Virement frauduleux : responsabilité bancaire pour défaut de recall immédiat après suspicion de fraude – CA Bordeaux, 1re ch. civ., 23 févr. 2026, n° 23/05381

Cour d’appel de Bordeaux, 1re chambre civile, 23 février 2026, n° 23/05381

Quel est le contexte de cette affaire de virement frauduleux ?

Le 10 février 2022, la société Garage [Q] effectue un virement bancaire de 16 126 euros depuis son compte auprès de la Banque Populaire Aquitaine. Ce paiement est destiné à la société Alphabet Francefleet, auprès de laquelle le garage vient d’acheter un véhicule d’occasion le 9 février 2022. Pour réaliser cette opération, le gérant du garage renseigne l’IBAN figurant sur le bon de commande qu’il a reçu.

Cinq jours plus tard, le 15 février 2022, la société Garage [Q] est contactée par sa banque qui suspecte un virement frauduleux. Après vérification, il s’avère que l’IBAN saisi ne correspond pas à celui de la société Alphabet Francefleet. Le garage dépose plainte le jour même pour escroquerie.

L’analyse des faits révèle que le garage a été victime d’une fraude sophistiquée : des individus malveillants ont piraté son adresse mail et substitué au bon de commande authentique envoyé par Alphabet Francefleet un faux document sur lequel le RIB avait été modifié. Cette technique de fraude, appelée « man in the middle » ou « attaque de l’homme du milieu », est devenue courante dans les transactions commerciales.

La procédure de récupération des fonds se révèle décevante. Le 4 mars 2022, le garage ne récupère que 108,50 euros provenant d’un compte au nom de M. [D] [V]. Par message électronique du 4 novembre 2022, la Banque Populaire Aquitaine informe son client qu’une demande de RECALL (rappel des fonds) aurait été rejetée le 21 février 2022, bien que la banque ne produira par la suite aucune preuve documentaire de cette démarche.

Face à cette situation, le 29 juin 2022, la société Garage [Q] assigne sa banque devant le tribunal judiciaire de Bordeaux, lui reprochant un manquement à son devoir de vigilance dans l’exécution de l’ordre de virement.

Quelle décision a été rendue en première instance ?

Le tribunal judiciaire de Bordeaux, par jugement du 7 novembre 2023, retient la responsabilité de la banque. Il condamne la Banque Populaire Aquitaine à verser à la société Garage [Q] la somme de 15 857,32 euros à titre de dommages et intérêts, correspondant à la quasi-totalité du préjudice subi (déduction faite des 108,50 euros récupérés et des 160 euros de frais bancaires).

La banque est également condamnée au paiement de 1 500 euros au titre de l’article 700 du Code de procédure civile ainsi qu’aux dépens de l’instance. Contestant cette décision, l’établissement bancaire interjette appel le 29 novembre 2023.

Quelles sont les règles applicables à l’exécution d’un ordre de paiement ?

Quel est le régime de responsabilité applicable aux virements ?

La Cour d’appel rappelle d’abord le cadre juridique applicable. L’ordre de paiement litigieux ayant été réalisé le 10 février 2022, les dispositions applicables relèvent du droit antérieur aux récentes évolutions réglementaires européennes renforçant les obligations de vigilance des prestataires de services de paiement en matière de sécurité des virements.

À la date des faits, c’est l’article L. 133-21 du Code monétaire et financier qui s’applique. Ce texte instaure un régime spécial de responsabilité en matière d’opérations de paiement. La Cour souligne un principe essentiel : ce régime spécial est exclusif de toute application des règles de droit commun de la responsabilité contractuelle.

Concrètement, cela signifie que la responsabilité contractuelle résultant de l’article 1231-1 du Code civil (qui sanctionne l’inexécution d’une obligation contractuelle) ne peut pas être invoquée lorsqu’existe un régime spécial de responsabilité. Le client d’une banque victime d’un virement frauduleux ne peut donc pas librement se fonder sur le droit commun des contrats pour engager la responsabilité de son établissement bancaire.

