Une comptable reçoit un courriel qui ressemble en tout point à celui d’un fournisseur historique : nouveau relevé d’identité bancaire, motif de changement de domiciliation, signature connue, ton habituel. Elle saisit le virement, le valide, classe le dossier. Quelques jours plus tard, le vrai fournisseur relance pour facture impayée. Le rapprochement fait apparaître l’évidence : les fonds sont partis vers un compte inconnu, sur la foi d’un faux RIB. La question qui suit est toujours la même, et c’est celle que les internautes tapent réellement dans Google : arnaque virement comment se faire rembourser. Une variante revient aussi souvent : faux rib qui est responsable. L’entreprise veut comprendre si la banque doit rendre l’argent, si l’escroc peut être retrouvé, si l’assurance couvre la perte, et surtout ce qu’il faut faire dans les premières heures pour ne pas aggraver le préjudice.
La réponse tient en deux temps. D’abord, le virement a été autorisé par l’entreprise, même si son consentement a été surpris par une manoeuvre. Ce point change tout, car le régime protecteur du remboursement automatique ne s’applique qu’aux opérations non autorisées. Ensuite, le remboursement reste possible par trois voies qui se cumulent : la banque, quand elle a manqué à son devoir de vigilance ou quand l’opération relève bien du régime des opérations non autorisées ; l’auteur de la fraude, par la plainte et l’action civile ; parfois l’assurance fraude ou cyber, selon le contrat souscrit. Encore faut-il agir vite, garder chaque preuve, contester par écrit dans les délais que la loi fixe, et sécuriser les circuits de paiement internes pour l’avenir.
I. Le virement parti sur un faux RIB : une fraude punie, mais un paiement difficile à rappeler
A. Arnaque au virement bancaire et faux RIB : quelle infraction et que faire dans les premières heures
Le scénario le plus fréquent est la fraude au changement de coordonnées bancaires. Un message annonce que le fournisseur a changé de banque et joint un nouveau RIB. Parfois le pirate a pris la main sur la messagerie du fournisseur, parfois il crée une adresse presque identique, à une lettre près, avec le logo et les mentions habituelles. Dans les entreprises de taille moyenne, la variante dite fraude au président existe aussi : un faux dirigeant, un faux avocat ou un faux auditeur presse le collaborateur d’exécuter un virement urgent et confidentiel vers un compte indiqué pour les besoins de l’opération. Dans tous les cas, le mécanisme pénal est le même : tromper une personne pour lui faire remettre des fonds.
L’article 313-1 du code pénal définit ainsi l’escroquerie : « L’escroquerie est le fait, soit par l’usage d’un faux nom ou d’une fausse qualité, soit par l’abus d’une qualité vraie, soit par l’emploi de manoeuvres frauduleuses, de tromper une personne physique ou morale et de la déterminer ainsi, à son préjudice ou au préjudice d’un tiers, à remettre des fonds, des valeurs ou un bien quelconque, à fournir un service ou à consentir un acte opérant obligation ou décharge. » (Article 313-1 du code pénal). Le texte punit ces faits de cinq ans d’emprisonnement et de 375 000 euros d’amende. Une personne morale, comme une société, est expressément visée comme victime possible. Le faux RIB lui-même peut recevoir une qualification propre, car l’article 441-1 du code pénal dispose que « Constitue un faux toute altération frauduleuse de la vérité, de nature à causer un préjudice et accomplie par quelque moyen que ce soit, dans un écrit ou tout autre support d’expression de la pensée qui a pour objet ou qui peut avoir pour effet d’établir la preuve d’un droit ou d’un fait ayant des conséquences juridiques. » (Article 441-1 du code pénal). Le faux et son usage sont punis de trois ans d’emprisonnement et de 45 000 euros d’amende. Conserver le message frauduleux, ses en-têtes techniques, le faux RIB reçu et la preuve du virement émis est donc essentiel : ces pièces fondent à la fois la plainte et les recours civils.
