Vous deviez régler le solde d’un achat immobilier chez le notaire, payer un fournisseur attendu depuis des semaines ou débloquer des fonds pour votre société. En agence, le conseiller a rempli lui-même l’ordre de virement à partir du relevé d’identité bancaire que vous lui avez transmis, vous avez signé le document pré-rempli, et l’argent est parti. Quelques jours plus tard, le verdict tombe : le RIB était faux, envoyé depuis une adresse qui imitait celle de votre notaire ou de votre fournisseur, et les fonds ont crédité un compte dont le titulaire reste inconnu. La banque vous répond alors qu’elle n’a fait qu’exécuter l’identifiant unique que vous lui avez fourni et qu’elle n’est responsable de rien. Depuis le 4 mars 2026, cette réponse ne suffit plus quand c’est l’établissement lui-même qui a rédigé l’ordre litigieux. Par un arrêt publié au Bulletin, la chambre commerciale de la Cour de cassation a jugé que la banque qui ne se borne pas à exécuter l’ordre mais le rédige elle-même répond de son manquement à son devoir de vigilance sur le fondement du droit commun, et elle a condamné BNP Paribas à restituer 60 343,69 euros à ses clients. Ce dossier explique ce que cette décision change pour les entreprises et les particuliers, comment distinguer un virement que la banque a seulement exécuté d’un ordre qu’elle a préparé, quelles preuves réunir dans les premières heures, dans quels délais exiger le remboursement, et devant quel juge agir à Paris et en Île-de-France.

I. Votre banque a rempli l’ordre de virement à votre place : pourquoi elle doit répondre du faux IBAN

A. Ordre seulement exécuté ou ordre rédigé par la banque : deux régimes de responsabilité opposés

Le point de départ est l’article L133-21 du code monétaire et financier, qui dispose : « Un ordre de paiement exécuté conformément à l’identifiant unique fourni par l’utilisateur du service de paiement est réputé dûment exécuté pour ce qui concerne le bénéficiaire désigné par l’identifiant unique. Si l’identifiant unique fourni par l’utilisateur du service de paiement est inexact, le prestataire de services de paiement n’est pas responsable de la mauvaise exécution ou de la non-exécution de l’opération de paiement. » En pratique, l’identifiant unique est l’IBAN : quand vous remettez vous-même un IBAN à votre banque et que celle-ci exécute le virement vers cet IBAN, elle n’a pas à vérifier que le nom du bénéficiaire correspond au compte, et elle n’est pas responsable si l’IBAN était faux. Ce régime protecteur, issu de la directive européenne sur les services de paiement, a longtemps servi de bouclier aux banques dans le contentieux des faux RIB. La Cour de cassation l’avait rappelé avec netteté le 10 septembre 2025, en cassant un arrêt qui avait condamné une banque sur le fondement du droit commun alors qu’elle s’était bornée à exécuter l’ordre : « La responsabilité contractuelle de droit commun résultant du premier de ces textes n’est pas applicable en présence d’un régime de responsabilité exclusif. » (Cass. com., 10 sept. 2025, n° 24-15.485). Quand la banque se limite à exécuter l’IBAN que le client a fourni, le droit commun de l’article 1231-1 du code civil ne s’applique pas.

L’arrêt du 4 mars 2026 trace la limite exacte de cette immunité, et c’est cette limite qui intéresse directement les entreprises qui règlent leurs opérations en agence, par l’intermédiaire de leur conseiller ou via une interface où la banque ressaisit les références. Dans cette affaire, des clients de BNP Paribas devaient verser leur apport personnel pour un achat immobilier. Les 27 et 28 octobre 2020, ils avaient reçu par courriel deux relevés d’identité bancaire au nom de la société civile professionnelle de notaires qui les assistait, puis, le 10 novembre 2020, un troisième relevé au nom de la société de notaires chargée de recevoir l’acte. Le 10 novembre 2020, à la demande de la banque et pour payer le coût de la transaction, les clients lui ont adressé le décompte des sommes et ce troisième relevé. Le même jour, la banque leur a envoyé par courriel un ordre de virement comportant les références de ce relevé, sur lequel les clients ont apposé leurs signatures avant de le retourner à la banque. Le relevé avait été expédié depuis une adresse électronique imitant frauduleusement celle de l’étude, et le virement d’une somme représentant leur apport personnel a crédité un compte dont le bénéficiaire est demeuré inconnu. Les 12 et 17 février 2021, les clients ont assigné la banque en soutenant qu’elle avait manqué à son obligation de vigilance. La cour d’appel d’Amiens, le 19 décembre 2024, a retenu la responsabilité contractuelle de la banque et l’a condamnée à verser 60 343,69 euros, et la Cour de cassation a rejeté le pourvoi de la banque (Cass. com., 4 mars 2026, n° 25-11.959, publié au Bulletin).

