Arnaque au changement de RIB : qui rembourse et comment l'éviter

Un email annonce que votre fournisseur change de banque. Le RIB est joint, le ton est poli, la signature est la bonne. La comptabilité met à jour la fiche fournisseur et règle les factures en attente. Les factures sont vraies, les montants aussi : seul le compte destinataire appartient à un escroc. Personne ne s’en aperçoit avant la relance du vrai fournisseur, quelques semaines plus tard.

Cybermalveillance.gouv.fr range cette arnaque parmi les faux ordres de virement (FOVI), « un type d’arnaque qui, par persuasion, menaces ou pressions diverses, vise à amener la victime à réaliser un virement de fonds non planifié ». La variante décrite ici consiste à « usurper l’identité d’un fournisseur pour communiquer de nouvelles coordonnées bancaires (changement de RIB) sur lesquelles il faut effectuer un règlement » (fiche réflexe FOVI, mise à jour le 15 septembre 2026).

Vient ensuite la question que tout dirigeant pose : qui rembourse ? En principe, ni la banque ni le fournisseur. La banque a exécuté le virement vers l’IBAN que vous lui avez donné, et la loi l’exonère dans ce cas. Le fournisseur n’a rien reçu, et depuis un arrêt de la Cour de cassation du 17 juin 2026, vous lui devez toujours la somme. Sauf assurance ou rappel des fonds réussi, la perte reste pour l’entreprise qui a payé. Cette page détaille le déroulé de l’arnaque, les règles de droit et leurs exceptions, les gestes des premières heures et la procédure qui arrête la fraude avant le virement.

Comment se déroule l’arnaque au changement de RIB

Deux portes d’entrée : une messagerie piratée ou un domaine sosie

Le fraudeur doit d’abord se faire passer pour le fournisseur. Deux techniques dominent.

La plus dangereuse est la compromission d’une boîte email : celle d’un commercial ou d’un comptable du fournisseur, ou une boîte de votre propre service comptable. L’accès s’obtient le plus souvent par un phishing ou par un mot de passe réutilisé. Le fraudeur lit alors les échanges pendant des semaines : qui facture quoi, à quelle échéance, avec quelles signatures. Le jour venu, il écrit depuis l’adresse authentique, parfois en réponse à un fil de discussion en cours. SPF, DKIM et DMARC ne détectent rien, puisque le message part du vrai serveur.

L’autre technique est le domaine sosie : fourni-ture.com au lieu de fourniture.com, une lettre doublée, un L minuscule à la place d’un I. Le domaine coûte quelques euros, et les emails qui en partent passent les contrôles d’authentification, puisqu’ils sont légitimes pour ce domaine. Dans l’affaire jugée par la Cour de cassation le 17 juin 2026, l’adresse frauduleuse ne différait que d’une lettre de la vraie adresse du vendeur.

Dans les deux cas, l’escroc connaît le contexte réel de la relation commerciale. Une partie de ces informations est publique : pages de références clients, organigrammes, publications LinkedIn, comptes annuels. Moins vous publiez sur les personnes qui paient les fournisseurs, moins le scénario est facile à monter.

Le message

L’email type ressemble à ceci :

De : comptabilite@fourni-ture.com

Objet : Mise à jour de nos coordonnées bancaires

Madame, Monsieur,

Nous vous informons que notre société a changé d’établissement bancaire. Vous trouverez ci-joint notre nouveau relevé d’identité bancaire, à utiliser pour les prochains règlements. Nous vous remercions de bien vouloir mettre à jour nos coordonnées.

Cordialement, le service comptabilité

Le message est sobre, poli et sans faute. Il ne contient aucun des signaux qu’on apprend à repérer dans un phishing ordinaire (menace, urgence théâtrale, promesse), et c’est sa force. Le RIB joint est un PDF propre, parfois accompagné d’une lettre sur papier à en-tête : ces documents se fabriquent en quelques minutes à partir d’une vraie facture. Le compte destinataire existe bel et bien, ouvert par une mule ou sous une fausse identité.

Le paiement, puis la découverte

À l’échéance suivante, la comptabilité règle les factures sur le nouveau compte. Aucun contrôle automatique ne réagit : le fournisseur est référencé, la facture est réelle, le montant est exact. Selon le rythme de facturation, une ou plusieurs échéances partent ainsi chez l’escroc.

