Vous attendiez l’appel de fonds du constructeur, le décompte du notaire ou la facture de votre fournisseur. Le message est arrivé, avec un nouveau relevé d’identité bancaire joint, et vous avez validé le virement. Quelques jours plus tard, le véritable créancier réclame son dû : le RIB venait d’une adresse piratée et l’argent a atterri sur le compte d’un inconnu. Cette fraude au faux RIB, souvent consécutive au piratage d’une messagerie, fait perdre en une fois l’apport d’une vie : 60 343,69 euros dans une affaire jugée le 4 mars 2026, 69 027 euros dans une autre jugée le 1er juillet 2026. Deux dossiers presque identiques, deux solutions opposées de la Cour de cassation. Dans le premier, la banque a été condamnée parce qu’elle avait elle-même rédigé l’ordre à partir d’un faux manifeste ; dans le second, elle a été mise hors de cause parce que les clients lui avaient transmis eux-mêmes l’identifiant frauduleux. Tout l’enjeu de votre dossier se joue dans cette distinction, combinée à trois réflexes immédiats : tenter le rappel des fonds, exiger par écrit le remboursement, et déposer plainte pour escroquerie. Ce guide explique la procédure complète en 2026 : rappel et remboursement bancaire, partage des responsabilités entre la banque et le payeur, plainte pénale, et volet données personnelles avec la CNIL.
I. Récupérer l’argent : rappel des fonds et remboursement par la banque
A. Les premières heures : rappel, signalement écrit et délai de treize mois
La fraude au faux RIB suit presque toujours le même scénario, décrit par le dispositif public de lutte contre la cybermalveillance : un escroc usurpe l’identité d’un créancier avec lequel vous êtes en relation, notaire, artisan, avocat ou fournisseur, afin de vous faire réaliser un virement vers un compte qu’il détient, et cette manoeuvre est souvent consécutive au piratage d’un compte de messagerie, celui du créancier ou le vôtre. L’escroc repère une transaction imminente, adresse un message demandant le paiement par virement, et joint une facture avec un RIB falsifié. Comprendre ce mécanisme permet de qualifier juridiquement chaque étape : l’envoi du faux RIB constitue la manoeuvre, votre ordre de virement l’acte de disposition, et le piratage de la messagerie la violation de données personnelles qui accompagne l’escroquerie.
Dès la découverte, la première démarche consiste à appeler votre banque pour demander le rappel des fonds, aussi appelé recall, vers la banque du bénéficiaire. Ce rappel n’a de chance d’aboutir que si les fonds sont encore disponibles sur le compte de destination, car la banque du bénéficiaire ne peut restituer que ce qu’elle détient. Parallèlement, déposez en agence ou adressez en recommandé une contestation écrite et datée de l’opération, en conservant la preuve de l’envoi. La loi impose un cadre strict : « L’utilisateur de services de paiement signale, sans tarder, à son prestataire de services de paiement une opération de paiement non autorisée ou mal exécutée et au plus tard dans les treize mois suivant la date de débit sous peine de forclusion » (article L. 133-24 du code monétaire et financier). Passé ce délai de treize mois, la contestation devient irrecevable, sauf si la banque ne vous avait pas fourni les informations relatives à l’opération.
Conservez méthodiquement chaque preuve : le message frauduleux avec ses en-têtes complets, l’adresse exacte de l’expéditeur, la facture et le faux RIB reçus, l’ordre de virement que vous avez signé, vos relevés de compte, et tout échange avec votre banque. Ces pièces serviront trois fois : pour le rappel des fonds, pour la demande de remboursement, et pour la plainte pénale. Si votre banque reste silencieuse ou refuse par téléphone, exigez une réponse écrite et motivée : ce refus écrit deviendra la pièce centrale du recours judiciaire. Les lecteurs confrontés à une fuite de leurs coordonnées bancaires trouveront un complément utile dans notre analyse des IBAN exposés après une fuite et du remboursement des débits frauduleux, qui détaille l’opposition, la contestation et le remboursement des prélèvements non autorisés.
