La comptable reçoit un courriel du fournisseur habituel : changement de coordonnées bancaires, nouveau RIB en pièce jointe, facture urgente à régler avant vendredi. Le virement part. Quelques jours plus tard, le vrai fournisseur relance pour une facture impayée et le RIB se révèle faux. Ce scénario, la fraude au faux fournisseur, concentre en une seule opération tout ce que la vague d’escroqueries du moment a de plus coûteux pour les entreprises : usurpation d’identité, faux document, détournement de fonds et course contre la montre pour récupérer l’argent. Le 7 octobre 2026, la requête « escroquerie » bondit en tête des recherches en France, portée notamment par le renvoi devant le tribunal d’un dossier visant sept personnes dans une escroquerie à la CPAM de l’Oise pour plus d’un million d’euros, selon Oise Hebdo, et par l’enquête visant une boutique de rachat d’or après un vol par effraction, selon Ouest-France. Les saisies des internautes qui accompagnent cette tendance le montrent : « escroquerie en ligne plainte », « escroquerie sur internet comment porter plainte », « escroquerie en bande organisée peine ». Cet article répond à ces trois questions pour le cas le plus ruineux : l’entreprise qui a payé un faux fournisseur. Qualification pénale, plainte utile, gel des fonds, responsabilité de la banque et réparation intégrale du préjudice, avec les textes et les décisions rendus en 2026.
I. Virement parti sur un faux RIB : porter plainte et faire qualifier l’escroquerie
A. Fausse qualité de fournisseur, faux RIB, manoeuvres frauduleuses : comment l’escroquerie se caractérise face à un faux fournisseur
L’article 313-1 du code pénal définit l’escroquerie comme « le fait, soit par l’usage d’un faux nom ou d’une fausse qualité, soit par l’abus d’une qualité vraie, soit par l’emploi de manoeuvres frauduleuses, de tromper une personne physique ou morale et de la déterminer ainsi, à son préjudice ou au préjudice d’un tiers, à remettre des fonds, des valeurs ou un bien quelconque, à fournir un service ou à consentir un acte opérant obligation ou décharge » (article 313-1 du code pénal). La fraude au faux fournisseur entre dans ce texte par les trois portes à la fois. Le faux RIB constitue l’usage d’une fausse qualité, celle du fournisseur véritable ; le courriel qui annonce le changement de coordonnées, rédigé sur le papier à en-tête imité et adressé au bon interlocuteur avec la vraie facture en référence, constitue l’emploi de manoeuvres frauduleuses ; le virement ordonné par l’entreprise trompée constitue la remise de fonds. Le texte précise que « L’escroquerie est punie de cinq ans d’emprisonnement et de 375 000 euros d’amende », et la tentative est punie comme l’infraction consommée puisque « La tentative des infractions prévues par la présente section est punie des mêmes peines » (article 313-3 du code pénal). Un virement intercepté à temps, bloqué par la banque avant exécution, reste donc punissable.
La Cour de cassation vient de rappeler, le 16 septembre 2026, comment les juges caractérisent ces manoeuvres dans les montages financiers. Dans un dossier où des dirigeants avaient collecté des fonds auprès d’investisseurs en promettant un rendement annuel de 6,5 %, la chambre criminelle approuve les juges d’appel d’avoir retenu que les prévenus avaient, « pour obtenir ces fonds, mis en place une fausse entreprise, fait état d’un crédit imaginaire, l’activité de la société étant inexistante et le remboursement des comptes courants impossible, fait intervenir des tiers aptes à inspirer confiance, et procédé à des remboursements partiels dissimulant l’existence d’une cavalerie », puis d’avoir statué « par des motifs faisant ressortir l’existence de manoeuvres frauduleuses antérieures à la remise des fonds, notamment l’utilisation d’une fausse entreprise, d’un crédit imaginaire et de tiers de bonne foi, de nature à donner force et crédit aux mensonges des prévenus, ayant déterminé la remise des fonds » (Cass. crim., 16 sept. 2026, n° 25-83.924). Trois enseignements pour l’entreprise victime d’un faux fournisseur. D’abord, la manoeuvre doit être antérieure à la remise des fonds : le faux courriel, le faux RIB et l’usurpation de l’identité du fournisseur précèdent le virement, ce qui distingue l’escroquerie d’un simple impayé commercial. Ensuite, l’intervention d’éléments aptes à inspirer confiance, montants exacts des factures en cours, signature reproduite, numéro de téléphone du faux comptable qui répond et rassure, donne force et crédit au mensonge exactement comme la fausse entreprise et le crédit imaginaire de l’arrêt. Enfin, la remise doit avoir été déterminée par la tromperie : la comptable a viré parce qu’elle croyait payer son fournisseur, et c’est cette causalité que la plainte devra établir pièces à l’appui.