La découverte vient presque toujours de l’extérieur. Le vrai fournisseur relance pour impayé, ou un écart apparaît au rapprochement bancaire. Entre-temps, les fonds ont été dispersés vers d’autres comptes.

Pourquoi la comptabilité se fait piéger

Changer les coordonnées bancaires d’un fournisseur est une tâche administrative courante. Le message arrive au milieu de dizaines d’autres et se traite comme eux, en mode automatique : c’est le ressort décrit dans notre article sur la psychologie du phishing. Quand il s’insère dans un fil de discussion authentique, la dernière raison de douter disparaît.

Le calendrier est choisi : juste avant une grosse échéance, pendant les congés du contact habituel (« un collègue assure l’intérim »), en période de clôture. Et dans beaucoup de PME, la comptabilité repose sur une ou deux personnes. La séparation des tâches reste théorique, et personne n’est disponible pour un second avis.

Les signaux d’alerte

Le premier signal est la demande elle-même. Un changement de coordonnées bancaires est une alerte à vérifier avant d’être une information à enregistrer : l’événement est rare dans la vie d’un vrai fournisseur, et il est au centre de chaque fraude au RIB.

Dans le message

• Un domaine expéditeur légèrement différent. Lisez l’adresse complète, caractère par caractère, et pas le nom affiché. Dans Outlook, cliquez sur le nom de l’expéditeur pour faire apparaître l’adresse.
• Un changement d’interlocuteur ou de circuit : nouveau signataire, adresse inconnue en copie, demande de poursuivre l’échange sur une autre boîte, contact habituel « absent ».
• L’évitement du téléphone. L’interlocuteur préfère l’écrit, ne décroche pas, ou fournit lui-même « son » numéro de vérification, qui renvoie au fraudeur.
• Une pression discrète sur le calendrier : régler « avant la fin du mois », relance plus rapide que d’habitude.
• Une adresse de réponse (Reply-To) différente de l’expéditeur, ou des résultats fail dans l’en-tête Authentication-Results. Notre analyseur d’en-têtes email fait cette lecture, et l’article sur la façon de tracer l’origine d’un email suspect détaille la méthode.

Dans le RIB

• Le pays du compte. Les deux premières lettres de l’IBAN donnent le pays de la banque : FR pour la France, LT pour la Lituanie, EE pour l’Estonie, CY pour Chypre. Un fournisseur français de longue date qui passe soudain sur un compte à l’étranger justifie un appel.
• Un titulaire qui ne correspond pas exactement à la raison sociale du fournisseur, présenté comme une filiale ou justifié par des « raisons de trésorerie ».
• Un domaine expéditeur créé récemment. Une recherche WHOIS donne la date d’enregistrement : un domaine apparu quelques semaines avant la demande n’est pas celui d’un fournisseur historique.

Pris un par un, ces signaux s’expliquent. Ensemble, ils justifient de suspendre le paiement. Pour entraîner l’œil au-delà de ce scénario, voyez notre guide pour reconnaître un email frauduleux.

Qui rembourse ? Ce que disent la loi et la Cour de cassation

Trois acteurs peuvent supporter la perte : la banque, le fournisseur et votre assureur. La Cour de cassation a précisé la place des deux premiers en 2025 et 2026, et le constat est sévère pour l’entreprise qui paie. Ces règles visent les virements que vous avez vous-même ordonnés, ce qui est le cas de la fraude au RIB classique. Le cas où l’escroc passe lui-même les ordres relève d’un autre régime, présenté plus bas.

Cette section résume des textes et des décisions publiés. Elle ne remplace pas l’avis d’un avocat sur votre dossier. Pour les chiffres, notre étude Fraude au RIB : qui paie ? a analysé 170 décisions de justice : quand le virement part sur un faux RIB, l’entreprise garde toute la perte dans 56 % des arrêts d’appel.

La banque n’est pas responsable si elle a suivi l’IBAN que vous avez donné

L’article L. 133-21 du code monétaire et financier pose la règle : « Un ordre de paiement exécuté conformément à l’identifiant unique fourni par l’utilisateur du service de paiement est réputé dûment exécuté pour ce qui concerne le bénéficiaire désigné par l’identifiant unique. Si l’identifiant unique fourni par l’utilisateur du service de paiement est inexact, le prestataire de services de paiement n’est pas responsable de la mauvaise exécution ou de la non-exécution de l’opération de paiement. » L’identifiant unique, c’est l’IBAN. La banque doit seulement s’efforcer de récupérer les fonds.

