Avertissement liminaire: les #CONSEILS/#FAQ ci-après énoncés sont fondés sur les enseignements de la jurisprudence s'y rapportant et n'ont qu'une portée générique/pédagogique; ils ne constituent pas une consultation juridique individualisée et ne sauraient se substituer à l'avis d'un avocat saisi de votre situation particulière.
Par l’arrêt du 17 juin 2026, la chambre commerciale de la Cour de cassation a solennellement posé que le tiers qui usurpe l’identité du créancier ne peut être qualifié de créancier apparent au sens de l’article 1342-3 du code civil, et que le paiement effectué de bonne foi sur un relevé d’identité bancaire (RIB) frauduleusement substitué à celui du véritable créancier n’est pas libératoire. Il en résulte une conséquence d’une extrême sévérité pour le débiteur : celui qui a payé l’escroc doit payer une seconde fois le vrai créancier. Cette solution, qui reprend l’adage « qui paie mal, paie deux fois », consacre désormais en termes de principe la nécessité d’une vigilance active de tout débiteur avant d’exécuter un virement.
I. COMPRENDRE LA PORTÉE DE LA DÉCISION POUR MESURER L’ÉTENDUE DE SON EXPOSITION
A. LE PRINCIPE « QUI PAIE MAL, PAIE DEUX FOIS » S’APPLIQUE PLEINEMENT EN CAS DE FRAUDE AU RIB
La première recommandation que l’on peut adresser à tout débiteur est de ne pas sous-estimer la rigueur de la solution consacrée. La Cour de cassation a clairement refusé d’étendre la protection de l’article 1342-3 du code civil à la situation du débiteur qui connaissait parfaitement l’identité de son créancier mais a commis une erreur sur les seules coordonnées bancaires destinataires du virement. La distinction est capitale : la théorie de l’apparence protège celui qui s’est trompé sur la personne même de son créancier — tel l’héritier apparent ou le cessionnaire d’une créance ultérieurement annulée — mais elle ne saurait venir au secours de celui dont l’erreur ne porte que sur les attributs techniques du paiement. En d’autres termes, le débiteur qui sait qu’il doit payer la société X mais vire les fonds sur le compte de l’escroc Y — qui avait usurpé l’identité de X — a mal payé, et devra payer à nouveau. Cette réalité doit conduire chaque débiteur à intégrer la question de la sécurité du paiement au cœur de sa gestion contractuelle, et non à la périphérie.
B. LA BONNE FOI NE SUFFIT PAS À LIBÉRER LE DÉBITEUR
Il est tentant de croire que la bonne foi, unanimement reconnue aux victimes de la fraude au virement, constitue un bouclier suffisant. L’arrêt du 17 juin 2026 dissipe cette illusion. La bonne foi est certes une condition nécessaire à l’application de l’article 1342-3 du code civil, mais elle n’en est pas une condition suffisante. La Cour de cassation le dit expressément : si la bonne foi du débiteur ne saurait être mise en cause, elle ne le libère pas pour autant de sa dette dès lors que son erreur ne porte pas sur l’identité du titulaire du droit de créance. Le débiteur qui s’est fié sans vérification aux coordonnées bancaires transmises par voie électronique ne peut invoquer sa crédulité pour s’exonérer : il assume le risque de son inaction. Cette exigence est d’autant plus compréhensible que les fraudes au virement — 183 millions d’euros de pertes en 2024, en hausse de 12 % selon l’Observatoire de la sécurité des moyens de paiement de la Banque de France — sont désormais connues de tous les acteurs économiques, de sorte qu’une ignorance totale de ce phénomène ne peut plus être plaidée de bonne foi.