Le raisonnement de la Cour tient en deux temps et chaque entreprise victime doit le comprendre pour qualifier son propre dossier. D’abord, la Cour rappelle que le droit commun reste écarté quand la banque a seulement exécuté l’ordre conformément à l’identifiant fourni par l’utilisateur. Ensuite, elle pose l’exception : « si la responsabilité contractuelle de droit commun fondée sur l’article 1231-1 du code civil n’est pas applicable à l’exécution par le prestataire de services de paiement d’un ordre de paiement conformément à l’identifiant unique fourni par l’utilisateur, tel n’est pas le cas lorsque le prestataire de services de paiement ne s’est pas borné à exécuter l’ordre de paiement. » (Cass. com., 4 mars 2026, n° 25-11.959, publié au Bulletin) La Cour approuve les juges d’appel d’avoir relevé que l’identité bancaire figurant sur l’ordre établi par la banque pour être ensuite soumis à la signature des clients comportait des incohérences apparentes qui ne pouvaient laisser aucun doute, pour un professionnel normalement diligent, sur le fait que l’identifiant était un faux grossier, puis d’en avoir déduit que, « la banque ne s’étant pas bornée, en sa qualité de prestataire de services de paiement, à exécuter un ordre de virement conformément à l’identifiant unique fourni par M. et Mme [K], mais avait elle-même rédigé cet ordre, cette dernière était tenue d’indemniser, sur le fondement du droit commun, ses clients du préjudice causé par ce manquement à son devoir de vigilance. » (Cass. com., 4 mars 2026, n° 25-11.959, publié au Bulletin) En clair : la banque qui rédige l’ordre sort du rôle passif d’exécutant, elle endosse un devoir de vigilance sur le document qu’elle établit, et elle répond de sa négligence. L’article 1231-1 du code civil prévoit en effet que « Le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure. »

Pour une société, la question pratique est donc de savoir dans quel camp se situe son virement. Premier cas : votre comptable a saisi lui-même l’IBAN dans l’espace client en ligne, sans intervention de la banque, et l’ordre est parti tel quel. Le régime de l’arrêt du 10 septembre 2025 s’applique et la banque opposera l’article L133-21 avec de fortes chances de succès. Second cas : votre conseiller a préparé l’ordre en agence, vous a adressé un document pré-rempli à signer, a ressaisi les références dans son système, ou a récupéré lui-même le RIB sur une facture déposée sur une plateforme de la banque. Vous relevez alors du régime de l’arrêt du 4 mars 2026, et la banque ne peut plus se retrancher derrière l’identifiant unique : il faut examiner si le faux présentait des anomalies qu’un professionnel diligent aurait dû repérer. Entre ces deux pôles existent des situations intermédiaires, par exemple l’ordre initié en ligne puis validé avec l’aide du conseiller, ou le virement récurrent dont les coordonnées ont été modifiées par un courriel frauduleux sans que personne ne vérifie. Dans chaque hypothèse, conservez la preuve du rôle exact joué par la banque : courriels du conseiller avec pièces jointes, ordre pré-rempli signé, captures de l’interface, relevés d’opérations, enregistrements des appels. Si votre entreprise a payé un fournisseur sur un IBAN frauduleux dans un autre contexte, les réflexes de preuve et de recours se rejoignent, comme l’explique notre dossier sur le cas où votre entreprise a payé sur des coordonnées détournées et doit récupérer les fonds, mais l’argument décisif reste ici la rédaction de l’ordre par la banque elle-même.