La Cour énonce ensuite une règle importante qui découle de ce régime spécial :

« Le payeur qui a fourni à son prestataire de services de paiement un ordre de paiement erroné, que l’origine de cette erreur soit le fait du payeur ou une fraude d’un tiers, ne peut en principe agir sur le fondement d’un défaut de vigilance du prestataire de service de paiement dans la surveillance du compte pour obtenir de celui-ci une indemnisation du préjudice qu’il a subi. »

Ce principe traduit une réalité juridique essentielle : lorsqu’un client ordonne lui-même un virement vers un IBAN frauduleux (même s’il est victime d’une fraude au moment où il recueille cet IBAN), il ne peut pas, en règle générale, reprocher à sa banque d’avoir exécuté son ordre sans le vérifier. La loi fait donc peser sur le donneur d’ordre le risque de l’erreur dans la désignation du bénéficiaire.

Quelles sont les obligations de la banque lors de l’exécution d’un virement ?

La Cour d’appel de Bordeaux rappelle les obligations du banquier teneur de compte lorsqu’il reçoit un ordre de virement de son client. Ces obligations sont strictement délimitées et protègent l’autonomie du client dans la gestion de ses affaires.

Le banquier a l’obligation d’exécuter un virement que son client lui ordonne, à condition que soient remplies les conditions suivantes :

• L’ordre doit être régulier en la forme (conforme aux procédures convenues entre la banque et le client)
• Le donneur d’ordre doit avoir été identifié de manière certaine
• Le client doit avoir effectivement donné son consentement à l’opération
• Le compte doit contenir une somme disponible suffisante pour réaliser le virement

Dès lors que ces conditions sont réunies, la banque doit exécuter l’ordre sans délai. En revanche — et c’est un point essentiel —, la Cour réaffirme le principe de non-immixtion du banquier dans les affaires de son client :

« Le banquier teneur de compte, parce qu’il est tenu de ne pas s’immiscer dans les affaires de son client, n’a pas, en principe, à effectuer de recherches ou à réclamer de justifications pour s’assurer que les opérations qui lui sont demandées par son client sont régulières, non dangereuses pour lui et qu’elles ne sont pas susceptibles de nuire à un tiers. »

Cette absence d’obligation de vérification systématique repose sur le respect de l’autonomie contractuelle et sur l’impossibilité pratique pour une banque de vérifier l’opportunité économique ou la régularité de chaque opération ordonnée par ses millions de clients.

En l’espèce, la Cour constate que l’ordre de paiement du 10 février 2022 ne comportait aucune anomalie aisément décelable, ni aucun indice de falsification apparent. Le virement a été initié par la société Garage [Q] elle-même, qui a renseigné l’IBAN du bénéficiaire sur son espace bancaire en ligne, puis a validé l’opération par la saisie de sa carte bancaire et d’un code confidentiel.

Dans ces conditions, la banque ne pouvait pas légalement refuser d’exécuter l’ordre de virement. Le débat ne porte donc pas sur l’autorisation initiale de l’opération, mais sur ce qui s’est passé après, lorsque la banque a elle-même détecté une anomalie cinq jours plus tard.

Que doit faire une banque lorsqu’elle détecte une suspicion de fraude ?

C’est le cœur du litige. La société Garage [Q] ne reproche pas à sa banque d’avoir exécuté le virement le 10 février 2022 — opération que la banque devait effectivement réaliser. Elle lui reproche en revanche d’avoir identifié cinq jours plus tard, le 15 février 2022, une absence de concordance entre l’IBAN utilisé et la société Alphabet Francefleet mentionnée comme bénéficiaire, sans pour autant avoir agi efficacement pour récupérer les fonds.

Comment fonctionne la procédure de recall ?

Lorsqu’un virement s’avère frauduleux, la seule possibilité de récupérer les fonds est de lancer une procédure de « recall » ou rappel des fonds auprès de la banque bénéficiaire. Cette procédure, bien qu’informelle et non prévue par les textes, est pratiquée entre établissements bancaires dans le cadre de la coopération interbancaire.

L’efficacité de la procédure de recall repose donc sur deux conditions cumulatives :

• La rapidité de la demande : plus la procédure est engagée tôt après le virement frauduleux, plus les chances de récupérer les fonds sont élevées
• La disponibilité des fonds sur le compte bénéficiaire : si le fraudeur a déjà vidé le compte ou transféré les sommes, le recall sera nécessairement infructueux

La Cour rappelle également qu’une demande de rappel formulée tardivement après l’opération de paiement litigieuse est « illusoire ». Les fraudeurs agissent généralement très rapidement pour vider les comptes bancaires utilisés pour recevoir les virements frauduleux, transférant les fonds vers d’autres comptes souvent situés à l’étranger.

