Fraude au faux IBAN : la banque n’est pas responsable si le virement suit l’identifiant fourni (Cass. com., 1er juillet 2026, n° 25-16.014)

Cour de cassation, chambre commerciale, financière et économique, 1er juillet 2026, pourvoi n° 25-16.014

Que s’est-il passé dans cette affaire de faux vendeur ?

Les faits sont d’une banalité désarmante, et c’est précisément ce qui rend l’arrêt important : des milliers de particuliers se trouvent chaque année dans la même situation.

Le 16 décembre 2019, une cliente du Crédit agricole souhaite acheter un véhicule proposé sur un site marchand. Les prétendus vendeurs lui communiquent un IBAN. Elle adresse alors, par courriel, à son agence un ordre de virement de 10 500 euros en indiquant ce numéro d’IBAN comme compte bénéficiaire. La banque exécute le virement. Le compte destinataire est ouvert dans les livres d’une banque en ligne (Ma French Bank).

Le véhicule ne sera jamais livré. La cliente comprend qu’elle a été victime d’une escroquerie. En examinant l’ordre de paiement édité par sa banque sur ses instructions, elle constate un détail troublant : le nom des vendeurs qui figure sur cet ordre ne correspond pas à celui du titulaire du compte désigné par l’IBAN. Autrement dit, elle a demandé à payer « M. ou Mme X », mais l’argent est parti sur le compte d’un tiers dont le nom n’a rien à voir.

Elle assigne sa banque en remboursement de la somme débitée et en dommages et intérêts. Elle attrait également la banque réceptrice, mais la demande formée contre celle-ci sera rejetée et ce point n’est plus discuté devant la Cour de cassation.

Pourquoi la cour d’appel de Toulouse avait-elle donné raison à la victime ?

Par un arrêt du 1er avril 2025, la cour d’appel de Toulouse condamne le Crédit agricole à payer à sa cliente la somme de 10 500 euros « en remboursement de l’opération de paiement non autorisée ».

Le raisonnement des juges toulousains est intellectuellement séduisant. Ils partent du constat que l’ordre de virement édité par la banque mentionnait, en plus de l’IBAN, l’identité des bénéficiaires telle que la cliente l’avait indiquée. Or, l’extrait de compte produit par la banque réceptrice montrait que le compte avait été ouvert au nom d’une tout autre personne. La cour d’appel en déduit que la mention du nom du bénéficiaire sur l’ordre démontre que la cliente n’avait pas consenti au versement des fonds à destination du titulaire réel du compte.

Puis vient l’étape décisive : puisque le consentement à une opération de paiement suppose un accord sur le montant et sur le bénéficiaire, et que la cliente n’avait pas consenti à ce bénéficiaire-là, l’ordre de paiement devait être considéré comme non autorisé. Et l’article L. 133-18 du code monétaire et financier impose à la banque de rembourser sans délai toute opération non autorisée.

Cette lecture avait un mérite évident : elle prenait au sérieux le fait que le consentement du payeur porte sur une personne, pas seulement sur une suite de chiffres. Elle rejoignait une tendance de certaines juridictions du fond, plus protectrices des victimes, que nous avions relevée par exemple à propos de la cour d’appel de Pau et de l’anomalie du RIB.

Que décide la Cour de cassation le 1er juillet 2026 ?

La chambre commerciale casse l’arrêt toulousain, au visa des articles L. 133-18 et L. 133-21 du code monétaire et financier.

Elle commence par écarter une objection procédurale : la cliente soutenait que le moyen de la banque était nouveau devant la Cour de cassation. La Cour répond que ce moyen « ne se réfère à aucune considération de fait qui ne résulterait pas des énonciations des juges du fond » et qu’il est « de pur droit » ; il est donc recevable. Ce point mérite d’être noté : une banque qui n’aurait pas invoqué l’article L. 133-21 en appel peut encore le faire utilement devant la Cour de cassation.

