Vous recevez la facture d’un fournisseur connu, avec un nouveau RIB joint au message : changement de banque, vous dit-on, payez vite pour ne pas bloquer le chantier ou la livraison. Vous virez 20 000, 50 000, parfois plus de 100 000 euros. Puis le vrai fournisseur relance pour impayé, et le sang se glace : le message venait d’un escroc, le compte appartient à un inconnu, l’argent s’est déjà envolé. Cette arnaque au faux RIB frappe les entreprises de toutes tailles, les SCI, les copropriétés et les particuliers au moment des gros paiements. En octobre 2026, pendant le Cybermois, les tentatives se multiplient après les grandes fuites de données de l’année, et un service nouveau change la donne : depuis le 9 octobre 2025, les banques de la zone euro doivent vérifier que le nom du bénéficiaire correspond au compte avant d’exécuter le virement. La Cour de cassation, dans un arrêt du 1er octobre 2025, et le tribunal judiciaire de Paris, dans un jugement du 28 janvier 2026, viennent de préciser quand la banque doit rembourser et quand elle peut refuser. Voici, pas à pas, comment contester le virement, déposer plainte utilement et obtenir réparation.

I. Vous avez payé sur un faux RIB : stopper l’hémorragie dans les premières heures

Les premières heures décident souvent de tout : un virement SEPA ordinaire peut encore être rappelé s’il n’a pas été compensé, les fonds peuvent être gelés sur le compte d’arrivée si la banque du bénéficiaire réagit vite, et chaque preuve conservée servira ensuite contre la banque, contre le fournisseur négligent ou contre l’escroc. Deux réflexes s’imposent en parallèle, l’un vers la banque, l’autre vers la police ou la gendarmerie.

A. Contester le virement détourné et exiger le rappel des fonds : que demander à votre banque

Appelez immédiatement le service fraude de votre banque, puis confirmez par écrit : opposez-vous à l’exécution si le virement est encore en cours et demandez le rappel des fonds, c’est-à-dire la procédure de recall vers la banque du compte destinataire. Conservez l’horodatage de chaque appel et de chaque message : en cas de litige, le juge vérifiera que vous avez agi sans tarder. Adressez ensuite une réclamation écrite au service réclamations de l’établissement, avec le RIB utilisé, la facture falsifiée, le message piégé et vos relevés. Cette réclamation ouvre le délai de réponse de la banque et prépare la saisine du médiateur bancaire si la réponse ne vient pas ou ne convient pas.

Pour comprendre la réponse que la banque vous opposera presque à chaque fois, il faut lire le texte qui fonde sa défense. L’article L. 133-21 du code monétaire et financier dispose : « Un ordre de paiement exécuté conformément à l’identifiant unique fourni par l’utilisateur du service de paiement est réputé dûment exécuté pour ce qui concerne le bénéficiaire désigné par l’identifiant unique. Si l’identifiant unique fourni par l’utilisateur du service de paiement est inexact, le prestataire de services de paiement n’est pas responsable de la mauvaise exécution ou de la non-exécution de l’opération de paiement. » L’identifiant unique, pour un virement, c’est l’IBAN : si vous avez vous-même fourni l’IBAN de l’escroc, la banque répondra que le virement est réputé bien exécuté et qu’elle n’avait pas à vérifier que le nom du bénéficiaire correspondait au compte. Cette fin de non-recevoir n’est pourtant pas la fin de l’histoire, car le même article ajoute une obligation souvent oubliée : « Toutefois, le prestataire de services de paiement du payeur s’efforce de récupérer les fonds engagés dans l’opération de paiement. » Exigez donc par écrit que votre banque engage cette procédure de récupération et qu’elle réclame à la banque du bénéficiaire « toutes les informations utiles pour récupérer les fonds ». Si la récupération échoue, le texte prévoit que la banque « met à disposition du payeur, à sa demande, les informations qu’il détient pouvant documenter le recours en justice du payeur en vue de récupérer les fonds » : demandez l’identité du titulaire du compte d’arrivée et les références de la banque destinataire, ces éléments sont indispensables pour assigner ensuite.

