Fraude au RIB et au virement : qui paie ? Ce que disent 170 décisions de justice
170 décisions rendues de 2019 à 2026 sur la fraude au RIB, au président ou au faux conseiller : quand la banque rembourse, quand l'entreprise perd tout.
La comptable valide trois virements vers la Hongrie, parce que le « président » l’a demandé par courriel, sous le sceau du secret. Ailleurs, une facture fournisseur part sur un RIB modifié la veille. Quand la fraude apparaît, le directeur financier se pose tout de suite la même question : qui rembourse ? La banque, le fournisseur, l’entreprise, ou un peu chacun ?
Pour y répondre avec des faits, nous avons lu 170 décisions de justice rendues entre avril 2019 et octobre 2026 : 23 arrêts de la Cour de cassation et 147 arrêts de 28 cours d’appel, tirés de la base publique Judilibre. Chacune tranche, au moins en partie, la question de savoir qui supporte la perte d’un virement obtenu par fraude auprès d’une entreprise ou d’un professionnel.
Dans 51 % des arrêts d’appel, l’entreprise victime garde toute la perte. La banque rembourse l’intégralité dans 29 % des cas, et les juges partagent la perte dans 16 %. L’issue dépend surtout d’un fait : l’ordre de virement a-t-il été donné par l’entreprise elle-même, même trompée, ou sans elle ?
Cette étude décrit des décisions passées et ne constitue pas un conseil juridique : pour un dossier précis, consultez un avocat.
- Ensemble des arrêts d'appel, 147 arrêts : l'entreprise garde la perte dans 75 cas (51 %), partage dans 24 cas (16 %), la banque rembourse dans 42 cas (29 %), une autre partie paie dans 6 cas (4 %).
- Fraude au président, 40 arrêts : l'entreprise garde la perte dans 24 cas (60 %), partage dans 12 cas (30 %), la banque rembourse dans 4 cas (10 %).
- Faux RIB, faux fournisseur, 32 arrêts : l'entreprise garde la perte dans 18 cas (56 %), partage dans 6 cas (19 %), la banque rembourse dans 2 cas (6 %), une autre partie paie dans 6 cas (19 %).
- Hameçonnage, piratage des accès, 41 arrêts : l'entreprise garde la perte dans 19 cas (46 %), partage dans 2 cas (5 %), la banque rembourse dans 20 cas (49 %).
- Faux conseiller, faux technicien, 17 arrêts : l'entreprise garde la perte dans 7 cas (41 %), partage dans 2 cas (12 %), la banque rembourse dans 8 cas (47 %).
147 arrêts de cours d'appel rendus de 2019 à 2026. Lecture : sur 40 arrêts portant sur une fraude au président, l'entreprise garde toute la perte dans 24 cas. « Une autre partie paie » : le fournisseur dont la facture a été détournée, ou le titulaire du compte crédité, qui doit restituer les fonds. L'ensemble compte aussi 17 arrêts sur des ordres falsifiés ou un mode opératoire non précisé. Source : Judilibre, analyse nophi.sh.
Les chiffres, type de fraude par type de fraude
| Type de fraude | Arrêts d’appel | L’entreprise garde la perte | Partage | La banque rembourse | Une autre partie paie |
|---|---|---|---|---|---|
| Fraude au président | 40 | 24 (60 %) | 12 (30 %) | 4 (10 %) | 0 |
| Faux RIB, faux fournisseur, faux créancier | 32 | 18 (56 %) | 6 (19 %) | 2 (6 %) | 6 (19 %) |
| Hameçonnage et piratage des accès | 41 | 19 (46 %) | 2 (5 %) | 20 (49 %) | 0 |
| Faux conseiller, faux technicien, appel téléphonique | 17 | 7 (41 %) | 2 (12 %) | 8 (47 %) | 0 |
| Ordre de virement falsifié | 4 | 1 | 0 | 3 | 0 |
| Mode opératoire non précisé | 13 | 6 | 2 | 5 | 0 |
| Total | 147 | 75 (51 %) | 24 (16 %) | 42 (29 %) | 6 (4 %) |
Deux familles se dessinent. Dans la fraude au président et la fraude au faux RIB, c’est un salarié de l’entreprise qui saisit et valide le virement. L’entreprise garde alors toute la perte dans près de six arrêts sur dix, et la banque ne rembourse tout qu’une fois sur dix au plus. Dans l’hameçonnage et le piratage des accès, comme dans les appels de faux conseillers, le fraudeur agit sur le compte à la place de l’entreprise, ou lui extorque ses codes : la banque rembourse alors tout dans près d’un arrêt sur deux.
