L’escroquerie au virement dans les relations commerciales : la chambre commerciale redessine le périmètre du créancier apparent
La fraude au virement bancaire, communément désignée sous les vocables de « fraude au président » ou d’escroquerie au faux ordre de virement, constitue l’un des risques les plus aigus auxquels sont exposées les entreprises dans l’exercice de leur activité commerciale. Le mécanisme en est désormais bien connu : un tiers malintentionné, après avoir piraté une messagerie électronique ou usurpé l’identité d’un créancier légitime, adresse au débiteur un relevé d’identité bancaire frauduleux en lui enjoignant, sous couvert d’une apparence de régularité, de procéder au règlement d’une créance sur un compte dont il n’est pas le titulaire. Le virement est alors exécuté de bonne foi par le débiteur, qui croit s’acquitter de sa dette, tandis que les fonds sont irrémédiablement détournés au profit du fraudeur.
La question juridique centrale que soulève ce contentieux est celle de la libération du débiteur : le paiement effectué sur la foi d’un RIB frauduleux est-il libératoire à l’égard du véritable créancier ? Le débat s’articule autour de deux corps de règles concurrents : d’une part, la théorie civiliste du créancier apparent, codifiée à l’article 1342-3 du code civil, aux termes duquel « le paiement fait de bonne foi à un créancier apparent est valable » (article 1342-3 du code civil) ; d’autre part, le régime spécial des opérations de paiement non autorisées ou mal exécutées issu de la directive européenne du 25 novembre 2015 sur les services de paiement, transposé aux articles L. 133-1 et suivants du code monétaire et financier.
La chambre commerciale, financière et économique de la Cour de cassation a rendu, le 17 juin 2026, un arrêt d’une portée considérable qui clarifie l’articulation entre ces deux régimes et trace une frontière décisive entre l’erreur sur l’identité du créancier et celle sur le compte de paiement. Rendue en formation plénière de chambre et assortie de la double publication au Bulletin et au Rapport, cette décision s’inscrit dans une construction prétorienne engagée depuis 2023 qui redessine, de manière cohérente et progressive, les responsabilités respectives du débiteur, du créancier et du banquier dans l’hypothèse d’un virement détourné par un tiers. L’étude de cette évolution permet de mesurer, en premier lieu, le déclin progressif de la théorie du créancier apparent confrontée aux mécanismes contemporains d’usurpation d’identité bancaire, avant d’examiner, en second lieu, la reconfiguration corrélative de la responsabilité des prestataires de services de paiement.
I. Le déclin de la théorie du créancier apparent face à l’usurpation d’identité bancaire
A. La distinction fondatrice entre l’erreur sur l’identité du créancier et l’erreur sur le compte de paiement
L’article 1342-3 du code civil, issu de l’ordonnance du 10 février 2016 portant réforme du droit des contrats, du régime général et de la preuve des obligations, dispose de manière laconique que « le paiement fait de bonne foi à un créancier apparent est valable ». Cette disposition, qui reprend une solution jurisprudentielle ancienne, permet au débiteur qui s’est acquitté entre les mains d’une personne qu’il pouvait légitimement tenir pour son créancier d’être libéré de son obligation, alors même que le véritable créancier n’a pas reçu le paiement. La théorie du créancier apparent repose sur une idée de protection de la confiance légitime du débiteur et participe de la sécurité des transactions.
Son champ d’application a toutefois été rigoureusement circonscrit par l’arrêt rendu le 17 juin 2026 par la chambre commerciale, en formation plénière, dans l’affaire opposant la société Petrogarde aux sociétés Sea Fleurs et Eazybunker. En l’espèce, un intermédiaire chargé d’encaisser le prix d’une vente de gazole avait reçu un courriel, émanant d’une adresse électronique ne différant que d’une seule lettre de celle du véritable créancier, contenant une facture et un RIB frauduleux. Le débiteur avait alors effectué le virement sur le compte ainsi désigné, pensant régler sa dette. La cour d’appel d’Aix-en-Provence avait retenu le caractère libératoire du paiement sur le fondement de l’article 1342-3 précité, estimant que le débiteur avait pu légitimement croire traiter avec son créancier.