Deux régimes juridiques distincts commandent la suite, et les confondre fait perdre les procès. Premier cas : l’opération est non autorisée, par exemple un virement que vous n’avez jamais ordonné, initié après interception de vos codes. La loi est alors très protectrice : « le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant » (article L. 133-18 du code monétaire et financier), et la banque rétablit le compte dans l’état où il se serait trouvé sans l’opération. Second cas, le plus fréquent dans la fraude au faux RIB : vous avez vous-même ordonné le virement, mais sur un identifiant frauduleux. L’opération est alors formellement autorisée quant à son montant, et c’est le régime de l’identifiant unique qui s’applique : « Un ordre de paiement exécuté conformément à l’identifiant unique fourni par l’utilisateur du service de paiement est réputé dûment exécuté pour ce qui concerne le bénéficiaire désigné par l’identifiant unique. » (article L. 133-21 du code monétaire et financier). La banque n’est dans ce cas « pas responsable de la mauvaise exécution ou de la non-exécution de l’opération de paiement » lorsque l’identifiant fourni est inexact, mais elle reste tenue d’agir : « le prestataire de services de paiement du payeur s’efforce de récupérer les fonds engagés dans l’opération de paiement », et s’il n’y parvient pas, « il met à disposition du payeur, à sa demande, les informations qu’il détient pouvant documenter le recours en justice du payeur en vue de récupérer les fonds ». Exigez donc par écrit ces deux diligences, l’effort de récupération et la communication des informations détenues sur le compte destinataire, car elles conditionnent votre action contre le bénéficiaire inconnu.
B. Quand la banque doit rembourser : négligence grave, authentification forte et le diptyque de 2026
Lorsque l’opération est non autorisée, la banque refuse souvent le remboursement en invoquant votre négligence grave, par exemple la communication de vos codes après un message d’hameçonnage. Cette défense a des limites précises fixées par la loi : « Le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17. » (article L. 133-19 du code monétaire et financier). Communiquer ses codes d’accès après un courriel frauduleux peut constituer une telle négligence, mais elle n’épuise pas le débat, car la banque doit elle-même avoir respecté ses propres obligations de sécurité.
L’obligation centrale de la banque porte sur l’authentification forte, c’est-à-dire la vérification reposant sur au moins deux éléments indépendants, par exemple le téléphone mobile et un code secret. La loi dispose que « Le prestataire de services de paiement applique l’authentification forte du client définie au f de l’article L. 133-4 lorsque le payeur : 1° Accède à son compte de paiement en ligne ; 2° Initie une opération de paiement électronique » (article L. 133-44 du code monétaire et financier), et que pour les opérations à distance, cette authentification « comporte des éléments qui établissent un lien dynamique entre l’opération, le montant et le bénéficiaire donnés ». Surtout, le défaut d’authentification forte neutralise l’argument de la négligence : « le payeur ne supporte aucune conséquence financière si l’opération de paiement non autorisée a été effectuée sans que le prestataire de services de paiement du payeur n’exige une authentification forte du payeur » (article L. 133-19, V du code monétaire et financier), sauf agissement frauduleux du payeur lui-même.
La Cour de cassation a appliqué cette règle avec rigueur le 22 octobre 2025 dans une affaire de virement consécutif à un courriel frauduleux d’activation d’un système d’authentification (Cass. com., 22 oct. 2025, n° 24-19.749). Le client avait répondu à un message imitant sa banque, transmis des données confidentielles et validé l’ajout d’un bénéficiaire inconnu, ce que la banque qualifiait de négligence grave. La Cour a néanmoins approuvé le remboursement, au motif que la banque n’avait pas exigé l’activation de l’authentification forte. Elle rappelle la règle applicable : « le prestataire de service de paiement doit appliquer l’authentification forte du client définie au f) de l’article L. 133-4 du même code en cas d’opération de paiement à distance et qu’à défaut, il doit rembourser au payeur le montant de l’opération non autorisée, sauf agissement frauduleux du payeur ». Autrement dit, l’authentification forte s’apprécie opération par opération : une banque qui se contente d’inciter son client à activer le dispositif, sans l’exiger lors de l’opération litigieuse, supporte le remboursement même face à un client gravement négligent.
