Fraude au faux RIB : quand la banque peut être responsable du virement

Lorsqu’un escroc substitue son IBAN à celui du véritable bénéficiaire, la banque peut en principe opposer l’article L. 133-21 du Code monétaire et financier si elle a simplement exécuté l’ordre conformément à l’identifiant fourni par son client. La Cour de cassation précise toutefois une limite importante : cette protection ne joue pas de la même manière lorsque la banque a elle-même rédigé l’ordre de virement avant de le soumettre à l’approbation du client.

Présentation de l’arrêt

Cass. com., 4 mars 2026, n° 25-11.959, arrêt n° 102 F-B, publié au Bulletin.

La chambre commerciale, financière et économique rejette le pourvoi formé par BNP Paribas contre l’arrêt de la cour d’appel d’Amiens du 19 décembre 2024. Elle confirme la condamnation de la banque à indemniser ses clients à hauteur de 60 343,69 euros, montant du virement détourné, sur le fondement de la responsabilité contractuelle de droit commun.

Une fraude au RIB dans le cadre d’une acquisition immobilière

Des particuliers préparaient l’acquisition d’un appartement, financée pour partie par un prêt bancaire. Dans les jours précédant la signature de l’acte authentique, ils avaient reçu plusieurs relevés d’identité bancaire présentés comme émanant des études notariales intervenant à l’opération.

Le dernier RIB leur avait en réalité été adressé depuis une adresse électronique frauduleuse. Il présentait le compte comme lié à la Caisse des dépôts et consignations, alors que le code banque et le BIC renvoyaient à Treezor.

À la demande de la banque, les acquéreurs lui ont transmis le décompte des sommes à verser ainsi que ce RIB. La banque a alors préparé un ordre de virement de 60 343,69 euros reprenant les références du compte, puis l’a envoyé aux clients afin qu’ils le signent. Après retour de l’ordre signé, les fonds ont été versés sur un compte dont le bénéficiaire est demeuré inconnu.

Les clients ont recherché la responsabilité de la banque pour manquement à son devoir de vigilance. Les juges du fond ont retenu que les incohérences du RIB étaient apparentes et qu’un professionnel normalement diligent devait identifier le document comme un « faux grossier ».

La banque peut-elle invoquer l’article L. 133-21 lorsqu’elle a préparé l’ordre ?

L’article L. 133-21 du Code monétaire et financier pose une règle particulièrement favorable au prestataire de services de paiement : lorsque l’ordre est exécuté conformément à l’identifiant unique fourni par l’utilisateur, il est réputé dûment exécuté pour ce qui concerne le bénéficiaire désigné par cet identifiant. Si l’identifiant fourni est inexact, le prestataire n’est en principe pas responsable de la mauvaise exécution qui en résulte.

Cette règle explique la difficulté rencontrée par les victimes de fraudes au faux RIB. Lorsque l’escroc modifie un RIB avant que le client ne le transmette à sa banque et que celle-ci exécute ensuite le virement conformément à l’IBAN reçu, le droit commun de la responsabilité ne permet pas de réintroduire une obligation générale de contrôle de concordance entre le nom du bénéficiaire et l’IBAN.

La Cour de justice de l’Union européenne a jugé que la limitation de responsabilité attachée à l’identifiant unique bénéficie au prestataire du payeur comme à celui du bénéficiaire (CJUE, 21 mars 2019, Tecnoservice, aff. C-245/18). La Cour de cassation a ensuite affirmé l’exclusivité du régime des services de paiement pour les opérations non autorisées ou mal exécutées (Cass. com., 27 mars 2024, n° 22-21.200), puis précisé que l’article L. 133-21 exclut la responsabilité contractuelle de droit commun lorsque la banque s’est bornée à exécuter un virement conformément à l’identifiant fourni par son client (Cass. com., 15 janvier 2025, n° 23-15.437).

La solution : la rédaction de l’ordre constitue une intervention distincte

L’arrêt du 4 mars 2026 ne revient pas sur cette jurisprudence. Il en précise le périmètre.

La Cour rappelle d’abord l’exigence issue du droit de l’Union : le régime harmonisé applicable aux opérations de paiement ne peut être concurrencé par un régime national de responsabilité qui porterait atteinte à ses objectifs et à son effet utile. L’article 1231-1 du Code civil demeure donc écarté lorsque la faute reprochée à la banque tient à l’exécution d’un ordre conformément à l’identifiant unique fourni par l’utilisateur.

Mais elle ajoute que la situation est différente lorsque le prestataire de services de paiement « ne s’est pas borné à exécuter l’ordre de paiement ».

C’est précisément ce qui s’était produit. Les clients avaient transmis le RIB frauduleux, mais la banque avait ensuite établi elle-même l’ordre de paiement avant de le soumettre à leur signature. Or cet ordre reprenait des données que les juges du fond avaient considérées comme manifestement incohérentes. La faute reprochée ne se situait donc plus seulement dans l’exécution technique du virement : elle concernait une intervention de la banque dans la préparation de l’ordre.

La Cour approuve ainsi la condamnation sur le fondement du droit commun. Parce qu’elle avait rédigé l’ordre, la banque restait tenue de son devoir de vigilance à l’égard des anomalies apparentes affectant les informations qu’elle y avait reprises.

