Fraude au faux RIB : la banque doit-elle rembourser le virement ? Le point complet après les arrêts de 2025 et 2026

Un fournisseur, un notaire, un constructeur vous adresse une facture. Quelques jours avant l’échéance, un courriel vous informe que ses coordonnées bancaires ont changé et vous transmet un nouveau RIB. Le message reprend le ton, la signature et parfois l’historique de vos échanges. Vous effectuez le virement. Le vrai créancier ne reçoit rien, les fonds ont été immédiatement retirés du compte frauduleux et votre banque vous répond que le virement ayant été validé par vos soins, elle n’a rien à vous rembourser.

Cette réponse est-elle juridiquement fondée ? Dans son principe, oui. Mais elle est incomplète, et la Cour de cassation a rendu en 2025 et 2026 une série d’arrêts qui dessinent désormais avec précision ce que la banque peut opposer à son client et ce qu’elle ne peut pas lui opposer. À ces arrêts s’ajoute un changement majeur venu du droit européen : depuis le 9 octobre 2025, les banques de la zone euro ont l’obligation de vérifier la concordance entre l’IBAN et le nom du bénéficiaire avant l’exécution du virement.

Cet article fait le point, décision par décision, sur l’état du droit. Il complète notre page générale sur l’arnaque au faux RIB et les recours contre la banque. Toutes les décisions citées ont été relues dans leur texte intégral sur Légifrance ou Judilibre.

1. Le mécanisme de la fraude et le problème juridique qu’elle pose

La fraude au faux RIB (on parle aussi de fraude au faux fournisseur, de substitution d’IBAN ou de « fraude au changement de coordonnées bancaires ») repose presque toujours sur la compromission d’une messagerie. L’escroc a accès aux courriels du créancier ou de son interlocuteur, il observe les échanges, puis il intervient au moment du paiement avec une adresse imitant celle du créancier, parfois à une lettre près, ou directement depuis la messagerie piratée. Le RIB transmis est souvent un vrai RIB, celui d’un compte ouvert par une mule ou sur de faux documents, fréquemment dans une banque en ligne ou dans un autre pays de l’Union.

Le problème juridique tient à une particularité de ce schéma : contrairement à une fraude à la carte bancaire ou à un piratage de l’espace client, le virement est ici réellement ordonné par le titulaire du compte. Il a saisi l’IBAN, il a validé l’opération, il a passé l’authentification forte. Juridiquement, l’opération est consentie. La victime ne conteste pas avoir voulu payer, elle conteste avoir voulu payer ce compte-là.

Tout le contentieux s’organise autour de cette distinction entre le consentement à l’opération et l’erreur sur le bénéficiaire.

2. Le principe : un virement exécuté sur l’IBAN fourni par le client est réputé bien exécuté

Le texte : l’article L. 133-21 du code monétaire et financier

L’article L. 133-21 du code monétaire et financier, qui transpose l’article 88 de la directive (UE) 2015/2366 du 25 novembre 2015 (DSP2), pose la règle de l’identifiant unique. Un ordre de paiement exécuté conformément à l’identifiant unique fourni par l’utilisateur est réputé dûment exécuté pour ce qui concerne le bénéficiaire désigné par cet identifiant. Si l’identifiant fourni est inexact, le prestataire de services de paiement n’est pas responsable de la mauvaise exécution ou de la non-exécution de l’opération. Il doit seulement s’efforcer de récupérer les fonds.

L’identifiant unique, c’est l’IBAN. Le nom du bénéficiaire que vous saisissez à côté n’a, dans ce régime, aucune valeur juridique. La Cour de justice de l’Union européenne l’a jugé dans son arrêt Tecnoservice du 21 mars 2019 (C-245/18) : la limitation de responsabilité du prestataire s’applique même lorsque l’IBAN fourni ne correspond pas au nom du bénéficiaire indiqué par le même utilisateur.

L’opération est « autorisée » même si le payeur a été trompé sur le bénéficiaire

Plusieurs cours d’appel avaient tenté de contourner cette règle en jugeant que le consentement du payeur, donné en faveur d’un bénéficiaire déterminé, ne couvrait pas un virement parti vers un tiers. L’opération aurait alors été « non autorisée » au sens de l’article L. 133-18, ce qui oblige la banque à rembourser immédiatement (sur ce régime et ses conditions, voir notre article sur le délai de signalement et la négligence grave en matière d’opération non autorisée). La Cour de cassation a fermé cette voie.

