Une société civile immobilière fait construire un immeuble et règle son entrepreneur par virements. Un escroc intercepte la correspondance, annonce un changement de compte et transmet un faux relevé d’identité bancaire domicilié au Portugal. Deux virements partent vers ce compte : 189 893,14 euros le 20 janvier 2020, puis 175 404,11 euros le 24 février 2020. Quand la fraude est découverte, la société assigne sa banque, le Crédit lyonnais, en remboursement et en indemnisation. La cour d’appel de Lyon, le 25 mars 2025, rejette l’intégralité de ses demandes. Le 9 septembre 2026, la chambre commerciale de la Cour de cassation casse partiellement cet arrêt (pourvoi n° R 25-15.225, arrêt n° 431 F-B, publié au Bulletin) : pour le second virement, la cour d’appel a inversé la charge de la preuve en exigeant de la cliente la production de l’ordre de paiement, alors que cette preuve incombait à la banque. Pour le premier virement, en revanche, le rejet est définitif : l’ordre avait été exécuté conformément à l’identifiant unique fourni par la cliente, et le régime exclusif de l’article L. 133-21 du code monétaire et financier écarte tout recours fondé sur le devoir général de vigilance du banquier. Cette décision dessine une ligne de partage nette, directement exploitable par toute entreprise victime d’une escroquerie au changement de RIB : ce que la banque doit prouver, ce qu’elle n’a plus à surveiller, et les pièces qui font gagner ou perdre le remboursement.
I. Virement exécuté vers un faux RIB : quand la banque peut-elle refuser de vous rembourser ?
A. Ordre exécuté selon l’identifiant unique : pourquoi le premier virement de 189 893,14 euros reste perdu
Le 13 janvier 2020, la SCI adresse à sa banque la situation de travaux n° 6, revêtue d’un bon à payer, accompagnée d’une facture de 189 893,14 euros qui comporte l’IBAN du compte de l’entrepreneur dans les livres de la Société générale. Deux jours plus tard, le 15 janvier 2020, elle transfère à la banque un courriel présenté comme provenant de cet entrepreneur : le compte Société générale ne serait plus actif, et les prochains paiements, y compris la situation n° 6, devraient partir vers un nouveau compte ouvert dans les livres de la Bank Santander Totta, dont l’IBAN est joint. Le 20 janvier 2020, le virement de 189 893,14 euros est exécuté au crédit de ce compte portugais. La fraude ne sera révélée que le 25 février 2020, quand la société informe la banque que son entrepreneur n’a jamais changé de compte.
Devant la cour d’appel de Lyon, la société soutenait que l’opération n’était pas autorisée : l’ordre initial visait le RIB Société générale, et le simple transfert d’un courriel frauduleux ne pouvait valoir autorisation expresse et dépourvue d’équivoque au profit du nouvel identifiant. La cour d’appel rejette cette analyse : le transfert du courriel du 15 janvier 2020, qui invitait expressément à régler la situation n° 6 sur le nouveau compte, valait instruction de payer sur cet identifiant, et le courriel postérieur du 25 février 2020, par lequel la société dénonçait la fraude, confirmait que le transfert du 15 janvier avait bien pour objet d’indiquer à la banque les nouvelles références de l’entrepreneur. La Cour de cassation, dans son arrêt du 9 septembre 2026 (n° 25-15.225), valide cette lecture des faits : « le moyen ne tend qu’à remettre en cause l’appréciation souveraine par laquelle la cour d’appel a déduit des envois successifs de courriels au prestataire de services de paiement que la SCI lui avait ordonné le premier paiement au crédit du compte de la société Hanny dans les livres de la société Bank Santander Totta », de sorte que « le moyen n’est donc pas fondé ».
La conséquence juridique est tirée de l’article L. 133-21 du code monétaire et financier : « Un ordre de paiement exécuté conformément à l’identifiant unique fourni par l’utilisateur du service de paiement est réputé dûment exécuté pour ce qui concerne le bénéficiaire désigné par l’identifiant unique. Si l’identifiant unique fourni par l’utilisateur du service de paiement est inexact, le prestataire de services de paiement n’est pas responsable de la mauvaise exécution ou de la non-exécution de l’opération de paiement. » Ce texte transpose l’article 88 de la directive (UE) 2015/2366 du 25 novembre 2015 sur les services de paiement. Dès lors que la cliente a elle-même fourni l’identifiant frauduleux et que la banque l’a exécuté fidèlement, la banque n’est pas responsable de l’envoi des fonds à l’escroc, même si le vrai bénéficiaire n’a rien reçu.