Lorsque l’opération mobilise plusieurs acteurs, faux fournisseur, mule qui reçoit les fonds, complices qui blanchissent, les peines s’alourdissent. L’article 313-2 du code pénal dispose que « Les peines sont portées à dix ans d’emprisonnement et à 1 000 000 euros d’amende lorsque les escroqueries mentionnées à l’article 313-1 et aux 1° à 4° bis du présent article sont commises en bande organisée » (article 313-2 du code pénal). Le dossier de la CPAM de l’Oise, avec sept personnes impliquées pour plus d’un million d’euros, illustre ce que vise ce texte : des escroqueries de masse montées en équipe. Pour l’entreprise victime, la bande organisée n’est pas une simple circonstance de l’affaire des autres : elle ouvre des moyens d’enquête renforcés, interception, infiltration, sonorisation, et elle pèse sur la confiscation des avoirs qui servira à l’indemniser. S’ajoutent les peines complémentaires de l’article 313-7, dont « La confiscation de la chose qui a servi ou était destinée à commettre l’infraction ou de la chose qui en est le produit » (article 313-7 du code pénal), l’interdiction de gérer et l’affichage de la décision. La plainte de l’entreprise a donc intérêt à décrire le réseau autant que son propre préjudice, comptes destinataires, numéros appelants, adresses IP des courriels, identité des complices démarchés, pour permettre au parquet de retenir la bande organisée et de geler les flux.
B. Escroquerie en ligne : où et comment porter plainte quand l’entreprise a payé un faux RIB
La première heure décide souvent du sort de l’argent. Avant même la plainte, l’entreprise appelle sa banque pour demander le rappel du virement et fait opposition sur les prochains prélèvements si les coordonnées du compte ont été exposées. Le rappel n’aboutit que si les fonds sont encore sur le compte destinataire, car la banque du bénéficiaire ne peut restituer que ce qui s’y trouve. En parallèle, l’entreprise écrit au véritable fournisseur, par un canal déjà connu et vérifié, pour l’informer que son identité est usurpée et lui demander de confirmer par écrit ses seules coordonnées bancaires valables. Cette confirmation servira deux fois : à prouver la fausse qualité dans la plainte pénale et à écarter tout litige commercial sur le paiement de la facture, qui reste due au vrai fournisseur malgré le virement parti ailleurs.