C. L’INTERMÉDIAIRE NE GARANTIT PAS LA VALIDITÉ DES INFORMATIONS QU’IL TRANSMET
L’affaire ayant donné lieu à l’arrêt du 17 juin 2026 illustre un cas fréquent dans les relations commerciales triangulaires : le paiement avait transité par un intermédiaire, la société Eazybunker, qui avait elle-même été trompée par le courriel frauduleux et avait retransmis à Sea Fleurs les coordonnées bancaires falsifiées sans en vérifier l’authenticité. La Cour de cassation renvoie l’affaire devant la cour d’appel de Lyon, notamment pour qu’il soit statué sur la responsabilité de cet intermédiaire — ce qui suggère que sa faute de négligence dans la vérification de l’adresse expéditrice est susceptible d’être retenue. Pour le débiteur, cela signifie qu’il ne saurait se décharger de toute responsabilité en se reposant sur la chaîne de transmission : la vérification des coordonnées bancaires lui incombe en dernier ressort. Quand bien même un intermédiaire ou un mandataire lui aurait communiqué un RIB erroné, c’est in fine le débiteur qui supportera les conséquences d’un paiement non libératoire si sa propre vigilance a fait défaut.
II. METTRE EN PLACE DES PROCÉDURES DE VÉRIFICATION AVANT TOUT VIREMENT
A. NE JAMAIS EXÉCUTER UN VIREMENT SUR LA SEULE FOI D’UN RIB REÇU PAR COURRIER ÉLECTRONIQUE
La première et la plus fondamentale des précautions consiste à ne jamais considérer un relevé d’identité bancaire reçu par voie électronique comme fiable par principe, même lorsqu’il est accompagné d’une facture dont l’authenticité paraît manifeste, même lorsqu’il parvient depuis une adresse électronique qui ressemble à celle du créancier, et même lorsque le courriel est rédigé dans un style professionnel exempt de fautes d’orthographe. L’analyse de la jurisprudence compilée dans le rapport Tréfigny enseigne que les escrocs ont précisément raffiné leurs techniques au point de produire des courriels parfaitement anodins, émis depuis des adresses quasi-identiques à celles du créancier réel — une lettre supplémentaire, un domaine légèrement différent — et accompagnés de pièces jointes contenant des informations précises, non publiques, propres à la relation contractuelle. La sophistication de la fraude n’exonère pas le débiteur, mais elle impose que la procédure de vérification ne s’arrête pas à l’examen des seuls documents transmis.
B. SYSTÉMATISER LA CONFIRMATION TÉLÉPHONIQUE SUR UN NUMÉRO PRÉALABLEMENT RÉPERTORIÉ
Le moyen de vérification le plus sûr, régulièrement mis en avant par les juridictions du fond et par l’avocat général Lecaroz, consiste à rappeler le créancier — ou son représentant habilité — sur un numéro de téléphone préalablement connu, figurant dans les contrats ou dans les échanges antérieurs à la fraude. Ce rappel doit impérativement être effectué sur un numéro dont la source est indépendante du courriel reçu : le numéro figurant dans la signature électronique du message suspect peut lui-même avoir été falsifié. La vérification téléphonique est d’autant plus nécessaire que le courriel communiquant le nouveau RIB intervient dans un contexte commercial habituel, avec des termes usuels, et qu’aucun signe extérieur ne trahit a priori la fraude. Le tribunal judiciaire d’Aix-en-Provence, dans un jugement du 7 août 2025, a retenu la responsabilité du notaire qui avait communiqué son propre RIB par pièce jointe sans attirer la vigilance de ses clients sur les risques de falsification et sans leur demander une confirmation téléphonique — ce qui illustre que cette précaution est désormais érigée en standard attendu.
