Un courriel de votre fournisseur historique annonce un changement de coordonnées bancaires et joint un nouveau relevé d’identité bancaire. Votre comptable exécute le virement de 84 000 euros correspondant à la facture en attente. Trois jours plus tard, le vrai fournisseur relance pour impayé : le message venait d’une adresse légèrement modifiée et les fonds ont déjà quitté la France. Variante tout aussi coûteuse : un message pressant signé du président ordonne un transfert confidentiel vers un compte en Hongrie, et la salariée obéit. Ces deux scénarios portent le même nom, l’escroquerie au virement, dite arnaque au faux RIB ou fraude au faux président, et ils placent l’entreprise face à une question brutale : la banque doit-elle rembourser des fonds que l’entreprise a elle-même ordonné de virer ? La plateforme publique Cybermalveillance.gouv.fr, dont la fiche réflexe consacrée à cette fraude a été mise à jour le 14 octobre 2026, décrit exactement ce mode opératoire : tromper la victime en usurpant l’identité d’un créancier avec lequel elle est en relation, afin de lui faire réaliser un virement vers un compte détenu par un escroc. Or la réponse juridique tient en une distinction que les entreprises découvrent trop tard : le virement extorqué par ruse reste en principe un virement autorisé, et c’est seulement par deux voies étroites, le manquement de la banque à son devoir de vigilance et le défaut d’authentification forte, que l’établissement peut être contraint de payer. La Cour de cassation vient de le rappeler avec une netteté inédite dans un arrêt du 19 novembre 2025 rendu sur une fraude au faux président visant une société, qui fixe pour les entreprises le mode d’emploi des recours utiles.

I. Le virement validé par votre entreprise : pourquoi le remboursement n’est pas automatique

A. Faux RIB, faux président : un virement autorisé que la banque a bien exécuté

Dans la fraude au faux RIB, l’escroc intercepte ou imite la correspondance commerciale : facture identique au document d’origine, logo repris, seule la domiciliation bancaire change. Dans la fraude au faux président, l’imposteur se fait passer pour le dirigeant, parfois après avoir piraté sa messagerie, et invoque une opération confidentielle et urgente, audit, acquisition, contrôle fiscal, pour exiger un virement vers un compte étranger. Dans les deux cas, c’est bien un salarié habilité de l’entreprise qui saisit l’ordre, le valide avec ses codes personnels et appuie sur envoi. Cette circonstance commande tout le régime juridique applicable : le consentement a été donné par le payeur, même si ce consentement a été surpris par tromperie. L’article L. 133-6 du code monétaire et financier pose le principe : « Une opération de paiement est autorisée si le payeur a donné son consentement à son exécution. » Et l’article L. 133-7 du même code précise la sanction du défaut de consentement : « En l’absence d’un tel consentement, l’opération ou la série d’opérations de paiement est réputée non autorisée. » A contrario, lorsque le consentement existe, fût-il vicié par les manoeuvres d’un tiers, l’opération entre dans la catégorie des opérations autorisées, et tout l’édifice protecteur construit autour des opérations non autorisées ne s’applique pas.

Deuxième verrou, l’exécution elle-même : la banque a viré exactement là où l’entreprise lui a demandé de virer. L’article L. 133-21 du code monétaire et financier dispose qu’« Un ordre de paiement exécuté conformément à l’identifiant unique fourni par l’utilisateur du service de paiement est réputé dûment exécuté pour ce qui concerne le bénéficiaire désigné par l’identifiant unique. » L’identifiant unique, c’est l’IBAN saisi par votre comptable : dès lors que les fonds sont parvenus au compte désigné par cet IBAN, la banque a correctement exécuté sa mission, même si le titulaire réel du compte est un escroc et non votre fournisseur. Le texte ajoute que « Si l’identifiant unique fourni par l’utilisateur du service de paiement est inexact, le prestataire de services de paiement n’est pas responsable de la mauvaise exécution ou de la non-exécution de l’opération de paiement. » La concordance entre le nom du bénéficiaire indiqué et le titulaire du compte n’est pas vérifiée dans ce cadre : la banque exécute des numéros, pas des identités.