Des cours d’appel retenaient pourtant la responsabilité de banques au nom de leur devoir de vigilance. La Cour de cassation a fermé cette voie dans un arrêt du 15 janvier 2025, publié au bulletin (n° 23-15.437). Un couple avait réglé l’achat d’un véhicule par deux virements, vers un IBAN qu’un tiers avait substitué à celui du vendeur après avoir piraté sa messagerie. La cour d’appel de Nîmes avait jugé que l’article L. 133-21 ne dispensait pas la banque de son obligation de vigilance. Cassation : quand la responsabilité d’une banque est recherchée pour une opération non autorisée ou mal exécutée, seul s’applique le régime des articles L. 133-18 à L. 133-24, à l’exclusion de la responsabilité contractuelle de droit commun (arrêt sur Légifrance).

Il existe une exception, précisée le 4 mars 2026 (n° 25-11.959, publié au bulletin). Des clients avaient reçu, d’une adresse imitant celle de leur notaire, un RIB falsifié. Ils l’avaient transmis à leur banque, dont le préposé avait lui-même rédigé l’ordre de virement de 60 343,69 euros avant de le leur faire signer. La Cour juge que l’exonération ne joue que si la banque se borne à exécuter l’ordre : quand elle l’a établi elle-même, sa responsabilité de droit commun peut être engagée. Elle rejette le pourvoi de la banque (arrêt sur Légifrance). Une entreprise qui saisit ses virements dans sa banque en ligne n’est pas dans ce cas.

Depuis le 9 octobre 2025 : la vérification du bénéficiaire

Le règlement européen (UE) 2024/886 du 13 mars 2024 a ajouté un contrôle qui gêne directement les fraudeurs au RIB. Avant d’exécuter un virement, la banque du payeur compare le nom du bénéficiaire saisi avec le titulaire réel du compte. « La vérification du bénéficiaire à chaque virement SEPA, qu’il soit classique ou instantané, est généralisée à partir du 9 octobre 2025 », résume l’Institut national de la consommation. Quand le bénéficiaire est une entreprise, la banque vérifie « la concordance avec le nom commercial ou la dénomination sociale ».

Quatre réponses sont possibles : correspondance exacte, correspondance partielle, aucune correspondance, vérification impossible. Le client décide ensuite de confirmer, corriger ou annuler le virement. S’il confirme malgré une non-concordance, il ne peut plus se retourner contre sa banque en cas de fraude.

Pour une direction financière, cela change deux choses :

• Une réponse « aucune correspondance » ou « correspondance partielle » sur un fournisseur dont le RIB vient de changer doit arrêter le paiement jusqu’au contre-appel. Un escroc qui ouvre un compte sous un nom proche de celui du fournisseur obtient justement une concordance partielle.
• Les entreprises peuvent renoncer à la vérification pour leurs paiements groupés et leurs remises de fichiers, comme l’explique la BRED à ses clients entreprises. Si c’est votre cas, sortez des fichiers groupés le premier paiement vers un IBAN qui vient d’être modifié, pour qu’il passe par la vérification.

Si votre banque n’a pas effectué la vérification alors que le virement y était soumis, signalez-le à votre avocat : c’est un argument à faire valoir.

Le fournisseur : payer l’escroc n’éteint pas la dette

C’est la règle qui coûte le plus cher, et elle est récente. Le code civil prévoit qu’un paiement libère le débiteur s’il est fait au créancier ou à la personne désignée pour le recevoir (article 1342-2), et que « le paiement fait de bonne foi à un créancier apparent est valable » (article 1342-3). Plusieurs cours d’appel en déduisaient qu’une entreprise trompée de bonne foi par un faux RIB était quitte envers son fournisseur.

Le 17 juin 2026, la chambre commerciale a jugé l’inverse, dans un arrêt publié au bulletin (n° 24-13.306) : « N’est pas créancier apparent, au sens de ce texte, le tiers qui usurpe l’identité du créancier. » Un intermédiaire avait reçu, d’une adresse qui ne différait que d’une lettre de celle du vendeur, une facture de 103 375,64 euros et un RIB. Il les avait transmis à l’acheteur, qui avait payé le compte de l’escroc. La somme n’a pas pu être récupérée. La cour d’appel d’Aix-en-Provence avait jugé le paiement libératoire ; la Cour de cassation casse (arrêt sur Légifrance).