La Cour de cassation casse cette décision au visa de l’article 1342-3 du code civil, énonçant un principe dont la netteté est à la mesure de l’enjeu : « N’est pas créancier apparent, au sens de ce texte, le tiers qui usurpe l’identité du créancier. » La chambre commerciale précise que la cour d’appel a violé ce texte par fausse application, « alors qu’il ressortait de ses constatations que la société Sea Fleurs, qui savait que son créancier était la société Petrogarde, n’avait pas payé la somme due à un créancier apparent, mais à une personne se faisant passer frauduleusement pour la société Petrogarde » (Cass. com., 17 juin 2026, n° 24-13.306, FP-B+R) (lien officiel).
La distinction ainsi opérée est capitale. Le créancier apparent, au sens de l’article 1342-3, est celui que le débiteur identifie, à tort mais légitimement, comme son créancier véritable : il se trompe sur la personne même du créancier, non sur les coordonnées bancaires de celui-ci. En revanche, lorsque le débiteur connaît parfaitement l’identité de son créancier mais que le compte sur lequel il verse les fonds a été frauduleusement substitué par un tiers, il ne commet pas une erreur sur le créancier mais sur le destinataire matériel du paiement. La théorie du créancier apparent est alors inapplicable, et le paiement n’est pas libératoire à l’égard du véritable créancier, qui conserve, en dépit du détournement, l’intégralité de sa créance.
Cette solution, pour frappante qu’elle soit par sa formulation en formation plénière, n’est pas sans précédents. La jurisprudence des juges du fond avait déjà esquissé cette distinction. La cour d’appel de Bordeaux, dans un arrêt du 12 mars 2025, avait ainsi jugé que le paiement effectué sur un compte bancaire frauduleux ne pouvait valoir paiement libératoire, dès lors que le débiteur n’établissait pas avoir légitimement cru que le titulaire de ce compte était son véritable créancier (CA Bordeaux, 4e ch. com., 12 mars 2025, n° 23/00747).
La cour d’appel de Montpellier, saisie d’une escroquerie au virement sur la plateforme Le Bon Coin, avait pareillement écarté l’application de l’article 1342-3, relevant que la banque n’avait pas d’obligation de déceler une anomalie dans un virement initié par le client lui-même (CA Montpellier, ch. com., 11 mars 2025, n° 23/05568). Ces décisions, rendues en deçà de la cassation, confirment une tendance jurisprudentielle nette au resserrement de la notion de créancier apparent.
B. L’articulation avec le régime spécial des opérations de paiement non autorisées
Parallèlement à la restriction du domaine de la théorie du créancier apparent, la chambre commerciale a construit un corps de règles spécifiques au traitement de la fraude au virement, fondé sur les articles L. 133-1 et suivants du code monétaire et financier. Ces textes, issus de la transposition de la directive (UE) 2015/2366 du 25 novembre 2015 concernant les services de paiement dans le marché intérieur (dite DSP2), instituent un régime de responsabilité objective du prestataire de services de paiement en cas d’opération non autorisée ou mal exécutée.
Le point de départ de cette construction réside dans l’arrêt du 1er juin 2023, par lequel la chambre commerciale a énoncé une solution appelée à un large retentissement : « Ne constitue pas une opération autorisée un ordre de virement régulier lors de sa rédaction mais dont le numéro IBAN du compte destinataire a été ultérieurement modifié par un tiers à l’insu du donneur d’ordre » (Cass. com., 1er juin 2023, n° 21-19.289, Publié au Bulletin) (lien officiel). La Cour précisait qu’« il résulte des [articles L. 133-3 et L. 133-6] qu’une opération de paiement initié par le payeur, qui donne un ordre de paiement à son prestataire de service de paiement, est réputée autorisée uniquement si le payeur a également consenti à son bénéficiaire ».
La portée de cette solution est double. D’une part, elle qualifie d’opération non autorisée le virement dont le RIB a été matériellement falsifié après l’émission de l’ordre, ce qui déclenche l’obligation de remboursement immédiat à la charge du prestataire de services de paiement du payeur en vertu de l’article L. 133-18 du code monétaire et financier. D’autre part, elle exclut que la banque puisse s’exonérer de cette obligation en invoquant une prétendue négligence du payeur qui n’aurait pas décelé la falsification, fût-elle difficilement décelable.
Cette jurisprudence a été confortée et précisée par un arrêt du 4 mars 2026, publié au Bulletin, qui en circonscrit le domaine d’application. La chambre commerciale y rappelle que « si la responsabilité contractuelle de droit commun fondée sur l’article 1231-1 du code civil n’est pas applicable à l’exécution par le prestataire de services de paiement d’un ordre de paiement conformément à l’identifiant unique fourni par l’utilisateur, tel n’est pas le cas lorsque le prestataire de services de paiement ne s’est pas borné à exécuter l’ordre de paiement » (Cass. com., 4 mars 2026, n° 25-11.959, Publié au Bulletin) (lien officiel).