Ne confondez pas votre situation avec celle d’une opération non autorisée, qui obéit à un régime bien plus favorable. L’article L. 133-18 du code monétaire et financier prévoit : « En cas d’opération de paiement non autorisée signalée par l’utilisateur dans les conditions prévues à l’article L. 133-24 , le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant ». Mais un virement que vous avez vous-même validé, même trompé par un faux RIB, reste une opération autorisée : vous avez donné votre consentement, l’IBAN était erroné mais l’ordre venait bien de vous. Le remboursement automatique du lendemain ne s’applique donc pas, et c’est sur le terrain de la vigilance de la banque, examiné plus loin, que se jouera le remboursement. Retenez en revanche le délai de l’article L. 133-24 du code monétaire et financier : l’utilisateur « signale, sans tarder, à son prestataire de services de paiement une opération de paiement non autorisée ou mal exécutée et au plus tard dans les treize mois suivant la date de débit sous peine de forclusion ». Signalez donc par écrit dans les treize mois dans tous les cas, et le plus tôt possible en pratique, car chaque semaine perdue rend le rappel des fonds plus illusoire.

Depuis le 9 octobre 2025, un argument nouveau pèse dans la discussion avec votre banque : la vérification du bénéficiaire. Toutes les banques de la zone euro déploient le service de Verification of Payee en application du règlement européen 2024/886, comme l’annonce la Fédération bancaire française : avant d’exécuter un virement, l’établissement doit signaler toute incohérence entre le nom du bénéficiaire saisi et le titulaire réel du compte (le service de vérification du bénéficiaire déployé à partir du 9 octobre 2025 en application du règlement européen 2024/886). Si votre banque a exécuté après octobre 2025 un virement vers un compte dont le titulaire affiché ne correspondait manifestement pas à votre fournisseur, sans alerte ni vérification préalable, relevez-le dans votre réclamation : l’absence d’alerte, combinée à une anomalie visible sur la facture ou le RIB, nourrit le grief de manquement à la vigilance. Demandez à la banque les journaux de cette vérification pour votre opération, ainsi que la copie de l’ordre signé et de l’IBAN tel qu’il a été saisi : ces pièces diront si une alerte a été émise et ignorée, ou si le contrôle promis n’a pas fonctionné.

Rassemblez dès le premier jour un dossier complet, car le juge civil comme le juge pénal statueront sur pièces : le message piégé avec ses en-têtes complets, la facture falsifiée et la vraie facture du fournisseur pour comparaison, le RIB authentique et le faux RIB, vos relevés bancaires, l’ordre de virement, vos échanges avec la banque et avec le fournisseur, et la copie de votre dépôt de plainte que la banque pourra exiger pour instruire le rappel des fonds. La fiche réflexe officielle du dispositif d’assistance aux victimes d’actes de cybermalveillance résume la marche à suivre et rappelle les bons réflexes de conservation des preuves (que faire en cas de fraude au virement ou au faux RIB). Si la messagerie de votre entreprise a servi de vecteur, faites constater par photos et captures d’écran les éventuelles règles de redirection ou de filtrage ajoutées à votre insu avant de les supprimer, changez les mots de passe et prévenez le créancier dont l’identité a été usurpée : son propre système a peut-être été piraté, et son attitude décidera de la suite du contentieux sur la dette.

B. Déposer plainte pour escroquerie et figer les preuves : le réflexe pénal qui conditionne tout

Le faux RIB n’est pas un simple incident commercial, c’est une infraction pénale, et le dépôt de plainte rapide conditionne le gel des fonds, l’enquête sur le compte d’arrivée et votre future constitution de partie civile. L’article 313-1 du code pénal définit l’escroquerie comme « le fait, soit par l’usage d’un faux nom ou d’une fausse qualité, soit par l’abus d’une qualité vraie, soit par l’emploi de manoeuvres frauduleuses, de tromper une personne physique ou morale et de la déterminer ainsi, à son préjudice ou au préjudice d’un tiers, à remettre des fonds, des valeurs ou un bien quelconque, à fournir un service ou à consentir un acte opérant obligation ou décharge », punie de « cinq ans d’emprisonnement et de 375 000 euros d’amende ». L’envoi d’une fausse facture avec un RIB substitué, après usurpation de l’identité de votre fournisseur, correspond trait pour trait à cette définition : faux nom, manœuvres frauduleuses et remise de fonds. Déposez plainte au commissariat ou à la brigade de gendarmerie, ou par écrit auprès du procureur de la République du tribunal judiciaire de votre domicile ou de votre siège social, en joignant tout le dossier constitué : le récépissé de plainte servira auprès de votre banque et de votre assurance.