Les 23 arrêts de la Cour de cassation suivent la même ligne de partage. Sept donnent raison à l’entreprise, et tous portent sur des opérations qu’elle n’avait pas autorisées. Treize donnent raison à la banque ou au fournisseur, presque tous dans des dossiers où l’entreprise avait elle-même donné l’ordre ou fourni l’IBAN. Un arrêt confirme un partage par moitié, et deux ne tranchent pas la question de la charge de la perte.
Le critère qui décide : qui a donné l’ordre ?
Le code monétaire et financier distingue deux situations, que les juges traitent de façon presque opposée. Le tableau ci-dessous reprend les arrêts d’appel selon le régime appliqué.
| Situation jugée | Arrêts d’appel | L’entreprise garde la perte | Partage | La banque rembourse |
|---|---|---|---|---|
| Opération non autorisée (articles L. 133-18 et suivants) | 72 | 30 (42 %) | 4 (6 %) | 38 (53 %) |
| Opération autorisée, devoir de vigilance de la banque | 46 | 28 (61 %) | 16 (35 %) | 2 (4 %) |
| IBAN fourni par l’entreprise (article L. 133-21) | 9 | 7 | 2 | 0 |
Les 20 autres arrêts relèvent d’autres fondements, le plus souvent le litige entre le payeur et son fournisseur (15 arrêts). Pourcentages arrondis.
L’opération n’a pas été autorisée
Une opération de paiement est autorisée si le payeur a donné son consentement à son exécution (article L. 133-6), sous la forme convenue avec sa banque. La Cour de cassation le rappelle : « en l’absence d’un tel consentement, donné sous la forme convenue entre le payeur et le prestataire de service de paiement, l’opération est réputée non autorisée » (Com., 1er juillet 2026, n° 25-13.134, publié au Bulletin).
Dans ce cas, la banque doit rembourser le payeur au plus tard à la fin du premier jour ouvrable qui suit le signalement (article L. 133-18). Elle n’y échappe que si elle prouve une fraude de son client, ou un manquement intentionnel ou par négligence grave à son obligation de protéger ses données de sécurité (articles L. 133-16, L. 133-19 et L. 133-23). L’usage des identifiants ne suffit pas à faire cette preuve. La banque doit d’abord établir que l’opération « a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre » (Com., 30 avril 2025, n° 24-10.149, publié au Bulletin).
Sur les 72 arrêts d’appel rendus sous ce régime, la banque rembourse tout dans 38 cas (53 %). Quand l’entreprise perd malgré tout, le motif le plus fréquent est une négligence grave prouvée par la banque : un clic sur un faux courriel de la banque qui « comportait plusieurs anomalies apparentes » (CA Metz, 7 juillet 2022, RG 21/01492), des codes reçus par SMS donnés à un inconnu, une carte de signature utilisée par une salariée qui n’en était pas titulaire, un dispositif de sécurité mal gardé.
Ce régime ne laisse presque aucune place au partage. Une fois la négligence grave établie, l’entreprise ne peut plus obtenir une part de son préjudice en reprochant à la banque un défaut de vigilance : la Cour de cassation a cassé un arrêt qui avait partagé la perte par moitié sur ce fondement (Com., 15 janvier 2025, n° 23-13.579, publié au Bulletin). Sans négligence grave, la banque rembourse tout. La cour d’appel de Paris l’a écrit nettement : « L’application aux faits de la cause, des dispositions précitées, du code monétaire et financier, empêche de procéder à un partage de responsabilité » (CA Paris, 29 octobre 2025, RG 23/14654). Seuls 4 des 72 arrêts partagent la perte.