Sur le fond, la Cour rappelle le contenu des deux textes. Selon le premier (L. 133-18), en cas d’opération de paiement non autorisée, le prestataire rembourse au payeur le montant de l’opération sans délai. Selon le second (L. 133-21), qui transpose l’article 88 de la directive (UE) 2015/2366 intitulé « identifiants uniques inexacts », « un ordre de paiement exécuté conformément à l’identifiant unique fourni par l’utilisateur du service de paiement est réputé dûment exécuté pour ce qui concerne le bénéficiaire désigné par l’identifiant unique. Si l’identifiant unique fourni par l’utilisateur du service de paiement est inexact, le prestataire de services de paiement n’est pas responsable de la mauvaise exécution ou de la non-exécution de l’opération de paiement ».

Elle s’appuie ensuite explicitement sur la jurisprudence européenne : dans l’arrêt Tecnoservice du 21 mars 2019 (C-245/18), la Cour de justice de l’Union européenne a dit pour droit que lorsqu’un ordre de paiement est exécuté conformément à l’identifiant unique fourni par l’utilisateur, « lequel ne correspond pas au nom du bénéficiaire indiqué par ce même utilisateur », la limitation de responsabilité du prestataire est applicable.

La conclusion tombe alors comme un couperet. En jugeant l’opération non autorisée au motif que la cliente n’avait pas consenti au bénéficiaire réel, « alors qu’elle constatait que l’opération de paiement avait été exécutée conformément à l’identifiant unique fourni par Mme [A], la cour d’appel a violé, par fausse application le premier et refus d’application le second, les textes susvisés ».

L’arrêt est cassé, sauf en ce qu’il rejette la demande formée contre la banque réceptrice, et l’affaire est renvoyée devant la cour d’appel de Bordeaux. La victime est condamnée aux dépens.

Que dit exactement l’article L. 133-21 du code monétaire et financier ?

Pour comprendre la portée de l’arrêt, il faut revenir à la logique de ce texte, qui est l’un des plus favorables aux banques de tout le droit des services de paiement.

Le mécanisme est le suivant. Le prestataire de services de paiement s’engage à acheminer les fonds vers le compte désigné par l’identifiant unique. S’il le fait, l’opération est « réputée dûment exécutée pour ce qui concerne le bénéficiaire désigné par l’identifiant unique ». Le législateur européen a fait le choix d’un critère purement technique : la banque n’a pas à vérifier que le nom saisi par le client correspond au titulaire du compte. Si l’identifiant fourni est inexact, c’est-à-dire s’il ne désigne pas le compte que le payeur croyait viser, le prestataire est exonéré.

Ce texte a été pensé, à l’origine, pour l’hypothèse d’une simple erreur de saisie : le client qui se trompe d’un chiffre et vire les fonds sur le compte d’un inconnu ne peut pas reprocher à sa banque d’avoir exécuté l’ordre tel quel. L’article L. 133-21 prévoit d’ailleurs que le prestataire doit alors « s’efforcer » de récupérer les fonds, ce qui correspond à la procédure de recall, sans obligation de résultat.

Le problème est que ce texte a été étendu, par la CJUE puis par la Cour de cassation, à une hypothèse très différente : celle où l’IBAN n’est pas erroné par inadvertance, mais a été fourni par un escroc. Dans ce cas, l’identifiant n’est pas « inexact » au sens d’une faute de frappe ; il est parfaitement exact au regard du compte de l’escroc. C’est le nom du bénéficiaire annoncé qui est faux. Et pourtant, la solution est la même : la banque est déchargée.

Pourquoi l’opération n’est-elle pas « non autorisée » alors que la victime ne voulait pas payer l’escroc ?

C’est la question centrale de l’arrêt, et celle sur laquelle la Cour de cassation ferme la porte que la cour d’appel de Toulouse avait entrouverte.

Le droit des services de paiement distingue deux familles d’incidents. D’un côté, les opérations non autorisées : le payeur n’a pas consenti à l’opération, ou a consenti sous l’effet d’une manipulation qui vicie son consentement à l’opération elle-même (faux conseiller qui fait valider un virement, codes dérobés, etc.). De l’autre, les opérations mal exécutées : le payeur a bien ordonné l’opération, mais elle n’est pas arrivée là où elle devait arriver, ou pas dans les conditions prévues.

