Votre expert-comptable vous appelle un matin de septembre 2026 : trois prélèvements SEPA de plusieurs milliers d’euros ont été débités du compte professionnel de votre société au profit d’un bénéficiaire inconnu, sans aucun mandat signé de votre part. Ou bien c’est votre banque qui vous réclame des explications sur un mandat de prélèvement que vous n’avez jamais autorisé. Dans les deux cas, la trésorerie de l’entreprise est amputée et chaque jour compte, car les délais pour contester sont stricts et la charge de la preuve obéit à des règles précises du code monétaire et financier. Depuis l’automne 2026, les tentatives de fraude aux moyens de paiement se multiplient contre les entreprises françaises, en même temps que les incidents techniques de prestataires de dématérialisation perturbent la réception des courriers et des mises en demeure, comme l’a montré la cyberattaque ayant mis à l’arrêt un grand opérateur de courrier dématérialisé le 23 septembre 2026. Face à un prélèvement SEPA frauduleux, le dirigeant doit agir sur deux fronts : contester vite auprès de sa banque dans le délai légal et constituer un dossier de remboursement inattaquable. Cet article explique comment distinguer un prélèvement non autorisé d’un prélèvement autorisé au montant inattendu, quels délais respecter pour ne pas être forclos, comment obtenir le remboursement immédiat de la banque et quelles démarches engager à Paris et en Île-de-France quand la banque refuse de payer.
I. Prélèvement SEPA contesté sur votre compte professionnel : non autorisé ou montant inattendu, quel délai pour agir ?
A. Comment distinguer un prélèvement non autorisé d’un prélèvement autorisé au montant inattendu ?
La première question que votre banque va vous poser détermine tout le régime applicable : avez-vous autorisé ce prélèvement, oui ou non ? Un prélèvement SEPA repose en principe sur un mandat que le débiteur signe au profit du créancier, avec une référence unique de mandat et l’identifiant créancier SEPA du bénéficiaire. Quand aucun mandat n’existe, quand la signature du mandat a été falsifiée, quand un faux mandat a été fabriqué après une usurpation d’identité ou quand un ancien mandat révoqué continue d’être utilisé, l’opération est non autorisée. Le code monétaire et financier est limpide sur ce point : le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, sauf s’il a de bonnes raisons de soupçonner une fraude de l’utilisateur du service de paiement et s’il communique ces raisons par écrit à la Banque de France. Autrement dit, pour une opération véritablement non autorisée, le remboursement est la règle et le refus l’exception, strictement encadrée. Conservez donc précieusement tout élément montrant l’absence de mandat : relevés de compte, échanges avec le prétendu créancier, attestation de votre service comptable confirmant qu’aucun mandat n’a été signé, copie du faux mandat si la banque vous le transmet. Si un mandat existe mais que son montant dépasse ce à quoi vous pouviez raisonnablement vous attendre, le régime est différent : le payeur a droit au remboursement par son prestataire de services de paiement d’une opération de paiement autorisée, ordonnée par le bénéficiaire ou par le payeur qui donne un ordre de paiement par l’intermédiaire du bénéficiaire, si l’autorisation donnée n’indiquait pas le montant exact de l’opération de paiement et si le montant de l’opération dépassait le montant auquel le payeur pouvait raisonnablement s’attendre en tenant compte du profil de ses dépenses passées, des conditions prévues par son contrat-cadre et des circonstances propres à l’opération. Ce second cas vise par exemple le fournisseur d’énergie ou l’opérateur télécom qui prélève d’un coup six mois d’arriérés sans prévenir, ou le prestataire informatique qui applique unilatéralement un nouveau tarif. Dans cette hypothèse, vous devez fournir à la banque tous les éléments relatifs au remboursement demandé : contrat initial, factures antérieures montrant le profil de vos dépenses, conditions du contrat-cadre et circonstances de l’opération. La distinction est donc pratique : sans mandat ou avec un mandat falsifié, invoquez l’opération non autorisée et exigez le remboursement immédiat ; avec un mandat valable mais un montant anormal, invoquez le remboursement de l’opération autorisée au montant inattendu et documentez l’écart. Dans les deux cas, révoquez sans attendre le mandat litigieux auprès de votre banque et notifiez par écrit au créancier la révocation, par lettre recommandée avec accusé de réception ou par tout moyen conférant date certaine, afin d’empêcher les prélèvements suivants. Vérifiez aussi vos autres mandats actifs : une fraude réussie signale souvent que vos coordonnées bancaires circulent, et un audit rapide des autorisations de prélèvement évite une seconde ponction le mois suivant. Enfin, si le prélèvement frauduleux a provoqué des rejets en chaîne, des agios ou un découvert, chiffrez immédiatement ces préjudices annexes : ils feront partie de la réclamation.