L’opération a été autorisée
C’est le cas le plus fréquent dans la fraude au président : un salarié habilité saisit et valide lui-même le virement, avec les outils de la banque. Trompé ou non, il a donné l’ordre. Le régime de remboursement ne joue plus, et la banque ne répond que d’un manquement à son devoir de vigilance, encadré par son obligation de ne pas s’immiscer dans les affaires de son client. La règle tient en une phrase : « Le banquier, tenu à une obligation de ne pas s’immiscer dans les affaires de son client, ne doit l’alerter qu’en présence d’anomalies apparentes aisément décelables par un professionnel normalement diligent » (Com., 19 novembre 2025, n° 24-17.780, publié au Bulletin, rendu le même jour que deux arrêts dans le même sens, n° 24-19.776 et 24-17.056).
Sur les 46 arrêts d’appel rendus sous ce régime, l’entreprise garde toute la perte dans 28 cas (61 %). La perte est partagée dans 16 cas (35 %), et la banque ne rembourse tout que deux fois.
L’IBAN venait de l’entreprise
Quand la banque a exécuté le virement vers l’IBAN que l’entreprise lui a transmis, un texte spécial s’applique : « Un ordre de paiement exécuté conformément à l’identifiant unique fourni par l’utilisateur du service de paiement est réputé dûment exécuté pour ce qui concerne le bénéficiaire désigné par l’identifiant unique » (article L. 133-21). Pour la Cour de cassation, ce régime écarte la responsabilité de droit commun de la banque (Com., 10 septembre 2025, n° 24-15.485 ; Com., 9 septembre 2026, n° 25-15.225, publié au Bulletin). Dans les 9 arrêts d’appel qui appliquent ce texte, la banque n’est jamais condamnée à tout rembourser.
Fraude au président : la banque paie rarement tout
Un faux dirigeant, parfois un faux avocat ou un faux expert-comptable, obtient d’un salarié un ou plusieurs virements urgents et confidentiels. Notre corpus compte 40 arrêts d’appel et 11 arrêts de la Cour de cassation sur ce scénario. L’entreprise garde toute la perte dans 24 arrêts d’appel sur 40.
Les juges examinent d’abord les pouvoirs du salarié. Dans l’un des arrêts du 19 novembre 2025, la secrétaire comptable avait été habilitée « par convention, à compter du 28 janvier 2020, à créer des bénéficiaires nationaux et internationaux et à réaliser des virements externes sans limite de montant ». La banque n’avait donc pas à vérifier auprès du dirigeant, et la cour d’appel qui l’avait condamnée est censurée (Com., 19 novembre 2025, n° 24-19.776, publié au Bulletin).
Quand les ordres sortent nettement de l’ordinaire, la banque partage la perte. Sept ordres en moins de deux semaines, 2,12 millions d’euros au total, vers une société de Hong Kong, alors que l’entreprise n’avait presque jamais viré plus de 100 000 euros : la banque aurait dû vérifier auprès du dirigeant supposé (Com., 2 octobre 2024, n° 23-13.282, publié au Bulletin). La cour d’appel avait mis la moitié de la perte à sa charge (CA Douai, 12 janvier 2023, RG 21/00022). D’autres cours retiennent d’autres proportions : 80 % pour une banque qui avait elle-même annoté « signature non trouvée » ou « non conforme » sur les faux ordres (CA Paris, 22 novembre 2023, RG 22/04074), 60 % après douze virements vers un même compte belge, alors que la banque disposait d’un logiciel d’alerte (CA Grenoble, 9 novembre 2023, RG 22/03433), 20 % dans une autre affaire de faux ordres signés (CA Paris, 7 juin 2023, RG 21/13000).
Les décisions où la banque rembourse tout ont souvent un point commun : l’ordre n’avait pas été donné dans la forme prévue au contrat. Une banque a exécuté une télécopie portant une fausse signature, alors que le contrat prévoyait une clé numérique : elle « ne pouvait pas reprocher à la société une négligence grave » (Com., 8 octobre 2026, n° 25-17.510, publié au Bulletin). Une comptable pouvait saisir des virements, mais n’avait « pas pouvoir de donner des ordres » (CA Reims, 29 novembre 2022, RG 21/02257). Un autre contrat exigeait, en plus de la saisie dans le logiciel de la banque, une télécopie de confirmation signée par un dirigeant : la saisie faite par la comptable ne prouvait donc pas le consentement de la société (Com., 21 avril 2022, n° 20-18.859). Et quand l’opération n’est pas autorisée, la banque ne peut pas s’abriter derrière l’absence de contrôles internes chez son client (Com., 4 février 2026, n° 24-22.320).
