Arnaque au faux RIB : vos recours contre la banque après un virement vers un mauvais IBAN

Le scénario est toujours le même. Vous devez payer un fournisseur, un artisan, le vendeur d’un bateau ou d’une voiture, le solde d’un achat immobilier. Vous recevez par mail un RIB, ou un message vous annonçant que les coordonnées bancaires ont changé. Vous faites le virement. Quelques jours plus tard, le vrai créancier vous écrit qu’il n’a rien reçu. L’argent est parti sur le compte d’un inconnu, souvent ouvert dans une néobanque, et il a été retiré dans l’heure.

C’est l’arnaque au faux RIB, aussi appelée fraude au RIB ou arnaque à l’IBAN. Elle repose sur le piratage d’une messagerie, la vôtre ou celle de votre interlocuteur, et sur la substitution d’une pièce jointe. Elle touche les particuliers comme les entreprises, et les montants vont de quelques milliers à plusieurs centaines de milliers d’euros. Cet article explique ce que vous pouvez récupérer, auprès de qui, et pourquoi la règle a changé le 9 octobre 2025.

Pourquoi la banque ne rembourse pas automatiquement un virement sur un faux RIB

La première chose à comprendre, c’est que le virement vers un faux RIB n’est pas une opération non autorisée. Vous l’avez ordonné vous-même, vous avez saisi ou validé l’IBAN, vous avez confirmé le montant. Le régime protecteur qui oblige la banque à rembourser immédiatement une opération non autorisée ne s’applique donc pas. C’est ce qui distingue ce dossier de la fraude au virement classique, où un tiers a agi à votre place.

Le code monétaire et financier ajoute une règle qui joue contre vous : lorsqu’un ordre de paiement est exécuté conformément à l’identifiant unique fourni, c’est-à-dire l’IBAN, il est réputé correctement exécuté quant au bénéficiaire, même si le nom indiqué ne correspond pas (article L. 133-21). La banque doit seulement faire des efforts raisonnables pour récupérer les fonds, et peut vous facturer ces démarches.

Enfin, le paiement fait entre les mains d’un tiers sans qualité pour le recevoir ne vous libère pas de votre dette (article 1342-2 du code civil). Le fournisseur ou le vendeur peut donc vous réclamer une seconde fois la somme. Qui paie mal paie deux fois, et c’est bien ce qui se produit dans la majorité des dossiers.

Il reste deux terrains sur lesquels la banque peut être tenue de vous indemniser : sa faute de vigilance face à une anomalie apparente, et, pour les virements postérieurs au 9 octobre 2025, le défaut de vérification du nom du bénéficiaire.

La faute de vigilance de la banque : l’anomalie apparente sur le RIB

Même quand l’opération est autorisée, le banquier reste tenu d’une obligation de vigilance qui lui impose de détecter les anomalies apparentes et d’alerter son client. La Cour de cassation l’a rappelé pour les opérations de paiement autorisées, qui échappent à l’harmonisation européenne du régime des opérations non autorisées (Com. 2 mai 2024, n° 22-18.454 ; Com. 12 juin 2025, n° 24-10.168).

La cour d’appel d’Orléans en a fait une application nette le 30 avril 2026 (chambre commerciale, n° 24/01803). Un couple achète un bateau d’occasion par l’intermédiaire d’une société. Le vendeur envoie son RIB par mail, la pièce jointe est interceptée et remplacée. Le mari se rend en agence, présente le faux RIB à son conseiller, qui rédige un ordre de virement de 25 000 euros et le lui fait signer. Deux jours plus tard, le vendeur n’a rien reçu.

La cour relève que le RIB mentionnait une domiciliation « CCM », sigle du Crédit mutuel, alors que le code banque à cinq chiffres et le code BIC FPELFR21XXX étaient ceux de la Financière des paiements électroniques, c’est-à-dire la banque Nickel. Un examen visuel simple et rapide suffisait à voir que le document était un faux grossier. En rédigeant l’ordre sans alerter le client, la banque a failli à son devoir de vigilance et d’alerte. Elle est condamnée à 22 000 euros de dommages et intérêts au titre du préjudice financier, après déduction des 3 000 euros récupérés auprès de la banque du fraudeur, plus 500 euros de préjudice moral et 3 000 euros de frais de justice.