Cette solution n’est pas isolée. Un an plus tôt, le 10 septembre 2025, la même chambre commerciale avait déjà jugé, dans une affaire de fraude au faux RIB visant une société de construction-vente cliente du CIC Sud Ouest (Cass. com., 10 sept. 2025, n° 24-15.485) : « La responsabilité contractuelle de droit commun résultant du premier de ces textes n’est pas applicable en présence d’un régime de responsabilité exclusif. » Et qu’« un ordre de paiement exécuté conformément à l’identifiant unique fourni par l’utilisateur du service de paiement est réputé dûment exécuté pour ce qui concerne le bénéficiaire désigné par l’identifiant unique ». Dans cette affaire, la société avait elle-même demandé l’ajout du compte frauduleux, ouvert en Roumanie, sur sa liste de bénéficiaires, puis avait émis l’ordre avec l’identifiant fourni : la condamnation de la banque au nom d’un devoir général de vigilance avait été cassée. La leçon opérationnelle est directe : chaque fois que c’est le client qui communique le faux IBAN et que la banque exécute exactement cet IBAN, le terrain du remboursement se referme, et le combat doit se déplacer vers le second virement, celui dont l’autorisation quant au bénéficiaire n’est pas établie.
B. Devoir de vigilance de la banque face aux anomalies : ce que l’arrêt du 9 septembre 2026 refuse d’imposer
Dans ce même arrêt du 9 septembre 2026 (n° 25-15.225), la société invoquait pourtant des anomalies qu’elle présentait comme apparentes : deux relevés d’identité bancaire différents communiqués en moins de quarante-huit heures, le second désignant un compte situé dans un autre pays, l’adresse électronique réelle de l’expéditeur, des fautes d’orthographe dans le courriel et un prétendu certificat administratif ni daté ni signé. Elle demandait à la cour d’appel de vérifier si ces signaux n’obligeaient pas la banque, en exécution de son obligation de vigilance, à alerter la cliente et à obtenir confirmation du RIB avant d’exécuter le virement. La cour d’appel avait refusé : la gérante elle-même avait déclaré dans son dépôt de plainte que les informations de l’escroc étaient « totalement cohérentes », les anomalies ne relevaient pas du formalisme habituel des outils bancaires mais de la connaissance que le maître d’ouvrage avait de son entrepreneur, et la vigilance du banquier vise avant tout à s’assurer que l’ordre émane bien de sa cliente, non qu’il profitera au bon destinataire.
La Cour de cassation ne censure pas ce raisonnement dans cet arrêt du 9 septembre 2026 (n° 25-15.225), mais elle le rend sans objet par une fin de non-recevoir de principe : « La responsabilité contractuelle de droit commun n’est pas applicable lorsque l’opération relève du régime exclusif de responsabilité prévu à l’article L. 133-21 du code monétaire et financier. » Ayant retenu que le premier virement avait été exécuté conformément à l’identifiant unique fourni par la société, l’arrêt d’appel « n’encourt pas les griefs fondés sur la responsabilité civile de droit commun », y compris ceux tirés de l’article 1231-1 du code civil. Autrement dit, quand l’article L. 133-21 s’applique, il n’y a plus de place pour un devoir prétorien d’alerte fondé sur le droit commun : le régime du code monétaire et financier est exclusif.
Il faut mesurer la portée exacte de ce verrou. Il ne signifie pas que la banque n’est jamais tenue de détecter une fraude : il signifie que, lorsque le client a lui-même désigné l’identifiant frauduleux et que l’exécution y est conforme, la banque ne peut pas être condamnée sur le fondement d’une vigilance de droit commun qu’elle aurait manquée. En pratique, l’entreprise victime doit donc cesser de plaider la faute diffuse de surveillance et concentrer son dossier sur la preuve de l’autorisation : quel ordre précis a-t-elle donné, pour quel bénéficiaire, et la banque peut-elle produire cet ordre ? C’est exactement le basculement opéré par l’arrêt pour le second virement, et c’est là que la décision du 9 septembre 2026 innove vraiment.