En l’espèce, la banque avait elle-même rédigé l’ordre de virement sur la base des informations fournies par ses clients, avant de le leur soumettre pour signature. L’identité bancaire figurant sur cet ordre comportait des « incohérences apparentes et manifestes qui ne pouvaient laisser aucun doute, pour un professionnel normalement diligent, sur le fait que l’identifiant était un faux grossier ». La Cour en déduit que la banque avait manqué à son devoir de vigilance et que sa responsabilité pouvait être engagée sur le fondement du droit commun de la responsabilité contractuelle.
L’articulation entre les deux régimes apparaît dès lors avec netteté. Lorsque le banquier, en sa qualité de prestataire de services de paiement, se borne à exécuter un ordre de paiement conformément à l’identifiant unique (IBAN) fourni par le client, le régime spécial des articles L. 133-1 et suivants du code monétaire et financier s’applique à l’exclusion du droit commun. En revanche, lorsque le banquier outrepasse ce rôle d’exécutant et participe à la rédaction de l’ordre ou à la détermination des informations qui le composent, il redevient un contractant de droit commun soumis à l’obligation de vigilance et de conseil inhérente à sa qualité de professionnel.
La Cour de justice de l’Union européenne avait au demeurant posé le cadre de cette articulation dans un arrêt du 2 septembre 2021, CRCAM (C-337/20), en énonçant que « le régime harmonisé de responsabilité pour les opérations non autorisées ou mal exécutées établi par la directive ne saurait être concurrencé par un régime alternatif de responsabilité prévu par le droit national reposant sur les mêmes faits et le même fondement qu’à condition de ne pas porter préjudice au régime ainsi harmonisé et de ne pas porter atteinte aux objectifs et à l’effet utile de cette directive ». La chambre commerciale s’est très exactement conformée à cette injonction en cantonnant le droit commun aux hypothèses où le banquier ne s’est pas borné à exécuter l’ordre de paiement mais a pris une part active à son élaboration.
II. La responsabilité bancaire reconfigurée à l’épreuve de la fraude : entre immunité technique et devoir de vigilance
A. Le cantonnement strict de la protection de l’identifiant unique
Le droit européen des services de paiement, tel que transposé aux articles L. 133-1 et suivants du code monétaire et financier, institue un principe de protection du prestataire lorsque l’ordre de paiement est exécuté conformément à l’identifiant unique fourni par l’utilisateur. L’article L. 133-21 dispose en ce sens que « un ordre de paiement exécuté conformément à l’identifiant unique fourni par l’utilisateur du service de paiement est réputé dûment exécuté pour ce qui concerne le bénéficiaire désigné par l’identifiant unique », précisant que « si l’identifiant unique fourni par l’utilisateur du service de paiement est inexact, le prestataire de services de paiement n’est pas responsable de la mauvaise exécution ou de la non-exécution de l’opération de paiement ».
Ce mécanisme, qui transfère sur l’utilisateur le risque d’erreur dans la désignation du bénéficiaire, a été conçu pour garantir la célérité et la sécurité des opérations de paiement en immunisant le prestataire contre les conséquences d’une inexactitude de l’IBAN. Il emporte une conséquence majeure dans le contentieux de la fraude : le banquier qui exécute un virement sur la foi du seul identifiant unique fourni par son client n’est pas tenu de vérifier la cohérence entre cet identifiant et le nom du bénéficiaire, ni de procéder à des investigations sur la légitimité du compte destinataire.
La cour d’appel de Versailles, dans un arrêt du 19 mai 2026, a ainsi rappelé de manière topique que « le banquier est tenu d’un devoir de non-immixtion lui imposant de ne pas procéder à des investigations sur l’origine, le motif ou l’opportunité des mouvements du compte de son client », en se référant à un arrêt de la chambre commerciale du 25 mars 2026 publié au Bulletin (CA Versailles, ch. com. 3-2, 19 mai 2026, n° 25/02628). Le banquier n’a pas à s’ériger en censeur des opérations initiées par son client et le principe de non-ingérence le protège, dans la limite de ses obligations professionnelles.