C. UTILISER LE SERVICE DE VÉRIFICATION DU BÉNÉFICIAIRE (VOP) DEPUIS OCTOBRE 2025
Le règlement UE 2024/886 du 13 mars 2024, modifiant le règlement SEPA, a introduit un service de Vérification du Bénéficiaire (Verification of Payee — VoP) applicable depuis le 9 octobre 2025 pour tous les prestataires de services de paiement établis dans la zone euro. Ce service permet à l’auteur du virement de vérifier, avant d’en valider l’exécution, que la concordance entre le nom du bénéficiaire renseigné et les coordonnées de l’IBAN destinataire est effective. L’avocat général Lecaroz le souligne dans son avis : la généralisation de ce dispositif est susceptible de réduire sensiblement le risque de fraude au détournement d’IBAN. Pour le débiteur, l’utilisation systématique de ce service constitue désormais non seulement une bonne pratique mais une précaution dont l’omission pourrait lui être opposée en cas de litige. La question de savoir si un juge considérera que l’absence de recours au VoP caractérise un défaut de la vigilance normalement attendue est une évolution à surveiller attentivement. En tout état de cause, il est vivement conseillé de ne valider aucun virement avant que le service VoP ait confirmé la concordance bénéficiaire/IBAN.
D. METTRE EN PLACE DES PROCÉDURES INTERNES DE DOUBLE VALIDATION POUR LES ORDRES DE PAIEMENT INHABITUELS
Dans un contexte professionnel, toute demande de changement de coordonnées bancaires — qu’elle émane du créancier lui-même ou de son intermédiaire — doit déclencher une procédure de double validation impliquant au moins deux personnes distinctes au sein de l’organisation. Cette recommandation s’impose tout particulièrement lorsque la demande de modification de RIB parvient sans préavis, au détour d’un échange commercial ordinaire, dans un délai court avant l’échéance du paiement. La jurisprudence révèle que les escrocs opèrent précisément dans ce créneau temporel, profitant de l’urgence ressentie par le débiteur pour court-circuiter ses procédures habituelles. Il convient également de formaliser une règle interdisant à un seul collaborateur d’autoriser unilatéralement un changement de coordonnées bancaires, et d’instituer une traçabilité écrite de toute modification de RIB dans les fichiers fournisseurs.
III. IDENTIFIER LES SIGNAUX D’ALERTE ET LES CIRCONSTANCES AGGRAVANTES
A. LES ANOMALIES DE L’ADRESSE ÉLECTRONIQUE EXPÉDITRICE
La jurisprudence est constante sur ce point : la présence d’une anomalie dans l’adresse électronique de l’expéditeur — fût-ce une seule lettre supplémentaire, un changement de domaine de premier niveau ou l’insertion d’un sous-domaine atypique — constitue un indice objectif de fraude qui, s’il avait été décelé, aurait dû conduire le débiteur à ne pas procéder au virement. La cour d’appel de Paris, dans un arrêt du 21 décembre 2023, a refusé de reconnaître le caractère libératoire du paiement en présence d’anomalies qui auraient dû attirer l’attention du débiteur sur la provenance douteuse du courriel et des pièces jointes. Le rapport Tréfigny compile plusieurs décisions où l’escroc avait utilisé une adresse comportant le terme « via » ou une orthographe légèrement différente de la société créancière, ce qui constituait, selon les juges du fond, une anomalie apparente que le débiteur normalement diligent aurait dû déceler. Il est donc impératif, avant tout virement, de vérifier l’adresse électronique complète de l’expéditeur — et non le seul nom d’affichage —, notamment dans le cas d’un premier changement de coordonnées bancaires.
B. LA DEMANDE DE CHANGEMENT DE RIB NON PRÉCÉDÉE D’UNE RELATION DIRECTE AVEC LE CRÉANCIER
L’affaire Sea Fleurs présente une circonstance particulièrement révélatrice : la société débitrice n’avait jamais eu de contact direct avec Petrogarde, son vrai créancier, toute la relation commerciale ayant transité par l’intermédiaire Eazybunker. Cette situation de distance relationnelle aggrave le risque de fraude, car le débiteur n’est pas en mesure de distinguer, parmi les communications qu’il reçoit, celles qui émanent réellement du créancier de celles qui ont été altérées par un tiers malveillant. Dans un tel contexte triangulaire, le débiteur a tout intérêt à établir, en amont de l’exécution du paiement, un contact direct avec le bénéficiaire final pour confirmer ses coordonnées bancaires — quand bien même la relation commerciale usuelle transite par un intermédiaire. L’arrêt rappelle que cette précaution ne ressortit pas à une exigence excessive : elle correspond simplement à ce qu’un débiteur normalement prudent ferait dans les mêmes circonstances.