Troisième verrou, l’irrévocabilité : une fois l’ordre reçu par la banque, il n’existe plus de bouton annuler. L’article L. 133-8 du code monétaire et financier est formel : « L’utilisateur de services de paiement ne peut révoquer un ordre de paiement une fois qu’il a été reçu par le prestataire de services de paiement du payeur ». Concrètement, l’appel passé à votre conseiller une heure après la découverte ne fait pas revenir les fonds par magie : la banque peut tenter un rappel interbancaire de bonne volonté, d’autant plus efficace que le virement n’a pas encore été exécuté, mais elle n’a aucune obligation de résultat à ce stade. C’est pour cette raison que la Cour de cassation, dans son arrêt du 19 novembre 2025 rendu sur le pourvoi n° 24-17.780 à propos d’une société dont la comptable avait été trompée par un faux courriel du président et avait viré des fonds vers la Hongrie, énonce : « Il résulte de la combinaison des articles L. 133-6, L. 133-7, L. 133-18, L. 133-19, L. 133-21 et L. 133-22 du code monétaire et financier que le régime de responsabilité du prestataire de services de paiement prévu par ce code, exclusif du droit commun de la responsabilité contractuelle défini par l’article 1231-1 du code civil, ne s’applique qu’aux opérations de paiement non autorisées ou mal exécutées. » (Cass. com., 19 nov. 2025, n° 24-17.780). La phrase est décisive pour les entreprises : les articles protecteurs qui imposent à la banque de rembourser, notamment l’article L. 133-18 du code monétaire et financier selon lequel « le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant », ne jouent que pour les opérations non autorisées ou mal exécutées. Votre virement validé sous l’empire d’un mensonge n’entre dans aucune de ces deux cases. La Cour ajoute d’ailleurs logiquement : « Après avoir retenu que les opérations litigieuses avaient été autorisées, la cour d’appel devant laquelle il n’était pas invoqué qu’elles avaient été mal exécutées, a, à bon droit, recherché, comme elle y était invitée, si la banque avait commis un manquement à son obligation contractuelle de vigilance. » Autrement dit, le terrain du remboursement automatique est fermé ; reste le terrain de la faute prouvée de la banque, examiné dans la seconde partie. Les entreprises qui écrivent à leur banque en invoquant le remboursement de plein droit des opérations frauduleuses perdent donc un temps précieux : la lettre utile n’est pas celle qui réclame l’application du régime des opérations non autorisées, mais celle qui conteste par écrit l’opération, exige les traces d’authentification et met la banque en demeure de tenter le rappel des fonds, tout en préparant l’assignation sur le fondement du devoir de vigilance.

B. Escroquerie avérée : plainte, preuves et réflexes des premières heures à Paris comme ailleurs

Le fait que la banque ne soit pas tenue de rembourser de plein droit ne signifie pas que l’infraction n’existe pas : l’escroquerie est constituée dès lors que l’auteur, par l’usage d’un faux nom ou d’une fausse qualité ou par des manoeuvres frauduleuses, trompe l’entreprise et la détermine à remettre des fonds. L’article 313-1 du code pénal définit ainsi l’infraction : « L’escroquerie est le fait, soit par l’usage d’un faux nom ou d’une fausse qualité, soit par l’abus d’une qualité vraie, soit par l’emploi de manoeuvres frauduleuses, de tromper une personne physique ou morale et de la déterminer ainsi, à son préjudice ou au préjudice d’un tiers, à remettre des fonds, des valeurs ou un bien quelconque, à fournir un service ou à consentir un acte opérant obligation ou décharge. » Le texte ajoute : « L’escroquerie est punie de cinq ans d’emprisonnement et de 375 000 euros d’amende. » Le faux RIB adressé sous l’identité du fournisseur et le faux courriel du président entrent sans difficulté dans cette définition, et la qualité de personne morale de la victime ne fait aucun obstacle aux poursuites. Cette qualification pénale structure toute la suite : sans plainte et sans preuves conservées, l’entreprise se prive du seul levier capable de faire remonter la chaîne des comptes rebonds et d’identifier les complices qui ont fourni les coordonnées bancaires.