Cette immunité trouve toutefois une limite lorsque l’ordre de virement, régulier en apparence, a été vicié dans son consentement par les manœuvres frauduleuses d’un tiers. L’arrêt du 1er juin 2023 a précisément écarté le régime de l’identifiant unique dans l’hypothèse d’une modification ultérieure du RIB à l’insu du donneur d’ordre, ce qui revient à considérer que le consentement du payeur au bénéficiaire du virement, condition de l’autorisation de l’opération, fait défaut lorsque l’IBAN a été matériellement substitué. La qualification d’opération non autorisée est alors retenue et le remboursement est dû.
En pratique, la distinction s’opère entre deux hypothèses. Dans la première, le payeur fournit lui-même un IBAN inexact à sa banque, par exemple parce qu’il a été trompé par un courriel frauduleux, mais sans que l’ordre de virement lui-même ait été falsifié : l’opération est réputée autorisée, le banquier est protégé par l’article L. 133-21, et le payeur ne peut se retourner que contre le fraudeur ou, le cas échéant, contre le destinataire des fonds sur le fondement de l’enrichissement sans cause. Dans la seconde hypothèse, le RIB a été matériellement altéré après que le payeur a donné son ordre, ou le consentement du payeur a été surpris par des manœuvres constitutives d’une escroquerie au sens du droit pénal : l’opération est non autorisée et le remboursement est dû par le prestataire.
La cour d’appel de Rennes, confrontée à une situation dans laquelle un fraudeur avait créé un nouveau bénéficiaire de virement dans l’espace de banque à distance du client, a jugé que « la création d’un nouveau bénéficiaire ne constitue pas une opération de paiement » et que « le Crédit Agricole ne justifie pas que chacun des virements litigieux au profit de ce bénéficiaire a été dûment autorisé » (CA Rennes, 3e ch. com., 28 janv. 2025, n° 23/05622). Cette solution souligne l’importance de la vérification, par le banquier, de l’authenticité du consentement du payeur à chaque opération de paiement.
Par ailleurs, la chambre commerciale a fermement exclu que la victime d’une fraude au virement puisse invoquer, à l’appui d’une action en responsabilité contre la banque, les dispositions du code monétaire et financier relatives à la lutte contre le blanchiment de capitaux et le financement du terrorisme (articles L. 561-4-1 à L. 561-14-2). L’arrêt du 4 mars 2026 énonce à cet égard que « l’obligation de vigilance à l’égard de la clientèle imposée aux organismes financiers en application des articles L. 561-4-1 à L. 561-14-2 du code monétaire et financier a pour seule finalité la lutte contre le blanchiment de capitaux et le financement du terrorisme » et que, « en conséquence, la victime d’agissements frauduleux ne peut se prévaloir de leur inobservation pour réclamer des dommages et intérêts à l’organisme financier » (Cass. com., 4 mars 2026, n° 24-19.588, Publié au Bulletin) (lien officiel). Cette solution, qui s’inscrit dans une ligne jurisprudentielle constante, rappelle que les obligations de vigilance LCB-FT sont édictées dans un intérêt général et non dans celui des victimes individuelles de la fraude.
B. La résurgence du droit commun lorsque le banquier cesse d’être un simple exécutant
Lorsque le prestataire de services de paiement ne se borne pas à exécuter mécaniquement un ordre de virement mais participe activement à sa rédaction, à son élaboration ou à la détermination des informations qui le composent, il recouvre la qualité d’un contractant de droit commun, soumis à l’obligation générale de vigilance qui pèse sur tout professionnel à l’égard de son client. Cette solution, consacrée par l’arrêt du 4 mars 2026 (n° 25-11.959) précité, ouvre au client une voie d’indemnisation sur le fondement de l’article 1231-1 du code civil, lequel dispose que « le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure ».
Le dommage indemnisable sur ce fondement n’est pas limité au seul montant du virement frauduleux mais peut inclure l’ensemble des préjudices consécutifs au manquement de la banque à son obligation de vigilance. L’arrêt du 4 mars 2026 retient ainsi que la banque « était tenue d’indemniser, sur le fondement du droit commun, ses clients du préjudice causé par ce manquement à son devoir de vigilance », ce qui suggère une réparation intégrale du préjudice subi, incluant, le cas échéant, les frais engagés pour tenter de recouvrer les fonds, les préjudices financiers accessoires et le préjudice moral.