Dans la fraude au faux RIB, où le client a lui-même fourni l’identifiant frauduleux, deux arrêts rendus à quatre mois d’intervalle en 2026 fixent la ligne de partage. Le 4 mars 2026, la chambre commerciale a condamné une banque à restituer 60 343,69 euros à des acquéreurs immobiliers qui avaient signé un ordre de virement établi par la banque elle-même à partir d’un faux RIB envoyé depuis une adresse imitant celle de leur notaire (Cass. com., 4 mars 2026, n° 25-11.959). La banque invoquait l’article L. 133-21 et soutenait que l’ordre exécuté conformément à l’identifiant fourni par les clients était réputé dûment exécuté. La Cour a rejeté le pourvoi : « si la responsabilité contractuelle de droit commun fondée sur l’article 1231-1 du code civil n’est pas applicable à l’exécution par le prestataire de services de paiement d’un ordre de paiement conformément à l’identifiant unique fourni par l’utilisateur, tel n’est pas le cas lorsque le prestataire de services de paiement ne s’est pas borné à exécuter l’ordre de paiement ». En l’espèce, « la banque ne s’étant pas bornée, en sa qualité de prestataire de services de paiement, à exécuter un ordre de virement conformément à l’identifiant unique fourni par M. et Mme [K], mais avait elle-même rédigé cet ordre », elle restait tenue sur le fondement du droit commun dès lors que le document comportait des incohérences apparentes et manifestes qui ne pouvaient laisser aucun doute, pour un professionnel normalement diligent, sur le fait que l’identifiant était un faux grossier. Le critère décisif tient donc au rôle actif de la banque : lorsqu’elle rédige elle-même l’ordre soumis à votre signature, elle doit contrôler ce qu’elle écrit et ne peut se retrancher derrière l’identifiant que vous lui avez transmis.
Le 1er juillet 2026, la même chambre a censuré la solution inverse dans un dossier de construction de maison individuelle où les clients avaient eux-mêmes effectué deux virements à partir d’un RIB frauduleux reçu d’une adresse contrefaite, pour 69 027 euros au total (Cass. com., 1er juil. 2026, n° 25-15.283). La cour d’appel avait condamné la banque en retenant que le consentement des payeurs ne visait que le véritable constructeur et que l’opération n’était donc pas autorisée. La Cour de cassation a cassé : « alors qu’elle constatait que les opérations de paiement avaient été exécutées conformément aux identifiants uniques fournis par M. et Mme [L], la cour d’appel a violé le texte susvisé ». Elle rappelle que l’article L. 133-21 transpose l’article 88 de la directive sur les services de paiement et que la Cour de justice de l’Union européenne a déjà jugé que la limitation de responsabilité du prestataire s’applique même lorsque l’identifiant fourni ne correspond pas au nom du bénéficiaire indiqué par l’utilisateur. La leçon est nette : quand vous transmettez vous-même un IBAN à votre banque et qu’elle l’exécute fidèlement, l’erreur sur l’identité du véritable destinataire ne rend pas l’opération non autorisée et la banque échappe en principe au remboursement, sauf manquement distinct à son devoir de vigilance ou à l’authentification forte.
Trois questions pratiques en découlent pour votre dossier. Premièrement, qui a matériellement rédigé l’ordre : si le conseiller a recopié le faux RIB dans un document qu’il vous a fait signer, l’arrêt du 4 mars 2026 fonde une action en responsabilité de droit commun, d’autant plus solide que le faux présente des anomalies visibles, nom du bénéficiaire incohérent avec l’intitulé attendu, IBAN d’un pays inhabituel pour ce créancier, ou discordance entre le nom indiqué et le titulaire réel. Deuxièmement, l’authentification forte a-t-elle été exigée pour cette opération précise, avec un lien dynamique entre le montant et le bénéficiaire : à défaut, l’arrêt du 22 octobre 2025 impose le remboursement. Troisièmement, votre comportement relève-t-il de la négligence grave ou de la simple crédulité face à une usurpation soignée : un message provenant d’une adresse en tout point identique à celle de votre notaire, dans le fil d’une conversation authentique après piratage de sa messagerie, ne révèle pas la même faute que la réponse à un message bourré d’anomalies. Rassemblez ces trois démonstrations dans votre réclamation écrite avant tout procès, car le juge tranchera sur pièces.
