Vendredi, 17 heures. Votre comptable vous appelle : le virement de 38 000 euros adressé à votre fournisseur habituel est parti vers un compte inconnu. Le relevé d’identité bancaire avait changé la semaine dernière, un courriel poli annonçait de nouvelles coordonnées, tout semblait en ordre. Le véritable fournisseur, lui, réclame toujours son dû. L’argent, lui, a déjà quitté le compte de la société. Ce scénario, qui frappe chaque semaine des entreprises françaises, porte un nom : la fraude au faux RIB. Depuis le 9 octobre 2025, les banques de la zone euro appliquent la vérification du bénéficiaire prévue par le règlement européen 2024/886, un dispositif présenté par la Direction de l’information légale et administrative dans une actualité publiée le 29 septembre 2025. Un an après son déploiement, les faux RIB circulent toujours et les litiges avec les banques se multiplient. La question que chaque dirigeant pose alors est simple : qui paie ? La banque doit-elle rembourser la société ? Faut-il déposer plainte ? Comment récupérer les fonds et éviter que la fraude ne se répète ? Les réponses tiennent en deux mouvements : contester le virement auprès de la banque pour obtenir le remboursement, puis poursuivre l’auteur de la fraude tout en verrouillant les procédures internes de paiement.
I. Votre comptable a payé un faux RIB : comment contester le virement et obtenir le remboursement de la banque
A. Signaler sans tarder l’opération et exiger le remboursement immédiat du compte de la société
La première heure qui suit la découverte de la fraude décide souvent de l’issue du dossier. Tant que les fonds n’ont pas été dispersés vers d’autres comptes, un rappel de virement reste envisageable. Dès que la société constate qu’un virement est parti vers un faux RIB, elle doit appeler sa banque, demander par écrit le rappel des fonds et l’opposition à leur dispersion, puis confirmer la contestation par lettre recommandée ou par message sécurisé dans l’espace client. Chaque appel doit être noté avec la date, l’heure et le nom de l’interlocuteur. Si la banque tarde à réagir, sa responsabilité pour retard dans l’exécution de ses obligations pourra être recherchée sur le fondement du droit commun, car « Le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure. »
Le texte central du dossier est l’article L. 133-18 du code monétaire et financier, qui impose à la banque un remboursement rapide : « le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, sauf s’il a de bonnes raisons de soupçonner une fraude de l’utilisateur du service de paiement et s’il communique ces raisons par écrit à la Banque de France. » Le même article ajoute que « le prestataire de services de paiement du payeur rétablit le compte débité dans l’état où il se serait trouvé si l’opération de paiement non autorisée n’avait pas eu lieu. » Concrètement, la société qui conteste le virement doit voir son compte recrédité au plus tard le premier jour ouvrable suivant sa contestation, avec la même date de valeur que le débit, sauf si la banque soupçonne la société elle-même d’avoir organisé la fraude et écrit en ce sens à la Banque de France. Cette exception reste étroite : une simple négligence du comptable ne constitue pas une fraude de l’utilisateur. Des intérêts majorés sanctionnent la banque qui tarde : les sommes dues produisent intérêt au taux légal majoré, avec une majoration croissante au-delà de sept jours puis de trente jours de retard.
Le délai pour contester est encadré par l’article L. 133-24 du même code : « L’utilisateur de services de paiement signale, sans tarder, à son prestataire de services de paiement une opération de paiement non autorisée ou mal exécutée et au plus tard dans les treize mois suivant la date de débit sous peine de forclusion à moins que le prestataire de services de paiement ne lui ait pas fourni ou n’ait pas mis à sa disposition les informations relatives à cette opération de paiement conformément au chapitre IV du titre 1er du livre III. » Pour une société agissant pour des besoins professionnels, la convention de compte peut prévoir un délai distinct, parfois plus court. La vérification des relevés doit donc devenir un réflexe mensuel du dirigeant ou de l’expert-comptable : un faux RIB découvert quatorze mois après le débit risque de se heurter à la forclusion, et la banque refusera alors tout remboursement sur ce fondement. En pratique, la contestation intervient presque toujours dans les jours qui suivent le virement, quand le vrai fournisseur relance pour impayé. Ce moment doit déclencher immédiatement la procédure écrite : rappel des fonds, contestation de l’opération, demande de remboursement sur le fondement de l’article L. 133-18.