B. Treize mois ou huit semaines : dans quel délai contester sous peine de forclusion ?
Le calendrier est l’arme principale de la banque pour rejeter votre demande, et c’est donc le premier point à verrouiller. Pour une opération non autorisée, l’utilisateur de services de paiement signale, sans tarder, à son prestataire de services de paiement une opération de paiement non autorisée ou mal exécutée et au plus tard dans les treize mois suivant la date de débit sous peine de forclusion à moins que le prestataire de services de paiement ne lui ait pas fourni ou n’ait pas mis à sa disposition les informations relatives à cette opération de paiement conformément au chapitre IV du titre 1er du livre III. Le délai de treize mois court à compter de la date du débit, et le mot forclusion signifie qu’une contestation tardive éteint purement et simplement votre droit, sans que le juge puisse le relever. Ne confondez pas ce délai avec une simple prescription : même si vous découvrez la fraude au douzième mois, contestez par écrit sans tarder, car l’exigence de signalement sans tarder s’ajoute au plafond de treize mois. En pratique, contestez dès le premier relevé anormal, par un courrier recommandé doublé d’un message adressé à votre conseiller, et conservez la preuve de l’envoi et de la réception. Attention au point qui concerne directement les entreprises : sauf dans les cas où l’utilisateur est une personne physique agissant pour des besoins non professionnels, les parties peuvent convenir d’un délai distinct de celui prévu au présent article. Votre convention de compte professionnel peut donc stipuler un délai de contestation plus court que treize mois, parfois soixante jours ou quatre-vingt-dix jours. Relisez votre convention de compte dès le premier jour : si elle raccourcit le délai, chaque semaine perdue vous rapproche de la forclusion contractuelle. Pour une opération autorisée au montant inattendu, le délai est beaucoup plus bref : le payeur présente sa demande de remboursement avant l’expiration d’une période de huit semaines à compter de la date à laquelle les fonds ont été débités. Huit semaines, c’est court pour une entreprise dont la comptabilité est externalisée et dont le dirigeant découvre les relevés une fois par mois. Organisez donc un contrôle hebdomadaire des débits par prélèvement, même sommaire, et demandez à votre expert-comptable de signaler immédiatement tout débit inhabituel. Une fois la demande présentée dans le délai, la banque est elle-même tenue par un calendrier : dans un délai de dix jours ouvrables suivant la réception de la demande de remboursement, le prestataire de services de paiement soit rembourse le montant total de l’opération de paiement, soit justifie son refus de rembourser, en indiquant la possibilité de recourir à la procédure de médiation mentionnée à l’article L. 316-1. Si la banque ne répond pas dans les dix jours ouvrables ou refuse sans motiver, ce silence devient une pièce de votre dossier : relancez par écrit, visez expressément ce délai de dix jours ouvrables et annoncez la saisine du médiateur. Dernier point de calendrier : quand la banque tarde à rembourser une opération non autorisée alors qu’elle le devait, la loi prévoit des intérêts de retard automatiquement majorés, les sommes dues produisent intérêt au taux légal majoré de cinq points, puis au-delà de sept jours de retard au-delà de sept jours de retard, les sommes dues produisent intérêt au taux légal majoré de dix points, et au-delà de trente jours au-delà de trente jours de retard, les sommes dues produisent intérêt au taux légal majoré de quinze points. Chiffrez ces intérêts dans chaque relance : ils montrent à la banque que le temps joue contre elle et ils grossissent utilement votre créance si le litige va devant le juge. Parallèlement, déposez plainte pour escroquerie ou faux et usage de faux dès que la fraude est caractérisée, et faites opposition sur l’instrument compromis : la plainte ne conditionne pas le remboursement bancaire, mais elle crédibilise votre contestation et elle est indispensable si vous voulez ensuite agir contre le bénéficiaire du paiement ou son prestataire.