II. Virement contesté : comment contraindre la banque à prouver l’autorisation et à rembourser ?
A. Charge de la preuve de l’autorisation : pourquoi la banque doit produire elle-même l’ordre de paiement
Le second virement, examiné dans cet arrêt du 9 septembre 2026 (n° 25-15.225), raconte une histoire différente. Le 13 février 2020, la société adresse à sa banque la situation de travaux n° 7, revêtue d’un bon à payer, accompagnée d’une facture datée du 31 décembre 2019, d’un montant de 175 404,11 euros, qui comporte l’IBAN du compte de l’entrepreneur dans les livres de la Société générale, c’est-à-dire le véritable IBAN. Le 24 février 2020, pourtant, le virement de 175 404,11 euros part au crédit du compte frauduleux ouvert dans les livres de la Bank Santander Totta. Pour rejeter la demande de remboursement, la cour d’appel de Lyon retient que la société avait ordonné ce virement sur le compte portugais conformément au courriel du 15 janvier 2020, et non sur le compte Société générale conformément au courriel du 13 février 2020, et elle ajoute que la société « ne justifie pas de ses instructions de paiement spécifiques à la situation n°7 », le courriel de transmission de l’ordre n’étant pas produit aux débats.
C’est cette dernière exigence que la Cour de cassation sanctionne dans cet arrêt du 9 septembre 2026 (n° 25-15.225), au visa de l’article 1353 du code civil et des articles L. 133-6, alinéa 1er et L. 133-7, alinéa 1er du code monétaire et financier : « Il résulte des deux derniers de ces textes que la charge de la preuve de l’autorisation du paiement initié par le payeur donnée au prestataire de services de paiement, sous la forme convenue entre eux, repose sur le prestataire de services de paiement. » Le rappel du droit applicable est sans détour. L’article L. 133-6 dispose : « Une opération de paiement est autorisée si le payeur a donné son consentement à son exécution. » L’article L. 133-7 précise : « Le consentement est donné sous la forme convenue entre le payeur et son prestataire de services de paiement. » Il ajoute : « En l’absence d’un tel consentement, l’opération ou la série d’opérations de paiement est réputée non autorisée. » L’article 1353 du code civil ajoute la règle transversale : « Celui qui réclame l’exécution d’une obligation doit la prouver. Réciproquement, celui qui se prétend libéré doit justifier le paiement ou le fait qui a produit l’extinction de son obligation. »
Appliquée aux faits, la règle donne la cassation dans cet arrêt du 9 septembre 2026 (n° 25-15.225) : la transmission du 13 février 2020 était accompagnée d’une facture mentionnant le véritable IBAN de l’entrepreneur, « de sorte qu’il incombait au prestataire de services de paiement, sur qui reposait la charge de prouver que l’opération avait été autorisée quant au bénéficiaire, de produire l’ordre de paiement relatif à ce virement ». En reprochant au contraire à la cliente de ne pas produire cet ordre, « la cour d’appel, qui a inversé la charge de la preuve, a violé les textes susvisés ». La formule mérite d’être retenue telle quelle par les praticiens : on ne peut pas reprocher au payeur, sans que le payeur ait à produire lui-même l’ordre de paiement mentionnant le bénéficiaire, comme le retient le sommaire officiel de l’arrêt. C’est à la banque de verser aux débats l’ordre qu’elle prétend avoir exécuté, avec le bénéficiaire qu’il mentionne, et de démontrer que le client a consenti à ce bénéficiaire sous la forme convenue entre eux.