Qui supporte la charge de la preuve du recall ?

La Cour d’appel de Bordeaux tranche une question essentielle pour l’issue du litige : qui doit prouver que la procédure de recall a été effectivement et rapidement mise en œuvre ?

L’arrêt affirme clairement que la charge de la preuve de la réalisation effective de la procédure de recall appartient à la banque émettrice, détentrice des fonds et des informations bancaires. C’est un principe classique en matière de preuve : celui qui allègue un fait doit le prouver, et celui qui détient les éléments de preuve doit les produire.

Dans le cas présent, la Banque Populaire Aquitaine affirme avoir procédé à une demande de recall qui aurait reçu un retour négatif le 21 février 2022. Cependant, la Cour constate que l’établissement bancaire ne produit aucun élément pour étayer ses affirmations :

• Aucune copie de la demande de recall adressée à la banque bénéficiaire n’est versée aux débats
• Aucune réponse de la banque bénéficiaire n’est produite
• Aucune trace écrite documentant la date précise de l’envoi de la demande n’est apportée
• La banque procède uniquement par affirmation, sans justificatif

La Cour relève d’ailleurs une incohérence : la restitution partielle des fonds (108,50 euros) n’est intervenue que le 4 mars 2022, soit plus de 15 jours après la date alléguée du retour négatif (21 février 2022). Ce délai interroge sur la réalité et l’effectivité de la procédure de recall prétendument engagée.

Face à cette défaillance probatoire, la Cour en tire les conséquences juridiques qui s’imposent. Elle considère que la banque n’a pas démontré avoir agi avec la diligence requise dès le moment où elle a détecté la suspicion de fraude le 15 février 2022.

En quoi consiste l’inertie fautive de la banque ?

La Cour d’appel construit son raisonnement en deux temps. D’abord, elle réaffirme le principe selon lequel la banque n’était pas légalement tenue de procéder au blocage des fonds ou à la vérification de l’ordre de paiement le 10 février 2022. Ensuite, elle distingue cette situation de celle qui prévaut à partir du 15 février, date à laquelle la banque détecte elle-même l’anomalie.

À partir du moment où la banque informe son client par courriel du 15 février 2022 d’une « suspicion de fraude quant à l’identité de l’IBAN utilisé pour passer l’ordre de paiement », elle ne peut plus rester passive. L’arrêt énonce :

« Si la banque n’avait pas d’obligation de procéder à cette vérification, elle ne pouvait toutefois laisser cette suspicion découverte sans la traiter par une procédure de recall. »

La faute de la banque ne réside donc pas dans le fait d’avoir exécuté le virement initial (ce qu’elle devait faire), ni même dans le fait d’avoir détecté l’anomalie seulement cinq jours plus tard (ce délai de détection ne lui est pas reproché). La faute réside dans l’absence de diligence immédiate une fois la fraude suspectée.

La Cour caractérise cette faute comme une « inertie fautive » qui se manifeste par :

• L’absence de déclenchement immédiat d’une procédure de recall dès le 15 février 2022
• L’absence de preuve de toute diligence effectuée entre le 15 février et le 21 février (date alléguée du retour négatif)
• Un comportement passif alors même que la banque avait elle-même identifié le risque

Cette inertie est constitutive d’un manquement à l’obligation de vigilance. Bien que la banque ne soit pas tenue légalement de vérifier chaque ordre de paiement, dès lors qu’elle détecte elle-même une anomalie, elle doit agir pour limiter le préjudice de son client. Cette obligation découle du devoir général de loyauté et de collaboration qui caractérise la relation entre un banquier et son client.

Comment est évalué le préjudice en cas de manquement bancaire ?

La qualification juridique du préjudice subi par la société Garage [Q] constitue un enjeu majeur du litige. Le tribunal de première instance avait évalué ce préjudice à 99 % du montant du virement frauduleux, soit quasiment la totalité de la somme perdue. La Cour d’appel adopte une analyse radicalement différente.

Qu’est-ce que la perte de chance ?

La Cour qualifie le préjudice de « perte de chance » plutôt que de préjudice certain. Cette qualification juridique change tout dans l’évaluation de l’indemnisation.