II. Obtenir le remboursement de la banque et sécuriser le compte de l’entreprise : que faire concrètement ?
A. Remboursement immédiat, preuve et négligence grave : comment faire céder la banque ?
Quand votre contestation arrive au service des réclamations, la banque oppose presque toujours le même moyen de défense : l’opération aurait été authentifiée par vos codes, donc vous l’auriez autorisée, ou vous auriez commis une négligence grave en laissant vos données être captées. Ce raisonnement est juridiquement fragile, et vous devez le démonter point par point. D’abord, la charge de la preuve pèse sur la banque, pas sur vous : lorsqu’un utilisateur de services de paiement nie avoir autorisé une opération de paiement qui a été exécutée, ou affirme que l’opération de paiement n’a pas été exécutée correctement, il incombe à son prestataire de services de paiement de prouver que l’opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre. Et la simple production des journaux informatiques ne suffit pas : l’utilisation de l’instrument de paiement telle qu’enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l’opération a été autorisée par le payeur ou que celui-ci n’a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant en la matière. Concrètement, exigez que la banque rapporte la preuve complète de l’authentification et de l’absence de déficience technique, au lieu d’accepter un simple relevé de logs. Ensuite, la négligence grave que la banque vous reproche doit être établie par elle, avec des faits précis : le prestataire de services de paiement, y compris, le cas échéant, le prestataire de services de paiement fournissant un service d’initiation de paiement, fournit des éléments afin de prouver la fraude ou la négligence grave commise par l’utilisateur de services de paiement. Or la Cour de cassation contrôle strictement cette notion. Dans un arrêt du 24 novembre 2021 rendu sur le fondement des articles L. 133-16 et L. 133-19 du code monétaire et financier dans leur rédaction applicable, la chambre commerciale a rappelé : il résulte du premier de ces textes que l’utilisateur de services de paiement prend toute mesure raisonnable pour préserver la sécurité de ses dispositifs de sécurité personnalisés et du second que le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17 (Cour de cassation, chambre commerciale, 24 novembre 2021, pourvoi n° C 20-13.767, arrêt n° 811 F-D). Dans cette affaire, un client avait communiqué ses identifiants bancaires après un courriel frauduleux et la banque invoquait la négligence grave pour refuser le remboursement de 2 593 euros. La Cour a cassé le jugement qui avait donné raison au client sans vérifier si le client n’aurait pas pu avoir conscience que le courriel reçu était frauduleux et si, en conséquence, le fait d’avoir communiqué ses données personnelles ne caractérisait pas un manquement par négligence grave à ses obligations mentionnées à l’article L. 133-16 du code monétaire et financier. L’enseignement est double et il sert votre dossier dans les deux sens : la banque ne peut pas se contenter d’affirmer la négligence grave, elle doit démontrer que vous pouviez avoir conscience du caractère frauduleux du message au regard des circonstances concrètes, et le juge doit rechercher précisément ces circonstances. Si le message frauduleux ne présentait aucune anomalie décelable par un professionnel normalement vigilant, s’il provenait de la véritable adresse d’un fournisseur piraté ou s’il s’inscrivait dans une chaîne d’échanges authentiques, contestez pied à pied la qualification de négligence grave. À l’inverse, tirez les conséquences de votre propre obligation légale : dès qu’il reçoit un instrument de paiement, l’utilisateur de services de paiement prend toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées. Montrez que votre entreprise respecte cette obligation : coffre-fort numérique, habilitations restreintes, double validation des changements de RIB, sensibilisation des comptables à l’hameçonnage. Le deuxième levier, souvent décisif, tient à l’authentification forte. La loi impose à la banque : le prestataire de services de paiement applique l’authentification forte du client définie au f de l’article L. 133-4 lorsque le payeur initie une opération de paiement électronique ou exécute une opération par le biais d’un moyen de communication à distance, susceptible de comporter un risque de fraude en matière de paiement ou de toute autre utilisation frauduleuse. Et quand cette exigence n’est pas respectée, la protection du payeur est maximale : sauf agissement frauduleux de sa part, le payeur ne supporte aucune conséquence financière si l’opération de paiement non autorisée a été effectuée sans que le prestataire de services de paiement du payeur n’exige une authentification forte du