Dans un arrêt du 1er juillet 2026 (Cass. com., 1er juillet 2026, n° 25-15.283), des particuliers faisant construire leur maison avaient reçu, quelques heures après un véritable appel de fonds de leur constructeur, un courriel émanant d’une adresse imitant celle d’une salariée de celui-ci et comportant un nouveau RIB. Deux virements de 67 207 euros au total avaient été exécutés vers un compte ouvert dans une banque en ligne. La cour d’appel de Riom avait condamné la banque, en retenant que « le consentement à une opération de paiement n’est valablement donné que si le payeur consent à son montant mais également à son bénéficiaire ». La Cour de cassation casse au visa de l’article L. 133-21 : dès lors que la cour d’appel constatait que les opérations avaient été exécutées conformément aux identifiants uniques fournis par les clients, elle ne pouvait pas les qualifier de non autorisées. La Cour refuse en outre de saisir la Cour de justice d’une question préjudicielle, estimant qu’il n’existe aucun doute raisonnable sur l’interprétation de l’article 88 de la directive depuis l’arrêt Tecnoservice.

Le même jour, dans une affaire d’achat de véhicule sur un site marchand (Cass. com., 1er juillet 2026, n° 25-16.014, commenté par Jérôme Lasserre Capdeville à L’Essentiel Droit bancaire d’octobre 2026), la Cour casse pour les mêmes motifs un arrêt de la cour d’appel de Toulouse qui avait retenu une opération non autorisée au motif que le nom du bénéficiaire figurant sur l’ordre édité par la banque ne correspondait pas au titulaire du compte désigné par l’IBAN.

La leçon est claire : plaider l’opération non autorisée contre la banque du payeur, dans une fraude au faux RIB, est aujourd’hui une voie perdue d’avance.

L’exclusion du droit commun de la responsabilité

La seconde tentative des juges du fond consistait à contourner l’article L. 133-21 par le devoir de vigilance de droit commun, fondé sur l’article 1231-1 du code civil. Là encore, la Cour de cassation a tranché.

Dans un arrêt du 10 septembre 2025 (Cass. com., 10 septembre 2025, n° 24-15.485), une société avait demandé à sa banque d’ajouter un nouveau compte fournisseur à sa liste de bénéficiaires, puis avait émis un virement vers ce compte, qui s’est révélé ouvert en Roumanie. La cour d’appel de Bordeaux avait retenu la responsabilité de la banque sur le fondement d’un devoir général de prudence, en relevant que la domiciliation roumaine du compte aurait dû l’alerter compte tenu du développement de ce type de fraude. Cassation : la responsabilité contractuelle de droit commun « n’est pas applicable en présence d’un régime de responsabilité exclusif », et l’article L. 133-21 « est exclusif de toute application des règles de droit commun ».

Cette solution a été reprise, dans les mêmes termes, par l’arrêt du 9 septembre 2026 étudié plus loin (Cass. com., 9 septembre 2026, n° 25-15.225, paragraphes 16 à 18) : « la responsabilité contractuelle de droit commun n’est pas applicable lorsque l’opération relève du régime exclusif de responsabilité prévu à l’article L. 133-21 du code monétaire et financier ». Dans cette affaire, le client avait transféré à sa banque, sans instruction particulière, le courriel frauduleux annonçant le changement de compte de son entrepreneur. La cour d’appel avait souverainement déduit de cet envoi que le client avait lui-même ordonné le paiement sur le nouveau compte. Dès lors, les griefs tirés du devoir de vigilance (deux RIB différents en moins de quarante-huit heures, compte dans un autre pays, fautes d’orthographe dans le courriel, certificat non daté et non signé) étaient inopérants.

Autrement dit, lorsque la banque s’est bornée à exécuter un ordre dont le client a lui-même fourni l’IBAN, il n’y a ni opération non autorisée, ni faute de vigilance à rechercher. C’est le socle de la position des banques, et il est solide.