B. Faux grossier, adresse imitée, IBAN incohérent : quelles preuves réunir dans les premières heures

La Cour ne retient la responsabilité de la banque que parce que le faux présentait des incohérences apparentes qu’un professionnel diligent ne pouvait pas manquer. Ce critère du faux grossier est le cœur du dossier : plus les anomalies sont visibles sur le document que la banque a eu entre les mains, plus l’argument prospère. Dans l’affaire jugée le 4 mars 2026, la cour d’appel avait relevé des incohérences ressortant d’un simple et rapide examen visuel, apparentes pour un professionnel normalement diligent, qui ne laissaient aucun doute sur le fait que l’identifiant transmis était un faux grossier. Dans l’affaire tranchée le 10 septembre 2025, à l’inverse, la cour d’appel s’était contentée de relever que le RIB correspondait à un compte ouvert en Roumanie, ce qui aurait dû alerter la banque dans le contexte du développement de la fraude aux faux ordres de virement, et la Cour de cassation a censuré ce raisonnement : une simple localisation étrangère du compte, sans rédaction de l’ordre par la banque et sans anomalie visible du document, ne suffit pas à écarter l’article L133-21. La leçon est directe : ne plaidez jamais la négligence de la banque dans l’abstrait, documentez des anomalies précises, visibles, datées, sur le relevé et sur l’ordre que la banque a établi.

Concrètement, dès la découverte du détournement, photographiez et archivez tout avant que les messages ne soient effacés ou que les accès ne soient révoqués. Conservez le courriel frauduleux avec ses en-têtes complets : adresse exacte de l’expéditeur, lettre par lettre, car l’imitation se niche souvent dans un caractère substitué, un tiret ajouté ou un nom de domaine voisin. Comparez le RIB frauduleux avec un RIB authentique du même créancier : raison sociale, intitulé du compte, code BIC, pays de l’IBAN, présentation du document, logo, pied de page. Relevez chaque discordance : un notaire parisien dont le compte se trouverait soudain à l’étranger sans explication, un fournisseur historique dont l’IBAN change sans courrier signé, une facture dont la charte graphique diffère légèrement, un ton inhabituel dans le message d’accompagnement, une urgence artificielle pour payer le jour même. Faites établir par un huissier ou par un constat d’huissier de justice, devenu commissaire de justice, un procès-verbal de constat des courriels et des pièces jointes, avec les métadonnées. Demandez par écrit à votre banque la copie de l’ordre tel qu’elle l’a rédigé, l’horodatage de sa préparation et de son exécution, ainsi que l’identification du compte destinataire. Exigez également la traçabilité des contrôles qu’elle affirme avoir effectués. Chaque jour compte parce que les fonds transitent vite et que les comptes rebonds se vident en quelques heures.

Dans le même temps, déclenchez les démarches d’urgence sans attendre l’issue du débat sur la responsabilité. Alertez immédiatement votre banque par téléphone puis confirmez par écrit en demandant le rappel des fonds auprès de la banque du bénéficiaire : l’article L133-21 du code monétaire et financier oblige d’ailleurs le prestataire du payeur à s’efforcer de récupérer les fonds et la banque du bénéficiaire à communiquer les informations utiles à cette récupération. Déposez plainte pour escroquerie, car les faits correspondent à la définition de l’article 313-1 du code pénal : « L’escroquerie est le fait, soit par l’usage d’un faux nom ou d’une fausse qualité, soit par l’abus d’une qualité vraie, soit par l’emploi de manoeuvres frauduleuses, de tromper une personne physique ou morale et de la déterminer ainsi, à son préjudice ou au préjudice d’un tiers, à remettre des fonds, des valeurs ou un bien quelconque, à fournir un service ou à consentir un acte opérant obligation ou décharge. » La plainte n’est pas une formalité : elle conditionne souvent l’ouverture d’une enquête, puis la réquisition vers la banque destinataire, et elle appuie la demande de communication des informations détenues par votre banque pour agir en justice. Signalez les faits sur la plateforme officielle du ministère de l’intérieur et suivez la fiche réflexe de Cybermalveillance.gouv.fr, qui recommande d’alerter la banque sans délai, de changer les mots de passe, de déposer plainte et de conserver les preuves. Si le courriel frauduleux est arrivé après le piratage de la messagerie d’un partenaire, les recours contre l’auteur de l’intrusion et les questions de sécurité des données s’ajoutent au dossier, comme dans les situations où un message frauduleux exploite des données détournées et impose de tracer la source. Pour une société, prévenez aussi votre assureur cyber ou votre assurance fraude, déclarez le sinistre dans le délai de la police, et informez votre expert-comptable, car la somme détournée modifie votre trésorerie et votre arrêté comptable.

