Vous ouvrez votre espace client, celui de votre banque, de votre mutuelle, de votre opérateur ou d’un organisme qui vous verse des prestations, et un détail vous glace : le RIB enregistré n’est plus le vôtre. Un IBAN inconnu l’a remplacé, parfois accompagné d’un numéro de téléphone ou d’une adresse électronique que vous n’avez jamais déclarés. Puis vient le second choc : un virement est parti, un remboursement a été détourné, une allocation a été versée ailleurs. Quelqu’un s’est connecté à votre place, a modifié vos coordonnées bancaires et a capté de l’argent qui vous revenait.
Ce scénario appelle trois réponses juridiques distinctes, qu’il ne faut pas confondre. Vos coordonnées bancaires sont des données personnelles : leur modification par un tiers est une atteinte à vos données, qui engage le responsable du traitement. Les sommes parties sans votre accord sont des opérations de paiement non autorisées : la loi bancaire organise leur remboursement. Et la connexion frauduleuse à votre compte relève du droit pénal. Chaque registre a son destinataire, ses preuves et ses délais. Cet article décrit, dans cet ordre, ce que la modification de votre IBAN change en droit, puis comment agir vite et dans le bon ordre pour récupérer vos fonds, faire sanctionner l’intrusion et obtenir réparation.
I. Ce que la modification de votre IBAN change en droit
A. Votre IBAN est une donnée personnelle : l’organisme devait le protéger
Un IBAN, associé à votre nom dans un espace client, identifie directement ou indirectement une personne physique : c’est une donnée à caractère personnel au sens du règlement européen sur la protection des données, et sa modification par un tiers non autorisé constitue un traitement illicite. L’organisme qui tient votre compte en ligne — banque, assureur, mutuelle, opérateur, caisse ou administration — est responsable de ce traitement. Il devait garantir la sécurité des accès et empêcher qu’un intrus réécrive vos coordonnées.
Le règlement (UE) 2016/679 du 27 avril 2016 impose au responsable du traitement de mettre en œuvre des mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, ce qui vise en particulier la confidentialité, l’intégrité et la disponibilité des données. Concrètement, un espace client qui permet de changer un RIB sans vérification forte — sans code à usage unique, sans confirmation sur un second canal, sans alerte adressée au titulaire — expose l’organisme à un manquement à cette obligation de sécurité. La loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, dans sa version en vigueur, relaie ces exigences pour les traitements nationaux et confie à la CNIL le contrôle de leur respect.
Lorsque l’intrusion est avérée, l’organisme fait face à une violation de données personnelles. Le règlement européen l’oblige à notifier cette violation à l’autorité de contrôle dans un délai maximal de soixante-douze heures après en avoir eu connaissance, sauf si la violation ne présente pas de risque pour les droits et libertés : c’est l’article 33 du règlement, dont le texte figure sur le site de la CNIL. Et lorsque la violation est susceptible d’engendrer un risque élevé pour vos droits et libertés, l’organisme doit vous en informer directement et dans les meilleurs délais, selon l’article 34 du même règlement. Un IBAN réécrit par un inconnu, suivi d’un détournement de fonds, remplit ce critère de risque élevé : si l’organisme ne vous a pas informé, exigez cette information par écrit, car son silence constitue un indice supplémentaire de manquement. La CNIL décrit sur son site les règles applicables à ces notifications et le contenu attendu de l’information des personnes.
De votre côté, la violation ouvre vos droits individuels, que la loi française articule avec le règlement. l’article 49 de la loi du 6 janvier 1978, dont le texte est publié par la CNIL, renvoie le droit d’accès aux conditions de l’article 15 du règlement européen. Demandez la copie de vos données : vous y verrez l’IBAN frauduleux enregistré, la date et l’heure de sa saisie, le canal utilisé et, surtout, les journaux de connexion — adresses IP, appareils, codes de validation employés. l’article 50 de la même loi renvoie la rectification aux conditions de l’article 16 du règlement : faites rétablir votre IBAN par écrit et conservez la preuve de cette demande. l’article 51 renvoie l’effacement aux conditions de l’article 17 du règlement : les coordonnées du fraudeur n’ont pas à demeurer associées à votre dossier. Enfin, l’article 56 renvoie l’opposition aux conditions de l’article 21 du règlement, utile si l’organisme entend réutiliser ces données pour d’autres finalités. L’organisme doit répondre rapidement, et au plus tard dans le mois qui suit la réception de votre demande, comme l’exige l’article 12 du règlement, ce délai pouvant être prolongé de deux mois compte tenu de la complexité et du nombre de demandes. Chaque refus, chaque réponse tardive ou évasive se conserve : ce sont des pièces pour la CNIL et, le cas échéant, pour le juge. La page de la CNIL consacrée à vos droits détaille ces démarches.