C. LES DEMANDES DE VIREMENT VERS DES COMPTES DOMICILIÉS À L’ÉTRANGER, NOTAMMENT HORS ZONE SEPA
Plusieurs des affaires recensées dans le rapport Tréfigny font apparaître que les escrocs utilisent des comptes bancaires localisés dans des pays tiers — parfois hors de la zone SEPA —, ce qui rend le recouvrement des fonds quasiment impossible une fois le virement exécuté. La localisation à l’étranger du compte destinataire du virement, a fortiori lorsqu’elle diffère du pays d’établissement du créancier habituel, doit constituer un signal d’alerte immédiat. Dans l’affaire en cause, les coordonnées bancaires falsifiées conduisaient à un compte dont la domiciliation était différente de celle que le créancier légitime — une société italienne — aurait normalement utilisée pour recevoir ses règlements. Ce type d’incohérence géographique doit systématiquement déclencher une vérification renforcée avant tout paiement.
IV. GÉRER LA SITUATION APRÈS LA DÉCOUVERTE DE LA FRAUDE
A. AGIR SANS DÉLAI POUR SIGNALER LA FRAUDE À SA BANQUE ET TENTER LE RAPPEL DES FONDS
Dès la découverte de la fraude, le débiteur doit impérativement contacter son établissement bancaire dans les meilleurs délais pour tenter de bloquer ou de rappeler le virement frauduleux. Si le virement n’a pas encore été crédité sur le compte de l’escroc, un ordre de rappel peut permettre de récupérer les fonds. Au-delà de ce geste d’urgence, le débiteur doit également déposer une plainte pénale pour escroquerie ou usurpation d’identité : cette démarche est non seulement utile pour les besoins de l’enquête, mais elle matérialise sa qualité de victime et peut avoir une incidence sur l’appréciation ultérieure de sa bonne foi par les juridictions civiles ou commerciales.
B. IDENTIFIER ET METTRE EN CAUSE L’INTERMÉDIAIRE DÉFAILLANT
L’un des enseignements les plus pratiques de l’arrêt du 17 juin 2026 est que la Cour de cassation a réservé la question de la responsabilité de l’intermédiaire Eazybunker, dont la cour d’appel de renvoi — Lyon — devra se prononcer. Cela signifie que la voie de la responsabilité civile de l’intermédiaire est ouverte dès lors que celui-ci a commis une faute de négligence en transmettant des documents manifestement falsifiés sans avoir procédé aux vérifications élémentaires que commandait sa qualité de professionnel. Le mandataire ou agent commercial qui, dans l’exercice de sa mission, reçoit et retransmet des documents comportant une anomalie décelable — adresse électronique suspecte, incohérence entre la dénomination sociale du créancier et le nom du titulaire du compte — et qui ne procède à aucune vérification engage sa responsabilité professionnelle à l’égard du débiteur qui a subi un préjudice du fait de cette négligence. Il convient donc de rassembler toutes les preuves documentaires de la chaîne de transmission des coordonnées bancaires falsifiées avant d’engager toute action.
C. NE PAS S’ABSTENIR DE COMMUNIQUER AVEC LE VRAI CRÉANCIER
Une erreur fréquemment commise par les débiteurs victimes de fraude au virement est de se murer dans le silence face aux relances du vrai créancier, en espérant que la révélation de la fraude suffira à éteindre la dette. Cette attitude est contre-productive. Le vrai créancier, qui n’a pas reçu son paiement, dispose de l’intégralité de ses droits contre le débiteur, et aucune disposition légale ne lui impose d’attendre l’issue d’une procédure pénale ou d’une action en responsabilité contre l’intermédiaire avant d’engager une action en recouvrement. Il est au contraire recommandé d’informer rapidement le créancier de la fraude, de lui communiquer toutes les pièces pertinentes et de rechercher avec lui une solution amiable — plan de paiement, délai — dans l’attente d’un éventuel recours contre l’intermédiaire fautif ou contre la banque de l’escroc.