La cour d’appel de Montpellier a jugé dans l’autre sens le 18 novembre 2025 (chambre commerciale, n° 25/01103), et la comparaison est instructive. Une société de construction reçoit un appel d’une personne se présentant comme le service financier d’un de ses sous-traitants, annonçant un changement d’IBAN. Le comptable modifie les coordonnées sur la plateforme bancaire de l’entreprise et ordonne deux virements, de 102 695 et 134 412 euros, vers deux faux RIB. La cour écarte la responsabilité de la banque : la procédure d’authentification renforcée avait été suivie, les bénéficiaires étaient des partenaires habituels, les montants étaient normaux pour un chantier de cette taille, aucun plafond n’avait été convenu, et rien dans les ordres ne constituait une anomalie apparente. La cour ajoute qu’à l’époque des faits, fin 2022, aucune vérification systématique de la concordance entre l’IBAN et son bénéficiaire n’était obligatoire.

La différence entre les deux affaires ne tient pas au montant ni à la qualité de la victime. Elle tient à ce que la banque pouvait voir. À Orléans, le conseiller avait le faux RIB sous les yeux et ses incohérences sautaient aux yeux d’un professionnel. À Montpellier, la banque n’a traité que des ordres électroniques cohérents avec l’historique du compte. C’est cette question, que pouvait voir la banque, qui décide du dossier.

Depuis le 9 octobre 2025 : la vérification du nom du bénéficiaire change la donne

Le règlement européen 2024/886 du 13 mars 2024 impose depuis le 9 octobre 2025 à tous les prestataires de paiement de la zone euro de comparer, avant l’exécution d’un virement, le nom du bénéficiaire saisi par le client avec le nom du titulaire réel de l’IBAN. Si les deux ne concordent pas, la banque doit vous en avertir avant que vous validiez. Le mécanisme, ses quatre résultats possibles et ses conséquences sont détaillés dans mon article sur l’arnaque au virement instantané.

Pour l’arnaque au faux RIB, cette obligation est décisive. Dans l’affaire d’Orléans, le nom saisi était celui de la société venderesse et l’IBAN appartenait à un particulier titulaire d’un compte Nickel : la discordance aurait été signalée. Dans l’affaire de Montpellier, les IBAN substitués n’appartenaient ni au sous-traitant ni à l’autre cocontractant : même résultat. La réserve formulée par la cour de Montpellier, selon laquelle aucune vérification n’était obligatoire en 2022, ne vaut plus pour les virements ordonnés depuis un an.

Concrètement, pour un virement postérieur au 9 octobre 2025, la première question à poser à la banque est la suivante : quel a été le résultat de la vérification du bénéficiaire, et comment m’a-t-elle été présentée ? Si la banque n’a pas effectué la vérification, ou si elle a affiché une alerte de discordance de manière si discrète que vous avez validé sans la voir, sa responsabilité est engagée sur un fondement bien plus solide que la seule anomalie apparente. Si au contraire une alerte claire vous a été présentée et que vous l’avez ignorée, le dossier contre la banque devient difficile, et il faut se tourner vers les autres responsables.

Erreur d’IBAN sans fraude : que se passe-t-il ?

Le cas de l’erreur de saisie est voisin mais différent. Vous vous êtes trompé d’un chiffre, ou vous avez utilisé un ancien RIB, et les fonds sont arrivés sur le compte d’un tiers de bonne foi. La banque qui a exécuté l’ordre conformément à l’IBAN saisi n’est pas responsable, mais elle doit tenter de récupérer les fonds auprès de la banque du bénéficiaire. Celui qui a reçu un paiement indu doit le restituer, et vous pouvez l’y contraindre en justice si la banque destinataire refuse de vous communiquer son identité, ce qui suppose une action en référé.

Là encore, la vérification du bénéficiaire a changé les choses : une erreur de saisie produit désormais, dans la grande majorité des cas, une alerte de discordance avant validation. Si vous avez fait une erreur d’IBAN après le 9 octobre 2025 sans avoir été averti, demandez à la banque la trace de la vérification.

Que faire dans les heures qui suivent

Appelez votre banque immédiatement et demandez une procédure de rappel de fonds, le recall, auprès de la banque du bénéficiaire. Confirmez par écrit le jour même. La banque destinataire n’est pas obligée de restituer, mais si le compte n’a pas encore été vidé, c’est la seule chance de récupérer la totalité. Dans l’affaire d’Orléans, 3 000 euros sur 25 000 ont été récupérés par cette voie. J’explique la procédure dans l’article consacré au recall de virement.

Déposez plainte pour escroquerie, et si votre messagerie a été piratée, pour accès frauduleux à un système de traitement automatisé de données. Le procès-verbal servira dans toutes les procédures qui suivront, y compris face au créancier qui vous réclame un second paiement.