La banque oppose fréquemment deux arguments : le virement aurait été autorisé puisque le comptable l’a lui-même saisi et validé, et la société aurait commis une négligence grave en ne vérifiant pas le RIB. Ces deux objections doivent être examinées séparément. D’abord, un ordre de paiement extorqué par tromperie n’est pas un consentement éclairé : la société croyait payer son fournisseur, elle a été trompée par un faux RIB usurpant son identité. Ensuite, la négligence grave ne se présume pas. L’article L. 133-19 du code monétaire et financier prévoit que « Le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17. » Les obligations visées sont précises : « Dès qu’il reçoit un instrument de paiement, l’utilisateur de services de paiement prend toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées. » Transmettre ses codes à un tiers ou laisser un poste comptable sans protection caractérise une telle négligence. En revanche, recevoir un courriel frauduleux imitant parfaitement le fournisseur, avec son logo, sa signature et un RIB au nom d’une société au libellé proche, ne révèle pas à lui seul une négligence grave de la société, surtout si aucune alerte n’a été émise par la banque au moment du virement. C’est à la banque de prouver la négligence grave, pas à la société de prouver sa vigilance. La Cour de cassation l’a rappelé dans un litige opposant une société à son établissement bancaire après un virement contesté du 20 mai 2014 : la société soutenait qu’il ne lui incombe pas de prouver que l’opération était frauduleuse mais qu’il appartient au contraire à la banque de prouver que l’opération a été dûment authentifiée, et le pourvoi de la banque contre sa condamnation à rembourser a été rejeté par la chambre commerciale le 9 octobre 2019.
B. Quand la banque refuse de rembourser : anomalie apparente, devoir de vigilance et vérification du bénéficiaire depuis octobre 2025
Lorsque la banque refuse le remboursement, le dossier bascule sur un second terrain : son devoir de vigilance. Le banquier ne doit pas s’immiscer dans les affaires de son client, mais il doit détecter les anomalies apparentes des ordres de paiement et alerter avant d’exécuter. La Cour de cassation a fixé le curseur dans un arrêt de la chambre commerciale du 2 octobre 2024 qui concerne directement les entreprises : « entre le 11 et le 22 décembre 2017, la comptable de la société Le Cerf & Bachelet (la société) a adressé à la société banque CIC Nord-Ouest (la banque) sept ordres de virement d’un montant total de 2 121 903,81 euros au profit du compte d’une société située à Hong-Kong. » La société expliquait que sa salariée avait agi sur instruction de courriels émanant d’un tiers qui usurpait l’identité de son dirigeant. La cour d’appel de Douai avait condamné la banque à payer plus d’un million d’euros, et la Cour de cassation a rejeté le pourvoi de l’établissement. Le motif intéresse chaque société victime d’un faux RIB : « faisant ressortir l’existence d’anomalies apparentes affectant les ordres de paiement, la cour d’appel a exactement retenu que la banque était tenue d’alerter la société afin d’obtenir la confirmation des ordres litigieux en exécution de son obligation de vigilance. » Les juges avaient relevé le caractère rapproché et répété des ordres, la période de fin d’année, des montants élevés sans rapport avec les ordres habituels et des bénéficiaires situés hors de l’espace habituel d’activité de la société. Surtout, la Cour a approuvé les juges d’appel d’avoir exigé une vérification auprès du dirigeant lui-même : « la banque aurait dû vérifier la régularité des ordres de virement auprès du dirigeant, seule personne contractuellement habilitée à les valider. » Appeler la comptable qui exécutait les ordres ne suffisait pas, car elle n’était pas la détentrice du pouvoir de valider les virements.