Les premières heures commandent la suite. D’abord, appeler la banque de l’entreprise pour demander le rappel des fonds et l’opposition au virement si son exécution n’est pas achevée, puis confirmer cette demande par écrit, avec la date, l’heure, le montant, l’identifiant de l’opération et le compte destinataire. Ensuite, demander par écrit à la banque destinataire, par l’intermédiaire de sa propre banque, la restitution des fonds et, à défaut, la communication des informations permettant d’identifier le bénéficiaire, car la loi organise cette entraide entre prestataires même quand l’identifiant fourni était inexact. En parallèle, déposer plainte au commissariat, à la gendarmerie ou par courrier au procureur de la République, en joignant le courriel frauduleux, le faux RIB, l’ordre de virement, les relevés et la chronologie des échanges avec le vrai fournisseur. Le signalement sur la plateforme officielle de signalement des escroqueries du ministère de l’intérieur complète utilement la plainte, sans la remplacer. Enfin, prévenir le vrai fournisseur par un canal déjà connu, changer les mots de passe des messageries exposées, et figer les validations de paiement en attente : un second virement vers le même destinataire, exécuté après la découverte, fragilise toute demande de remboursement.
B. Virement autorisé mais provoqué par la tromperie : pourquoi la banque ne rembourse pas automatiquement
La déception la plus vive vient de la réponse de la banque : l’opération a été autorisée, donc le remboursement automatique ne joue pas. La distinction est centrale en droit des paiements. Quand l’entreprise a elle-même saisi et validé le virement vers l’identifiant indiqué, elle a donné son consentement à l’opération, même si ce consentement a été extorqué par une tromperie. Le régime protecteur de l’article L. 133-18 du code monétaire et financier ne vise que l’autre hypothèse : « En cas d’opération de paiement non autorisée signalée par l’utilisateur dans les conditions prévues à l’article L. 133-24, le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, sauf s’il a de bonnes raisons de soupçonner une fraude de l’utilisateur du service de paiement et s’il communique ces raisons par écrit à la Banque de France. » (Article L. 133-18 du code monétaire et financier). Un virement validé par le collaborateur habilité, avec les codes de sécurité de l’entreprise, n’entre pas dans ce cas de figure, sauf piratage démontré du système d’authentification à l’insu du payeur.
La règle qui s’applique alors au virement autorisé vers un faux bénéficiaire figure à l’article L. 133-21 du code monétaire et financier : « Un ordre de paiement exécuté conformément à l’identifiant unique fourni par l’utilisateur du service de paiement est réputé dûment exécuté pour ce qui concerne le bénéficiaire désigné par l’identifiant unique. » (Article L. 133-21 du code monétaire et financier). Autrement dit, quand la banque exécute le virement vers l’IBAN que l’entreprise lui a indiqué, elle est présumée avoir bien exécuté l’ordre, même si le nom du destinataire réel ne correspond pas au fournisseur attendu. Le même article ajoute que « Si l’identifiant unique fourni par l’utilisateur du service de paiement est inexact, le prestataire de services de paiement n’est pas responsable de la mauvaise exécution ou de la non-exécution de l’opération de paiement. » (Article L. 133-21 du code monétaire et financier). La banque n’est donc pas débitrice d’un remboursement de plein droit dans ce scénario. Elle reste tenue d’une obligation d’assistance : le texte précise que « le prestataire de services de paiement du payeur s’efforce de récupérer les fonds engagés dans l’opération de paiement. » (Article L. 133-21 du code monétaire et financier). Concrètement, l’entreprise doit exiger la preuve écrite de ces démarches de récupération, avec dates et interlocuteurs, car ce traçage servira ensuite devant le juge si la banque est restée passive.