3. Première brèche : la banque qui rédige elle-même l’ordre de virement

Le régime de l’article L. 133-21 protège la banque qui exécute. Il ne protège pas la banque qui fait davantage. C’est l’apport de l’arrêt du 4 mars 2026 (Cass. com., 4 mars 2026, n° 25-11.959, publié au Bulletin), rendu dans une affaire d’acquisition immobilière et que nous avions commenté dès sa publication.

Des acquéreurs avaient reçu par courriel, à partir d’une adresse imitant celle de leur notaire, un RIB censé être celui de l’office notarial devant recevoir les fonds. À la demande de leur banque, ils lui avaient transmis ce RIB et le décompte des sommes à verser. La banque avait alors établi elle-même l’ordre de virement, l’avait adressé par courriel à ses clients pour signature, puis l’avait exécuté. Le montant de l’apport personnel, 60 343,69 euros, est parti vers un compte dont le bénéficiaire est resté inconnu.

La banque soutenait, classiquement, que l’article L. 133-21 excluait toute responsabilité de droit commun. La Cour de cassation rejette le pourvoi en posant une distinction qui fera jurisprudence. Elle rappelle d’abord, en citant l’arrêt CRCAM de la Cour de justice du 2 septembre 2021 (C-337/20), que le régime harmonisé « ne saurait être concurrencé par un régime alternatif de responsabilité prévu par le droit national reposant sur les mêmes faits et le même fondement ». Elle en déduit ensuite ceci : « si la responsabilité contractuelle de droit commun fondée sur l’article 1231-1 du code civil n’est pas applicable à l’exécution par le prestataire de services de paiement d’un ordre de paiement conformément à l’identifiant unique fourni par l’utilisateur, tel n’est pas le cas lorsque le prestataire de services de paiement ne s’est pas borné à exécuter l’ordre de paiement ».

En l’espèce, la cour d’appel d’Amiens avait relevé que le RIB figurant sur l’ordre établi par la banque « comportait des incohérences apparentes et manifestes qui ne pouvaient laisser aucun doute, pour un professionnel normalement diligent, sur le fait que l’identifiant était un faux grossier ». La banque ne s’étant pas bornée à exécuter un ordre, mais ayant elle-même rédigé cet ordre, elle était tenue d’indemniser ses clients sur le fondement du droit commun pour manquement à son devoir de vigilance.

Deux conditions cumulatives se dégagent de cet arrêt. Il faut, premièrement, que la banque soit intervenue au-delà de l’exécution technique : rédaction de l’ordre par un conseiller, saisie de l’IBAN par un employé à partir d’un document remis par le client, préparation d’un virement en agence. Il faut, deuxièmement, que le document remis ait présenté des anomalies apparentes, décelables par un simple examen visuel : titulaire du compte sans rapport avec le créancier annoncé, banque domiciliataire incohérente, mise en page défectueuse, code BIC ne correspondant pas à l’établissement indiqué.

En pratique, cette brèche concerne surtout les virements importants passés en agence (apports immobiliers, règlements de travaux, paiements professionnels sortant des plafonds de la banque en ligne). Elle ne concerne pas le virement saisi par le client depuis son espace en ligne.

4. Deuxième brèche : c’est à la banque de prouver que vous avez autorisé le virement vers ce bénéficiaire

L’arrêt du 9 septembre 2026 (Cass. com., 9 septembre 2026, n° 25-15.225, publié au Bulletin) est, à ce jour, la décision la plus utile aux victimes, bien qu’elle soit défavorable au client sur sa première partie.

Une SCI faisait construire un immeuble et réglait son entrepreneur par virements, en transmettant à sa banque les situations de travaux revêtues d’un bon à payer et accompagnées de la facture, laquelle mentionnait l’IBAN de l’entrepreneur à la Société générale. Le 15 janvier 2020, la SCI a transféré à sa banque un courriel, présenté comme émanant de l’entrepreneur, annonçant que le compte à la Société générale n’était plus actif et communiquant un nouvel IBAN dans une banque portugaise. Le premier virement (189 893,14 euros) a été exécuté vers ce compte. Un mois plus tard, la SCI a transmis la situation suivante, accompagnée d’une facture qui mentionnait toujours le véritable IBAN à la Société générale. La banque a néanmoins exécuté le second virement (175 404,11 euros) vers le compte portugais.