Conséquence : l’entreprise qui a payé un faux RIB doit, en principe, payer une seconde fois son vrai fournisseur. Une action contre un fournisseur dont la messagerie a servi à l’escroquerie reste envisageable, mais elle suppose de prouver une faute de sa part et s’apprécie au cas par cas.

Quand l’escroc passe lui-même les ordres : le cas du faux conseiller bancaire

Dans une autre variante, le fraudeur n’envoie pas de faux RIB. Il appelle votre comptable ou votre dirigeant en se faisant passer pour la banque, souvent avec le vrai numéro de l’agence affiché, et obtient qu’il valide lui-même des opérations ou des ajouts de bénéficiaires. Les virements qui suivent sont des opérations non autorisées, et la règle s’inverse : la banque doit rembourser, sauf si elle prouve une « négligence grave » de son client. L’article L. 133-19, IV du code monétaire et financier dispose que « le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17 ».

La Cour de cassation a fixé la portée de cette exception le 23 octobre 2024, dans un arrêt publié au bulletin (pourvoi n° 23-16.267). Le 30 mai 2019, un client de BNP Paribas reçoit l’appel d’une prétendue assistante de sa conseillère : le compte subirait une attaque informatique, il faut réinscrire des bénéficiaires de virements, tout de suite. L’arrêt constate que « le numéro d’appel apparaissant sur le téléphone portable de M. [J] s’était affiché comme étant celui de Mme [Y], sa conseillère BNP ». Le client valide les ajouts avec ses propres codes. Le 31 mai, il constate que des virements frauduleux de 54 500 euros ont été réalisés sur son compte. La cour d’appel de Versailles avait condamné la banque à rembourser ; la banque plaidait la négligence grave.

La chambre commerciale rejette son pourvoi. Elle rappelle qu’« il incombe au prestataire de services de paiement de rapporter la preuve d’une négligence grave de son client », puis retient que le spoofing « a mis M. [J] en confiance et a diminué sa vigilance ». Le sommaire publié au bulletin en fait un principe : « Aucune négligence grave au sens de l’article L. 133-19 du code monétaire et financier ne peut être imputée au titulaire d’un compte qui, contacté téléphoniquement par une personne se faisant passer pour un préposé de sa banque dont le numéro s’affichait, utilise à sa demande le dispositif de sécurité personnalisé pour supprimer puis réinscrire des bénéficiaires de virements dans le but d’éviter des opérations malveillantes. » (arrêt sur Légifrance). La sophistication du piège s’impute au piégeur.

Deux réserves pour une entreprise. Cet arrêt concerne un particulier, et l’article L. 133-2 du même code permet, quand le titulaire du compte n’est pas un consommateur, de déroger par contrat notamment aux articles L. 133-19 et L. 133-23 : relisez votre convention de compte professionnel. Ensuite, le numéro affiché ne prouve rien, et demain la voix elle-même pourra être imitée. La seule vérification fiable reste le rappel sortant, vers un numéro que vous connaissez.

L’assurance : une plainte sous 72 heures

Si votre contrat d’assurance cyber couvre la fraude au virement (vérifiez-le avant d’en avoir besoin), l’indemnisation dépend de la loi et du contrat. La loi d’abord : quand la perte résulte d’une atteinte à un système de traitement automatisé de données, comme le piratage d’une messagerie, l’assureur ne peut indemniser qu’après une plainte déposée au plus tard 72 heures après la connaissance de l’atteinte (article L. 12-10-1 du code des assurances, en vigueur depuis le 24 avril 2023, issu de la loi LOPMI). Le contrat ensuite : il peut exiger des mesures de prévention précises, comme la double validation des virements ou le contre-appel. Lisez ces clauses maintenant : c’est à l’entreprise de prouver qu’elle les appliquait.