Cette architecture explique la jurisprudence récente sur les virements frauduleux de montants élevés. Dans un arrêt du 12 juin 2025 concernant une société victime de virements vers l’étranger pour un total de 384 625,41 euros, la chambre commerciale de la Cour de cassation a approuvé une cour d’appel d’avoir jugé que « les opérations ne présentaient pas d’anomalies devant alerter la banque. » (Cass. com., 12 juin 2025, n° 24-10.168). La Cour ajoute que, de ses constatations, la cour d’appel « a pu déduire que la banque n’avait pas manqué à son devoir de vigilance. » (Cass. com., 12 juin 2025, n° 24-10.168). Dans cette affaire, les juges avaient relevé que les virements restaient dans la limite des plafonds quotidiens convenus, demeuraient couverts par le solde créditeur du compte, et partaient vers un compte détenu dans les livres d’une banque agréée dans un pays membre de l’Union européenne qui n’attirait pas spécialement l’attention en termes de sécurité. L’enseignement est clair : pour engager la responsabilité de la banque sur un virement autorisé, l’entreprise doit démontrer une anomalie apparente que la banque aurait dû déceler, comme une rupture brutale avec l’historique des opérations, un montant sortant de toute proportion avec l’activité, une destination inhabituelle ou une multiplication soudaine d’ordres. Le simple fait d’avoir été trompé par un faux RIB bien imité ne suffit pas.
II. Comment se faire rembourser : banque, escroc et assurance
A. Obtenir le remboursement de la banque : contestation dans les treize mois, anomalie apparente et preuve du manquement
La première voie est bancaire, et elle obéit à des délais stricts que l’entreprise doit connaître. L’article L. 133-24 du code monétaire et financier dispose que « L’utilisateur de services de paiement signale, sans tarder, à son prestataire de services de paiement une opération de paiement non autorisée ou mal exécutée et au plus tard dans les treize mois suivant la date de débit sous peine de forclusion à moins que le prestataire de services de paiement ne lui ait pas fourni ou n’ait pas mis à sa disposition les informations relatives à cette opération de paiement conformément au chapitre IV du titre 1er du livre III. » (Article L. 133-24 du code monétaire et financier). Ce texte enferme la contestation dans un délai de treize mois à compter du débit, sous peine de forclusion, sauf défaut d’information de la banque sur l’opération. La Cour de cassation applique cette forclusion avec rigueur : dans un arrêt du 2 mai 2024, elle a approuvé une cour d’appel qui avait déduit d’une absence de contestation dans ce délai de treize mois que l’action contre la banque était irrecevable pour cause de forclusion. (Cass. com., 2 mai 2024, n° 22-18.074). Pour une entreprise, qui peut convenir avec sa banque d’un délai distinct de ce délai légal quand elle n’est pas une personne physique agissant pour des besoins non professionnels, la vérification du contrat-cadre de services de paiement est indispensable : la convention de compte peut aménager ce point, et c’est elle qu’il faut lire en premier avec le relevé des opérations.
Une clarification récente protège toutefois l’entreprise diligente qui a contesté à temps mais agit en justice plus tard. Dans un arrêt du 2 juillet 2025, la chambre commerciale juge que le signalement de l’opération dans le délai de treize mois suffit à ouvrir le droit d’agir ensuite dans le délai de droit commun, et casse une cour d’appel qui avait confondu signalement et assignation. La Cour énonce que « l’utilisateur de services de paiement signale, sans tarder, à son prestataire de services de paiement une opération de paiement non autorisée ou mal exécutée et au plus tard dans les treize mois suivant la date de débit sous peine de forclusion. » (Cass. com., 2 juillet 2025, n° 24-16.590), puis précise que le demandeur qui avait signalé sans tarder et au plus tard dans ce délai de treize mois les opérations non autorisées était autorisé à agir en paiement contre la banque dans le délai de droit commun. (Cass. com., 2 juillet 2025, n° 24-16.590). Concrètement, l’entreprise doit donc contester par écrit au plus vite, conserver la preuve de ce signalement, puis peut construire son dossier au fond sans perdre son droit pour ce seul motif, dès lors que le signalement initial respecte le délai légal ou conventionnel applicable.