Les premières heures suivant la découverte conditionnent les chances de revoir les fonds, et la fiche réflexe de Cybermalveillance.gouv.fr mise à jour le 14 octobre 2026 donne la séquence officielle à suivre. D’abord, alerter immédiatement votre banque de l’opération frauduleuse pour tenter de suspendre le virement s’il n’est pas encore exécuté et, dans le cas contraire, demander le retour des fonds : votre banque pourra exiger une copie de votre dépôt de plainte pour instruire votre demande, ce qui montre que les deux démarches avancent ensemble. Ensuite, alerter au plus vite le créancier dont l’identité a été usurpée, car sa messagerie a peut-être été piratée et il doit à son tour déposer plainte, changer ses mots de passe et prévenir ses clients. Puis conserver les preuves, messages reçus, relevés de comptes, factures et faux RIB, qui serviront en justice, vérifier les paramètres de la messagerie pour y déceler d’éventuelles règles de redirection mises en place par l’escroc, en les photographiant avant suppression, et changer immédiatement les mots de passe si un piratage est suspecté. Enfin, déposer plainte au commissariat de police ou à la brigade de gendarmerie, ou par écrit auprès du procureur de la République du tribunal judiciaire dont dépend l’entreprise, en joignant toutes les preuves, le dépôt devant intervenir dans les plus brefs délais après l’identification de l’escroquerie. Lorsque des éléments laissent supposer le piratage d’une messagerie, la plainte peut être déposée en ligne sur la plateforme THESEE du ministère de l’Intérieur, et la plateforme Info Escroqueries du ministère de l’Intérieur, joignable au 0 805 805 817, oriente les victimes dans leurs démarches. À Paris et en Île-de-France, ce parcours est matériellement simple : tout commissariat parisien enregistre la plainte, le tribunal judiciaire de Paris reçoit les plaintes adressées au procureur, et les entreprises dont la messagerie a été compromise disposent sur place des prestataires de réponse aux incidents référencés par Cybermalveillance pour sécuriser leurs systèmes et documenter l’intrusion. Chaque pièce compte double : elle sert l’enquête pénale et elle alimentera l’action civile contre la banque, car le juge civil appréciera le sérieux de l’entreprise au travers de la rapidité de sa réaction et de la qualité de son dossier.

Sur le plan civil immédiat, deux courriers partent le jour même. Le premier à la banque : contestation écrite et datée de l’opération, demande des journaux d’authentification et des circonstances d’exécution du virement, demande formelle de rappel interbancaire des fonds auprès de la banque du bénéficiaire, et mise en demeure de communiquer les informations détenues pour agir en justice. Ce dernier point n’est pas une formule : l’article L. 133-21 du code monétaire et financier prévoit que « le prestataire de services de paiement du payeur s’efforce de récupérer les fonds engagés dans l’opération de paiement », que la banque du bénéficiaire lui communique toutes les informations utiles à cette récupération, et que si la récupération échoue, la banque du payeur « met à disposition du payeur, à sa demande, les informations qu’il détient pouvant documenter le recours en justice du payeur en vue de récupérer les fonds ». Le second courrier part au véritable créancier usurpé, pour l’informer, convenir du sort de la facture restée impayée et coordonner les plaintes, car deux dépôts concordants valent mieux qu’un. Parallèlement, l’entreprise vérifie sa convention de compte professionnel : pour les utilisateurs qui ne sont pas des personnes physiques agissant pour des besoins non professionnels, la loi autorise les parties à convenir d’un délai de contestation distinct du délai légal, et beaucoup de contrats bancaires d’entreprise resserrent les délais de signalement. Laisser passer le délai contractuel affaiblit toute action ultérieure, d’où l’importance d’une contestation écrite immédiate, même avant de connaître l’issue du rappel des fonds.