Sur le premier virement, la Cour de cassation rejette le pourvoi : le transfert du courriel frauduleux valait instruction de payer sur le nouveau compte, l’opération avait donc été exécutée conformément à l’identifiant fourni par la SCI, et l’article L. 133-21 écartait toute responsabilité de droit commun.

Sur le second virement, en revanche, la Cour casse l’arrêt de la cour d’appel de Lyon. Celle-ci avait rejeté la demande au motif que la SCI « ne justifie pas de ses instructions de paiement spécifiques à la situation n° 7 », faute de produire le courriel de transmission de l’ordre. La Cour de cassation juge, au visa de l’article 1353 du code civil et des articles L. 133-6 et L. 133-7 du code monétaire et financier, que « la charge de la preuve de l’autorisation du paiement initié par le payeur donnée au prestataire de services de paiement, sous la forme convenue entre eux, repose sur le prestataire de services de paiement ». Dès lors que la transmission du 13 février 2020 était accompagnée d’une facture mentionnant le véritable IBAN, il incombait à la banque, « sur qui reposait la charge de prouver que l’opération avait été autorisée quant au bénéficiaire, de produire l’ordre de paiement relatif à ce virement ». En reprochant au client de ne pas le produire, la cour d’appel avait inversé la charge de la preuve.

La portée de cet arrêt dépasse largement son espèce. La Cour de cassation affirme que l’autorisation d’un paiement s’apprécie « quant au bénéficiaire » et que c’est à la banque d’établir, sous la forme convenue au contrat, que le client a bien ordonné le virement vers l’IBAN effectivement crédité. Trois conséquences pratiques en découlent.

D’abord, la victime est fondée à exiger de sa banque la production de l’ordre de paiement, des journaux d’authentification, de l’horodatage et du contenu exact saisi (IBAN, nom du bénéficiaire, libellé). Ensuite, lorsque la banque disposait d’une instruction contraire (une facture, un RIB antérieur, un bénéficiaire enregistré) et a néanmoins exécuté vers un autre compte, le silence du client ne vaut pas autorisation. Enfin, en cas de virements successifs, chaque virement s’apprécie séparément : le fait d’avoir validé une première fois le faux RIB ne constitue pas une autorisation permanente pour les paiements suivants.

5. L’anomalie apparente et le devoir de non-immixtion : ce que la banque n’a pas à vérifier

Même en dehors du régime de l’article L. 133-21, la responsabilité de la banque pour défaut de vigilance reste étroitement encadrée. L’arrêt du 25 mars 2026 (Cass. com., 25 mars 2026, n° 24-18.093, publié au Bulletin) le rappelle avec netteté.

Une veuve retraitée, trompée par un escroc lui faisant croire qu’elle devait régler des sommes pour dénouer l’assurance-vie de son mari, avait ordonné en deux mois huit virements vers des comptes belges, pour un total de 95 294 euros. Elle reprochait à sa banque de ne pas avoir relevé le caractère manifestement inhabituel de ces opérations. La Cour de cassation approuve la cour d’appel de Rouen d’avoir écarté toute faute : le banquier « est tenu d’un devoir de non-immixtion lui imposant de ne pas procéder à des investigations sur l’origine, le motif ou l’opportunité des mouvements du compte de son client ». Dès lors que la banque s’était assurée que les ordres étaient conformes à la volonté de sa cliente et que le compte était suffisamment approvisionné, « le caractère international des virements litigieux, leurs montants parfois importants, leur nombre et la courte période de leur exécution ne constituent pas des anomalies ».

Cette décision fixe la ligne de partage. Ne sont pas des anomalies apparentes : un virement vers l’étranger, un montant élevé, une série de virements rapprochés, un bénéficiaire nouveau. Peuvent l’être : une incohérence matérielle visible sur le document remis à la banque (ce qui renvoie à l’arrêt du 4 mars 2026), une contradiction entre l’ordre et les pièces jointes (ce qui renvoie à l’arrêt du 9 septembre 2026), ou un fonctionnement du compte manifestement anormal. L’anomalie doit être « aisément décelable par un professionnel diligent » sans investigation sur l’opportunité de l’opération. Nous avons détaillé cette notion dans notre article sur les paiements atypiques et l’obligation d’alerte de la banque.

6. Le tournant réglementaire : la vérification du bénéficiaire obligatoire depuis le 9 octobre 2025

Toute la jurisprudence qui précède a été rendue à propos de virements antérieurs au 9 octobre 2025. Pour les virements postérieurs à cette date, le raisonnement change de nature.