La convention de banque à distance pèse donc lourd : qui est habilité, qui peut créer un bénéficiaire, avec quels plafonds, par quel canal les ordres doivent être confirmés. Dans les arrêts étudiés, une entreprise qui confie à un seul salarié tous les pouvoirs, sans plafond, a peu de chances de faire payer sa banque.
Faux RIB et faux fournisseur : la perte reste chez le payeur
Faux changement de coordonnées d’un fournisseur, facture interceptée dans une messagerie piratée, adresse électronique qui imite celle du créancier à une lettre près, IBAN falsifié sur un bon de commande : 32 arrêts d’appel portent sur un paiement détourné de cette façon. Le payeur garde toute la perte dans 18 cas (56 %). Il peut se retourner contre sa banque ou discuter avec son fournisseur, et l’un comme l’autre tournent rarement à son avantage.
Contre la banque
La banque a exécuté l’ordre selon l’IBAN fourni, et l’article L. 133-21 la protège. La cour d’appel de Bordeaux avait mis 60 % de la perte à la charge d’une banque qui avait relevé le plafond pour un nouveau bénéficiaire (CA Bordeaux, 15 février 2024, RG 21/04204). La Cour de cassation a cassé cet arrêt : la responsabilité de droit commun « n’est pas applicable en présence d’un régime de responsabilité exclusif » (Com., 10 septembre 2025, n° 24-15.485). Exception notable : la banque qui transmet elle-même à son client, sans le vérifier, un faux changement de domiciliation de l’un de ses fournisseurs doit rembourser (CA Paris, 9 novembre 2022, RG 20/17964).
La banque du bénéficiaire, qui a ouvert le compte du fraudeur, ne répond envers la victime que d’anomalies apparentes aisément décelables, car elle est elle aussi tenue à la non-ingérence (Com., 14 janvier 2026, n° 24-19.102, publié au Bulletin). Une cour d’appel a toutefois mis 70 % de la perte à la charge de l’établissement de paiement qui avait ouvert le compte frauduleux (CA Caen, 6 octobre 2022, RG 20/02016).
Contre le fournisseur
Payer l’escroc éteint-il la dette ? Le code civil prévoit que « le paiement fait de bonne foi à un créancier apparent est valable » (article 1342-3). Les cours d’appel étaient partagées. Certaines ont jugé le paiement libératoire quand rien ne devait alerter le débiteur, « le seul changement de coordonnées bancaires ne nécessitant pas d’investigations particulières du débiteur » (CA Amiens, 10 décembre 2024, RG 23/03138). D’autres ont condamné le débiteur à payer une seconde fois.
La Cour de cassation a tranché le 17 juin 2026, dans un arrêt publié au Bulletin et au Rapport : « N’est pas créancier apparent, au sens de ce texte, le tiers qui usurpe l’identité du créancier » (Com., 17 juin 2026, n° 24-13.306). Dans cette affaire, l’adresse électronique de l’escroc ne différait que d’une lettre de celle du vrai créancier. Le débiteur qui a payé l’usurpateur reste tenu envers son fournisseur.
La question reste ouverte à la marge. Deux semaines plus tard, la cour d’appel d’Amiens a jugé libératoire un paiement fait sur un RIB reçu par la messagerie habituelle du créancier et libellé à son nom (CA Amiens, 2 juillet 2026, RG 24/01113). Le même jour, la cour d’appel de Caen condamnait un débiteur à payer une seconde fois plus de 618 000 euros : « Le paiement effectué entre les mains de l’escroc n’est pas libératoire » (CA Caen, 2 juillet 2026, RG 24/02848). Une autre cour a partagé la perte par moitié entre le créancier et son client : pour elle, l’un et l’autre avaient permis la fraude (CA Grenoble, 17 septembre 2026, RG 25/00971).
Faux conseiller, hameçonnage, piratage : la banque doit prouver
Quand le fraudeur prend la main sur les accès de l’entreprise, ou obtient par téléphone la validation d’opérations qu’elle n’a pas voulues, le dossier se joue sur le terrain de l’opération non autorisée. Sur les 58 arrêts d’appel concernés, la banque rembourse tout dans 28 cas (48 %).