II. Récupérer l’argent détourné : remboursement, délais couperets et juge compétent

A. Contestation écrite, treize mois maximum, mise en demeure : la méthode de remboursement pas à pas

La première demande à formuler est le rappel des fonds, puis, selon la qualification de l’opération, le remboursement. Quand le virement a été initié à votre insu, sans votre consentement, le régime des opérations non autorisées s’applique : l’article L133-18 du code monétaire et financier prévoit, pour une opération signalée dans les conditions de l’article L. 133-24, que « le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé […] ». (article L133-18 du code monétaire et financier) La banque ne peut refuser que si elle démontre une négligence grave de votre part, et c’est à elle de prouver l’authentification de l’opération. Quand vous avez vous-même signé l’ordre, même trompé par un faux RIB, l’opération est en principe autorisée et le débat se déplace vers la mauvaise exécution et vers la responsabilité contractuelle de la banque qui a rédigé l’ordre, sur le fondement de l’arrêt du 4 mars 2026. Dans les deux cas, la contestation doit être écrite, datée, et adressée vite : l’article L133-24 du code monétaire et financier impose à l’utilisateur de signaler « sans tarder, à son prestataire de services de paiement une opération de paiement non autorisée ou mal exécutée et au plus tard dans les treize mois suivant la date de débit sous peine de forclusion ». Treize mois, c’est le délai couperet : passé ce délai, la contestation est forclose, sauf si la banque ne vous a pas fourni les informations et relevés requis. Pour les opérations liées à la perte ou au vol d’un instrument de paiement, l’article L133-19 du code monétaire et financier plafonne en outre à 50 euros la part des pertes supportée par le payeur avant l’information prévue par la loi, sauf négligence grave. Rédigez donc la contestation dès le premier jour, par lettre recommandée avec accusé de réception et par courriel, en visant expressément les articles L133-18, L133-21 et L133-24, en joignant le dépôt de plainte, et en demandant le rappel des fonds, le remboursement, et la communication des informations détenues par la banque pour agir contre le bénéficiaire.

Si la banque refuse ou garde le silence, adressez une mise en demeure circonstanciée avant d’assigner. La mise en demeure rappelle la chronologie datée, joint les pièces numérotées, cite l’arrêt du 4 mars 2026 quand la banque a rédigé l’ordre, et chiffre la demande : principal détourné, intérêts au taux légal à compter de la mise en demeure, frais bancaires exposés, frais de constat, préjudice de trésorerie pour une société, et préjudice lié au retard de l’opération sous-jacente, par exemple la perte d’une acquisition immobilière ou la rupture d’une chaîne de paiement fournisseur. L’article 1240 du code civil dispose que « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer », ce qui fonde les demandes complémentaires contre les autres responsables, notamment l’escroc et, le cas échéant, le partenaire dont la messagerie piratée a servi à l’attaque. Pour une entreprise, le chiffrage doit être établi avec l’expert-comptable : montant détourné, coût du financement de remplacement, pénalités payées aux propres créanciers, perte de marge sur le contrat compromis. Un tableau récapitulatif simple, avec une pièce par ligne, transforme une réclamation narrative en dossier que le service contentieux de la banque puis le juge peuvent traiter. Fixez dans la mise en demeure un délai de réponse de quinze jours, et passé ce délai, engagez la procédure sans laisser le dossier s’enliser : en matière de fraude, le temps joue contre la victime parce que les fonds s’évaporent et que les traces s’effacent.

