, a commis une négligence de nature à écarter sa bonne foi » (TJ Dax, 2 juillet 2025, n° 24/00003). Le changement de coordonnées bancaires en cours de relation, l’envoi d’un RIB par un courriel isolé, la domiciliation du compte à l’étranger ou l’urgence artificielle constituent autant d’indices qui pèsent dans l’appréciation.
L’apport du 17 juin 2026 modifie toutefois la perspective. Là où le débat portait jusqu’ici sur la bonne foi et l’apparence, l’arrêt déplace la difficulté en amont : dès lors que l’identité du créancier a été usurpée, le terrain de l’article 1342-3 est fermé, et le débiteur ne peut plus se prévaloir de sa croyance légitime pour soutenir qu’il a payé un créancier apparent. La sécurité que les juridictions du fond accordaient au débiteur de bonne foi face à une fraude indécelable s’en trouve fragilisée. La conséquence pratique est lourde : l’entreprise trompée demeure débitrice et devra, le cas échéant, régler une seconde fois, à charge pour elle d’agir contre l’escroc, souvent insolvable ou introuvable.
II. Le recours contre la banque, une voie étroite verrouillée par le code monétaire et financier
A. Le régime exclusif des articles L. 133-18 à L. 133-24 et l’éviction du droit commun
Privée d’effet libératoire et tenue envers son créancier, l’entreprise victime se tourne naturellement vers sa banque, à laquelle elle reproche d’avoir exécuté le virement litigieux. Sur ce second front, la jurisprudence récente de la chambre commerciale referme largement la porte.
La pierre angulaire est l’article L. 133-21 du code monétaire et financier, qui transpose la directive (UE) 2015/2366 du 25 novembre 2015. Selon ce texte, « un ordre de paiement exécuté conformément à l’identifiant unique fourni par l’utilisateur du service de paiement est réputé dûment exécuté pour ce qui concerne le bénéficiaire désigné par l’identifiant unique » et, « si l’identifiant unique fourni par l’utilisateur du service de paiement est inexact, le prestataire de services de paiement n’est pas responsable de la mauvaise exécution ou de la non-exécution de l’opération de paiement » (Legifrance). Autrement dit, la banque qui exécute un virement vers l’IBAN que son client lui a communiqué a, en principe, correctement accompli sa mission, quand bien même cet IBAN serait celui d’un escroc.
La Cour de cassation a tiré de ces textes une exclusivité ferme. Lorsque la responsabilité d’un prestataire de services de paiement est recherchée à raison d’une opération non autorisée ou mal exécutée, « seul est applicable le régime de responsabilité défini aux articles L. 133-18 à L. 133-24 du code monétaire et financier », et l’article L. 133-21 est « exclusif de toute application des règles de droit commun ». La Cour casse en conséquence l’arrêt qui retenait que ce texte « ne dispense pas le banquier de son obligation de vigilance » de droit commun (Cass. com., 15 janvier 2025, n° 23-15.437). Cette éviction du droit commun a une conséquence directe sur le partage de responsabilité : la Cour juge qu’une cour d’appel ne peut, après avoir retenu une négligence grave du payeur le privant du droit au remboursement, « opérer un partage de responsabilité avec la banque au motif que celle-ci avait manqué à ses obligations contractuelles de vigilance et de surveillance des systèmes » (Cass. com., 15 janvier 2025, n° 23-13.579).
Cette ligne s’est confirmée en 2026. La chambre commerciale rappelle que « la responsabilité contractuelle de droit commun résultant [de l’article 1231-1 du code civil] n’est pas applicable en présence d’un régime de responsabilité exclusif », en s’appuyant sur l’interprétation donnée par la Cour de justice de l’Union européenne dans son arrêt Beobank du 16 mars 2023 (Cass. com., 20 mai 2026, n° 25-14.005). L’entreprise victime se heurte donc à un cadre légal qui, par principe, ne fait pas peser sur la banque le coût de la fraude lorsqu’elle s’est bornée à exécuter l’ordre tel qu’il lui a été transmis.