II. Punir l’escroc et traiter la fuite de données personnelles
A. Déposer plainte pour escroquerie et préserver l’action en réparation
La fraude au faux RIB constitue d’abord une infraction pénale, et la plainte n’est pas une formalité : elle ouvre l’enquête qui permettra d’identifier le titulaire du compte destinataire, de geler les fonds éventuellement restants et d’établir la fraude que la banque vous oppose parfois. Le texte central est celui de l’escroquerie : « L’escroquerie est le fait, soit par l’usage d’un faux nom ou d’une fausse qualité, soit par l’abus d’une qualité vraie, soit par l’emploi de manoeuvres frauduleuses, de tromper une personne physique ou morale et de la déterminer ainsi, à son préjudice ou au préjudice d’un tiers, à remettre des fonds » (article 313-1 du code pénal), punie de cinq ans d’emprisonnement et de 375 000 euros d’amende. L’envoi d’un faux RIB depuis une adresse imitant celle de votre notaire ou de votre fournisseur, accompagné d’une fausse facture, caractérise l’usage d’une fausse qualité et l’emploi de manoeuvres frauduleuses, et votre virement la remise de fonds déterminée par la tromperie.
Selon la configuration technique, d’autres qualifications s’ajoutent et doivent figurer dans votre plainte pour orienter les investigations : l’accès frauduleux à un système de traitement automatisé de données lorsque la messagerie du créancier ou la vôtre a été piratée (article 323-1 du code pénal), et l’usurpation d’identité numérique lorsqu’un tiers a utilisé des données de nature à identifier le véritable créancier pour vous tromper (article 226-4-1 du code pénal). Déposez plainte au commissariat ou à la gendarmerie en apportant l’intégralité du dossier : message original avec en-têtes, faux RIB et facture, ordre de virement, relevés, échanges avec les deux banques, et refus écrit de remboursement. Demandez que soient versés au dossier les réquisitions vers la banque du bénéficiaire pour identifier le titulaire du compte, car cette identification conditionne toute restitution et toute condamnation pécuniaire. Si l’enquête n’aboutit pas, la plainte avec constitution de partie civile devant le juge d’instruction permet de forcer la désignation d’un magistrat instructeur, moyennant une consignation dont le montant est fixé selon vos ressources.
Le procès pénal sert aussi vos intérêts civils : en vous constituant partie civile, vous demandez au tribunal correctionnel de condamner l’auteur, s’il est identifié, à vous verser des dommages et intérêts couvrant le montant détourné, les frais bancaires, et le préjudice moral lié à des mois d’angoisse. Même lorsque l’auteur reste inconnu, la plainte produit des effets utiles : elle établit votre bonne foi face à la banque, interrompt la prescription de l’action publique, et alimente les recoupements des services d’enquête qui traitent ces escroqueries en série. Ne tardez pas : les fonds détournés transitent vite vers l’étranger et les données de connexion des escrocs ne sont conservées qu’un temps limité par les opérateurs.
B. Traiter la violation de données : notifier, saisir la CNIL et obtenir réparation
La fraude au faux RIB repose presque toujours sur une compromission de données personnelles : piratage de la messagerie du notaire, du constructeur ou du fournisseur, interception de vos échanges, ou constitution d’un dossier sur une transaction imminente. Cette compromission constitue une violation de données personnelles au sens du règlement européen, et elle obéit à des obligations propres qui s’ajoutent au litige bancaire. Le responsable du traitement, c’est-à-dire l’organisme dont la messagerie a été compromise, doit d’abord garantir la sécurité de ses systèmes : il doit assurer un niveau de sécurité adapté au risque, en protégeant notamment la confidentialité, l’intégrité et la résilience de ses systèmes (article 32 du règlement (UE) 2016/679, texte publié par la CNIL). Une messagerie professionnelle sans double authentification, des mots de passe partagés au sein d’une étude ou d’une entreprise, ou l’absence de mises à jour de sécurité documentent un niveau de sécurité inadapté.