La plainte se dépose au commissariat, à la gendarmerie ou par écrit au procureur de la République du lieu de l’infraction ou du siège de l’entreprise. Les entreprises exposées aux cyberattaques disposent du parcours dédié de dépôt de plainte en ligne, et la fiche réflexe officielle de cybermalveillance.gouv.fr détaille les gestes face à une fraude au virement ou au faux RIB (que faire en cas de fraude au virement ou au faux RIB). FranceNum, le portail public de la transformation numérique des entreprises, décrit le même mécanisme côté prévention et recommande le dépôt de plainte rapide auprès des services de police et de gendarmerie, en soulignant qu’un dépôt de plainte rapide permet d’optimiser les chances de récupérer les fonds escroqués (comment détecter et éviter une fraude aux faux fournisseurs). La plainte vise l’escroquerie, articles 313-1 et suivants du code pénal, et, selon les pièces, le faux et usage de faux pour le RIB fabriqué, l’usurpation d’identité et, lorsque les fonds transitent par des comptes ouverts avec des pièces volées, le blanchiment. Elle joint l’original du courriel frauduleux avec ses en-têtes techniques, la facture de référence, le faux RIB, l’ordre de virement, les relevés, la confirmation écrite du vrai fournisseur et la chronologie des appels de vérification. Chaque pièce compte : c’est sur elles que le magistrat appréciera la manoeuvre antérieure à la remise et la détermination de la remise par la tromperie.
Si la plainte simple reste sans suite ou si l’entreprise veut peser sur l’enquête, la constitution de partie civile devant le juge d’instruction prend le relais. L’article 85 du code de procédure pénale ouvre cette voie : « Toute personne qui se prétend lésée par un crime ou un délit peut en portant plainte se constituer partie civile devant le juge d’instruction compétent en application des dispositions des articles 52, 52-1 et 706-42 » (article 85 du code de procédure pénale). La recevabilité suppose toutefois d’avoir d’abord saisi le procureur, soit en justifiant d’un refus de poursuites, soit en laissant passer trois mois depuis la plainte. Pour une personne morale à but lucratif, le même article exige de joindre bilan et compte de résultat afin de justifier de ses ressources. Concrètement, l’entreprise dépose plainte au parquet, attend en surveillant le délai de trois mois ou la réponse de classement, puis saisit le juge d’instruction avec consignation éventuelle. La constitution de partie civile permet de demander des actes, expertises des courriels, réquisitions bancaires, auditions, et de réclamer des dommages et intérêts dans le procès pénal, ce qui évite un second procès civil. Elle suppose un préjudice direct et personnel, condition posée par l’article 2 du code de procédure pénale : « L’action civile en réparation du dommage causé par un crime, un délit ou une contravention appartient à tous ceux qui ont personnellement souffert du dommage directement causé par l’infraction » (article 2 du code de procédure pénale). L’entreprise qui a perdu le montant du virement, outre les frais bancaires et le coût de la fraude, remplit cette condition à l’évidence, puisqu’elle a payé au lieu et place du vrai créancier et reste tenue de la facture initiale.
II. Récupérer l’argent : banque, bénéficiaire et juge, qui rembourse le virement parti
A. Virement autorisé ou non autorisé, devoir de vigilance de la banque et identifiant inexact : comment obtenir le remboursement
Tout commence par une distinction que les entreprises découvrent trop tard : le virement ordonné par la comptable trompée est un virement autorisé, alors que le débit opéré à son insu après piratage du compte est une opération non autorisée. Les deux régimes ne remboursent pas de la même façon. En cas d’opération non autorisée, la loi impose à la banque un remboursement rapide : « le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant » (article L133-18 du code monétaire et financier), avec intérêts majorés en cas de retard. La charge de la preuve pèse sur la banque : « il incombe à son prestataire de services de paiement de prouver que l’opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre » (article L133-23 du code monétaire et financier), et le simple enregistrement de l’instrument de paiement ne suffit pas à prouver l’autorisation ni la négligence grave du client. En cas de perte ou de vol de l’instrument, la participation de l’entreprise reste plafonnée : « les pertes liées à l’utilisation de cet instrument, dans la limite d’un plafond de 50 € » (article L133-19 du code monétaire et financier), sauf fraude ou négligence grave de sa part. Lorsqu’un faux fournisseur s’ajoute au piratage du compte, par exemple quand les escrocs prennent la main sur la messagerie puis déclenchent eux-mêmes le virement, l’entreprise cumule donc la plainte pour escroquerie et la demande de remboursement immédiat sur le fondement de ces textes.