Demandez par écrit à votre banque le résultat de la vérification du bénéficiaire, la copie de l’ordre de virement, et tout élément sur le compte destinataire. Signalez l’IBAN frauduleux : depuis 2026, la Banque de France centralise les comptes signalés dans le fichier FNC-RF, et votre signalement peut bloquer les virements suivants vers ce compte.

Prévenez le vrai créancier sans délai et conservez tous les mails échangés, avec leurs en-têtes techniques. Ils permettront d’établir de quel côté la messagerie a été compromise, ce qui compte pour la suite.

Contre qui agir : la banque, le créancier, ou les deux

La banque, lorsque l’anomalie était visible ou que la vérification du bénéficiaire a fait défaut. C’est le fondement de la responsabilité contractuelle, avec réparation du préjudice financier et, plus modestement, du préjudice moral.

Le créancier, lorsque la fraude vient de son côté. Si c’est la messagerie de votre fournisseur qui a été piratée et que le faux RIB est parti de sa propre adresse, il a manqué à son obligation de sécuriser ses moyens de communication. Les tribunaux admettent alors un partage, voire une exonération du débiteur qui a payé de bonne foi sur les instructions apparentes de son créancier. À l’inverse, si c’est votre messagerie qui a été compromise, le créancier n’y est pour rien et vous devrez le payer une seconde fois, sauf à obtenir réparation de la banque.

Le fraudeur, enfin, mais il est rarement identifié et encore plus rarement solvable. La plainte vise surtout à faire remonter les comptes rebonds, souvent ouverts au nom de personnes dont l’identité a été usurpée, sujet que je traite dans l’article sur l’usurpation d’identité bancaire.

Pour les entreprises, le faux RIB de fournisseur est le cousin de la fraude au président. La question de la responsabilité de la banque s’y pose dans les mêmes termes, avec une difficulté supplémentaire : les conventions de banque en ligne signées par les entreprises limitent souvent les contrôles de l’établissement à la seule authentification, comme dans l’affaire de Montpellier. Relire cette convention est la première chose que je fais dans ce type de dossier.

Ce qu’il faut retenir

Un virement sur un faux RIB ne se traite pas comme une carte piratée. Le remboursement automatique n’existe pas, et la banque ne répond que de ce qu’elle pouvait détecter. Avant le 9 octobre 2025, cela se limitait aux anomalies visibles sur le RIB ou dans l’ordre. Depuis, la vérification obligatoire du nom du bénéficiaire lui donne les moyens de détecter presque toutes les substitutions, et la prive de l’argument qui a sauvé la banque dans l’affaire de Montpellier. Les dossiers ouverts sur des virements de la dernière année se présentent donc mieux que ceux qui les ont précédés.

En tant qu’avocat en droit bancaire à Paris, j’interviens pour les particuliers et les entreprises victimes d’une arnaque au RIB, en demande contre la banque comme en défense face au créancier qui réclame un second paiement. Le premier travail consiste à reconstituer ce que la banque a vu, ce qu’elle a vérifié et ce qu’elle vous a affiché. C’est là que se gagne ou se perd le dossier.

Questions fréquentes

Ma banque doit-elle me rembourser un virement fait sur un faux RIB ?

Pas automatiquement, car vous avez autorisé l’opération. Elle est responsable si le RIB ou l’ordre comportait une anomalie apparente qu’elle n’a pas signalée, ou si, pour un virement postérieur au 9 octobre 2025, elle n’a pas effectué ou correctement affiché la vérification du nom du bénéficiaire.

Dois-je payer une seconde fois mon fournisseur ?

En principe oui, car le paiement fait à un tiers ne vous libère pas. Mais si la fraude vient du piratage de la messagerie de votre fournisseur, sa propre négligence peut réduire ou écarter votre obligation.

Combien de temps ai-je pour agir contre la banque ?

L’action en responsabilité contractuelle se prescrit par cinq ans à compter du virement. En pratique, le recall doit être demandé le jour même et la mise en demeure envoyée dans les semaines qui suivent.

Que change la vérification du bénéficiaire depuis le 9 octobre 2025 ?

La banque doit comparer le nom du bénéficiaire que vous avez saisi avec le titulaire réel de l’IBAN et vous alerter en cas de discordance. Un faux RIB est presque toujours ouvert à un autre nom : l’alerte aurait dû apparaître, et son absence engage la banque.