Le faux conseiller qui appelle depuis le numéro usurpé de la banque est le cas d’école. Une salariée d’une entreprise de transport reçoit l’appel d’un prétendu technicien de la banque, qui affiche le numéro de l’agence et connaît les opérations du matin. Elle effectue les manipulations demandées sur l’espace de paiement, et 98 000 euros partent vers l’Allemagne. La cour d’appel a pu en déduire « que la société n’avait pas commis de négligence grave dans la conservation et l’utilisation de ses données personnelles de sécurité », et la banque rembourse (Com., 12 juin 2025, n° 24-13.777, publié au Bulletin).
Les juges retiennent au contraire la négligence grave quand le piège était visible : un courriel aux fautes et aux adresses inhabituelles, ou des identifiants donnés sur simple sollicitation alors qu’« aucune usurpation d’identité ou de numéro téléphonique n’a été opérée » (CA Lyon, 23 juillet 2026, RG 23/01148).
Deux règles pèsent davantage sur les entreprises que sur les particuliers. La loi permet de déroger par contrat, avec un client professionnel, aux règles sur la négligence grave et sur la charge de la preuve (article L. 133-2). Dans une affaire jugée à Versailles, la convention imposait au client la preuve contraire, et la société ne l’a pas rapportée (CA Versailles, 24 septembre 2024, RG 21/06618). Le délai de contestation est de treize mois au plus après le débit (article L. 133-24), mais une entreprise peut convenir avec sa banque d’un autre délai. Une société qui n’avait pas signalé les opérations à sa banque dans le délai a perdu son recours (CA Bourges, 15 décembre 2022, RG 21/01352).
Ce que change la vérification du bénéficiaire
Aucune des 170 décisions n’applique encore le contrôle européen de concordance entre l’IBAN et le nom du bénéficiaire : tous les faits jugés sont antérieurs au 9 octobre 2025. La cour d’appel de Bordeaux l’a écarté pour un virement de février 2022, en relevant que « n’est pas applicable l’article 5 quater du règlement européen 2024/886 du 13 mars 2024 » (CA Bordeaux, 23 février 2026, RG 23/05381).
Ce contrôle vient du règlement (UE) 2024/886 du 13 mars 2024, qui a inséré un article 5 quater dans le règlement (UE) n° 260/2012 sur les virements en euros. Depuis le 9 octobre 2025, les banques de la zone euro doivent le proposer pour chaque virement, quel que soit le canal utilisé (paragraphes 1 et 9). Il fonctionne ainsi :
- avant que vous validiez le virement, votre banque interroge celle du bénéficiaire pour vérifier que l’IBAN et le nom saisis concordent ;
- si le nom est presque le bon, votre banque affiche le nom réellement associé à l’IBAN ;
- si les deux ne concordent pas, elle vous en informe et vous prévient que les fonds pourraient partir sur un compte qui n’appartient pas au bénéficiaire indiqué ;
- vous pouvez valider malgré l’alerte, car le contrôle ne bloque pas le virement (paragraphe 5).
Deux points concernent directement les entreprises. Pour les virements envoyés en lot, un client professionnel peut renoncer au contrôle, et y revenir à tout moment (paragraphe 6). La responsabilité suit le contrôle : la banque qui a respecté ses obligations n’est pas responsable d’un virement parti vers le mauvais bénéficiaire à cause d’un identifiant inexact, et celle qui n’a pas fourni le service doit restituer sans tarder le montant viré si ce manquement a entraîné une opération mal exécutée (paragraphe 8). Les banques doivent aussi informer leurs clients des conséquences d’une alerte ignorée sur la responsabilité de la banque et sur leur droit à remboursement (paragraphe 7).
Le dossier jugé à Amiens le 2 juillet 2026 montre à quoi ce contrôle peut servir : le RIB portait le nom du fournisseur, et l’argent est arrivé sur le compte d’un tiers. C’est exactement l’écart que la banque doit désormais signaler avant le paiement. Le contrôle aide peu, en revanche, quand le fraudeur a pris la main sur les accès de l’entreprise, puisque c’est lui qui reçoit l’alerte, ou contre la fraude au président : le salarié saisit le nom de la société du fraudeur, qui concorde en général avec l’IBAN.