Le cas le plus fréquent reste toutefois le virement autorisé : la comptable a elle-même validé l’ordre, avec authentification forte, vers l’identifiant unique indiqué sur le faux RIB. La banque oppose alors l’article L133-21 du code monétaire et financier : « Un ordre de paiement exécuté conformément à l’identifiant unique fourni par l’utilisateur du service de paiement est réputé dûment exécuté pour ce qui concerne le bénéficiaire désigné par l’identifiant unique » (article L133-21 du code monétaire et financier). Le nom du bénéficiaire indiqué dans l’ordre ne protège pas : seule la suite de chiffres de l’IBAN engage la banque, et un IBAN exact vers un escroc vaut exécution conforme. Mais le même article impose à la banque du payeur de ne pas en rester là : « le prestataire de services de paiement du payeur s’efforce de récupérer les fonds engagés dans l’opération de paiement », la banque du bénéficiaire devant communiquer « toutes les informations utiles pour récupérer les fonds », et la banque du payeur doit mettre à disposition, sur demande, « les informations qu’il détient pouvant documenter le recours en justice du payeur en vue de récupérer les fonds ». L’entreprise exige donc par écrit, dès le premier appel, la mise en oeuvre de cette procédure de récupération interbancaire et la communication de l’identité du titulaire du compte destinataire pour assigner. En pratique, les fonds partent vite vers l’étranger ou sont retirés en espèces, et seule la rapidité de la demande préserve une chance de gel.
Au-delà de la récupération, la responsabilité de la banque peut être recherchée sur le terrain du devoir de vigilance, et la cour d’appel de Paris vient de le rappeler avec force le 9 septembre 2026. Dans cette affaire, un client avait transmis à sa banque le RIB d’un compte que les juges ont estimé frauduleux, et la cour juge « qu’en cas d’intervention active de la banque dans la rédaction de l’ordre contenant des incohérences manifestes, elle manque à son devoir de vigilance et doit indemniser son client sur le fondement du droit commun », avant de décider que « le Crédit Agricole sera condamné à payer à M. [D] la somme de 30 000 euros à titre de dommages et intérêts en réparation de son préjudice financier » (CA Paris, 9 sept. 2026, n° 25/10372). L’arrêt précise le cadre : la responsabilité contractuelle de droit commun n’est pas applicable à la simple exécution conforme à l’identifiant unique, mais elle ressurgit dès que la banque intervient activement dans un ordre porteur d’incohérences manifestes. Pour l’entreprise victime d’un faux fournisseur, la grille de lecture est nette : changement de pays du RIB sans cohérence avec le fournisseur connu, bénéficiaire au nom différent de la raison sociale facturée, montant inhabituel ou urgence artificielle, premier virement vers ces coordonnées, autant d’anomalies apparentes que la banque aurait dû détecter avant d’exécuter, surtout lorsqu’un conseiller a aidé à saisir l’ordre. La lettre de mise en cause adressée à la banque recense ces anomalies une par une, vise l’arrêt du 9 septembre 2026 et chiffre le préjudice, car c’est sur ces incohérences manifestes que le juge appréciera le manquement au devoir de vigilance sur le fondement du droit commun de la responsabilité, dont l’article 1240 du code civil pose le principe : « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer » (article 1240 du code civil).