Ce raisonnement se transpose aux faux RIB adressés par un prétendu fournisseur. Un premier virement vers un nouveau bénéficiaire, d’un montant inhabituel, vers un compte ouvert dans un autre pays ou dans une banque en ligne inconnue, constitue une anomalie que la banque doit repérer. Sept virements en onze jours vers Hong-Kong pour une société qui ne travaillait jamais avec la Chine ont caractérisé l’anomalie dans l’affaire jugée en 2024. Pour une petite société qui règle habituellement des factures de quelques milliers d’euros en France, un virement unique de 38 000 euros vers un compte nouvellement enregistré doit déclencher la même alerte. La société doit donc demander à la banque, par écrit, quelles vérifications elle a effectuées avant d’exécuter : contrôle du couple nom du bénéficiaire et IBAN, appel de confirmation, message d’alerte dans l’espace client. L’absence de toute vérification, alors que l’opération présentait des signes inhabituels, engage la responsabilité contractuelle de la banque sur le fondement de l’article 1231-1 du code civil, qui prévoit que « Le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure. »
Depuis le 9 octobre 2025, un argument nouveau renforce la position des sociétés : la vérification du bénéficiaire, dite VoP. Selon l’actualité publiée le 29 septembre 2025 par la Direction de l’information légale et administrative, depuis le 9 octobre 2025, les banques de la zone euro appliquent un système de vérification du bénéficiaire Le dispositif est déployé conformément au règlement européen 2024/886 par les prestataires de services de paiement, dans toute la zone euro, avec un objectif affiché : afin de mieux protéger les usagers contre l’usurpation d’identité et les RIB manipulés. Concrètement, la banque vérifie que le nom du bénéficiaire renseigné par le client correspond bien au titulaire de l’IBAN saisi, avant l’exécution du virement, et affiche un avertissement en cas de discordance. Pour une société victime d’un faux RIB après cette date, trois questions doivent être posées à la banque : la vérification a-t-elle été effectuée, quel résultat a-t-elle donné, et quel avertissement a été affiché au comptable avant validation. Si la banque n’a pas effectué la vérification ou n’a pas alerté alors que le nom ne correspondait pas à l’IBAN, sa faute devient difficile à contester. Si elle a affiché une alerte et que le comptable l’a ignorée, la banque invoquera la négligence de la société, et le débat se déplacera sur la clarté de l’avertissement et la formation du personnel. Dans les deux cas, la société doit exiger la production des journaux de vérification et des écrans d’alerte horodatés. Un an après l’entrée en vigueur du dispositif, les établissements qui n’auraient toujours pas déployé la vérification ou qui l’auraient déployée de façon purement formelle s’exposent à des condamnations, car les juges apprécient désormais la vigilance bancaire à l’aune de cet outil.
Face au refus persistant de la banque, la société dispose d’un escalier de recours précis. D’abord, la réclamation écrite auprès du service réclamations de la banque, avec rappel du fondement de l’article L. 133-18 et un délai de réponse de quinze jours ouvrables. Ensuite, la saisine du médiateur bancaire, ouverte au client et suspensive des poursuites éventuelles de la banque pendant l’instruction. En parallèle, un signalement à l’Autorité de contrôle prudentiel et de résolution permet de documenter un manquement aux obligations de sécurité des paiements. Enfin, l’assignation devant le tribunal : tribunal de commerce si les deux parties sont commerçantes, tribunal judiciaire dans les autres cas. La demande cumule le remboursement du montant du virement sur le fondement de l’article L. 133-18 et des dommages et intérêts pour manquement au devoir de vigilance sur le fondement de l’article 1231-1 du code civil. Les pièces décisives sont le faux courriel avec ses en-têtes complets, le faux RIB, l’ordre de virement, les relevés montrant l’absence de relation antérieure avec le bénéficiaire, la chronologie des alertes adressées à la banque et les journaux de vérification du bénéficiaire. Les sociétés qui souscrivent une assurance fraude ou une assurance cyber doivent déclarer le sinistre dans le délai de la police, souvent de cinq jours, car l’assureur peut prendre en charge une partie du préjudice lorsque la banque refuse de rembourser. Les règles applicables au recouvrement des factures impayées quand le client rencontre des difficultés, détaillées dans l’analyse des recours contre les factures impayées et de l’injonction de payer, complètent utilement ce volet lorsque le vrai fournisseur, toujours impayé, menace de suspendre ses livraisons.