À ce verrou de fond s’ajoute un verrou de temps. L’article L. 133-24 du code monétaire et financier impose à l’utilisateur de signaler l’opération non autorisée ou mal exécutée « sans tarder » et « au plus tard dans les treize mois suivant la date de débit sous peine de forclusion » (Legifrance). La Cour de cassation applique cette forclusion avec rigueur (Cass. com., 20 mai 2026, n° 25-13.721). Le délai d’action est donc enserré, ce qui impose à l’entreprise une réaction immédiate dès la découverte de la fraude.
B. Les brèches : opération autorisée ou non, devoir de vigilance résiduel et exceptions
Le verrou n’est cependant pas absolu. Plusieurs distinctions ouvrent, dans des cas précis, un recours contre l’établissement.
La première tient à la nature de l’opération. Le régime protecteur du remboursement, organisé par l’article L. 133-18 du code monétaire et financier (Legifrance), ne joue qu’en présence d’une opération « non autorisée ». Or, dans la fraude au faux RIB, le virement est le plus souvent autorisé par le client lui-même, qui a donné l’ordre en croyant payer son fournisseur : l’opération est techniquement régulière, seul le bénéficiaire réel diffère de celui escompté. Lorsque l’opération est en revanche réellement non autorisée, c’est-à-dire passée à l’insu du titulaire, la charge de la preuve se retourne en faveur de l’utilisateur : « il incombe au prestataire de services de paiement de rapporter la preuve que l’utilisateur, qui nie avoir autorisé une opération de paiement, a agi frauduleusement ou n’a pas satisfait intentionnellement ou par négligence grave à son obligation » de sécurité (Cass. com., 5 mars 2025, n° 23-22.687).
La deuxième brèche tient au devoir de vigilance, qui n’a pas disparu mais s’apprécie strictement, au regard de l’anomalie apparente. La banque doit réagir lorsque les circonstances trahissent une fraude. Ainsi, à réception d’ordres de virement « présentant des anomalies apparentes », une banque est tenue « de vérifier leur régularité auprès du dirigeant » dès lors que les circonstances inhabituelles « laisse[nt] supposer une possible « fraude au président » » (Cass. com., 2 octobre 2024, n° 23-13.282). À l’inverse, aucun manquement n’est retenu lorsque les virements restaient « dans la limite des plafonds quotidiens convenus », étaient couverts par le solde du compte et destinés à « une banque agréée dans un pays membre de l’Union européenne qui n’attirait pas spécialement l’attention » : les opérations ne présentaient alors « pas d’anomalies devant alerter la banque » (Cass. com., 12 juin 2025, n° 24-10.168). Le critère est exigeant : la banque n’a pas à détecter une fraude sans anomalie décelable.
La troisième brèche, la plus prometteuse pour les victimes, tient au rôle actif de la banque. La chambre commerciale juge que, si la responsabilité de droit commun est en principe écartée par l’article L. 133-21, « tel n’est pas le cas lorsque le prestataire de services de paiement ne se borne pas à exécuter l’ordre de paiement mais le rédige lui-même avant de réaliser l’opération de paiement avec l’approbation de l’utilisateur » (Cass. com., 4 mars 2026, n° 25-11.959). Lorsque le conseiller saisit lui-même les coordonnées du bénéficiaire à partir d’un RIB frauduleux, la responsabilité contractuelle de droit commun retrouve son empire. Cette distinction entre la banque qui exécute et la banque qui rédige offre un angle d’attaque concret.