Ce raisonnement de l’arrêt du 9 septembre 2026 (n° 25-15.225) s’articule avec l’article L. 133-23 du code monétaire et financier, invoqué par le moyen et dont la Cour reprend la logique : « Lorsqu’un utilisateur de services de paiement nie avoir autorisé une opération de paiement qui a été exécutée, ou affirme que l’opération de paiement n’a pas été exécutée correctement, il incombe à son prestataire de services de paiement de prouver que l’opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre. » Le texte ajoute : « L’utilisation de l’instrument de paiement telle qu’enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l’opération a été autorisée par le payeur ou que celui-ci n’a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant en la matière. » Concrètement, la banque ne peut pas se contenter d’affirmer que le client avait déjà accepté le faux RIB un mois plus tôt pour la situation n° 6 : pour chaque virement contesté, elle doit établir l’autorisation quant au bénéficiaire de ce virement précis, pièce à l’appui. Quand la facture jointe au dernier envoi mentionne le vrai IBAN et que la banque exécute le faux, l’absence de l’ordre de paiement dans son dossier devient une faute probatoire qui lui coûte la cassation, les dépens et 3 000 euros au titre de l’article 700 du code de procédure civile.
Le mode d’emploi contentieux qui en découle tient en trois gestes. D’abord, identifier virement par virement l’ordre réellement donné : facture transmise, IBAN qui y figure, courriel d’accompagnement, bon à payer. Ensuite, sommer la banque de produire l’ordre de paiement correspondant à chaque virement contesté, avec le bénéficiaire et l’identifiant exécuté, ainsi que les enregistrements d’authentification et de comptabilisation. Enfin, si la banque oppose un consentement global ou antérieur, exiger la preuve que ce consentement couvrait le bénéficiaire litigieux sous la forme convenue contractuellement. Toute fin de non-recevoir qui ferait peser sur le client la production de l’ordre est désormais directement contraire à l’arrêt du 9 septembre 2026.
B. Opération non autorisée et négligence grave : dans quels délais et avec quelles pièces obtenir le remboursement ?
Obtenir la censure de l’inversion de la charge de la preuve ne suffit pas : encore faut-il que l’opération soit juridiquement non autorisée et que la banque ne puisse pas se retrancher derrière une négligence grave du client. Le cadre du remboursement est fixé par l’article L. 133-18 du code monétaire et financier : « En cas d’opération de paiement non autorisée signalée par l’utilisateur », « le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant », « sauf s’il a de bonnes raisons de soupçonner une fraude de l’utilisateur du service de paiement et s’il communique ces raisons par écrit à la Banque de France » Le remboursement est donc l’obligation de principe, immédiate, et le refus n’est licite que dans l’hypothèse étroite d’une fraude suspectée du client lui-même, notifiée par écrit à la Banque de France. Une entreprise victime d’une escroquerie externe, qui signale sans délai, se situe au cœur de ce texte.
La principale ligne de défense des banques reste alors la négligence grave, régie par l’article L. 133-19 du code monétaire et financier, qui fait supporter au payeur les pertes liées à l’utilisation de son instrument avant l’information de la banque, dans la limite d’un plafond de 50 euros, tout en écartant toute responsabilité du payeur notamment en cas d’opération effectuée sans utilisation des données de sécurité personnalisées. La jurisprudence récente montre que cette négligence ne se présume pas et qu’elle s’apprécie concrètement, mode opératoire de l’escroc compris. Le 23 octobre 2024, la chambre commerciale a ainsi rejeté le pourvoi de BNP Paribas contre un client victime d’un spoofing téléphonique (Cass. com., 23 oct. 2024, n° 23-16.267) : « Après avoir exactement énoncé qu’il incombe au prestataire de services de paiement de rapporter la preuve d’une négligence grave de son client », la cour d’appel avait relevé que le numéro affiché était celui de la conseillère du client, que celui-ci croyait valider une opération sécurisée sur son application, et que l’usurpation du numéro de la conseillère avait mis le client en confiance et diminué sa vigilance. « De ces constatations et appréciations, la cour d’appel a pu déduire que la négligence grave de M. [J] n’était pas caractérisée. » Pour une entreprise destinataire d’un faux courriel de son fournisseur, l’enseignement est symétrique : c’est à la banque de prouver la négligence grave, et la sophistication de la fraude, adresse usurpée, documents cohérents, contexte commercial réel avec factures et situations de travaux authentiques, joue en faveur du client.