Le « faux grossier » ne suffit pas, à lui seul, à écarter l’article L. 133-21

Ce point est essentiel pour ne pas donner à l’arrêt une portée excessive.

La cour d’appel avait considéré que le caractère frauduleux et grossier du RIB permettait de placer l’opération hors du champ de l’article L. 133-21. La Cour de cassation ne consacre pas une telle exception générale. Elle ne juge pas que tout RIB manifestement suspect ferait renaître, par lui-même, le devoir de vigilance de droit commun.

Le critère déterminant retenu par l’arrêt est le rôle joué par la banque : elle ne s’est pas limitée à recevoir puis exécuter un ordre déjà formé par son client ; elle a rédigé l’ordre avant de recueillir son approbation. C’est également ainsi que la portée de la décision est présentée par la chambre commerciale : le droit commun n’est exclu que lorsque le prestataire agit en sa seule qualité d’exécutant.

La distinction avec l’arrêt du 15 janvier 2025 est donc nette. Lorsque le client fournit l’IBAN et donne directement l’ordre que la banque exécute, l’article L. 133-21 peut faire obstacle à une action fondée sur le devoir de vigilance, même si l’IBAN avait été substitué par un fraudeur avant sa transmission. Lorsque la banque participe elle-même à la formation de l’ordre et laisse subsister des anomalies apparentes dans le document qu’elle prépare, la responsabilité contractuelle de droit commun peut au contraire retrouver sa place.

Il faut encore distinguer cette hypothèse de celle dans laquelle un IBAN correct est frauduleusement remplacé après la transmission de l’ordre par le client. La Cour de cassation a jugé qu’un ordre régulier lors de sa rédaction, mais dont l’IBAN est ultérieurement modifié par un tiers à l’insu du donneur d’ordre, constitue une opération non autorisée (Cass. com., 1er juin 2023, n° 21-19.289 et n° 21-21.831).

Pour la victime, il faut reconstituer précisément la formation du virement

L’arrêt déplace donc l’attention vers le rôle concret joué par chacun avant l’exécution du paiement.

Il ne suffit pas d’établir qu’un RIB était faux ou qu’une discordance était décelable. Il faut rechercher qui a rempli l’ordre, qui a renseigné l’IBAN et le nom du bénéficiaire, quel document a été préparé par la banque, quelles informations lui avaient été transmises et à quel moment le client a donné son approbation.

Les courriels échangés avec la banque, les différentes versions des RIB, l’ordre de virement signé, les captures de l’espace bancaire et les horodatages peuvent être déterminants. Dans l’affaire jugée, les incohérences internes du dernier RIB ont produit leur effet juridique parce que la banque avait repris ces données dans un ordre qu’elle avait elle-même établi.

La portée de la décision doit néanmoins rester mesurée. Elle ne permet pas d’affirmer que toute intervention matérielle ou automatisée de la banque dans une interface de paiement équivaut nécessairement à la « rédaction » de l’ordre. Les faits étaient ici caractérisés : la banque avait préparé un ordre individualisé puis l’avait adressé aux clients pour signature. Les situations de préremplissage automatique devront être appréciées selon le rôle réellement joué par le prestataire.

L’arrêt ne signifie pas davantage qu’une victime obtiendra systématiquement le remboursement intégral dès que la banque a participé à la rédaction de l’ordre. La faute, le lien de causalité, l’étendue du préjudice et, selon les circonstances, le comportement du client restent susceptibles d’être discutés. La Cour de cassation valide ici la responsabilité retenue dans cette affaire précise.

Depuis le 9 octobre 2025, la vérification du bénéficiaire change aussi le contexte

Les faits de l’arrêt remontaient à 2020. Depuis le 9 octobre 2025, les prestataires de services de paiement situés dans la zone euro doivent proposer, avant l’autorisation d’un virement, un service de vérification du bénéficiaire permettant notamment de confronter l’IBAN et le nom indiqué par le payeur. Cette obligation résulte de l’article 5 quater du règlement (UE) n° 260/2012, dans sa rédaction issue du règlement (UE) 2024/886.

Cette évolution ne s’appliquait pas au virement litigieux et ne fonde donc pas la solution du 4 mars 2026. Elle renforce toutefois, pour les virements actuels, les contrôles effectués avant l’autorisation. Le règlement prévoit en outre un mécanisme de remboursement lorsque le prestataire du payeur méconnaît cette obligation de vérification et que ce manquement entraîne une opération mal exécutée.

L’arrêt du 4 mars 2026 conserve ainsi un intérêt propre : l’exclusivité de l’article L. 133-21 protège la banque lorsqu’elle agit comme exécutant dans le cadre défini par ce texte ; elle n’écarte pas nécessairement le droit commun lorsqu’une faute est rattachée à une intervention distincte de la banque dans la préparation de l’ordre.

À retenir

En cas de fraude au faux RIB, l’article L. 133-21 du Code monétaire et financier protège en principe la banque qui exécute le virement conformément à l’IBAN fourni par son client.

Si la banque rédige elle-même l’ordre avant de le faire approuver, sa responsabilité contractuelle de droit commun peut en revanche être recherchée.

Le caractère « grossier » du faux RIB n’est pas, à lui seul, une exception au régime spécial.

Pour apprécier un recours, il faut reconstituer précisément la formation de l’ordre, le moment de la falsification et le rôle concret joué par la banque.