De cette construction se dégage une hiérarchie pratique des recours. L’entreprise victime doit d’abord déterminer si l’ordre de virement a été donné par elle, auquel cas l’opération est autorisée et le terrain du remboursement automatique de l’article L. 133-18 lui est fermé, ou s’il a été passé à son insu, hypothèse dans laquelle la charge de la preuve d’une négligence grave pèse sur la banque. Elle doit ensuite caractériser, le cas échéant, une anomalie apparente que l’établissement aurait dû relever, ou un rôle actif de la banque dans la rédaction de l’ordre, seul à même de rouvrir la responsabilité de droit commun. Cette grille d’analyse commande la stratégie contentieuse, car chaque fondement obéit à des conditions et à des régimes probatoires distincts. Le choix d’un fondement inadéquat, ou tardif au regard de la forclusion, condamne l’action quand bien même la fraude serait établie.
Une mise en garde s’impose enfin sur le fondement à éviter. La victime ne peut pas se prévaloir des obligations de vigilance imposées aux établissements en matière de lutte contre le blanchiment pour obtenir des dommages et intérêts : ces obligations, juge la Cour, « ont pour seule finalité la lutte contre le blanchiment de capitaux et le financement du terrorisme », de sorte que « la victime d’agissements frauduleux ne peut se prévaloir de leur inobservation pour réclamer des dommages et intérêts à l’organisme financier » (Cass. com., 4 mars 2026, n° 24-19.588). L’action contre la banque doit donc être conçue avec précision, sur le bon fondement et dans le bon délai.
Conclusion
L’arrêt du 17 juin 2026 referme une protection sur laquelle de nombreuses entreprises croyaient pouvoir compter. En jugeant que l’escroc qui usurpe l’identité du créancier n’est pas un créancier apparent, la Cour de cassation fait peser le risque de l’arnaque au faux RIB sur celui qui a viré les fonds, et non sur celui dont l’identité a été détournée. Combinée au régime exclusif des articles L. 133-18 à L. 133-24 du code monétaire et financier, qui restreint le recours contre la banque aux hypothèses d’anomalie apparente ou de rôle actif de l’établissement, cette solution expose l’entreprise trompée à un double risque : payer une seconde fois son créancier, sans pouvoir reporter la charge sur son prestataire de paiement.
La prévention devient donc le principal levier. Tout changement de coordonnées bancaires annoncé en cours de relation doit être vérifié par un contre-appel au créancier, sur une ligne déjà connue et jamais sur le numéro figurant dans le courriel suspect. La concordance du BIC et de l’IBAN, l’adresse exacte de l’expéditeur et la cohérence du compte de destination méritent un contrôle systématique, formalisé par une procédure interne écrite, en particulier pour les virements importants. En cas de fraude avérée, la réaction doit être immédiate : signalement à la banque pour tenter le rappel des fonds, dépôt de plainte, et action engagée dans le délai de forclusion de treize mois. La sécurisation contractuelle des modalités de paiement, par une clause précise sur le canal de communication des coordonnées bancaires, complète utilement ce dispositif. Une analyse au cas par cas reste indispensable : la qualification de l’opération, l’existence d’une anomalie apparente et le rôle exact de la banque déterminent l’issue d’un éventuel contentieux.
Vous êtes confronté à une fraude au virement ou à un litige de paiement ?
Le cabinet de Maître Reda KOHEN accompagne les entreprises et les particuliers dans la gestion des fraudes au faux RIB, des litiges de paiement et des actions en responsabilité bancaire, en contentieux comme en prévention.
Téléphone : 06 46 60 58 22
Courriel : [email protected]
Formulaire de contact : https://kohenavocats.fr/formulaire-de-contact/
Pour aller plus loin, le cabinet a consacré des analyses au contentieux commercial et à la responsabilité bancaire. Sur les questions de fraude et d’escroquerie, voir également la page escroquerie du cabinet. Sur le devoir de conseil et de diligence des professionnels, voir notre étude relative à l’appréciation du devoir de conseil au regard du droit positif.
Transmettez les pièces de votre dossier au cabinet. Maître Reda KOHEN vous répond personnellement sous 24 heures avec une première analyse stratégique.