Le contenu de la contestation détermine ses chances. Quand l’opération est présentée comme non autorisée, par exemple en cas d’intrusion démontrée dans l’espace bancaire de l’entreprise ou d’ordre émis à son insu, l’entreprise peut invoquer le remboursement au plus tard à la fin du premier jour ouvrable suivant la prise de connaissance par la banque, dans les conditions de l’article L. 133-18 du code monétaire et financier. (Article L. 133-18 du code monétaire et financier). Quand l’instrument de paiement a été perdu ou volé, la loi met à la charge du payeur les pertes antérieures à l’opposition dans la limite d’un plafond de 50 euros, ainsi que le prévoit l’article L. 133-19 du code monétaire et financier. (Article L. 133-19 du code monétaire et financier). Quand le virement a été autorisé par un collaborateur trompé, en revanche, l’argument décisif n’est pas le remboursement automatique mais le manquement de la banque à son devoir de vigilance. L’entreprise doit alors établir l’anomalie apparente : historique des virements vers le vrai fournisseur avec d’autres coordonnées, montants inhabituels, pays destinataire sans lien avec l’activité, rafale d’ordres sur quelques jours, bénéficiaire nouveau jamais réglé auparavant. Les pièces à réunir sont l’historique de douze à vingt-quatre mois des paiements au vrai fournisseur, les plafonds convenus, les alertes ou absences d’alerte de la banque, les échanges avec le conseiller, et la démonstration que le montant ou la destination sortait de l’ordinaire de l’entreprise. Si la banque refuse le remboursement, la mise en demeure écrite, puis la médiation bancaire et enfin l’assignation devant le tribunal judiciaire ou le tribunal des activités économiques selon la nature du litige, forment la suite logique, avec demande de communication des diligences de récupération des fonds.
Le cas particulier du faux RIB transmis par le vrai fournisseur piraté mérite une attention propre. Quand la messagerie du fournisseur a été compromise et que le faux RIB vient de son adresse habituelle, l’entreprise peut aussi rechercher la responsabilité du fournisseur dont le système a servi de vecteur, sur le fondement du droit commun. L’article 1240 du code civil dispose que « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer. » (Article 1240 du code civil). Encore faut-il prouver une faute du fournisseur, comme une négligence grave dans la sécurité de sa messagerie, et un lien direct avec le préjudice. Cette voie n’est pas automatique, mais elle mérite d’être examinée quand l’audit technique montre que le message frauduleux est parti du système du partenaire, et elle peut nourrir une négociation amiable sur le partage du préjudice entre les deux entreprises victimes du même pirate.
B. Poursuivre l’escroc, mobiliser l’assurance et verrouiller les paiements pour l’avenir
La deuxième voie est pénale et civile contre l’auteur de la fraude. Le dépôt de plainte pour escroquerie vise les faits définis à l’article 313-1 du code pénal, qui réprime le fait de tromper une personne physique ou morale pour lui faire remettre des fonds. (Article 313-1 du code pénal). Le faux RIB joint au message peut être poursuivi comme faux au sens de l’article 441-1 du code pénal, qui vise toute altération frauduleuse de la vérité dans un écrit ayant pour effet d’établir la preuve d’un droit ou d’un fait ayant des conséquences juridiques. (Article 441-1 du code pénal). L’entreprise se constitue partie civile pour obtenir la réparation de son préjudice dans le procès pénal, ou agit séparément devant le juge civil sur le fondement de l’article 1240 du code civil, qui oblige l’auteur d’une faute à réparer le dommage causé. (Article 1240 du code civil). En pratique, les fonds sont souvent dispersés très vite vers des comptes étrangers, et les auteurs restent difficiles à identifier. La plainte n’en reste pas moins utile : elle permet les réquisitions bancaires, le gel éventuel des fonds encore présents, et l’inscription des faits dans les bases de la police judiciaire, ce qui sert aussi les demandes adressées aux banques et aux assureurs.