Lorsque l’escroquerie a transité par une messagerie piratée, deux infractions complémentaires doivent figurer dans la plainte. L’article 323-1 du code pénal punit : « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 € d’amende. Lorsqu’il en est résulté soit la suppression ou la modification de données contenues dans le système, soit une altération du fonctionnement de ce système, la peine est de cinq ans d’emprisonnement et de 150 000 € d’amende. » Le piratage de la boîte mail du fournisseur, ou de la vôtre, entre dans ce texte. De même, l’article 226-15 du code pénal réprime « le fait, commis de mauvaise foi, d’intercepter, de détourner, d’utiliser ou de divulguer des correspondances émises, transmises ou reçues par la voie électronique », puni d’un an d’emprisonnement et de 45 000 euros d’amende. Viser ces textes n’est pas de la surenchère : cela oriente l’enquête vers les traces techniques, adresses IP, journaux de connexion et comptes d’arrivée, et cela permet de demander des actes d’investigation ciblés plutôt qu’un classement sans suite.

En pratique, multipliez les guichets sans attendre. Signalez les faits sur la plateforme THESEE du ministère de l’Intérieur lorsque la messagerie a été piratée, contactez la plateforme Info Escroqueries pour être orienté, et faites établir par un huissier, aujourd’hui commissaire de justice, un constat des messages, des factures et des anomalies du RIB si l’enjeu le justifie. Si votre entreprise a subi une fuite de données qui a rendu l’usurpation possible, les réflexes sont les mêmes que ceux décrits après les grandes cyberattaques de l’année, dont les vagues d’hameçonnage qui ont suivi : alerter, figer les preuves, notifier et porter plainte (données personnelles piratées : que faire après la cyberattaque visant l’Afpa). Prévenez aussi votre assureur cyber ou votre assurance protection juridique dans le délai du contrat, souvent de quelques jours : la garantie peut prendre en charge l’enquête privée sur le compte d’arrivée et les frais de procédure. Enfin, si le compte destinataire est à l’étranger, signalez-le expressément aux enquêteurs : le rappel des fonds hors zone euro obéit à d’autres circuits, et seule une réquisition rapide vers la banque d’arrivée permet un gel avant dispersion.

II. Qui paie à la fin : obtenir le remboursement de la banque ou la réparation devant le juge

Une fois l’urgence passée, la question financière demeure : l’argent parti sur le compte de l’escroc est-il définitivement perdu, la banque doit-elle le rembourser, et le fournisseur peut-il réclamer une seconde fois le paiement ? La jurisprudence récente a tranché avec une logique à deux étages : la banque qui exécute l’IBAN que vous lui avez donné n’est en principe pas responsable, sauf si le virement présentait une anomalie apparente qu’un professionnel diligent aurait dû déceler. Trois décisions rendues entre 2024 et 2026 illustrent ce partage, et elles dessinent votre stratégie.

A. Quand la banque doit rembourser le virement exécuté sur un faux RIB : l’anomalie apparente inexploitée

Le principe posé par la Cour de cassation est sévère pour le client, et il faut le connaître avant d’assigner. Dans un arrêt du 1er octobre 2025 (pourvoi numéro 24-17.306), la chambre commerciale, financière et économique a cassé l’arrêt d’une cour d’appel qui avait condamné une banque pour manquement à son devoir de vigilance après huit virements vers des sociétés contestées (arrêt du 1er octobre 2025, pourvoi numéro 24-17.306). La Cour rappelle d’abord que « Mme [Z] n’ayant pas contesté devant la cour d’appel avoir autorisé les virements litigieux ni allégué que l’IBAN qu’elle avait remis à la banque n’était pas celui de la société qui devait en être bénéficiaire, l’article L. 133-21 du code monétaire et financier n’était par conséquent pas applicable », de sorte que le raisonnement sur le régime exclusif devait être mené et que le régime exclusif du code monétaire et financier devait être examiné. Surtout, elle fixe la limite du devoir de vigilance dans une formule appelée à être reprise dans tous les litiges de faux RIB : « Le banquier, tenu à une obligation de non-ingérence dans les affaires de son client, ne doit l’alerter qu’en présence d’ordres de paiement présentant des anomalies apparentes détectables par un professionnel normalement diligent, sans s’immiscer dans l’opportunité des opérations financées. » En l’espèce, la cour d’appel s’était contentée de factures aux intitulés obscurs et de frais jugés irrationnels : la cassation est intervenue parce que ces bizarreries tenaient à l’opportunité de l’opération financée, que la banque n’a pas à juger, et non à une anomalie apparente de l’ordre de paiement lui-même. La leçon est directe : pour faire condamner votre banque, ne lui reprochez pas de ne pas avoir deviné l’escroquerie, démontrez une anomalie visible sur l’ordre, le RIB ou le fonctionnement du compte, que le guichetier ou l’automate aurait dû repérer.