Demandez ces journaux sans attendre : ils indiquent l’appareil, l’adresse IP et l’heure exacte de la connexion intruse, autant d’éléments que l’enquête pénale exploitera pour remonter jusqu’à l’auteur, et ces traces techniques sont conservées par l’organisme pendant une durée limitée. Une demande d’accès précoce fige donc une preuve qui, plus tard, pourrait ne plus exister.
Un point de méthode s’impose : la modification de votre IBAN dans votre espace client n’est pas une simple « erreur de saisie » que l’organisme pourrait minimiser. C’est l’indice d’un accès illégitime à votre compte, c’est-à-dire d’une compromission du système d’authentification dont l’organisme avait la charge. C’est ce lien entre la donnée modifiée et la défaillance de sécurité qui fonde à la fois la plainte devant la CNIL et la demande de réparation, comme on le verra. Et c’est lui qui distingue votre situation de la fraude dite « au faux RIB » entre entreprises, où c’est le payeur qui est trompé par un RIB mensonger : la fiche réflexe de cybermalveillance.gouv.fr décrit ce second cas, où l’escroc se fait passer pour un fournisseur. Ici, c’est l’inverse : c’est votre propre compte qui a été réécrit. Le régime applicable n’est donc pas le même, et les réflexes non plus.
B. L’argent détourné : un paiement non autorisé que la banque doit rembourser
Le détournement de fonds consécutif à la réécriture de votre IBAN relève du droit des paiements, distinct du droit des données. Tout virement émis vers l’IBAN du fraudeur depuis votre compte, ou tout versement détourné vers cet IBAN, constitue une opération de paiement que vous n’avez pas autorisée. La loi est claire : « le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, sauf s’il a de bonnes raisons de soupçonner une fraude de l’utilisateur du service de paiement et s’il communique ces raisons par écrit à la Banque de France ». C’est l’article L. 133-18 du code monétaire et financier, en vigueur dans sa version applicable à la date de rédaction. Le texte ajoute que le prestataire rétablit le compte débité dans l’état où il se serait trouvé si l’opération n’avait pas eu lieu : le remboursement n’est donc pas un geste commercial, c’est une obligation légale de remise en état.
Deux garde-fous protègent le payeur de bonne foi. D’abord, « La responsabilité du payeur n’est pas engagée si l’opération de paiement non autorisée a été effectuée en détournant, à l’insu du payeur, l’instrument de paiement ou les données qui lui sont liées », selon l’article L. 133-19 du même code. Un IBAN réécrit à votre insu dans votre espace client entre dans cette hypothèse : la banque ne peut pas vous imputer une négligence pour une modification que vous n’avez ni vue ni validée. Ensuite, la charge de la preuve pèse sur la banque : « il incombe à son prestataire de services de paiement de prouver que l’opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre », dispose l’article L. 133-23 du code monétaire et financier. Le seul fait que le virement ait été enregistré depuis votre espace client ne suffit pas à établir que vous l’avez autorisé, et c’est à la banque de démontrer la fraude ou la négligence grave qu’elle vous reprocherait.
Cette protection est enfermée dans un délai strict, qu’il faut respecter sans attendre : « L’utilisateur de services de paiement signale, sans tarder, à son prestataire de services de paiement une opération de paiement non autorisée ou mal exécutée et au plus tard dans les treize mois suivant la date de débit sous peine de forclusion », dispose l’article L. 133-24 du même code. Signalez donc par écrit dès la découverte, faites horodater votre signalement et exigez le remboursement en visant expressément l’article L. 133-18. Si la banque refuse en invoquant une prétendue négligence de votre part — mot de passe faible, téléphone prêté, lien cliqué — exigez les éléments techniques précis sur lesquels elle fonde ce refus : journaux d’authentification, vérifications effectuées, alertes émises. Un refus stéréotypé, sans preuve d’une négligence grave caractérisée, ne satisfait pas à l’exigence de preuve de l’article L. 133-23.
Il faut ici séparer nettement deux situations que les organismes confondent parfois. Si vous avez vous-même validé le virement vers un faux bénéficiaire, après avoir été trompé par un faux courriel ou un faux appel, le paiement est dit autorisé et le remboursement de plein droit ne s’applique pas : c’est la fraude au faux RIB classique, qui relève d’autres recours. Mais si c’est l’IBAN enregistré dans votre espace qui a été réécrit sans votre intervention, puis utilisé pour capter vos fonds, l’opération est non autorisée et le régime du remboursement s’applique. La distinction tient à un fait simple : qui a saisi l’IBAN frauduleux, vous ou l’intrus ? Les journaux de connexion et l’historique des modifications, obtenus par votre droit d’accès, tranchent cette question. Demandez-les dès le premier courrier, à la fois à la banque et à l’organisme dont l’espace client a été compromis lorsqu’il s’agit de deux entités différentes.