II. Déposer plainte, faire condamner le fraudeur et verrouiller les paiements de votre société
A. Déposer plainte pour escroquerie, se constituer partie civile et récupérer les fonds détournés
Le remboursement par la banque n’épuise pas le dossier : l’auteur du faux RIB a commis une infraction pénale, et la société a intérêt à le poursuivre pour augmenter ses chances de récupérer les fonds et obtenir des dommages et intérêts complémentaires. La qualification applicable est l’escroquerie, définie par l’article 313-1 du code pénal : « L’escroquerie est le fait, soit par l’usage d’un faux nom ou d’une fausse qualité, soit par l’abus d’une qualité vraie, soit par l’emploi de manoeuvres frauduleuses, de tromper une personne physique ou morale et de la déterminer ainsi, à son préjudice ou au préjudice d’un tiers, à remettre des fonds, des valeurs ou un bien quelconque, à fournir un service ou à consentir un acte opérant obligation ou décharge. » Le faux RIB envoyé sous l’identité du fournisseur réunit chaque élément : usage d’un faux nom ou d’une fausse qualité, manoeuvres frauduleuses caractérisées par la fabrication d’un faux relevé et l’usurpation de l’adresse de messagerie, remise volontaire de fonds par la société trompée. Le texte précise que « L’escroquerie est punie de cinq ans d’emprisonnement et de 375 000 euros d’amende. » Lorsque l’escroquerie est commise en bande organisée ou au préjudice d’une personne vulnérable, les peines sont aggravées, mais la qualification de base suffit pour déclencher l’enquête. D’autres qualifications peuvent s’ajouter selon les procédés : faux et usage de faux pour le RIB fabriqué, usurpation d’identité numérique, blanchiment pour la circulation des fonds entre comptes rebonds.
La plainte doit être déposée vite, car les fonds transitent rapidement vers l’étranger. La société peut déposer plainte au commissariat ou à la gendarmerie, écrire au procureur de la République du lieu de l’infraction ou du siège social, ou utiliser la plainte en ligne pour les faits d’escroquerie sur internet. Le dépôt doit joindre le faux courriel avec ses en-têtes techniques complets, le faux RIB, la facture d’origine, l’ordre de virement et le relevé du compte bénéficiaire si la banque l’a communiqué. La société doit demander expressément la réquisition des données de connexion et la saisie conservatoire des fonds sur le compte destinataire avant leur dispersion. Chaque jour compte : une fois les fonds convertis en cryptomonnaies ou transférés hors d’Europe, leur récupération devient illusoire. La constitution de partie civile, devant le juge d’instruction ou devant le tribunal correctionnel, permet de réclamer la réparation du préjudice : montant du virement si la banque n’a pas remboursé, frais bancaires, coût de l’expertise informatique, perte d’exploitation liée à la suspension des approvisionnements. Le fondement civil de cette demande est l’article 1240 du code civil : « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer. » La Cour de cassation a rappelé la portée de ce texte dans un arrêt du 22 janvier 2020 rendu en matière d’opérations de paiement contestées, en visant expressément « l’article 1382, devenu 1240, du code civil » pour examiner le recours entre coresponsables d’une fraude aux paiements. La société qui a été remboursée par sa banque peut encore se constituer partie civile pour son préjudice résiduel, et la banque remboursée exercera elle-même son propre recours contre le fraudeur.
La récupération effective des fonds emprunte trois voies complémentaires. D’abord, le rappel interbancaire : la banque de la société demande à la banque du compte destinataire le retour des fonds, et cette dernière doit geler les sommes encore disponibles dès réception d’une réquisition judiciaire. Ensuite, la saisie pénale des avoirs criminels par l’Agence de gestion et de recouvrement des avoirs saisis et confisqués, qui permet de conserver les fonds jusqu’au jugement. Enfin, l’action contre le titulaire du compte destinataire, souvent un complice qui a prêté son compte contre rémunération : sa responsabilité délictuelle est engagée sur le fondement de l’article 1240, et sa condamnation solidaire avec l’organisateur de la fraude offre un débiteur solvable quand l’organisateur reste introuvable. La société doit aussi informer son assureur : les polices fraude, cyber et responsabilité des dirigeants couvrent parfois le détournement de fonds par ingénierie sociale, sous réserve d’une déclaration rapide et de la preuve que les procédures internes de vérification ont été respectées. Lorsque le virement contesté provoque un découvert et que la banque bloque le compte de la société, les démarches de déblocage décrites dans le guide de contestation d’une saisie-attribution et d’obtention d’une mainlevée permettent de préserver la trésorerie pendant l’enquête. Si le fournisseur impayé assigne la société en paiement alors que les fonds ont été détournés, la société reste tenue de payer le prix contractuel au véritable créancier, car le paiement effectué entre les mains d’un tiers non autorisé ne libère pas le débiteur : elle devra payer deux fois, puis récupérer le premier virement auprès de la banque ou du fraudeur.