Le règlement (UE) 2024/886 du 13 mars 2024 a inséré dans le règlement (UE) n° 260/2012 un article 5 quater intitulé « vérification du bénéficiaire ». Ce service, connu sous le nom de Verification of Payee (VoP), s’impose aux prestataires de services de paiement de la zone euro depuis le 9 octobre 2025 pour les virements en euros, instantanés ou non (sur les spécificités du virement instantané, voir notre article sur l’arnaque au virement instantané). Son mécanisme est le suivant.

Avant que le payeur ne puisse autoriser un virement, sa banque doit vérifier que le nom du bénéficiaire qu’il a saisi correspond au titulaire du compte identifié par l’IBAN, et l’avertir de toute discordance. L’avertissement doit indiquer que l’autorisation du virement pourrait conduire à transférer les fonds vers un compte qui n’est pas détenu par le bénéficiaire indiqué. Le service est gratuit. Les utilisateurs qui ne sont pas des consommateurs peuvent y renoncer pour les ordres groupés, mais ils peuvent le réactiver à tout moment.

Le paragraphe 8 de l’article 5 quater règle la responsabilité. Le prestataire qui s’est conformé à l’article n’est pas responsable d’un virement parti vers un mauvais bénéficiaire sur la base d’un identifiant inexact : c’est la reprise de l’article L. 133-21. En revanche, si la banque du payeur a manqué à son obligation de vérification et que ce manquement a entraîné un virement mal exécuté, elle « restitue sans tarder au payeur le montant viré » et rétablit le compte dans l’état où il se serait trouvé sans l’opération. Si le manquement est imputable à la banque du bénéficiaire ou à un prestataire d’initiation de paiement, ceux-ci indemnisent la banque du payeur.

Pour la victime d’une fraude au faux RIB, les conséquences sont considérables. Un IBAN frauduleux présenté comme celui de l’entreprise créancière aurait dû déclencher, lors de la saisie du nom de cette entreprise, un résultat de non-concordance ou de concordance partielle. Si la banque n’a pas proposé la vérification, si elle a affiché à tort une concordance, ou si l’avertissement n’a pas été délivré dans les formes, l’obligation de restitution joue de plein droit, sans qu’il soit besoin de démontrer une faute de vigilance ni une anomalie apparente.

Trois réserves doivent être signalées. La première tient à la date : seuls les virements postérieurs au 9 octobre 2025 sont concernés. La deuxième tient au comportement du payeur : si l’avertissement de discordance a été affiché et que le client a validé malgré tout, la banque est libérée et le client supporte la perte. La troisième tient à la renonciation : une entreprise qui a signé une renonciation au service pour ses ordres groupés ne pourra pas s’en prévaloir pour ces ordres. Le premier réflexe, pour un virement récent, est donc de demander à la banque la trace horodatée du résultat de vérification affiché avant la validation.

Il n’existe pas encore, à notre connaissance, de décision de la Cour de cassation faisant application de ce texte. Les premiers contentieux sont en cours devant les juridictions du fond.

7. Le payeur reste débiteur : la fin de la théorie du créancier apparent

La victime de la fraude est confrontée à un second problème, distinct du premier : elle doit toujours sa dette au véritable créancier. Pendant quelques années, certaines juridictions avaient admis que le paiement effectué de bonne foi sur un faux RIB était libératoire, sur le fondement de l’article 1342-3 du code civil selon lequel « le paiement fait de bonne foi à un créancier apparent est valable ». La Cour de cassation a mis fin à cette analyse.

Dans un arrêt rendu en formation plénière de chambre et destiné au Rapport annuel (Cass. com., 17 juin 2026, n° 24-13.306, FP-B+R), un fournisseur de gazole avait vendu du carburant à un armateur par l’intermédiaire d’un courtier italien. Le courtier avait reçu, d’une adresse électronique ne différant que d’une lettre de celle du fournisseur, une facture de 103 375,64 euros accompagnée d’un RIB frauduleux, qu’il avait transmis à l’acheteur. Celui-ci avait payé sur ce compte. La cour d’appel d’Aix-en-Provence avait jugé le paiement libératoire, l’acheteur ayant pu légitimement croire qu’il réglait son créancier.