Lorsque la banque qui a exécuté les virements et l’organisme dont l’espace client a été compromis sont deux entités différentes, menez les deux réclamations en parallèle, sans laisser l’une attendre l’autre. A l’organisme compromis, opposez le droit des données : accès aux journaux, rectification de l’IBAN, information sur la violation, plainte devant la CNIL en cas de silence. A la banque, opposez le droit des paiements : signalement sans tarder, remboursement au plus tard à la fin du premier jour ouvrable suivant, charge de la preuve de l’authentification. Chacune tentera de renvoyer la responsabilité vers l’autre ; vos courriers datés, en visant chaque texte dans son registre, empêchent ce renvoi. Et si l’organisme plaide qu’il n’a fait qu’appliquer vos instructions, c’est précisément l’objet du droit d’accès de le démentir : les journaux montrent qui s’est connecté, depuis où, avec quels identifiants, et à quelle heure l’IBAN a été substitué.
II. Agir vite et dans le bon ordre
A. Figer la situation, prouver l’intrusion, faire constater l’infraction
Les premières heures conditionnent tout. Changez immédiatement vos mots de passe depuis un appareil sain, activez la double authentification partout où elle existe et révoquez les sessions ouvertes sur d’autres appareils. Faites des captures d’écran datées de l’IBAN frauduleux affiché dans votre espace, des notifications de virement reçues et de tout message suspect. Puis écrivez, dans le même temps, à l’organisme détenteur de l’espace client et, s’il est distinct, à votre banque : signalez l’accès illégitime, demandez le rétablissement de votre IBAN, exigez la communication des journaux de connexion et de modification, et demandez le remboursement des opérations non autorisées. Ces courriers écrits fixent la date de connaissance de l’organisme, point de départ du délai de remboursement et de l’obligation de notification à la CNIL. Conservez-en des copies avec leurs accusés de réception.
Sur le plan pénal, la connexion d’un tiers à votre espace client puis la réécriture de votre IBAN caractérisent plusieurs infractions. « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 € d’amende », dispose l’article 323-1 du code pénal. Et « Lorsqu’il en est résulté soit la suppression ou la modification de données contenues dans le système, soit une altération du fonctionnement de ce système, la peine est de cinq ans d’emprisonnement et de 150 000 € d’amende », ajoute le deuxième alinéa du même article : la réécriture de votre IBAN entre dans cette circonstance aggravée. La Cour de cassation juge en outre que la modification frauduleuse de données est caractérisée même sans volonté de nuire démontrée, dès lors qu’elle intervient en violation de la réglementation applicable : dans un arrêt du 8 juin 2021 rendu sur pourvoi n° 20-85.853, la chambre criminelle rappelle que « le seul fait de modifier ou supprimer, en violation de la réglementation en vigueur, de telles données caractérise le délit précité, sans qu’il soit nécessaire que ces modifications ou suppressions émanent d’une personne n’ayant pas un droit d’accès au système, ni que leur auteur soit animé de la volonté de nuire ». Quant à la captation d’identifiants, elle a déjà valu condamnation sur le fondement de l’accès frauduleux : dans un arrêt du 16 janvier 2018 rendu sur pourvoi n° 16-87.168, la même chambre a rejeté le pourvoi d’un praticien condamné notamment pour accès frauduleux après installation d’un dispositif de captation des frappes clavier.
Le détournement des fonds lui-même relève de l’escroquerie : « L’escroquerie est le fait, soit par l’usage d’un faux nom ou d’une fausse qualité, soit par l’abus d’une qualité vraie, soit par l’emploi de manoeuvres frauduleuses, de tromper une personne physique ou morale et de la déterminer ainsi, à son préjudice ou au préjudice d’un tiers, à remettre des fonds », selon l’article 313-1 du code pénal, punie de cinq ans d’emprisonnement et de 375 000 euros d’amende. En revanche, l’usurpation d’identité au sens de l’article 226-4-1 du code pénal ne se retient que si les faits entrent dans sa définition légale : « Le fait d’usurper l’identité d’un tiers ou de faire usage d’une ou plusieurs données de toute nature permettant de l’identifier en vue de troubler sa tranquillité ou celle d’autrui, ou de porter atteinte à son honneur ou à sa considération, est puni d’un an d’emprisonnement et de 15 000 € d’amende ». Lorsque le mobile est le détournement d’argent et non le trouble ou l’atteinte à l’honneur, ce sont l’accès frauduleux et l’escroquerie qui portent la plainte, sans affaiblir le dossier : ne qualifiez dans votre plainte que ce que les faits établissent, et laissez au procureur le choix définitif des qualifications.