II. Les deux voies pour contraindre la banque à payer : vigilance et authentification forte

A. Le manquement de la banque à son devoir de vigilance : prouver une anomalie apparente

Puisque le virement était autorisé, la seule faute civile envisageable contre la banque est le manquement à son obligation contractuelle de vigilance, c’est-à-dire le défaut d’alerte face à une opération manifestement anormale. La formule de référence est posée par l’arrêt du 19 novembre 2025 déjà cité : « Le banquier, tenu à une obligation de ne pas s’immiscer dans les affaires de son client, ne doit l’alerter qu’en présence d’anomalies apparentes aisément décelables par un professionnel normalement diligent. » (Cass. com., 19 nov. 2025, n° 24-17.780). Chaque mot compte : le banquier ne doit pas s’immiscer dans la gestion de l’entreprise, il n’a pas à tenir la liste des bénéficiaires habituels ni à juger l’opportunité économique d’un paiement, et sa responsabilité ne se déclenche que devant une anomalie à la fois apparente et décelable par un professionnel normalement diligent. Dans cette affaire, les faits étaient pourtant spectaculaires : le 26 janvier 2022, la comptable salariée d’une société avait transmis un ordre de virement vers un compte ouvert dans une banque en Hongrie après avoir été trompée par un courriel d’un interlocuteur se faisant passer pour le président de la société, et la société avait assigné sa banque en responsabilité pour manquement à l’obligation de vigilance. La cour d’appel de Montpellier avait condamné la banque en relevant un faisceau d’indices : un virement de 231 078 euros manifestement anormal au regard d’opérations habituelles correspondant pour l’essentiel à des paiements, notamment de salaires, pour des montants modestes, opéré au profit d’une société qui ne faisait pas partie des bénéficiaires habituels, en faveur d’un établissement bancaire hongrois, pays avec lequel la société n’avait aucune activité ni aucun flux financier jusque-là, avec un relevé d’identité bancaire enregistré concomitamment à l’ordre de virement. La Cour de cassation casse pourtant cette condamnation, et son raisonnement mérite une lecture attentive car il dessine la frontière exacte du devoir de vigilance : « En se déterminant ainsi, par des motifs impropres à caractériser l’existence d’anomalies apparentes, dès lors qu’elle avait constaté qu’un virement d’un montant important unique avait déjà été ordonné en faveur d’un bénéficiaire étranger, la cour d’appel n’a pas donné de base légale à sa décision. » En clair, l’entreprise avait déjà ordonné par le passé un paiement de 146 283 euros à destination de la Belgique : dès lors qu’un virement important vers l’étranger figurait dans l’historique, le virement hongrois ne présentait plus, aux yeux de la Cour, une anomalie apparente caractérisée, malgré le nouveau bénéficiaire et l’enregistrement concomitant du RIB. L’arrêt renvoie l’affaire devant la cour d’appel de Nîmes et condamne la société aux dépens ainsi qu’à 3 000 euros au titre de l’article 700 du code de procédure civile.

L’enseignement pratique pour les entreprises est double. D’une part, le devoir de vigilance existe et survit au régime légal des services de paiement : la Cour valide expressément que, les opérations étant autorisées et non prétendument mal exécutées, la cour d’appel a eu raison de rechercher un manquement à l’obligation contractuelle de vigilance, sur le fondement du droit commun de la responsabilité contractuelle défini par l’article 1231-1 du code civil. La banque n’est donc pas à l’abri derrière l’argument du virement autorisé dès lors qu’elle a laissé passer une opération que tout professionnel diligent aurait trouvée suspecte. D’autre part, le seuil de preuve est élevé et factuel : ce qui emporte la conviction du juge, c’est la rupture nette avec l’historique du compte, premier virement vers un pays avec lequel l’entreprise n’a jamais travaillé, montant sans rapport avec l’activité courante, bénéficiaire inconnu, enregistrement du RIB dans la foulée de l’ordre, instructions reçues par un canal inhabituel. À l’inverse, tout antécédent de virements importants vers l’étranger, toute habitude de paiements à des prestataires étrangers et toute validation interne légère affaiblissent l’argument de l’anomalie apparente, comme le montre la cassation obtenue par la banque dans l’affaire de 2025. L’entreprise qui assigne sa banque doit donc produire son historique d’opérations, ses procédures internes de validation des changements de RIB, les journaux de messagerie montrant l’usurpation et la démonstration que rien, dans son fonctionnement habituel, ne préparait un tel virement. À Paris, ce contentieux entre une société et sa banque relève des juridictions parisiennes du lieu du siège de l’entreprise ou de celui de la banque, et la qualité de la démonstration comptable et informatique y fait souvent la différence, car les juges comparent l’opération litigieuse aux flux habituels ligne à ligne.