L’arrêt de la cour d’appel de Paris du 2 octobre 2024 (numéro de répertoire général 22/13776) montre à quoi ressemble une anomalie apparente qui fait condamner la banque (arrêt de la cour d’appel de Paris du 2 octobre 2024, RG 22/13776). Une cliente avait ordonné en agence un virement de 139 000 euros destiné à sa sœur, sur la foi d’un RIB falsifié reçu par courrier électronique détourné ; la banque invoquait l’article L. 133-21 et l’absence d’obligation de contrôler la finalité de l’opération ou l’identité du destinataire. La cour a confirmé le jugement qui condamnait la banque à payer les 139 000 euros avec intérêts au taux légal, plus 3 000 euros de frais, par un dispositif net : « CONFIRME le jugement entrepris en toutes ses dispositions ». Le motif décisif tient aux falsifications grossières et apparentes de la copie photographiée du RIB remise au guichet : le code BIC ne correspondait pas à celui de la banque destinataire, des codes et des chiffres avaient été visiblement modifiés, avec décalage, typographie altérée et traces apparentes, alors même que le montant du virement était inhabituel par son importance. La cour en déduit que l’exercice par la banque de son devoir de vigilance aurait permis d’éviter le virement et donc l’entier préjudice. Transposez ce raisonnement à votre faux RIB professionnel : BIC incohérent avec la banque du fournisseur, IBAN d’un pays sans rapport avec la relation d’affaires, montant brutalement inhabituel sur le compte, bénéficiaire jamais rencontré auparavant, facture aux mentions modifiées maladroitement. Chacun de ces indices, relevé sur pièces et attesté par constat, transforme le refus de remboursement de la banque en faute engageant sa responsabilité contractuelle, sur le fondement de l’article 1231-1 du code civil : « Le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure. »

Le contre-exemple, tout aussi instructif, est le jugement du tribunal judiciaire de Paris du 28 janvier 2026 (numéro de répertoire général 24/02035), qui déboute une société cliente après un faux RIB à 51 600 euros (jugement du tribunal judiciaire de Paris du 28 janvier 2026, RG 24/02035). Les faits ressemblent à des centaines de dossiers d’entreprise : l’architecte transmet une première facture de maçonnerie avec l’IBAN authentique, puis une seconde facture identique en apparence mais avec un IBAN falsifié après piratage de la messagerie d’un gérant ; le gérant annote la facture falsifiée de la mention manuscrite d’aval et la transmet à la banque, qui exécute le virement conformément à l’IBAN fourni. La société réclamait le remboursement sur le fondement des articles L. 133-3, L. 133-6 et L. 133-18 du code monétaire et financier et des articles 1231-1 et suivants du code civil. Le tribunal répond par un dispositif sec : « DEBOUTE la SCI Jafair de ses demandes », avec condamnation aux dépens et 1 500 euros de frais. Le raisonnement tient en une ligne : la banque a exécuté l’ordre conformément à l’identifiant unique remis par le client lui-même, sans anomalie apparente démontrée, et le régime de l’opération autorisée ne permet pas d’importer le remboursement automatique des opérations non autorisées. Moralité pratique : si votre dossier ne contient aucune anomalie visible que la banque aurait dû déceler, l’assigner contre elle seule expose à un débouté et à des frais irrépétibles ; il faut alors activer le second front, celui du fournisseur dont la négligence a rendu l’escroquerie possible, et celui de l’action pénale contre l’escroc.

B. Quand la banque refuse de payer : dette maintenue, fournisseur piraté et procès à engager

La plus mauvaise surprise du faux RIB attend souvent le client après le refus de la banque : le vrai fournisseur, qui n’a rien reçu, réclame un second paiement, et il a le droit pour lui dans la plupart des cas. L’article 1342 du code civil dispose : « Le paiement est l’exécution volontaire de la prestation due. Il doit être fait sitôt que la dette devient exigible. Il libère le débiteur à l’égard du créancier et éteint la dette, sauf lorsque la loi ou le contrat prévoit une subrogation dans les droits du créancier. » Or le virement vers l’escroc n’a pas payé le créancier : l’argent est parti vers un tiers sans qualité, la dette subsiste donc et le fournisseur peut exiger d’être payé une seconde fois. L’échappatoire du créancier apparent ne vous sauvera pas : l’article 1342-3 du code civil prévoit que « Le paiement fait de bonne foi à un créancier apparent est valable », mais l’escroc qui usurpe une adresse mail et substitue son IBAN n’est pas un créancier apparent au sens de ce texte, il est l’auteur d’une manœuvre frauduleuse, et le paiement qu’il reçoit ne vous libère pas. En clair : sauf démonstration que le fournisseur a lui-même contribué à l’erreur au point de rendre le paiement libératoire, prévoyez que le juge vous condamnera à payer deux fois, une fois à l’escroc par votre virement détourné, une fois au vrai créancier, quitte à vous retourner ensuite contre les responsables.