payeur prévue à l’article L. 133-44. C’est exactement ce qu’a jugé la chambre commerciale le 22 octobre 2025 dans une affaire de virement frauduleux après hameçonnage : il résulte des articles L. 133-44, I et L. 133-19, V du code monétaire et financier que le prestataire de service de paiement doit appliquer l’authentification forte du client définie au f) de l’article L. 133-4 du même code en cas d’opération de paiement à distance et qu’à défaut, il doit rembourser au payeur le montant de l’opération non autorisée, sauf agissement frauduleux du payeur (Cour de cassation, chambre commerciale, 22 octobre 2025, pourvoi n° N 24-19.749, arrêt n° 525 F-D). Dans cette espèce, le tribunal avait constaté que le payeur avait commis une négligence grave en répondant à un courriel présentant des anomalies grossières qui auraient dû attirer son attention et en communiquant des données confidentielles dont les codes pour valider l’ajout d’un bénéficiaire et le virement, mais que la banque ne justifie toutefois pas avoir exigé du payeur l’activation de l’authentification forte, et la Cour a approuvé le tribunal qui a exactement déduit que la banque devait rembourser au payeur le montant de l’opération non autorisée. Autrement dit, même une négligence grave avérée du payeur ne dispense pas la banque de rembourser quand elle n’a pas elle-même appliqué l’authentification forte, hors le cas d’agissement frauduleux du payeur. Pour votre dossier d’entreprise, la méthode est donc claire : demandez à la banque de justifier, opération par opération, l’authentification forte appliquée ; si elle ne le peut pas, exigez le remboursement en visant cet arrêt du 22 octobre 2025 ; si elle invoque votre négligence grave, exigez des faits précis et opposez-lui les circonstances qui rendaient la fraude indécelable. Ajoutez que le plafond de 50 euros prévu pour la perte ou le vol d’un instrument ne concerne que ce cas particulier : en cas d’opération de paiement non autorisée consécutive à la perte ou au vol de l’instrument de paiement, le payeur supporte, avant l’information prévue à l’article L. 133-17, les pertes liées à l’utilisation de cet instrument, dans la limite d’un plafond de 50 euros. Pour un prélèvement SEPA émis avec un faux mandat, sans perte ni vol d’instrument, ce plafond n’a pas lieu de s’appliquer et la banque ne peut pas s’en prévaloir pour ne rembourser qu’au-delà de 50 euros.
B. À Paris et en Île-de-France : opposition, plainte, médiation et juge compétent, dans quel ordre agir ?
Quand le compte de votre entreprise est domicilié à Paris ou en Île-de-France, le plan d’action se déroule en cinq temps, sans en inverser l’ordre. Premier temps, le jour même de la découverte : faites opposition sur l’instrument compromis et révoquez le mandat. Appelez le numéro d’opposition de votre banque, confirmez par écrit, révoquez chaque mandat suspect et demandez par écrit la liste complète des mandats actifs avec leurs références uniques, afin de vérifier qu’aucun autre mandat frauduleux ne dort dans votre espace professionnel. Changez les habilitations de votre espace de banque en ligne et retirez temporairement les droits de validation aux postes exposés. Deuxième temps, dans la même semaine : adressez à la banque une réclamation écrite complète qui vise les bons textes. Rappelez la date des débits, leur montant et leur référence, affirmez l’absence d’autorisation ou le caractère inattendu du montant, visez le remboursement au plus tard à la fin du premier jour ouvrable suivant pour les opérations non autorisées, rappelez le délai de dix jours ouvrables pour les opérations autorisées au montant inattendu, et fixez à la banque un délai de réponse de quinze jours. Joignez les relevés annotés, la copie de la convention de compte avec le délai de contestation applicable, la révocation du mandat, le dépôt de plainte ou son récépissé et le chiffrage des préjudices annexes. Troisième temps : déposez plainte au commissariat ou à la brigade financière de votre arrondissement à Paris, ou auprès du groupement de gendarmerie compétent en grande couronne, pour escroquerie, faux et usage de faux et accès frauduleux à un système de traitement automatisé de données. La plainte ne déclenche pas automatiquement le remboursement, mais elle fige la fraude dans un procès-verbal, elle permet des réquisitions vers la banque du bénéficiaire pour identifier le destinataire des fonds et elle ouvre la voie à une constitution de partie civile si l’auteur est identifié. Si le faux mandat a été fabriqué au nom d’un véritable fournisseur dont la messagerie a été piratée, informez ce fournisseur par écrit : il est lui-même victime et sa coopération, notamment la transmission des en-têtes techniques des messages frauduleux, renforce votre dossier contre votre propre banque. Quatrième