Cassation, au visa de l’article 1342-3 : « N’est pas créancier apparent, au sens de ce texte, le tiers qui usurpe l’identité du créancier. » L’acheteur, qui savait parfaitement que son créancier était le fournisseur, n’a pas payé un créancier apparent mais « une personne se faisant passer frauduleusement » pour lui. Le paiement n’est pas libératoire. La Cour distingue ainsi la croyance légitime en la qualité de créancier, seule visée par le texte, de l’erreur sur l’identité du titulaire du compte de paiement, qui relève du risque du débiteur.

La victime de la fraude doit donc payer deux fois, sauf à obtenir de son créancier un partage de la perte. Ce partage n’est pas une faveur : lorsque la fraude trouve sa source dans la compromission de la messagerie du créancier, ou dans la négligence de son intermédiaire qui a relayé le faux RIB sans vérification, la responsabilité de celui-ci peut être engagée. L’arrêt du 17 juin 2026 en donne d’ailleurs l’illustration, puisque la cassation s’étend à la demande subsidiaire formée contre le courtier qui avait transmis le faux RIB. Le créancier qui n’a pas sécurisé son système d’information, qui n’a pas alerté ses clients d’un piratage connu, ou dont le salarié a relayé un courriel frauduleux, engage sa responsabilité contractuelle ou délictuelle selon les cas. La demande doit être formée de manière reconventionnelle ou subsidiaire dès l’action en paiement du créancier.

8. Les autres leviers : rappel des fonds, banque du bénéficiaire, plainte

Le rappel des fonds (procédure de recall, dont nous décrivons les étapes et les délais ici) doit être demandé dans les heures qui suivent la découverte de la fraude. L’article L. 133-21 impose à la banque du payeur de s’efforcer de récupérer les fonds, et à la banque du bénéficiaire de coopérer. Il s’agit d’une obligation de moyens, mais une banque qui tarde à transmettre la demande de rappel alors que le compte réceptionnaire était encore approvisionné engage sa responsabilité pour cette carence spécifique, indépendamment du régime de l’exécution du virement. Il faut donc conserver la trace horodatée du signalement et demander à la banque le justificatif de sa diligence.

La banque du bénéficiaire est un second défendeur possible, sur le terrain délictuel. Elle a ouvert le compte sur lequel les fonds ont transité, parfois sur la base de documents d’identité falsifiés, et elle a laissé ce compte être vidé en quelques heures après réception d’une somme importante. La difficulté est connue : la Cour de cassation considère de longue date que les obligations de vigilance imposées aux banques par la réglementation de lutte contre le blanchiment ont pour finalité la protection de l’intérêt général et ne peuvent pas être invoquées par une victime pour fonder une action en responsabilité. L’action doit donc être construite sur l’anomalie apparente à l’ouverture du compte (faux grossier dans les pièces produites) ou sur le fonctionnement manifestement anormal du compte, ce qui suppose d’obtenir des éléments par la voie pénale.

Le dépôt de plainte est indispensable, non seulement parce qu’il conditionne souvent l’indemnisation par l’assurance cyber ou l’assurance fraude de l’entreprise, mais parce que l’enquête permet d’identifier le titulaire du compte réceptionnaire et les conditions de son ouverture. La constitution de partie civile ouvre l’accès à ces informations. Sur le rôle du nouveau fichier anti-fraude de la Banque de France pour les victimes de virements frauduleux, voir notre article consacré au FNC-RF.

9. En pratique : ce que la victime doit vérifier avant d’agir contre sa banque

La question posée en introduction, celle de savoir si la banque peut refuser tout remboursement au seul motif que le client a validé lui-même le virement, appelle donc une réponse nuancée. Le motif est fondé en principe. Il cesse de l’être dans cinq situations que l’on peut résumer ainsi.

Le virement est postérieur au 9 octobre 2025 et la banque ne démontre pas avoir proposé la vérification du bénéficiaire ni avoir affiché un avertissement de discordance : la restitution est due sur le fondement de l’article 5 quater du règlement 260/2012.

La banque a rédigé elle-même l’ordre, en agence ou à partir d’un RIB que le client lui a remis, et ce RIB présentait des incohérences visibles : la responsabilité de droit commun s’applique (arrêt du 4 mars 2026).