Le dossier de contestation doit donc être constitué comme un dossier probatoire offensif, pas comme une simple réclamation. Les pièces décisives, telles qu’elles apparaissent dans l’arrêt du 9 septembre 2026, sont la facture comportant le véritable IBAN, les courriels successifs avec leurs dates exactes, les bons à payer, les relevés d’exécution des virements avec les identifiants crédités, le dépôt de plainte pour escroquerie et l’attestation de l’entrepreneur confirmant qu’il n’a jamais changé de compte. Chaque pièce doit être datée et rapprochée du virement qu’elle concerne : l’arrêt montre que le sort des deux virements a divergé uniquement parce que l’instruction documentée n’était pas la même pour chacun. La plainte pénale, en particulier, n’est pas un préalable administratif au remboursement bancaire, mais elle fige la chronologie, établit la réalité externe de la fraude et prive la banque de l’argument d’une fraude du client lui-même. Les entreprises qui découvrent une fraude au changement de RIB ont par ailleurs intérêt à consulter sans attendre notre analyse des arnaques au faux conseiller bancaire et des refus de remboursement, qui détaille la plainte, la mise en demeure et la saisine du médiateur, ainsi que, pour les groupes exposés aux paiements automatisés, nos développements sur la validité du consentement et la contestation des prélèvements SEPA interentreprises.
Deux garde-fous procéduraux complètent le dispositif. D’abord, la contestation doit être signalée à la banque sans tarder : le remboursement de l’article L. 133-18 suppose une opération « signalée par l’utilisateur », et tout retard inexpliqué fragilise la demande et ouvre la discussion sur la négligence. Ensuite, la prescription et les délais de contestation propres aux opérations de paiement doivent être surveillés dès la découverte de la fraude, avec l’aide d’un conseil qui identifiera le point de départ applicable et les actes interruptifs utiles. Enfin, pour les sociétés dont le litige dépasse le remboursement et touche à la trésorerie, aux relations avec le fournisseur impayé et à la responsabilité du dirigeant qui a validé les ordres, une action coordonnée s’impose : recouvrement contre l’escroc et ses complices, négociation avec le vrai fournisseur, et sécurisation interne de la procédure de changement de coordonnées bancaires, avec double validation orale sur un numéro connu et interdiction de modifier un RIB sur simple courriel.
Conclusion
L’arrêt du 9 septembre 2026 ne donne ni toujours raison au client, ni toujours raison à la banque : il répartit les rôles avec une précision que les entreprises doivent exploiter sans attendre. Quand le client a lui-même fourni l’identifiant frauduleux et que la banque l’a exécuté fidèlement, le remboursement est perdu sur le fondement de l’article L. 133-21, et aucun devoir général de vigilance ne rouvrira le débat : c’est le sort du premier virement de 189 893,14 euros, définitivement rejeté. Quand, au contraire, la banque prétend que le client avait consenti au faux bénéficiaire sans pouvoir produire l’ordre de paiement correspondant, alors que la dernière facture mentionnait le véritable IBAN, la charge de la preuve lui incombe et son silence la condamne : c’est le sort du second virement de 175 404,11 euros, cassé et renvoyé devant la cour d’appel de Lyon autrement composée. Entre ces deux pôles, la négligence grave reste à la charge probatoire de la banque et s’apprécie à l’aune du mode opératoire des escrocs, comme l’a confirmé l’arrêt spoofing du 23 octobre 2024. Pour toute entreprise qui règle ses fournisseurs par virements, la conduite à tenir est désormais écrite noir sur blanc : ne jamais modifier des coordonnées bancaires sur simple courriel, documenter chaque ordre virement par virement, signaler la fraude dès sa découverte, déposer plainte, et sommer la banque de produire ses ordres et ses enregistrements plutôt que de se laisser imposer une preuve qui ne vous incombe pas.
Besoin d’un avis rapide sur votre dossier
Un virement de votre société est parti vers un faux RIB et votre banque refuse de rembourser ou vous réclame des pièces qui lui incombent ? Maître Reda Kohen, avocat au barreau de Paris, vous répond : obtenez une consultation téléphonique sous 48 heures pour examiner vos ordres de paiement, vérifier la charge de la preuve et construire votre contestation contre la banque.
Appelez directement Maître Reda Kohen au 06 46 60 58 22 ou écrivez-nous via la page contact du cabinet. Le cabinet intervient à Paris et dans toute l’Île-de-France pour les virements frauduleux, les contestations d’opérations de paiement et les recours contre les banques.