Déposez plainte au commissariat ou à la gendarmerie de votre domicile, avec vos captures, vos courriers et les références des opérations contestées. Décrivez précisément la chronologie : date de la dernière connexion légitime, date de découverte, IBAN substitué, montants partis, destinataire apparent. Demandez que soient requis les journaux de connexion et l’identification du compte destinataire des fonds, car l’argent détourné laisse des traces bancaires que l’enquête peut suivre. La page de service-public.fr consacrée à l’usurpation d’identité rappelle ce parcours — dépôt de plainte, signalements, conservation des preuves — et les démarches associées. Si un crédit a par ailleurs été souscrit à votre nom avec les données volées, les recours voisins relèvent de la contestation d’un contrat non souscrit : le site du cabinet expose cette situation dans son analyse d’un crédit réclamé sans jamais avoir été souscrit, dont la méthode probatoire — prouver l’usurpation, faire écarter l’acte, sortir des fichiers — complète utilement la présente démarche.
B. Saisir la CNIL, le juge et obtenir réparation du préjudice
Une fois l’urgence traitée, deux voies parallèles s’ouvrent : l’action devant l’autorité de contrôle et l’action en réparation. Adressez une plainte à la CNIL, en ligne, en joignant vos courriers restés sans réponse ou sans effet : la loi charge la Commission de traiter les réclamations et les plaintes des personnes concernées, et son président comme sa formation restreinte disposent de pouvoirs de mise en demeure et de sanction en cas de manquement au règlement ou à la loi. Une plainte documentée — IBAN substitué, dates, absence de vérification forte, défaut d’information après la violation, refus de communiquer les journaux — donne à la CNIL les éléments d’un contrôle utile. Cette voie ne vous indemnise pas directement, mais elle fait constater le manquement et pèse dans la négociation comme devant le juge.
La réparation s’obtient devant le juge. « toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi » : c’est l’article 82, paragraphe 1, du règlement européen, cité par la Cour de cassation dans un arrêt de la chambre sociale du 24 juin 2026 rendu sur pourvoi n° 24-22.792. Cet arrêt récent fixe deux règles décisives pour votre dossier. D’une part, « la simple violation des dispositions de ce règlement ne suffit pas pour conférer un droit à réparation » : il faut démontrer un préjudice réel — fonds temporairement perdus, découvert et frais bancaires, démarches et temps passé, préjudice moral lié à l’intrusion dans vos comptes, fichage bancaire contesté à tort. Constituez ce préjudice pièce par pièce : relevés, factures, attestations, échanges avec l’organisme. D’autre part, la Cour juge que le texte européen « s’oppose à une règle ou une pratique nationale subordonnant la réparation d’un dommage moral, au sens de cette disposition, à la condition que le préjudice subi par la personne concernée ait atteint un certain degré de gravité ». Autrement dit, un préjudice moral même modeste, dès lors qu’il est établi, ouvre droit à réparation : l’organisme ne peut pas vous opposer que votre trouble serait insuffisant.
À Paris et en Île-de-France, ces démarches suivent le circuit francilien : plainte dans le commissariat ou la gendarmerie du domicile, saisine de la CNIL dont le siège est parisien par la voie dématérialisée, et action civile devant le tribunal judiciaire du domicile, dont celui de Paris pour les résidents parisiens. Préparez un dossier unique et chronologique — captures de l’IBAN substitué, courriers de signalement et leurs accusés, réponse ou silence de l’organisme, demande d’accès et journaux obtenus, relevés des opérations détournées, dépôt de plainte, échanges avec la banque sur le remboursement — car c’est la cohérence de cette chronologie qui emporte la conviction, devant l’autorité comme devant le juge.
Un IBAN réécrit à votre insu n’est ni une fatalité ni une erreur anodine : c’est la trace d’une intrusion dans vos données et, le cas échéant, d’un manquement de l’organisme à son obligation de sécurité. Signalez sans tarder, exigez par écrit le rétablissement de vos coordonnées, la communication des journaux et le remboursement des opérations non autorisées, portez plainte pour accès frauduleux et escroquerie, et saisissez la CNIL si l’organisme persiste. Devant le juge, la violation établie et le préjudice démontré ouvrent la réparation, sans seuil de gravité. La rapidité de vos écrits et la rigueur de vos preuves font la différence entre un dossier qui s’enlise et des fonds qui reviennent.