Faux RIB : qui paie ? Remboursement du virement détourné et vérification du bénéficiaire

Un virement exécuté sur un faux RIB n’éteint pas la dette : celui qui a payé l’escroc doit, en principe, payer une seconde fois son véritable créancier — et la banque n’est en principe pas tenue de rembourser un virement autorisé, sauf faute caractérisée ou manquement au nouveau service de vérification du bénéficiaire, obligatoire depuis le 9 octobre 2025. La fraude au faux RIB est devenue l’escroquerie reine du paiement : une facture attendue, un IBAN substitué, des fonds volatilisés avant que la victime ne s’en aperçoive. Entre 2024 et 2026, la Cour de cassation a redistribué les responsabilités et le droit européen a imposé aux banques un contrôle de concordance entre le nom du bénéficiaire et l’IBAN. Voici, point par point, qui supporte la perte — et comment la déplacer.

1️⃣ Payer sur un faux RIB : le débiteur paie deux fois

Le mécanisme est d’une simplicité redoutable : l’escroc s’interpose dans une relation de paiement existante et substitue ses coordonnées bancaires à celles du véritable créancier. Les variantes les plus répandues :

• La fausse facture fournisseur : la messagerie du fournisseur — ou celle du client — a été compromise ; la facture attendue arrive au moment attendu, à l’en-tête exact, mais porte un IBAN frauduleux ;
• Le courriel usurpé : l’adresse de l’expéditeur ne diffère de la véritable adresse que d’une lettre ou d’un point — dans l’affaire jugée par la Cour de cassation le 17 juin 2026, l’adresse imitée ne différait « que d’une lettre » de l’originale ;
• Le faux RIB de notaire ou d’agent immobilier : les fonds d’une acquisition immobilière détournés à quelques jours de la signature ;
• Le « changement de domiciliation bancaire » : un prétendu courrier du créancier annonce un changement de compte et invite à modifier le bénéficiaire enregistré.

Dans tous les cas, la caractéristique juridique est la même — et elle commande tout le régime applicable : le virement a été autorisé par le payeur. Il a été mal dirigé, pas usurpé.

L’escroc n’est pas un « créancier apparent »

L’article 1342-3 du Code civil énonce que « le paiement fait de bonne foi à un créancier apparent est valable ». Longtemps, les débiteurs trompés ont tenté de s’abriter derrière ce texte : la facture était attendue, l’apparence était parfaite, le paiement devait donc les libérer.

La Cour de cassation, en formation plénière de chambre, a fermé cette voie par un arrêt promis à la plus large diffusion (Cass. com., 17 juin 2026, n° 24-13.306, publié au Bulletin et au Rapport) : « n’est pas créancier apparent, au sens de ce texte, le tiers qui usurpe l’identité du créancier ». Le débiteur qui savait qui était son créancier n’a pas payé un créancier apparent ; il a payé un usurpateur. Son paiement ne l’a pas libéré.

La conséquence est brutale mais logique : le débiteur victime du faux RIB reste tenu de régler son véritable créancier — il paie deux fois, sauf à récupérer les fonds ou à faire supporter la perte à un autre acteur de la chaîne. Celui qui se prétend libéré doit justifier le paiement qui l’a libéré (article 1353 du Code civil), et un paiement entre les mains d’un escroc n’en est pas un.

La négligence du créancier piraté : la question encore ouverte

Reste une nuance d’importance, que les juridictions du fond apprécient au cas par cas : lorsque la fraude a prospéré parce que la messagerie du créancier avait été compromise, le débiteur condamné à payer deux fois peut rechercher la responsabilité de ce créancier négligent — défaut de sécurisation de son système d’information, absence d’alerte sur une fraude déjà connue de lui. La Cour de cassation n’a pas encore posé de principe général sur ce terrain ; l’issue dépend de la preuve, dossier par dossier, de la faille et de son imputabilité. L’expertise technique des en-têtes de courriels se prépare donc dès les premiers jours.

Entreprises : la fausse facture, un contentieux à trois fronts

Les entreprises concentrent l’essentiel du préjudice. Le contentieux s’y déploie contre la banque (voir 2️⃣), dans la relation commerciale — le client qui a payé la fausse facture reste débiteur de son fournisseur, mais la négligence de celui dont le système a été compromis peut être recherchée — et sur le terrain des assurances : les polices « fraude », « cyber » ou multirisques récentes incluent fréquemment une garantie détournement de fonds, à activer dans des délais contractuels courts. La jurisprudence n’hésite pas, enfin, à partager la responsabilité lorsque les négligences internes de l’entreprise ont « concouru à la persistance de la fraude » (Cass. com., 21 avril 2022, n° 20-18.859) : double validation des changements de RIB et contre-appel systématique au fournisseur sont autant de diligences que le juge mettra dans la balance.