Si le virement est parti : les premières heures

1. Appelez immédiatement votre banque et demandez le blocage du virement et le rappel des fonds. Confirmez la demande par écrit. Plus l’appel est rapide, plus les fonds ont de chances d’être encore sur le compte destinataire.
2. Prévenez le vrai fournisseur par téléphone, sur un numéro que vous aviez avant l’incident. Sa messagerie est peut-être piratée, et ses autres clients peuvent être visés.
3. Conservez tout : emails avec leurs en-têtes complets, RIB frauduleux, ordres de virement, journaux de connexion, chronologie des faits. Ne supprimez rien.
4. Portez plainte au commissariat ou à la gendarmerie. La plainte en ligne THESEE est réservée aux particuliers : « Pour les professionnels, vous devrez vous déplacer en commissariat ou en brigade de gendarmerie » (ministère de l’Intérieur). Si une messagerie a été piratée, déposez-la dans les 72 heures pour préserver l’assurance.
5. Déclarez le sinistre à votre assureur, récépissé de plainte à l’appui.
6. Sécurisez les messageries : nouveaux mots de passe, double authentification, recherche des règles de transfert ajoutées par l’attaquant. Notre guide que faire en cas de phishing détaille ces étapes. Si la boîte piratée contenait des données personnelles, la violation doit être notifiée à la CNIL dans les 72 heures quand elle présente un risque pour les personnes concernées (article 33 du RGPD).
7. Expliquez l’incident à l’équipe : le mécanisme, la procédure à appliquer désormais. Ne désignez pas la personne qui a traité le faux RIB. Elle a été trompée par un escroc organisé, et un climat de sanction fait taire le prochain doute.

N’écrivez pas à l’adresse frauduleuse pour tenter de récupérer l’argent : l’escroc apprend seulement que son montage a fonctionné. Cybermalveillance.gouv.fr publie aussi une fiche réflexe sur la fraude au virement et au faux RIB, écrite pour les particuliers mais utile pour les premiers gestes.

La procédure qui arrête la fraude avant le virement

Les décisions de 2025 et 2026 laissent presque tout le risque à l’entreprise qui paie. La protection se joue donc avant le virement, dans une procédure écrite que la comptabilité applique sans exception, y compris sous pression. Notre modèle de procédure anti-fraude au virement la détaille, rôles et seuils compris. En voici les règles principales.

Le contre-appel sur un numéro déjà connu

Tout changement de coordonnées bancaires est vérifié par un appel au fournisseur, sur un numéro présent dans vos dossiers avant la demande (contrat, bon de commande, annuaire interne). Jamais sur un numéro donné dans le message. Tenez un registre des numéros vérifiés de vos principaux fournisseurs. Si personne ne répond, le paiement attend. L’appel prend quelques minutes, et c’est le seul contrôle que le piratage d’une messagerie ne contourne pas.

Une seconde personne valide toute modification de fiche fournisseur

Celui qui reçoit la demande n’est pas celui qui l’approuve. Si votre logiciel de gestion le permet, soumettez toute modification d’IBAN fournisseur à une validation dans l’outil, avec une trace de qui a validé quoi.

Un canal unique pour les changements bancaires

Indiquez à vos fournisseurs que les changements de coordonnées ne sont acceptés que par un canal précis (une adresse dédiée, un formulaire signé), et jamais dans le fil commercial habituel. Un escroc qui pirate la boîte d’un commercial ne connaît pas forcément ce canal.

Un premier virement de contrôle

Après un changement validé, faites d’abord un virement de faible montant et faites confirmer sa réception par téléphone, toujours au numéro connu, avant de régler les grosses factures. Gardez la vérification du bénéficiaire active pour ce premier paiement.

Une équipe comptable entraînée à ce scénario

Une procédure ne protège que si la personne qui reçoit l’email reconnaît la situation qui la déclenche. Un comptable qui n’a jamais vu de faux changement de RIB bien rédigé n’activera pas le contre-appel le jour où il en reçoit un. L’entraînement consiste à envoyer à l’équipe un faux email de changement de RIB, à observer qui applique la procédure, puis à expliquer les signaux à ceux qui se sont fait prendre, juste après. Selon le Phishing by Industry Benchmarking Report 2025 de KnowBe4, le taux de clic moyen passe de 33,1 % avant formation à 4,1 % après 12 mois de simulations et de formation.

La bibliothèque de nophi.sh contient des scénarios de fraude fournisseur et de faux changement de coordonnées bancaires, écrits en français, et la personne qui clique reçoit une courte formation dans la foulée. Voyez comment fonctionne notre simulation de phishing, et comment elle s’intègre dans un programme de sensibilisation des salariés. Si votre problème est plus large que la comptabilité, commencez par notre guide mes employés cliquent sur tout.

Protéger votre domaine et vos messageries

Si votre domaine n’a pas de politique DMARC en mode reject, un escroc peut écrire à vos clients avec votre adresse exacte, par exemple pour leur annoncer un nouveau RIB. SPF déclare vos serveurs d’envoi, DKIM signe vos emails, et DMARC se monte progressivement de p=none (observation) à p=reject (blocage). Notre guide configurer SPF, DKIM et DMARC détaille chaque étape, et le test de sécurité email vérifie votre configuration en quelques secondes.