La banque a exécuté le virement vers un compte différent de celui mentionné sur les pièces que le client lui avait transmises, et elle ne produit pas l’ordre établissant que le client a autorisé ce bénéficiaire : l’autorisation n’est pas prouvée (arrêt du 9 septembre 2026).

La banque a tardé à mettre en œuvre le rappel des fonds après le signalement : sa responsabilité est engagée pour cette carence.

Le virement a été exécuté malgré une anomalie apparente, matérielle ou intellectuelle, aisément décelable sans investigation sur l’opportunité de l’opération : le devoir de vigilance subsiste, dans les limites rappelées par l’arrêt du 25 mars 2026.

À l’inverse, lorsque le client a saisi lui-même l’IBAN frauduleux dans son espace en ligne, validé l’opération par authentification forte, ignoré un éventuel avertissement de discordance, et que la banque a transmis sans délai la demande de rappel, l’action contre la banque du payeur n’a pas de perspective sérieuse. L’effort doit alors porter sur le créancier dont la messagerie a été compromise, sur la banque du bénéficiaire et sur la voie pénale.

Dans tous les cas, la victime doit réunir sans attendre : le courriel frauduleux avec ses en-têtes techniques complets, le RIB transmis, les factures et RIB antérieurs du créancier, l’ordre de virement et la capture de l’écran de validation, la preuve horodatée du signalement à la banque, la réponse de celle-ci sur le rappel des fonds, le récépissé de plainte et la réclamation écrite adressée au service clients puis au médiateur bancaire.

Conclusion

Le droit de la fraude au faux RIB s’est stabilisé en 2026 autour d’un principe ferme et de deux exceptions nettes. Le principe : la banque qui exécute un virement sur l’IBAN que son client lui a fourni n’en répond pas, quelle que soit l’erreur de celui-ci sur le bénéficiaire. Les exceptions : la banque qui ne s’est pas bornée à exécuter répond de son manquement sur le terrain du droit commun, et la banque qui ne prouve pas l’autorisation donnée quant au bénéficiaire ne peut pas opposer l’ordre au client. Par-dessus ce régime jurisprudentiel, la vérification obligatoire du bénéficiaire depuis le 9 octobre 2025 déplace désormais sur la banque le risque de l’IBAN frauduleux chaque fois qu’elle n’a pas délivré l’avertissement prévu par le règlement européen. Les prochaines années diront comment la Cour de cassation articule ce nouveau texte avec l’article L. 133-21.

Le cabinet intervient en conseil et en contentieux, pour les particuliers et les entreprises victimes de fraudes au virement, devant les tribunaux judiciaires et les tribunaux des activités économiques, à Paris et en Île-de-France. Une analyse préalable du dossier (canal du virement, date, pièces transmises à la banque, diligences de celle-ci) permet de déterminer rapidement si une action contre la banque présente une chance sérieuse ou si la stratégie doit être orientée vers les autres responsables.

Textes et décisions cités

Code monétaire et financier, articles L. 133-3, L. 133-6, L. 133-7, L. 133-18, L. 133-21, L. 133-23 et L. 133-24.

Code civil, articles 1231-1, 1342-3 et 1353.

Directive (UE) 2015/2366 du 25 novembre 2015 (DSP2), article 88.

Règlement (UE) n° 260/2012 modifié par le règlement (UE) 2024/886 du 13 mars 2024, article 5 quater (vérification du bénéficiaire), applicable aux prestataires de la zone euro depuis le 9 octobre 2025 : texte consolidé sur EUR-Lex.

CJUE, 21 mars 2019, Tecnoservice, C-245/18 ; CJUE, 2 septembre 2021, CRCAM, C-337/20.

Cass. com., 10 septembre 2025, n° 24-15.485 : Légifrance.

Cass. com., 4 mars 2026, n° 25-11.959, publié au Bulletin : Légifrance.

Cass. com., 25 mars 2026, n° 24-18.093, publié au Bulletin : Judilibre.

Cass. com., 17 juin 2026, n° 24-13.306, FP-B+R : Légifrance.

Cass. com., 1er juillet 2026, n° 25-15.283 (F-D) et n° 25-16.014

Cass. com., 9 septembre 2026, n° 25-15.225, publié au Bulletin : Judilibre.