B. L’authentification forte absente : la négligence de l’entreprise devient inopposable

La seconde voie, souvent plus prometteuse, concerne les opérations non autorisées au sens strict, typiquement le piratage des accès bancaires en ligne après hameçonnage, et repose sur l’exigence d’authentification forte. L’article L. 133-44 du code monétaire et financier impose au prestataire de services de paiement d’appliquer l’authentification forte du client lorsque le payeur accède à son compte en ligne, initie une opération de paiement électronique ou exécute une opération par un moyen de communication à distance susceptible de comporter un risque de fraude, et précise que pour les opérations électroniques à distance, cette authentification comporte des éléments qui établissent un lien dynamique entre l’opération, le montant et le bénéficiaire. Concrètement, valider un virement vers un nouveau bénéficiaire doit s’accompagner d’une vérification robuste liant le montant et le destinataire, et non d’un simple code reçu par SMS recopié sur une fausse page. Lorsque la banque a omis cette protection, la négligence même grave du client ne la sauve pas. La Cour de cassation l’a jugé le 30 août 2023 dans une affaire où un client avait communiqué à un faux employé de banque, par téléphone, le code à six chiffres dit 3D Secure destiné à valider des paiements par internet, avant qu’un paiement qu’il n’avait pas réalisé soit prélevé : la banque refusait tout remboursement en invoquant la négligence grave du client. La Cour casse le jugement qui avait débouté le client : « Il ressort du premier de ces textes que, sauf agissement frauduleux de sa part, le payeur ne supporte aucune conséquence financière si l’opération de paiement non autorisée a été effectuée sans que le prestataire de services de paiement du payeur n’exige une authentification forte du payeur prévue par le second de ces textes. » Puis elle reproche aux juges du fond de s’être déterminés sur la négligence grave « sans rechercher, comme il lui incombait, si l’opération de paiement litigieuse avait été exécutée sans que la banque exige l’authentification forte du payeur » (Cass. com., 30 août 2023, n° 22-11.707). La leçon vaut pour les comptes professionnels : avant de discuter de l’imprudence du salarié qui a cliqué, le juge doit vérifier si la banque a elle-même appliqué l’authentification forte, et son absence prive l’établissement du droit d’opposer la négligence grave.

Un arrêt du 22 octobre 2025 prolonge cette solution dans un cas d’hameçonnage pur : le titulaire d’un compte avait répondu à un courriel qu’il pensait adressé par sa banque et l’invitant à communiquer des éléments pour activer le système d’authentification forte, puis avait constaté un virement vers un compte inconnu. La banque refusait de rembourser en invoquant la négligence grave du client. La Cour de cassation rejette le pourvoi de la banque et approuve les juges d’avoir condamné l’établissement à restituer les fonds : « Il résulte des articles L. 133-44, I et L. 133-19, V du code monétaire et financier que le prestataire de service de paiement doit appliquer l’authentification forte du client définie au f) de l’article L. 133-4 du même code en cas d’opération de paiement à distance et qu’à défaut, il doit rembourser au payeur le montant de l’opération non autorisée, sauf agissement frauduleux du payeur. » La Cour relève ensuite que le tribunal avait retenu une négligence grave, le client ayant répondu à un courriel présentant des anomalies grossières et communiqué des données confidentielles dont les codes pour valider l’ajout d’un bénéficiaire et le virement, mais ajoute que « la banque ne justifie toutefois pas avoir exigé du payeur l’activation de l’authentification forte », et conclut que le tribunal « a exactement déduit que la banque devait rembourser au payeur le montant de l’opération non autorisée » (Cass. com., 22 oct. 2025, n° 24-19.749). Autrement dit, même un client gravement imprudent obtient le remboursement dès lors que la banque n’a pas mis en oeuvre l’authentification forte, sauf fraude caractérisée du client lui-même, hypothèse distincte de la simple crédulité. Pour une entreprise victime, l’axe de contestation consiste donc à exiger de la banque la preuve du dispositif d’authentification appliqué à l’opération litigieuse, horodatage, lien dynamique entre montant et bénéficiaire, second facteur indépendant du canal compromis, plutôt que de s’enfermer dans un débat sur la vigilance de son salarié.