B. Quel juge saisir à Paris et en Île-de-France, et comment protéger durablement votre entreprise

À Paris et en Île-de-France, le choix du juge dépend de votre qualité et de votre adversaire. Si vous êtes un particulier qui a réglé un achat immobilier, comme les clients de l’arrêt du 4 mars 2026, l’action contre votre banque relève du tribunal judiciaire : le tribunal judiciaire de Paris pour les litiges domiciliés dans la capitale, ou le tribunal judiciaire du lieu de votre domicile ou de l’agence concernée dans les autres départements franciliens. Si vous êtes une société et que le litige oppose deux professionnels, par exemple votre entreprise contre sa banque pour un virement lié à votre activité, le tribunal des activités économiques est compétent : le tribunal des activités économiques de Paris pour les sociétés dont le siège est à Paris, ou celui du ressort du siège pour les sociétés de petite et grande couronne, Nanterre, Bobigny, Créteil, Évry, Versailles ou Pontoise selon les cas. L’assignation vise les textes applicables, les articles L133-18, L133-21 et L133-24 du code monétaire et financier, l’article 1231-1 du code civil, et, contre l’escroc ou ses complices, l’article 1240 du code civil et l’article 313-1 du code pénal. Elle formule des demandes claires : remboursement du montant détourné, intérêts, dommages et intérêts pour le manquement au devoir de vigilance quand la banque a rédigé l’ordre, communication des informations détenues sur le compte destinataire, et exécution provisoire. En cas d’urgence, par exemple quand les fonds sont localisés sur un compte identifiable et risquent de disparaître, le juge des référés peut ordonner une provision ou une mesure conservatoire : constituez alors un dossier resserré avec l’ordre pré-rempli, le faux RIB, la plainte et la contestation adressée à la banque. Devant le juge pénal, la constitution de partie civile après la plainte pour escroquerie permet de demander réparation dans le procès de l’auteur quand il est identifié.

Au-delà du litige en cours, tirez les conséquences organisationnelles pour que la fraude ne se reproduise pas. Dans votre société, imposez une règle simple : tout changement de coordonnées bancaires d’un créancier est vérifié par un second canal, appel téléphonique sur un numéro connu et non sur celui figurant dans le courriel suspect, avant tout paiement. Séparez les fonctions : la personne qui reçoit la facture n’est pas celle qui saisit l’IBAN, et un responsable valide les nouveaux bénéficiaires. Activez le service de vérification du bénéficiaire proposé par votre banque, qui signale les discordances entre le nom et l’IBAN avant l’exécution. Pour les opérations importantes, exigez un RIB original par courrier ou remettez les coordonnées en mains propres lors d’un rendez-vous, et refusez les changements de RIB transmis par simple courriel. Formez votre comptabilité aux signaux d’alerte : urgence artificielle, changement de ton, adresse expéditrice légèrement modifiée, pression du faux dirigeant ou du faux notaire. Vérifiez vos contrats d’assurance : une police fraude ou cyber peut couvrir les détournements, à condition de déclarer vite et de respecter les mesures de prévention prévues au contrat. Ces précautions ne privent pas la banque de sa responsabilité quand elle rédige elle-même un ordre à partir d’un faux grossier, mais elles protègent votre trésorerie dans tous les cas où l’ordre a été saisi par vos propres équipes, hypothèse dans laquelle l’article L133-21 continue de protéger l’établissement.

Conclusion

Depuis l’arrêt du 4 mars 2026, la question décisive n’est plus seulement de savoir si l’IBAN était faux, mais de savoir qui a rédigé l’ordre de virement. Quand la banque s’est bornée à exécuter l’identifiant que vous lui avez fourni, l’article L133-21 la met à l’abri et le droit commun ne s’applique pas, comme la Cour l’a confirmé le 10 septembre 2025. Quand elle a elle-même établi l’ordre à partir du faux relevé, avec des incohérences apparentes qu’un professionnel diligent aurait dû repérer, elle répond de son manquement à son devoir de vigilance et doit indemniser son client, comme BNP Paribas condamnée à verser 60 343,69 euros. Si vous découvrez un détournement, agissez dans l’ordre : conservez les preuves du rôle de la banque et des anomalies du faux, demandez par écrit le rappel des fonds, contestez dans le délai de treize mois, déposez plainte pour escroquerie, mettez la banque en demeure en visant l’arrêt du 4 mars 2026, puis assignez devant le juge compétent à Paris ou en Île-de-France. Et pour l’avenir, verrouillez vos procédures de paiement : double vérification de tout nouveau RIB, séparation des fonctions, service de vérification du bénéficiaire. Les fraudeurs exploitent la vitesse et la confiance ; une entreprise qui documente, conteste vite et connaît la limite posée par la Cour de cassation se donne les moyens de récupérer ses fonds.