La jurisprudence des juges du fond illustre la diversité des situations dans lesquelles la banque peut voir sa responsabilité engagée. Le tribunal judiciaire de Strasbourg, dans un jugement du 8 août 2025, a condamné une banque à réparer l’intégralité du préjudice subi par une société victime d’une escroquerie au virement, après avoir constaté que « l’opération de paiement procédant d’une fraude ne peut pas être considérée comme ayant été autorisée par le titulaire du compte bancaire » (TJ Strasbourg, contentieux commercial, 8 août 2025, n° 21/00107). La cour d’appel de Rouen a pour sa part confirmé le rejet de la demande d’un particulier victime d’une escroquerie à l’investissement, en relevant que celui-ci avait lui-même donné les ordres de virement litigieux après avoir été démarché frauduleusement, sans que la banque ait eu à déceler l’anomalie (CA Rouen, ch. civ. et com., 22 janv. 2026, n° 25/00994).
Une tendance se dessine ainsi, qui subordonne l’engagement de la responsabilité bancaire à l’existence d’un fait personnel du banquier distinct de la simple exécution de l’ordre de paiement. Ce fait personnel peut résider dans la rédaction de l’ordre, dans la méconnaissance d’incohérences manifestes affectant le RIB fourni, ou encore dans le défaut de mise en place de dispositifs de sécurité adaptés pour prévenir les intrusions dans les espaces de banque à distance. À l’inverse, lorsque le banquier s’est borné à exécuter l’ordre conformément à l’identifiant unique, sans anomalie apparente décelable, sa responsabilité ne peut être retenue ni sur le fondement du droit spécial des services de paiement, ni sur celui du droit commun.
La combinaison des arrêts du 1er juin 2023, du 4 mars 2026 (n° 25-11.959 et n° 24-19.588) et du 17 juin 2026 (n° 24-13.306, formation plénière) dessine ainsi un système complet et cohérent de traitement de la fraude au virement dans les relations commerciales. En amont, le débiteur qui a payé sur un compte frauduleux ne peut se prévaloir de la théorie du créancier apparent et reste tenu de sa dette envers le véritable créancier, sauf à démontrer qu’il croyait légitimement que le titulaire du compte frauduleux était lui-même le créancier – hypothèse que la Cour de cassation a expressément exclue en cas d’usurpation d’identité. En aval, le débiteur peut rechercher la responsabilité de sa banque selon une voie duale : le régime spécial des opérations non autorisées, si l’ordre de virement a été vicié dans son consentement ou matériellement falsifié à son insu ; le droit commun de la responsabilité contractuelle, si la banque a pris une part active à l’élaboration de l’ordre et a manqué à son devoir de vigilance.
Il résulte de cette construction que le risque de la fraude au virement est, en définitive, réparti entre les trois acteurs de l’opération de paiement. Le créancier véritable conserve sa créance et peut en poursuivre le recouvrement, le débiteur ayant effectué un paiement non libératoire. Le débiteur supporte le risque de l’insolvabilité du fraudeur et l’aléa de l’action en répétition de l’indu ou en enrichissement sans cause. Le banquier, quant à lui, supporte le risque des défaillances de ses propres processus d’élaboration des ordres de paiement et de ses dispositifs de sécurité, sans toutefois être tenu d’une obligation générale de surveillance des opérations initiées par ses clients.
Conclusion
La construction prétorienne de la chambre commerciale, dont l’arrêt du 17 juin 2026 rendu en formation plénière constitue le point d’aboutissement, opère une clarification bienvenue du régime de la fraude au virement dans les relations d’affaires. En écartant résolument l’application de la théorie du créancier apparent aux hypothèses d’usurpation d’identité bancaire, la Cour de cassation protège le véritable créancier contre les conséquences d’une fraude qu’il n’a pas commise et dont il n’est pas le garant. En articulant avec rigueur le régime spécial des services de paiement et le droit commun de la responsabilité contractuelle, elle offre aux débiteurs victimes d’une escroquerie des voies d’indemnisation clairement balisées, tout en préservant la sécurité juridique des opérations de paiement. La portée pratique de cette jurisprudence est considérable pour l’ensemble des entreprises qui, dans l’exercice quotidien de leur activité, sont exposées au risque d’une interception frauduleuse de leurs flux de paiement. La prévention demeure néanmoins la meilleure des protections : la vérification systématique de l’authenticité des coordonnées bancaires communiquées par les créanciers, la sécurisation des messageries électroniques et la mise en place de procédures internes de contre-appel avant tout virement significatif constituent, en l’état du droit positif, les seuls remparts efficaces contre un risque dont la jurisprudence, aussi protectrice soit-elle, ne saurait effacer a posteriori les conséquences.
Transmettez les pièces de votre dossier au cabinet. Maître Reda KOHEN vous répond personnellement sous 24 heures avec une première analyse stratégique.