2️⃣ La banque doit-elle rembourser un virement fait sur un faux RIB ?

Le principe : un virement autorisé, exécuté selon l’IBAN, ne se rembourse pas

L’article L.133-21 du Code monétaire et financier est le bouclier des banques : un ordre de paiement exécuté conformément à l’identifiant unique — l’IBAN — fourni par l’utilisateur « est réputé dûment exécuté pour ce qui concerne le bénéficiaire désigné par l’identifiant unique ». Si l’IBAN fourni était inexact — c’est le cas du faux RIB —, la banque n’est pas responsable de la mauvaise exécution de l’opération.

Ce même texte impose toutefois deux obligations trop souvent oubliées : la banque du payeur doit s’efforcer de récupérer les fonds (le « rappel de fonds », à déclencher dans les heures qui suivent la découverte), et, si elle n’y parvient pas, elle doit mettre à la disposition du payeur les informations qu’elle détient pouvant documenter son recours en justice contre le titulaire du compte destinataire. Cette demande d’information, formalisée par écrit, est l’un des premiers actes utiles du dossier.

Les brèches : quand la banque ne s’est pas bornée à exécuter

Le bouclier ne protège la banque que lorsqu’elle s’est limitée à exécuter l’ordre reçu. La Cour de cassation vient de le rappeler dans une affaire de faux RIB de notaire : lorsque la banque a elle-même rédigé l’ordre de virement à partir d’un RIB comportant des « incohérences apparentes et manifestes qui ne pouvaient laisser aucun doute, pour un professionnel normalement diligent, sur le fait que l’identifiant était un faux grossier », elle engage sa responsabilité de droit commun — et rembourse l’intégralité des fonds détournés, 60.343,69 € en l’espèce (Cass. com., 4 mars 2026, n° 25-11.959, publié).

Même logique pour les virements en devises hors Union, qui échappent au régime européen des services de paiement : la banque répond alors, en droit commun, des opérations « manifestement irrégulières ou inhabituelles dans la pratique commerciale de son client » qu’elle a laissé passer (Cass. com., 14 février 2024, n° 22-11.654, publié). Montants inhabituels, destination nouvelle, rafale de virements, signature imitée : l’anomalie apparente se plaide. La responsabilité de la banque réceptrice — celle qui héberge le compte de l’escroc — demeure, elle, un terrain étroit, réservé aux fautes caractérisées dans l’ouverture ou la surveillance du compte.

À ne pas confondre : l’opération non autorisée, remboursable de plein droit

Tout autre est l’hypothèse où le virement est parti sans le consentement du titulaire — accès frauduleux à l’espace bancaire, manipulation par un faux conseiller au téléphone. L’opération est alors non autorisée et le régime bascule : la banque rembourse immédiatement, au plus tard à la fin du premier jour ouvrable suivant le signalement (article L.133-18 du Code monétaire et financier), sauf à prouver elle-même — la charge de la preuve pèse sur elle (article L.133-23) — la fraude ou la négligence grave de son client.

Attention au délai : le signalement à la banque doit intervenir au plus tard dans les treize mois suivant la date du débit, sous peine de forclusion (article L.133-24) — un délai de dénonciation à la banque, distinct du délai de prescription de l’action en justice, en principe quinquennal. Pour les professionnels, la convention de compte peut au surplus l’avoir réduit.

Depuis le 9 octobre 2025, la vérification du bénéficiaire rebat les cartes

C’est la révolution silencieuse du droit des paiements. Le règlement (UE) 2024/886 du 13 mars 2024 impose à la banque du payeur de proposer, avant toute autorisation de virement en euros, un service gratuit de vérification du bénéficiaire (« Verification of Payee ») : la concordance entre le nom du bénéficiaire saisi et l’IBAN est contrôlée immédiatement, avant le clic. Les banques de la zone euro devaient s’y conformer au plus tard le 9 octobre 2025 ; le dispositif est donc pleinement applicable.

Trois réponses sont possibles : les données concordent ; elles sont presque équivalentes — la banque indique alors au payeur le nom réellement associé à l’IBAN ; ou elles ne concordent pas — la banque avertit le payeur que l’autorisation du virement « pourrait conduire à ce que les fonds soient virés sur un compte de paiement non détenu par le bénéficiaire indiqué ». Le nom du fournisseur accolé à l’IBAN d’une mule : voilà précisément la configuration du faux RIB, désormais détectée avant tout débit.