Trois règles de procédure encadrent ces contestations et doivent être connues avant d’écrire à la banque. Premièrement, la charge de la preuve pèse sur l’établissement : l’article L. 133-23 du code monétaire et financier dispose : « Lorsqu’un utilisateur de services de paiement nie avoir autorisé une opération de paiement qui a été exécutée, ou affirme que l’opération de paiement n’a pas été exécutée correctement, il incombe à son prestataire de services de paiement de prouver que l’opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre », et le texte précise que la seule production des journaux informatiques de la banque ne suffit pas nécessairement à prouver l’autorisation ni à établir la négligence grave de l’utilisateur. Deuxièmement, la contestation est enfermée dans un délai couperet : l’article L. 133-24 du code monétaire et financier impose à l’utilisateur de signaler « sans tarder » toute opération non autorisée ou mal exécutée « et au plus tard dans les treize mois suivant la date de débit sous peine de forclusion », tout en autorisant, pour les utilisateurs qui ne sont pas des personnes physiques agissant pour des besoins non professionnels, un délai conventionnel distinct, ce qui renvoie chaque entreprise à sa convention de compte professionnel, souvent plus stricte. Troisièmement, le montant du risque résiduel est plafonné dans le cas standard de perte ou de vol de l’instrument : l’article L. 133-19 du code monétaire et financier prévoit que le payeur supporte avant opposition les pertes liées à l’instrument, « dans la limite d’un plafond de 50 € », sauf agissement frauduleux ou négligence grave, hypothèses dans lesquelles l’établissement tente de faire supporter au client l’intégralité des pertes, argument que les arrêts de 2023 et 2025 neutralisent lorsque l’authentification forte fait défaut. Le calendrier procédural est donc simple : contestation écrite immédiate, demande des preuves d’authentification, rappel des fonds, puis assignation sur la vigilance ou sur le défaut d’authentification forte selon la nature exacte de l’opération, autorisée par ruse ou exécutée sans autorisation réelle après piratage des accès.

Conclusion

L’entreprise qui découvre un virement parti vers un escroc doit raisonner en deux temps. D’abord admettre que le virement validé par son salarié est juridiquement un virement autorisé et correctement exécuté au regard de l’IBAN saisi, ce qui ferme la voie du remboursement automatique de plein droit et impose de ne pas perdre de semaines dans des réclamations mal fondées. Ensuite agir vite et sur les deux bons fronts : déposer plainte sans délai avec un dossier de preuves complet, exiger de la banque le rappel des fonds et la communication des informations utiles au recours, puis faire trancher par le juge l’une des deux fautes qui engagent l’établissement, le manquement à l’obligation de vigilance devant une anomalie apparente que l’arrêt du 19 novembre 2025 encadre strictement mais confirme expressément, ou le défaut d’authentification forte qui, selon les arrêts du 30 août 2023 et du 22 octobre 2025, prive la banque du droit d’opposer la négligence grave du client. La prévention reste la moins coûteuse des protections : procédure écrite de validation de tout changement de RIB avec contre-appel sur un numéro connu, double signature au-delà d’un seuil, interdiction des ordres reçus par simple courriel et formation des comptables aux scénarios du faux président. À Paris comme dans toute l’Île-de-France, où se concentrent sièges sociaux, directions financières et juridictions saisies de ces litiges bancaires, ces réflexes s’appliquent sans adaptation : plainte au commissariat ou au procureur du tribunal judiciaire, contestation dans les délais de la convention de compte, et action civile documentée par l’historique des flux. Le virement frauduleux ne se gagne ni par l’émotion ni par l’évidence de la tromperie, mais par la démonstration méthodique que la banque aurait dû voir l’anomalie ou verrouiller l’opération.