En cas de violation avérée, le responsable doit la notifier à la CNIL rapidement, au plus tard sous 72 heures après sa découverte lorsque la violation peut présenter un risque pour les droits des personnes, en motivant tout dépassement de ce délai, et son sous-traitant informatique doit lui-même l’avertir sans tarder (article 33 du règlement (UE) 2016/679, texte publié par la CNIL). Lorsque la violation présente un risque élevé pour vos droits, par exemple l’exposition de votre identité, de vos coordonnées bancaires et du montant d’une transaction immobilière, le responsable doit aussi vous en informer directement et rapidement, en des termes clairs et simples (article 34 du règlement (UE) 2016/679, texte publié par la CNIL). Écrivez donc au notaire, au constructeur ou au fournisseur dont la messagerie a servi à la fraude pour exiger par écrit la confirmation des mesures prises : notification à la CNIL, information des personnes concernées, et renforcement de la sécurité. Son silence ou son refus documente un manquement distinct de celui de la banque et fonde une action en responsabilité propre.
De votre côté, vous disposez de deux leviers. D’abord la plainte auprès de la CNIL, déposée en ligne après une demande d’exercice de vos droits restée sans réponse pendant un mois auprès de l’organisme concerné : demandez la copie des données vous concernant détenues dans la messagerie compromise, l’effacement des données inexactes, et la justification des mesures de sécurité. Ensuite l’action en réparation : le règlement ouvre à toute personne victime d’un dommage matériel ou moral lié à une violation de ses dispositions une action en réparation contre le responsable du traitement ou le sous-traitant (article 82 du règlement (UE) 2016/679, texte publié par la CNIL). Le virement détourné, les frais engagés et l’angoisse durable constituent un préjudice réparable sur ce fondement, cumulable avec l’action contre la banque, car les deux responsables répondent de manquements différents : défaut de vigilance bancaire d’un côté, défaut de sécurité des données de l’autre.
À Paris et en Île-de-France, où se concentrent les études notariales, les directions financières et les prestataires informatiques visés par ces attaques, le contentieux suit des circuits identifiables. La plainte pénale se dépose dans le commissariat de votre domicile ou du lieu du virement, puis rejoint les services d’enquête parisiens lorsque l’affaire présente une dimension cybernétique ; l’action civile en remboursement contre votre banque relève du tribunal judiciaire de votre domicile, avec le tribunal judiciaire de Paris pour les litiges dont le montant dépasse le seuil de compétence des juridictions de proximité. Constituez dès maintenant un dossier horodaté : capture des en-têtes du message frauduleux, comparaison entre l’adresse imitée et l’adresse authentique, historique de vos échanges avec le véritable créancier, et chronologie précise entre la réception du faux RIB et l’exécution du virement. Les juges parisiens tranchent ces dossiers sur pièces, et la qualité de cette chronologie détermine souvent l’issue, comme l’illustrent les deux arrêts de 2026 rendus sur des dossiers factuellement proches mais documentés différemment.
En conclusion, la victime d’un virement parti sur un faux RIB après un email piraté doit agir sur trois fronts sans attendre : tenter le rappel des fonds et contester par écrit dans le délai de treize mois, exiger le remboursement en visant précisément le manquement de la banque, défaut d’authentification forte ou ordre rédigé par elle sur un faux manifeste, et déposer plainte pour escroquerie en documentant la violation de données personnelles pour saisir la CNIL et réclamer réparation. La jurisprudence de 2026 a clarifié le partage des rôles : la banque qui exécute fidèlement l’identifiant que vous lui avez transmis échappe en principe au remboursement, tandis que celle qui rédige elle-même l’ordre sur un faux grossier ou qui néglige l’authentification forte supporte la perte. C’est dans la démonstration de ces faits, pièces à l’appui, que se gagne le remboursement.