La substitution d’IBAN se situe, dans l’analyse de la Cour de cassation, dans la seconde catégorie, voire dans une sous-catégorie encore plus défavorable : l’opération a été exécutée conformément à l’identifiant unique fourni, donc elle est « réputée dûment exécutée ». Il n’y a ni opération non autorisée (le client a lui-même ordonné le virement, en indiquant le montant et l’IBAN), ni mauvaise exécution (les fonds sont arrivés sur le compte désigné par l’IBAN).

La cour d’appel de Toulouse avait tenté de sortir de ce schéma en raisonnant sur le consentement au bénéficiaire. La Cour de cassation répond, en substance, que le bénéficiaire, au sens du droit des paiements, est celui « désigné par l’identifiant unique », et non celui dont le nom a été inscrit en toutes lettres. Dès lors que le client a fourni l’IBAN et que la banque l’a suivi, le consentement porte sur cet IBAN. Le nom n’est qu’une mention accessoire, non traitée par les systèmes.

Cette lecture est cohérente avec ce que la chambre commerciale avait déjà jugé le 17 juin 2026 sur un autre versant du problème : la victime d’une substitution d’IBAN n’est pas libérée de sa dette envers son véritable créancier, parce que l’escroc n’est pas un « créancier apparent » au sens de l’article 1342-3 du code civil. Nous l’avions commenté ici : payer un faux RIB n’est pas libératoire. Mis bout à bout, ces deux arrêts placent la victime dans une situation extrêmement défavorable : elle doit payer deux fois, et sa banque ne lui doit rien.

Cette solution est-elle juridiquement satisfaisante ?

Le cabinet défend des victimes de fraudes bancaires. Il serait facile de se contenter de constater la sévérité de la Cour de cassation. Mais la critique doit être construite, parce que l’arrêt présente de véritables fragilités.

L’arrêt Tecnoservice était-il vraiment transposable ?

La Cour de cassation s’abrite derrière la CJUE. Or l’arrêt Tecnoservice a été rendu dans un contexte factuel bien particulier : une société avait reçu un virement sur un compte dont l’IBAN avait été fourni par le payeur, et c’était le bénéficiaire réel (non le payeur) qui invoquait la responsabilité de la banque réceptrice. La question posée à la CJUE portait sur le champ d’application de la limitation de responsabilité, tant du côté du prestataire du payeur que de celui du bénéficiaire. La CJUE a répondu que la limitation s’applique aux deux. Elle n’a jamais dit que la fraude d’un tiers, qui s’interpose pour faire modifier le nom et l’IBAN, devait être traitée comme une simple inexactitude de l’identifiant. Il y a là un glissement : de l’erreur de saisie à l’escroquerie organisée, sans que le raisonnement soit repris à nouveaux frais.

La solution respecte-t-elle l’objectif de protection de la DSP2 ?

La directive (UE) 2015/2366 a pour objectif affirmé d’assurer un niveau élevé de protection des utilisateurs de services de paiement. Lire l’article 88 comme une exonération absolue, quelle que soit la cause de l’inexactitude, revient à faire peser sur le consommateur l’intégralité du risque d’une fraude que le système de paiement, tel qu’il était conçu en 2019, ne lui permettait pas de détecter. Le consommateur ne peut pas vérifier lui-même à qui appartient un IBAN ; sa banque, elle, dispose de moyens de recoupement, et surtout la banque réceptrice connaît l’identité de son client. Le législateur européen l’a d’ailleurs reconnu en imposant, par le règlement 2024/886, le service de vérification du bénéficiaire : c’est l’aveu que la situation antérieure n’était pas satisfaisante.

Le consentement au bénéficiaire est-il vraiment sans valeur ?