D. CONSERVER L’INTÉGRALITÉ DE LA PREUVE NUMÉRIQUE DE LA FRAUDE
Dans le contentieux de la fraude au virement, la preuve est déterminante à double titre : elle conditionne la démonstration de la bonne foi du débiteur — condition nécessaire, bien qu’insuffisante — et elle fonde l’action en responsabilité contre les tiers éventuellement fautifs. Il convient de conserver, sans les modifier, l’ensemble des courriels reçus et envoyés, dans leur format électronique original (en-têtes techniques inclus), les relevés bancaires attestant du virement exécuté, les documents — facture, RIB — reçus avec le message frauduleux, et tout élément permettant de retracer la chronologie complète de l’opération. La production d’un constat d’huissier ou d’un constat par commissaire de justice portant sur les éléments électroniques peut s’avérer précieuse pour préserver la valeur probante de ces éléments.
V. ANTICIPER CONTRACTUELLEMENT LE RISQUE DE FRAUDE AU VIREMENT
A. INSÉRER UNE CLAUSE DE NOTIFICATION DES CHANGEMENTS DE COORDONNÉES BANCAIRES
La prévention la plus efficace reste contractuelle. Il est vivement recommandé d’insérer, dans les contrats commerciaux, une clause stipulant que toute modification des coordonnées bancaires du créancier doit être notifiée par lettre recommandée avec demande d’avis de réception, accompagnée d’un document bancaire officiel certifié par l’établissement bancaire, et ne prend effet qu’à l’expiration d’un délai de quinze ou trente jours suivant la réception de cette notification. Une telle clause aurait pour effet de rendre inopposable au débiteur tout changement de RIB notifié par la seule voie électronique, et de faire peser sur le créancier — ou sur son intermédiaire — la charge de la preuve de la notification régulière en cas de litige.
B. PRÉVOIR UNE CLAUSE DE RESPONSABILITÉ DE L’INTERMÉDIAIRE
Lorsque la relation contractuelle met en jeu un intermédiaire — courtier, agent commercial, mandataire —, le contrat conclu avec celui-ci devrait stipuler une obligation expresse de vérification de l’authenticité des coordonnées bancaires transmises, assortie d’une clause de responsabilité en cas de préjudice résultant d’un défaut de cette vérification. L’affaire Sea Fleurs illustre parfaitement le vide contractuel que peut créer l’absence d’une telle stipulation : l’intermédiaire Eazybunker n’avait apparemment souscrit aucun engagement particulier de vigilance, ce qui a rendu incertaine, en première instance et en appel, la question de sa responsabilité. Une telle clause ne supprime pas le risque de fraude, mais elle crée une ligne de recours claire pour le débiteur victime.
C. SOUSCRIRE UNE ASSURANCE COUVRANT LE RISQUE DE FRAUDE AU VIREMENT
Des produits d’assurance spécifiquement dédiés à la couverture du risque de fraude au virement — parfois commercialisés sous l’appellation « assurance fraude externe » ou « cyber-risque » — sont désormais disponibles sur le marché. Leur périmètre de garantie doit être examiné avec soin : certains excluent les cas où le débiteur n’aurait pas mis en œuvre les procédures de vérification minimales préconisées par l’assureur, ce qui rejoint l’exigence de vigilance consacrée par la Cour de cassation. La souscription d’une telle assurance ne dispense pas de la mise en place de procédures internes de vérification, mais elle constitue un filet de sécurité précieux pour les entreprises exposées à des flux de paiement importants ou réguliers envers des fournisseurs étrangers.
Armand-Ari BETTAN & Dominique KARPISEK-BETTAN | Avocats au Barreau des Hauts-de-Seine
Pas de contribution, soyez le premier