Faux RIB : même de bonne foi, une victime peut être obligée de payer deux fois

Les arnaques au faux RIB peuvent désormais déboucher sur une situation particulièrement sévère pour les victimes. Dans un arrêt rendu le 17 juin 2026, la chambre commerciale de la Cour de cassation a jugé qu’un débiteur qui verse de l’argent à un escroc ayant usurpé l’identité de son créancier n’est pas libéré de sa dette. Autrement dit, même s’il a effectué le virement de bonne foi en pensant régler la bonne personne, le véritable fournisseur peut lui réclamer une seconde fois la somme due. La Cour considère que l’escroc ne peut pas être assimilé à un « créancier apparent » au sens de l’article 1342-3 du code civil.

L’affaire concernait une fraude désormais classique. Une société devait régler une facture de plus de 100 000 euros. Un courriel imitant presque parfaitement l’adresse d’un intermédiaire lui avait transmis de nouvelles coordonnées bancaires. Le paiement avait été effectué sur ce compte avant que l’entreprise ne découvre qu’il appartenait à un fraudeur. La cour d’appel avait initialement estimé que le débiteur pouvait être considéré comme libéré puisqu’il avait légitimement cru payer son véritable créancier. La Cour de cassation a censuré ce raisonnement : la victime savait qui était son créancier mais s’est trompée sur les coordonnées bancaires permettant de le payer. La dette reste donc exigible.

Une protection limitée lorsqu’on saisit soi-même le faux IBAN

La question suivante concerne alors la banque. Peut-elle être contrainte de rembourser le premier virement ? Là encore, la jurisprudence récente est peu favorable lorsque le client a lui-même saisi ou transmis le faux IBAN. Le 1er juillet 2026, la Cour de cassation a rappelé qu’un ordre exécuté conformément à l’identifiant bancaire fourni par le client est en principe considéré comme correctement exécuté. Le fait que le nom du bénéficiaire réel ne corresponde pas à celui que le client pensait payer ne suffit donc pas nécessairement à engager la responsabilité de sa banque.

Un nouvel arrêt du 9 septembre 2026 a toutefois apporté une nuance importante. Dans une affaire impliquant plusieurs virements frauduleux, la Cour a distingué les opérations selon la manière dont l’ordre avait été transmis et les preuves conservées par l’établissement bancaire. Lorsqu’un client a lui-même communiqué à sa banque le faux RIB reçu par courriel, sa marge de recours peut être réduite. En revanche, la banque doit pouvoir démontrer que l’opération contestée a effectivement été autorisée, notamment en produisant les éléments permettant d’identifier l’ordre de paiement. L’arrêt ne garantit donc pas le remboursement, mais rappelle que les établissements bancaires conservent des obligations de preuve.

Entre le client, le fournisseur et la banque, qui supporte réellement la perte ?

Dans la configuration la plus défavorable, c’est donc le client qui supporte provisoirement toute la perte. Le fournisseur véritable n’a jamais reçu son argent et conserve sa créance. La banque du client peut considérer qu’elle a correctement exécuté l’ordre si elle a transféré les fonds vers l’IBAN fourni. Quant à l’auteur de la fraude, juridiquement responsable, il reste souvent difficile à identifier et les fonds peuvent avoir été transférés vers d’autres comptes quelques heures seulement après leur réception. C’est ce qui rend ces escroqueries particulièrement redoutables : le payeur peut perdre la première somme tout en restant obligé de régler la facture initiale.

La responsabilité peut néanmoins se déplacer lorsque des fautes précises sont démontrées. Une entreprise dont la messagerie a été compromise, une banque qui n’aurait pas respecté certaines obligations ou l’établissement ayant accueilli le compte frauduleux peuvent être recherchés selon les circonstances. Ces recours nécessitent toutefois d’établir une faute, un lien avec le préjudice et, dans certains dossiers, de déterminer exactement comment les coordonnées bancaires ont été substituées. Les contentieux se jouent donc souvent sur la chronologie des courriels, les alertes disponibles, les modalités de validation du virement et la rapidité avec laquelle les banques ont été informées.

Le faux changement de RIB devient un risque majeur pour les entreprises

Le mode opératoire est généralement très simple. Les fraudeurs piratent ou imitent l’adresse électronique d’un fournisseur, récupèrent une facture authentique, remplacent l’IBAN et attendent qu’un paiement important soit prévu. Le message frauduleux arrive alors au moment le plus crédible possible, parfois au milieu d’une véritable conversation entre le client et son prestataire. Les entreprises sont particulièrement exposées lorsque les virements portent sur plusieurs dizaines ou centaines de milliers d’euros.

La jurisprudence de 2026 renforce donc l’intérêt des procédures de vérification avant chaque changement de coordonnées bancaires. Un appel au fournisseur sur un numéro déjà connu, et non celui indiqué dans le courriel reçu, permet notamment de confirmer un nouvel IBAN avant tout paiement important. Une fois le virement exécuté, les possibilités de récupération dépendent fortement de la rapidité de réaction. Pour les victimes, l’enjeu n’est plus seulement d’identifier l’escroc : il faut aussi déterminer qui, du client, des banques ou éventuellement de l’entreprise dont la messagerie a été compromise, devra finalement supporter la perte.