L’article L. 133-6 dispose que l’opération est autorisée si le payeur a consenti « à son exécution ». La jurisprudence exige un consentement sur le montant et sur le bénéficiaire. La Cour de cassation l’a rappelé encore récemment pour les paiements par carte (Cass. com., 10 décembre 2025, n° 24-20.778). Or, ici, le payeur a consenti à payer un vendeur déterminé. Réduire le « bénéficiaire » à l’IBAN, c’est faire disparaître la dimension humaine du consentement, alors même que l’ordre de virement édité par la banque portait le nom du bénéficiaire voulu. La cour d’appel de Toulouse n’avait pas tort de considérer que ce document faisait la preuve d’une discordance entre ce que la cliente voulait et ce que la banque a fait.

Comment articuler cet arrêt avec l’arrêt du 4 mars 2026 ?

La chambre commerciale a jugé, dans un arrêt publié au Bulletin du 4 mars 2026, que la responsabilité de droit commun de la banque peut être engagée lorsqu’elle « ne se borne pas à exécuter l’ordre de paiement mais le rédige elle-même » avant de réaliser l’opération avec l’approbation du client (Cass. com., 4 mars 2026, n° 25-11.959). Dans l’affaire du 1er juillet 2026, la cliente avait adressé son ordre « par courriel » à son agence, et c’est la banque qui a « édité » l’ordre de paiement « sur ses instructions ». On était donc, factuellement, très proche de la situation de l’arrêt du 4 mars 2026. Mais ce point n’a pas été soulevé sous cet angle devant la cour d’appel, qui a préféré la voie de l’opération non autorisée, et la Cour de cassation n’avait pas à le rechercher d’office. C’est peut-être la leçon stratégique la plus importante de cet arrêt : le fondement choisi conditionne l’issue.

Quelles voies de recours restent ouvertes à la victime d’une substitution d’IBAN ?

L’arrêt ferme la voie de l’opération non autorisée. Il n’éteint pas toute action. Plusieurs leviers restent envisageables, à condition d’être invoqués dès la première instance et documentés avec précision.

La banque a-t-elle rédigé l’ordre à la place du client ?

C’est aujourd’hui le levier le plus solide. Si le client a transmis ses instructions par courriel, par téléphone ou au guichet, et que c’est un conseiller qui a saisi le virement dans le système, la banque ne s’est pas bornée à exécuter un ordre : elle l’a rédigé. Elle sort alors du régime exclusif des articles L. 133-18 à L. 133-24 et retombe sous le droit commun de la responsabilité contractuelle. Il faut donc conserver tous les échanges avec l’agence.

L’ordre présentait-il une anomalie apparente ?

Le devoir de vigilance du banquier n’existe qu’en présence d’anomalies apparentes, aisément décelables par un professionnel normalement diligent. La Cour de cassation applique ce standard avec une grande rigueur, comme le montrent ses arrêts du 4 février 2026 et du 25 mars 2026. Mais un IBAN dont le BIC désigne une banque en ligne étrangère alors que le bénéficiaire annoncé est un concessionnaire automobile français, par exemple, peut constituer une anomalie visible sur l’ordre lui-même.

La banque réceptrice a-t-elle correctement identifié son client ?

Dans l’affaire commentée, la demande contre la banque réceptrice a été rejetée, mais cela ne signifie pas que cette voie soit fermée en général. La banque qui ouvre un compte à un escroc, laisse ce compte fonctionner de façon anormale (fonds reçus puis aussitôt retirés ou transférés) ou omet les vérifications d’identité élémentaires peut engager sa responsabilité délictuelle envers la victime. Attention toutefois : les obligations de lutte contre le blanchiment ne peuvent pas servir de fondement, la Cour de cassation ayant jugé qu’elles ont pour seule finalité la lutte contre le blanchiment et le financement du terrorisme. Le terrain utile est celui des obligations issues du règlement technique RTS complétant la DSP2 (surveillance des opérations, détection des transactions inhabituelles) et du droit commun.

Comment obtenir l’identité du titulaire du compte ?