Ce retour, c’est l’action en responsabilité contre le fournisseur dont la messagerie piratée ou la négligence a permis l’escroquerie. L’article 1240 du code civil dispose : « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer. » Une entreprise dont la boîte mail non sécurisée sert à adresser de fausses factures à ses clients, qui tarde à alerter après avoir découvert le piratage, ou dont un salarié communique un RIB sans vérification, commet une faute de nature à engager sa responsabilité envers le client trompé. Ce contentieux se joue sur preuve : journaux de connexion, alertes ignorées, absence de double authentification, retard d’information des clients après découverte de l’intrusion. Saisissez le tribunal judiciaire ou le tribunal des activités économiques selon la qualité des parties, demandez en référé une provision si l’obligation n’est pas sérieusement contestable, et sollicitez la communication des pièces techniques détenues par le fournisseur sur le piratage allégué. L’action pénale complète le dispositif : l’article 2 du code de procédure pénale dispose : « L’action civile en réparation du dommage causé par un crime, un délit ou une contravention appartient à tous ceux qui ont personnellement souffert du dommage directement causé par l’infraction », ce qui vous permet de vous constituer partie civile contre l’escroc et de réclamer vos 20 000, 50 000 ou 139 000 euros dans le procès pénal, avec exécution sur ses biens s’il est retrouvé et solvable.

À Paris et en Île-de-France, ce contentieux suit des circuits rodés qu’il faut activer sans tarder. Déposez plainte auprès du commissariat de votre arrondissement ou de la gendarmerie compétente pour votre siège, et adressez au besoin un courrier au procureur de la République près le tribunal judiciaire de Paris ; les affaires de faux RIB à dimension cybernétique relèvent de pôles d’enquête spécialisés dont la saisine passe par une plainte circonstanciée avec pièces techniques. Au civil, le tribunal judiciaire de Paris et le tribunal de commerce de Paris connaissent chaque année de nombreux litiges de virements détournés, et la cour d’appel de Paris a fixé le standard de l’anomalie apparente rappelé plus haut : constituez votre dossier dans cette logique, avec un tableau comparatif du vrai et du faux RIB, le relevé des alertes de vérification du bénéficiaire et l’historique de vos échanges avec la banque. Surveillez enfin la prescription : l’article 2224 du code civil prévoit que « Les actions personnelles ou mobilières se prescrivent par cinq ans à compter du jour où le titulaire d’un droit a connu ou aurait dû connaître les faits lui permettant de l’exercer. » Cinq ans paraissent longs, mais le rappel des fonds, lui, se joue en jours : agissez dans la semaine contre les banques, dans le mois contre le fournisseur, et laissez le calendrier judiciaire prendre le relais pour la réparation intégrale, intérêts, frais bancaires, surcoût du second paiement et préjudice d’exploitation.

Conclusion

Le faux RIB n’est plus une fatalité que l’entreprise devrait passer par pertes et profits : la vérification du bénéficiaire déployée depuis octobre 2025, le devoir de vigilance rappelé par la cour d’appel de Paris en 2024 et recadré par la Cour de cassation en 2025, et le jugement parisien de janvier 2026 dessinent une carte lisible. Contestez le virement par écrit et exigez le rappel des fonds en invoquant l’obligation de récupération de votre banque, signalez dans les treize mois, déposez plainte pour escroquerie en visant aussi le piratage informatique, puis frappez où la faute se trouve : anomalie apparente inexploitée contre la banque, négligence de la messagerie contre le fournisseur, constitution de partie civile contre l’escroc. Le client qui paie sur un faux RIB reste en principe tenu de payer une seconde fois son vrai créancier, mais chaque faute documentée des intermédiaires ouvre un recours qui ramène l’argent vers son patrimoine. Dans ce contentieux de vitesse et de preuves, le dossier constitué dans les premières heures vaut souvent plus que les longs débats de droit : conservez tout, écrivez à tout le monde, et faites vérifier chaque anomalie du RIB par constat avant qu’elle ne s’efface.