Le régime de responsabilité suit le service : la banque qui a manqué à son obligation de vérification restitue « sans tarder » au payeur le montant viré (article 5 quater, paragraphe 8, du règlement (UE) n° 260/2012 modifié). En sens inverse, la banque qui a correctement exécuté la vérification et affiché la non-concordance retrouve sa protection si le payeur décide de passer outre l’avertissement — ignorer une alerte de non-concordance est désormais le pire des choix. Pour tout virement postérieur au 9 octobre 2025, la première question du dossier devient donc : la vérification du bénéficiaire a-t-elle été proposée, exécutée, et qu’a-t-elle affiché ?

3️⃣ Les réflexes qui sauvent — et ce que fait l’Avocat

Chaque heure compte : les fonds transitent rapidement vers des comptes rebonds, souvent à l’étranger.

• Alerter immédiatement sa banque et solliciter le rappel des fonds — l’obligation d’efforts de récupération de l’article L.133-21 se déclenche sans délai ;
• Geler la relation de paiement : suspendre tout autre règlement au même « créancier » tant que l’origine de la fraude n’est pas identifiée ;
• Préserver les preuves : courriels avec en-têtes techniques complets, faux RIB, factures, relevés — l’analyse de l’adresse d’expédition détermine souvent qui, du client ou du fournisseur, a été piraté ;
• Consulter un Avocat avant de formaliser quoi que ce soit : les termes de la dénonciation à la banque et de la plainte engagent la qualification de l’opération — autorisée ou non autorisée — et, mal choisis, peuvent verrouiller un terrain d’action ;
• Déposer plainte pour escroquerie (article 313-1 du Code pénal : cinq ans d’emprisonnement et 375.000 € d’amende) et signaler l’attaque sur cybermalveillance.gouv.fr.

Un dossier de fraude au virement se gagne ensuite sur la cartographie des responsabilités. Quatre débiteurs potentiels coexistent : l’escroc — que la plainte permet d’identifier et dont les fonds peuvent être saisis —, la banque du payeur, la banque réceptrice et le partenaire commercial négligent. L’Avocat qualifie l’opération, fige la preuve, met en demeure les acteurs utiles et choisit le terrain le plus solvable et le plus rapide.

Le contentieux de la fraude aux moyens de paiement est l’une des matières premières du Collectif MUSE AVOCATS. L’un des Avocats du Collectif a récemment obtenu la condamnation d’une banque à rembourser des opérations frauduleuses à hauteur de 7.407,17 €, outre intérêts (Cour d’appel de Lyon, 21 mai 2026), et, dans un dossier de fraude au faux conseiller bancaire, la condamnation de la banque à restituer les sommes détournées, majorées d’intérêts au taux légal augmenté de quinze points, outre l’indemnisation du préjudice moral (Tribunal judiciaire de Bourg-en-Bresse, 26 janvier 2024). Ces décisions sont présentées, anonymisées, sur notre page Résultats.

Faux RIB : vos questions, nos réponses

La banque peut-elle refuser de rembourser un virement fait sur un faux RIB ?

Oui, en principe, lorsque le virement a été autorisé par le payeur et exécuté conformément à l’IBAN fourni : l’article L.133-21 du Code monétaire et financier l’exonère. Mais ce refus tombe si la banque a manqué à la vérification du bénéficiaire (virements postérieurs au 9 octobre 2025), si elle ne s’est pas bornée à exécuter l’ordre, ou si une anomalie apparente lui a échappé.

Dans quel délai faut-il agir ?

Le signalement à la banque d’une opération non autorisée ou mal exécutée doit intervenir au plus tard dans les treize mois du débit, sous peine de forclusion (article L.133-24 du Code monétaire et financier) — délai réductible par convention pour les professionnels. Les actions en justice se prescrivent, elles, en principe par cinq ans. Le rappel des fonds, lui, se joue en heures.

Qui paie lorsque la messagerie de mon fournisseur a été piratée ?

Vous restez, en principe, tenu de payer votre fournisseur : le paiement fait à l’usurpateur ne vous libère pas (Cass. com., 17 juin 2026). Mais la négligence du fournisseur dans la sécurisation de sa messagerie peut être recherchée pour faire supporter tout ou partie de la perte à celui dont la faille a permis la fraude. C’est une question de preuve technique, à préparer sans délai.

Le virement peut-il être rappelé ?

La banque du payeur doit s’efforcer de récupérer les fonds et la banque du bénéficiaire doit coopérer (article L.133-21 du Code monétaire et financier). En pratique, le rappel n’aboutit que si les fonds n’ont pas encore été dispersés — d’où l’urgence absolue du signalement. En cas d’échec, la banque doit vous remettre les informations permettant d’agir en justice contre le titulaire du compte destinataire.