Pour agir contre l’escroc ou contre la banque réceptrice, il faut savoir qui a reçu les fonds. La victime peut demander en justice la communication de l’identité du titulaire du compte, comme nous l’avons exposé à propos d’une décision du tribunal judiciaire de Mulhouse (TJ Mulhouse, 23 février 2026, n° 24/00323).

Comment réagir dans les premières heures ?

Dès la découverte de la fraude, il faut demander à sa banque le déclenchement d’un recall, contester l’opération par écrit et déposer plainte. Les mots employés comptent : il ne faut pas laisser croire que l’on a « autorisé » une opération que l’on conteste, ni reconnaître une négligence. Nous avons détaillé ces précautions dans notre guide Fraude bancaire : que dire et ne pas dire à sa banque et dans sa plainte.

Que change le service de vérification du bénéficiaire depuis le 9 octobre 2025 ?

L’affaire commentée concerne un virement de décembre 2019. Pour les virements ordonnés à compter du 9 octobre 2025, le cadre juridique a profondément changé.

Cette obligation renverse la logique de l’article L. 133-21. Le règlement prévoit expressément que le prestataire qui n’a pas correctement exécuté cette vérification, et dont le client subit de ce fait un préjudice, doit l’indemniser. Autrement dit, la discordance entre le nom et l’IBAN, que la Cour de cassation juge aujourd’hui sans effet pour les virements anciens, devient précisément ce que la banque doit détecter. Nous avions présenté ce mécanisme dans notre article sur l’obligation de vérifier l’IBAN, et la DSP3 et le règlement sur les services de paiement vont encore renforcer cette approche.

Deux conséquences pratiques en découlent. Pour les virements postérieurs au 9 octobre 2025, la victime d’une substitution d’IBAN doit vérifier si le service de vérification a été proposé, s’il a fonctionné et si un avertissement de discordance a été affiché. Si la banque n’a pas mis en place le service ou si celui-ci a défailli, le terrain de responsabilité est tout autre que celui de l’arrêt commenté. Si, en revanche, le client a passé outre un avertissement clair de discordance, sa situation sera difficile.

Par ailleurs, la loi n° 2025-1058 du 6 novembre 2025 visant à renforcer la lutte contre la fraude bancaire a créé un fichier national des comptes signalés pour risques de fraude, opérationnel depuis le 7 mai 2026. L’objectif est qu’un IBAN utilisé par un escroc ne puisse plus faire plusieurs victimes successives. Là encore, l’inscription d’un compte dans ce fichier avant le virement litigieux pourra être un élément déterminant.

Conclusion : que faire si vous avez viré de l’argent sur un faux IBAN ?

L’arrêt du 1er juillet 2026 n’est pas publié au Bulletin, mais il est parfaitement clair et s’inscrit dans une ligne jurisprudentielle constante : pour un virement exécuté conformément à l’IBAN fourni, la banque du payeur n’est pas responsable, et l’argument du « bénéficiaire auquel je n’avais pas consenti » ne suffit pas à transformer l’opération en opération non autorisée. Cette solution est, selon nous, trop mécanique. Elle transpose à l’escroquerie organisée un texte pensé pour l’erreur de saisie, et elle vide de sa substance le consentement au bénéficiaire.

Mais elle ne signifie pas que la victime est sans recours. Le choix du fondement est décisif : rédaction de l’ordre par la banque, anomalie apparente sur l’ordre lui-même, responsabilité de la banque réceptrice, et, pour les virements récents, service de vérification du bénéficiaire. Chacune de ces voies suppose une analyse précise des échanges avec la banque, de l’ordre de virement, de l’IBAN et de la chronologie des faits.

Si vous avez été victime d’une fraude au faux RIB, ne vous contentez pas de la réponse standard de votre banque. Faites analyser votre dossier avant d’écrire quoi que ce soit qui pourrait vous être opposé, et agissez vite : le recall n’a de chances d’aboutir que dans les premières heures.

FAQ — Fraude à l’IBAN et responsabilité de la banque