En pratique, saisissez la raison sociale exacte du fournisseur, traitez une quasi-concordance ou une non-concordance comme un arrêt de la procédure jusqu’au contre-appel, et ne renoncez pas au contrôle pour vos fichiers de virements groupés sans contrôle de remplacement.
Ce que les décisions suggèrent pour une équipe finance
Les arrêts étudiés montrent ce que les juges regardent quand ils répartissent la perte. Ils suggèrent quelques réflexes pour une équipe comptable de PME :
- rappeler le fournisseur ou le dirigeant sur un numéro déjà connu (contrat, fiche fournisseur, annuaire interne, ancienne facture), jamais sur celui du courriel. Une cour l’a écrit sans détour : « il appartenait à un comptable normalement diligent, en présence d’une allégation suspecte de changement d’Iban et de paiements d’un montant aussi important, de prendre attache directement avec son cocontractant » (CA Montpellier, 18 novembre 2025, RG 25/01103) ;
- exiger deux personnes pour créer un bénéficiaire ou modifier un IBAN, et aligner la convention de banque à distance sur cette règle : habilitations, création des bénéficiaires, plafonds par opération et par jour, canal de confirmation ;
- suspendre tout paiement qui déclenche une alerte de vérification du bénéficiaire, le temps du contre-appel ;
- prévenir la banque dès la découverte de la fraude, pour donner une chance au rappel des fonds, et vérifier dans sa convention le délai de contestation, qui peut être plus court que les treize mois légaux ;
- garder les preuves (courriels, journaux de connexion, heures d’appel, captures d’écran), qui servent à montrer que l’opération n’a pas été autorisée ou que l’anomalie était visible.
Ces réflexes s’apprennent. Les comptables et les assistants de direction sont les premières cibles de ces scénarios, et les entraîner à reconnaître une fausse demande de changement de RIB ou un faux ordre du dirigeant relève de la sensibilisation à la cybersécurité. Pour la procédure de contrôle elle-même, voyez notre procédure anti-fraude au virement, et pour le mode opératoire, l’arnaque au changement de RIB.
Méthode et limites
Source : API Judilibre de la Cour de cassation (open data des décisions de justice), interrogée le 13 octobre 2026. Nous avons cherché des expressions exactes (« changement de RIB », « faux fournisseur », « fraude au président », « faux conseiller », « virement frauduleux », « ordre de virement falsifié », « spoofing », entre autres) dans les arrêts de la Cour de cassation et des cours d’appel, et des combinaisons plus larges (négligence grave, devoir de vigilance, anomalie apparente, identifiant unique, créancier apparent) dans ceux de la Cour de cassation. Sur 1 095 décisions candidates, 290 ont été lues et codées et 170 retenues. Les autres sont hors sujet (pénal, droit du travail, cartes, chèques, procédure pure) ou concernent un particulier face à sa banque, un faux placement, un détournement commis par un salarié ou un bénéficiaire dont le virement a été contre-passé. Les 133 rejets non spécialement motivés de la Cour de cassation sont exclus.
Chaque décision a été codée à la lecture : type de fraude, régime appliqué, partie qui supporte la perte, critère décisif, extrait exact. Chaque extrait a été vérifié par programme contre le texte publié. Le fichier complet est téléchargeable : fraude-virement-decisions.csv (170 lignes, séparateur point-virgule, encodage UTF-8), avec le lien de chaque décision.
Limites. Seule une petite partie des fraudes finit devant un juge, et une partie des litiges s’arrête en première instance ou par un accord : ces chiffres décrivent les seules décisions publiées. Judilibre ne diffuse pas toutes les décisions d’appel, et presque aucune décision d’appel antérieure à 2022 ne ressort de nos recherches. Un arrêt de cassation dit le droit et renvoie l’affaire devant une autre cour : nous décrivons son sens et le comptons à part. Dix-sept litiges figurent à deux niveaux (appel puis cassation), soit 153 litiges distincts. Les noms des personnes physiques sont pseudonymisés dans les décisions publiées : nous n’avons tenté aucune réidentification, et nous ne nommons pas les entreprises victimes. Le codage, fait par une seule personne, peut contenir des erreurs, et le fichier permet de les vérifier une à une.