Une boîte piratée rend ces protections inutiles, puisque l’email frauduleux part du vrai serveur. Activez la double authentification sur toutes les messageries (voir notre guide pour déployer le MFA en entreprise). Les boîtes des dirigeants et de la comptabilité sont les plus exposées : notre dossier sur la fraude au président détaille leur protection.

Surveillez enfin les domaines proches du vôtre : l’outil open source DNSTwist génère les variantes probables de votre nom de domaine et vérifie lesquelles sont enregistrées. Notre guide sur le typosquatting explique comment réagir quand un sosie apparaît.

Testez votre exposition en cinq questions

1. Votre domaine a-t-il un enregistrement DMARC en mode reject ? Sinon, un escroc peut écrire à vos clients avec votre adresse exacte.
2. Avez-vous une procédure écrite de vérification des changements de RIB ? Une règle qui n’est pas écrite ne tient pas sous la pression d’une échéance.
3. Vos comptables lisent-ils l’adresse complète de l’expéditeur, et pas seulement le nom affiché ? Sinon, un domaine sosie passera.
4. La double authentification est-elle activée sur toutes les boîtes email de l’entreprise ? Sinon, une boîte piratée peut servir à escroquer vos clients ou vos fournisseurs.
5. Votre équipe comptable a-t-elle reçu au moins un faux changement de RIB d’entraînement dans les 12 derniers mois ? Sinon, le premier qu’elle verra sera le vrai.

Trois « non » ou plus : le risque est élevé. Aucune de ces mesures ne demande de budget important. Elles demandent une décision et quelques heures de mise en place.

Questions fréquentes

Qu’est-ce que l’arnaque au changement de RIB ?

Une fraude aux faux ordres de virement : l’escroc se fait passer pour un fournisseur et fait payer les vraies factures sur son propre compte.

Qui rembourse si l’entreprise a payé sur un faux RIB ?

En principe ni la banque, qui a suivi l’IBAN fourni (article L. 133-21), ni le fournisseur. Restent le rappel des fonds, la plainte et l’assurance.

Faut-il payer une deuxième fois son fournisseur ?

En principe oui, depuis l’arrêt de la Cour de cassation du 17 juin 2026 (n° 24-13.306).

Comment vérifier un changement de RIB annoncé par email ?

Par un contre-appel sur un numéro connu avant la demande, et en traitant toute alerte de la vérification du bénéficiaire comme un arrêt de paiement.

Que faire dans les premières heures ?

Appeler la banque, prévenir le fournisseur par téléphone, conserver les preuves, porter plainte (sous 72 heures si une messagerie a été piratée) et déclarer le sinistre à l’assureur.

---

Thomas Ferreira est ingénieur sécurité chez nophi.sh (CISSP, GCFA, GCIH, GCFE). Il accompagne des PME françaises dans la mise en place de programmes de sensibilisation au phishing et à la fraude au virement.

À lire aussi :

• Procédure anti-fraude au virement : le modèle, à adapter à votre entreprise
• Fraude au président : les cas les plus coûteux en France, la variante qui usurpe l’identité du dirigeant
• Fraude à la paie par phishing, le même changement de RIB appliqué aux salaires
• Deepfake vocal et fraude au président, quand la voix au téléphone est imitée

Sources (consultées le 13 octobre 2026) :

• Code monétaire et financier, article L. 133-21, article L. 133-19 et article L. 133-2 ; code des assurances, article L. 12-10-1
• Cour de cassation, chambre commerciale : 23 octobre 2024, n° 23-16.267 ; 15 janvier 2025, n° 23-15.437 ; 4 mars 2026, n° 25-11.959 ; 17 juin 2026, n° 24-13.306, tous publiés au bulletin
• Cybermalveillance.gouv.fr, fiche réflexe FOVI (mise à jour le 15 septembre 2026) et fiche fraude au virement ou au faux RIB (mise à jour le 7 mai 2026)
• Institut national de la consommation, « Virements bancaires : du nouveau le 9 octobre », 10 octobre 2025 ; BRED, vérification du bénéficiaire pour les entreprises
• Ministère de l’Intérieur, plainte en ligne THESEE
• KnowBe4, Phishing by Industry Benchmarking Report 2025