B. Agir depuis Paris et l’Île-de-France : juridictions compétentes, délais pratiques et pièces à préparer
Pour une société dont le siège se trouve à Paris ou en Île-de-France, le choix de la juridiction et l’organisation du dossier obéissent à des règles précises. Au civil, l’action en remboursement contre la banque relève du tribunal de commerce de Paris lorsque la société et la banque sont toutes deux commerçantes, ce qui est le cas général pour un compte professionnel. La convention de compte peut contenir une clause attributive de juridiction, qu’il faut vérifier avant d’assigner. L’assignation doit chiffrer chaque poste : montant du virement détourné, intérêts de retard calculés au taux légal majoré en cas de manquement de la banque à l’obligation de remboursement du lendemain du premier jour ouvrable, frais d’expertise informatique, surcoût de trésorerie lié au double paiement du fournisseur. Au pénal, la plainte peut être déposée au commissariat de l’arrondissement du siège, à la brigade de répression de la délinquance astucieuse de la préfecture de police de Paris pour les montants importants, ou directement auprès du procureur de la République du tribunal judiciaire de Paris par lettre recommandée avec accusé de réception. Les sociétés franciliennes peuvent aussi passer par la plateforme de signalement sur internet pour les escroqueries en ligne, puis confirmer par un dépôt de plainte physique afin d’obtenir un récépissé, pièce indispensable pour l’assureur.
Les délais parisiens doivent être intégrés dans la stratégie. Le rappel interbancaire n’a de chance de succès que dans les quarante-huit heures suivant le virement, avant l’éclatement des fonds. La contestation écrite auprès de la banque doit donc partir le jour même de la découverte, et la plainte dans la semaine. La médiation bancaire prend ensuite deux à trois mois, et une assignation devant le tribunal de commerce de Paris met généralement entre douze et dix-huit mois avant un jugement au fond, avec la possibilité d’un référé pour obtenir une provision lorsque l’obligation de remboursement paraît non sérieusement contestable. Les pièces à réunir sans attendre sont les suivantes : le courriel frauduleux exporté avec ses en-têtes complets et jamais transféré de façon à en altérer les métadonnées, le faux RIB et le vrai RIB du fournisseur pour comparaison, la facture concernée et l’historique des paiements antérieurs au même fournisseur, l’ordre de virement litigieux et les relevés bancaires des douze derniers mois montrant le caractère inhabituel de l’opération, les captures des alertes affichées ou non par la banque lors de la saisie du bénéficiaire, la chronologie horodatée des appels et courriels adressés à la banque, le récépissé de plainte et le contrat d’assurance fraude. Un constat de commissaire de justice des contenus de la messagerie et de l’espace client bancaire fige les preuves avant toute suppression. La société doit enfin verrouiller immédiatement sa procédure interne : double validation des changements de RIB par appel au numéro connu du fournisseur, interdiction de valider un nouveau bénéficiaire sur la seule foi d’un courriel, plafond d’alerte pour les premiers virements vers un nouveau compte, formation du personnel comptable aux signaux de l’usurpation. Ces mesures, documentées par écrit, serviront deux fois : elles préviennent la récidive et elles démontrent, face à la banque qui invoquerait une négligence grave, que la société prend toute mesure raisonnable pour préserver la sécurité de ses instruments de paiement.
Conclusion
Un faux RIB payé par le comptable n’est pas une fatalité comptable : c’est un litige à trois branches qui se gagne par la rapidité et la preuve. Le premier réflexe consiste à contester le virement par écrit et à exiger le remboursement du compte au plus tard le premier jour ouvrable suivant, sur le fondement de l’article L. 133-18 du code monétaire et financier, dans le délai de treize mois de l’article L. 133-24. Le deuxième consiste à refuser les fins de non-recevoir automatiques : la banque doit prouver la négligence grave de la société, et sa propre vigilance s’apprécie à l’aune des anomalies apparentes sanctionnées par la Cour de cassation le 2 octobre 2024, ainsi que de la vérification du bénéficiaire déployée depuis le 9 octobre 2025 en application du règlement européen 2024/886. Le troisième consiste à déposer plainte pour escroquerie, à se constituer partie civile et à activer l’assurance fraude, car le paiement versé au fraudeur ne libère pas la société envers son véritable fournisseur. Les sociétés parisiennes et franciliennes disposent d’interlocuteurs identifiés, du tribunal de commerce de Paris à la brigade financière de la préfecture de police, pour mener ces trois actions de front. Le dossier qui réunit une contestation immédiate, des preuves numériques préservées et une procédure de double validation documentée met la banque face à ses obligations et prive le fraudeur de l’impunité sur laquelle repose toute la fraude au faux RIB.