B. Partie civile et chiffrage du préjudice : réparation intégrale, confiscation et assurance pour une entreprise escroquée
Devant le juge pénal, l’entreprise constituée partie civile demande la réparation intégrale de son préjudice, et la Cour de cassation l’a rappelé le 3 juin 2026 : « Il résulte des trois premiers de ces textes qu’il appartient aux juridictions du fond de réparer, dans son intégralité et sans perte ni profit, dans la limite des conclusions des parties, le préjudice résultant de la déclaration de culpabilité de l’auteur du dommage » (Cass. crim., 3 juin 2026, n° 25-84.224), au visa des articles 1240 du code civil et 2 du code de procédure pénale. Le chiffrage distingue le préjudice matériel direct, montant du virement détourné, frais bancaires de rappel et de change, coût de l’audit interne et des conseils mobilisés dans l’urgence, du préjudice lié au maintien de la dette envers le vrai fournisseur, dont la facture reste due et peut porter intérêts de retard et frais de recouvrement. S’y ajoute le préjudice moral de la personne morale, atteinte à l’image auprès du fournisseur abusé et trouble dans les relations commerciales, que les juridictions indemnisent lorsque l’atteinte est démontrée. Chaque poste est justifié pièce par pièce, car la réparation se fait dans la limite des conclusions : ce qui n’est pas demandé et prouvé n’est pas alloué. La confiscation pénale complète le dispositif : les sommes saisies sur les mis en cause, sur le fondement de l’article 313-7, abondent les garanties de paiement, et la partie civile suit l’affectation de ces avoirs pour être payée avant leur dispersion.
En parallèle du procès pénal, souvent long, l’entreprise active ses autres leviers. Elle déclare le sinistre à son assurance cyber ou à sa garantie fraude et malveillance si le contrat la prévoit, en respectant les délais de déclaration et en transmettant plainte et constats. Elle vérifie ses contrats bancaires : certaines conventions de compte prévoient des plafonds d’alerte ou des validations multiples dont la banque aurait dû assurer le respect. Elle examine enfin la responsabilité de ses propres processus, car la banque adverse lui opposera sa négligence : absence de contre-appel sur un numéro connu avant tout changement de RIB, validation des ordres par une seule personne, messagerie sans double authentification. Reconnaître ces failles pour les corriger ne fait pas perdre le procès, mais les dissimuler expose à une réfaction pour faute de la victime. La procédure de vérification qui s’impose désormais dans toute entreprise tient en quatre réflexes : tout changement de coordonnées bancaires est confirmé par contre-appel sur un numéro issu du dossier fournisseur et jamais sur celui du courriel suspect ; tout premier virement vers de nouvelles coordonnées fait l’objet d’un virement test d’un euro suivi d’un appel de confirmation ; les ordres au-delà d’un seuil sont validés par deux personnes ; la messagerie du service comptable est protégée par une double authentification et les règles de filtrage signalent les domaines voisins. Ces mesures, décrites par les guides publics de prévention, ne relèvent pas du simple bon sens : elles établissent, en cas de litige avec la banque ou l’assureur, que l’entreprise a satisfait à son obligation de prudence, ce qui conditionne l’indemnisation.
Conclusion
La fraude au faux fournisseur se joue en trois temps et l’entreprise peut reprendre la main à chacun d’eux. Avant le virement, le contre-appel systématique sur un numéro connu et le virement test privent l’escroc de sa seule arme, la fausse qualité. Dans l’heure qui suit la découverte, l’appel à la banque pour le rappel des fonds et la plainte avec toutes les pièces, courriel et en-têtes, faux RIB, ordre de virement, confirmation du vrai fournisseur, préservent la qualification d’escroquerie et les chances de gel. Dans les mois suivants, la constitution de partie civile, l’action contre la banque sur son devoir de vigilance lorsqu’elle a exécuté un ordre porteur d’incohérences manifestes, et le chiffrage complet du préjudice ouvrent la voie à la réparation intégrale. Les décisions de 2026 donnent à cette stratégie des appuis récents : manoeuvres caractérisées par la fausse entreprise et le crédit imaginaire, devoir de vigilance sanctionné à hauteur de 30 000 euros, réparation sans perte ni profit. Face à la vague d’escroqueries qui porte la tendance du jour, de la CPAM de l’Oise à la boutique de rachat d’or, l’entreprise qui paie un faux RIB n’est pas condamnée à payer deux fois : à condition d’agir vite, de prouver la tromperie et de frapper aux trois portes, pénale, bancaire et civile, l’argent détourné peut revenir.