La troisième voie est contractuelle, avec l’assurance de l’entreprise. Les garanties fraude, cyber ou responsabilité des dirigeants prévoient parfois la prise en charge des détournements par ingénierie sociale, sous des conditions strictes : déclaration rapide du sinistre, respect des procédures internes de validation des paiements, dépôt de plainte, et absence de faute lourde dans la vérification du RIB. L’entreprise doit déclarer le sinistre dans le délai prévu par la police, transmettre la plainte, le faux message, les relevés et la preuve des diligences de récupération, puis suivre l’expertise. Quand le contrat exclut les virements validés sans contre-appel ou impose une double vérification pour tout changement de coordonnées, l’assureur peut refuser sa garantie en cas de non-respect de ces clauses. La relecture de la police, avec le courtier, dès le lendemain de la fraude, évite de perdre un droit par une déclaration tardive ou incomplète.
La dernière partie du dossier est préventive, et elle conditionne aussi les recours futurs, car banques et assureurs examinent les procédures internes. Une procédure écrite de changement de coordonnées bancaires doit imposer trois réflexes : aucun changement de RIB pris en compte sur simple courriel, même venu d’une adresse connue ; vérification par un second canal déjà enregistré, comme un numéro de téléphone connu et non celui figurant dans le message suspect, avec rappel documenté ; double validation pour tout nouveau bénéficiaire ou tout montant inhabituel, avec plafonds d’alerte paramétrés dans l’outil bancaire. Les collaborateurs exposés, comptabilité, achats, direction, reçoivent une formation courte aux signaux faibles : adresse à une lettre près, urgence et confidentialité imposées, changement de ton, pression du faux dirigeant, pièce jointe au format inhabituel. Un registre des vérifications, tenu pour chaque changement de RIB avec date, interlocuteur joint et numéro utilisé, transforme une bonne pratique en preuve. En cas de nouveau litige, ce registre démontre le sérieux de l’entreprise et renforce la contestation contre la banque ou la demande à l’assureur.
Conclusion
Un virement exécuté sur la foi d’un faux RIB n’est pas une simple erreur de saisie : c’est une escroquerie au sens de l’article 313-1 du code pénal, parfois accompagnée d’un faux au sens de l’article 441-1 du même code. (Article 313-1 du code pénal) (Article 441-1 du code pénal). La banque n’est pas tenue de rembourser automatiquement un ordre qu’elle a exécuté vers l’identifiant indiqué par l’entreprise, car cet ordre est réputé dûment exécuté pour le bénéficiaire désigné par cet identifiant. (Article L. 133-21 du code monétaire et financier). Le remboursement de plein droit, au plus tard à la fin du premier jour ouvrable suivant, ne concerne que les opérations non autorisées signalées dans les conditions légales. (Article L. 133-18 du code monétaire et financier). Toute contestation doit être signalée sans tarder et au plus tard dans les treize mois suivant le débit, sous peine de forclusion. (Article L. 133-24 du code monétaire et financier). Quand le signalement a été fait dans ce délai, l’entreprise peut agir ensuite dans le délai de droit commun, comme l’a jugé la Cour de cassation le 2 juillet 2025. (Cass. com., 2 juillet 2025, n° 24-16.590). Pour un virement autorisé par un collaborateur trompé, la responsabilité de la banque suppose la preuve d’une anomalie apparente qu’elle aurait dû déceler, et les juges apprécient souverainement ce point, comme l’illustre l’arrêt du 12 juin 2025 qui a retenu que les opérations en cause ne présentaient pas d’anomalies devant alerter la banque. (Cass. com., 12 juin 2025, n° 24-10.168). Plainte pour escroquerie, action en réparation contre l’auteur sur le fondement de l’article 1240 du code civil, mobilisation de l’assurance fraude et sécurisation écrite des changements de RIB forment ensemble la réponse complète. (Article 1240 du code civil).