temps, si la banque refuse ou garde le silence : saisissez le médiateur bancaire, dont les coordonnées figurent sur vos relevés et dans votre convention de compte, en rappelant que la banque devait justifier son refus dans les dix jours ouvrables en indiquant la possibilité de recourir à la médiation. La médiation est gratuite pour le client, elle se déroule par écrit et elle aboutit souvent dans les trois mois. En parallèle, signalez les faits sur la plateforme dédiée au signalement des escroqueries et conservez le récépissé. Cinquième temps, si la médiation échoue : portez le litige devant le juge. Pour une entreprise demanderesse contre sa banque, le tribunal judiciaire de Paris est compétent pour les litiges civils liés au compte professionnel, tandis que le tribunal de commerce de Paris connaît des contestations entre commerçants quand le bénéficiaire du prélèvement est lui-même un professionnel que vous assignez en répétition de l’indu. Vérifiez la clause attributive de juridiction de votre convention de compte, mais gardez à l’esprit qu’une clause qui priverait l’entreprise d’un recours effectif peut être discutée. Devant le juge, structurez votre demande en trois étages : remboursement du principal en application du régime des opérations non autorisées ou des opérations autorisées au montant inattendu, intérêts majorés pour le retard de remboursement, et indemnisation des préjudices annexes sur justification, tels que les agios, les frais de rejet, le coût du découvert et la perte de trésorerie documentée. Demandez au juge d’enjoindre à la banque de produire les journaux d’authentification complets et la preuve de l’authentification forte appliquée opération par opération, puisque c’est à elle qu’incombe cette preuve. Si la banque persiste à invoquer votre négligence grave, opposez-lui les circonstances concrètes d’indécelabilité de la fraude et l’arrêt du 22 octobre 2025 quand l’authentification forte fait défaut. Les entreprises parisiennes ont un atout pratique : la proximité des juridictions, des brigades financières et du médiateur permet de faire avancer en parallèle la plainte pénale, la médiation et la procédure civile, et chaque avancée sur un front renforce les deux autres. Pour replacer cette fraude dans le contexte actuel des risques pesant sur les circuits de paiement et de courrier des entreprises, lisez aussi notre analyse des conséquences de la cyberattaque ayant paralysé un opérateur de courrier dématérialisé en septembre 2026 pour les entreprises clientes et leurs délais : Maileva à l’arrêt depuis le 23 septembre 2026 : ce que doivent décider entreprises clientes, fournisseurs et destinataires.
Conclusion
Un prélèvement SEPA frauduleux sur le compte de votre entreprise n’est jamais une fatalité comptable : c’est un litige bancaire qui se gagne avec de la rapidité, des écrits et les bons textes. Retenez l’essentiel : vérifiez immédiatement s’il s’agit d’une opération non autorisée ou d’une opération autorisée au montant inattendu, car les délais ne sont pas les mêmes ; contestez par écrit sans tarder et au plus tard dans les treize mois du débit pour une opération non autorisée, en relisant votre convention de compte qui peut prévoir un délai plus court pour les professionnels, ou dans les huit semaines pour une opération autorisée au montant inattendu ; révoquez le mandat, faites opposition et déposez plainte dans la foulée ; exigez le remboursement immédiat et mettez la banque face à sa propre charge de la preuve, sans accepter un refus fondé sur de simples journaux informatiques ; si la banque invoque votre négligence grave, demandez-lui des faits précis et vérifiez si elle a elle-même appliqué l’authentification forte, car son défaut lui impose de vous rembourser malgré votre négligence, hors fraude de votre part ; chiffrez les intérêts majorés et tous les préjudices annexes dès la première réclamation ; et si le refus persiste, saisissez le médiateur puis le juge, à Paris devant le tribunal judiciaire ou le tribunal de commerce selon le défendeur. Chaque étape doit laisser une trace écrite datée, car au moment de trancher, le juge ne retiendra que ce que votre dossier prouve. Les fraudes aux prélèvements prospèrent sur la lenteur des victimes : une entreprise qui conteste dans la semaine, révoque, porte plainte et vise les textes applicables se place d’emblée en position de force face à sa banque.
Besoin d’un avis rapide sur votre dossier.
Consultation téléphonique en 48 heures avec un avocat du cabinet, à Paris et en Île-de-France comme à distance. Consultation téléphonique : 80 EUR TTC. Appelez le 06 46 60 58 22 ou écrivez via notre page contact en décrivant le prélèvement contesté, son montant et sa date : nous vous indiquons le délai applicable, la stratégie de remboursement et les pièces à réunir.