Concrètement, la Cour ne considère pas que la banque a causé directement la perte des fonds. Cette perte est due à la fraude elle-même et à l’ordre de paiement erroné donné par le garage. En revanche, le manquement de la banque a privé son client de la chance de récupérer les fonds grâce à une procédure de recall rapide.

Le raisonnement de la Cour s’articule ainsi :

• Préjudice certain : la société Garage [Q] a perdu 16 017,50 euros (après déduction des 108,50 euros récupérés)
• Faute de la banque : absence de diligence immédiate pour engager un recall dès le 15 février 2022
• Lien de causalité : cette inertie a privé le garage de la possibilité d’obtenir le retour des fonds
• Qualification : il s’agit d’une perte de chance, car rien ne garantit qu’un recall immédiat aurait abouti

L’arrêt précise que cette perte de chance « apparaît en relation de causalité directe et certaine avec la privation pour la société garage [Q] de la possibilité d’obtenir le retour des fonds disponibles au jour de la requête ».

Comment est fixé le taux d’indemnisation ?

Une fois établi que le préjudice est une perte de chance, reste à en évaluer le quantum. La Cour doit apprécier quelle était la probabilité pour la société Garage [Q] de récupérer les fonds si la procédure de recall avait été engagée immédiatement le 15 février 2022.

La Cour procède à une analyse factuelle pour déterminer cette probabilité :

Elle constate d’abord que cinq jours s’étaient déjà écoulés entre l’ordre de paiement (10 février) et la détection de la fraude (15 février). Ce délai, non imputable à un comportement fautif de la banque puisqu’elle n’était pas tenue de vérifier l’ordre, réduit déjà significativement les chances de succès d’un recall.

En effet, dans le cadre d’escroqueries au virement, les fraudeurs agissent généralement avec une extrême rapidité. Les comptes bancaires qu’ils utilisent pour recevoir les fonds frauduleux sont vidés quasi immédiatement, souvent dans les 24 à 48 heures suivant la réception des fonds. Les sommes sont transférées vers d’autres comptes, parfois à l’étranger, avant d’être converties ou retirées en espèces.

La Cour en déduit qu’il existait déjà une « faible probabilité » de récupération des fonds au 15 février 2022. Toutefois, une chance, même faible, demeure une chance que la banque ne devait pas faire disparaître par son inertie.

Sur la base de cette analyse, la Cour fixe la perte de chance à 20 % du préjudice total. Ce pourcentage reflète l’appréciation souveraine des juges du fond quant à la probabilité de succès d’un recall engagé le 15 février. Il traduit le fait que les chances de récupérer les fonds étaient réelles mais limitées, compte tenu du délai déjà écoulé et de la nature même des fraudes aux virements.

Cette méthode d’évaluation est conforme à la jurisprudence constante sur la perte de chance. La Cour de cassation rappelle régulièrement que la réparation d’une perte de chance doit être mesurée à la chance perdue et ne peut être égale à l’avantage qu’aurait procuré cette chance si elle s’était réalisée. En d’autres termes, indemniser la perte de chance à 100 % reviendrait à indemniser non pas la chance perdue, mais le résultat final, ce qui est juridiquement incorrect.

En quoi la décision de première instance était-elle erronée ?

La Cour d’appel censure l’appréciation du tribunal de première instance sur deux points essentiels.

Premièrement, le tribunal avait retenu la responsabilité de la banque en invoquant une référence légale inadaptée au cas d’espèce. Cette erreur de base légale justifie à elle seule l’infirmation du jugement sur ce point.

Deuxièmement, le tribunal avait évalué le préjudice à 99 % de la perte subie, ce qui revient presque à considérer que la banque était directement responsable de la totalité du préjudice. La Cour estime cette évaluation « totalement décorrélée de la juste indemnisation de la perte de chance ».

En effet, fixer la perte de chance à 99 % revient à nier la nature même de ce préjudice. Cela suppose que la procédure de recall aurait eu une quasi-certitude de succès, ce qui est manifestement irréaliste compte tenu des éléments du dossier : délai de cinq jours déjà écoulé, nature frauduleuse de l’opération, pratiques habituelles des escrocs qui vident immédiatement les comptes.

La Cour réaffirme que « la perte de chance ne peut être qu’une fraction du préjudice ». Elle fixe cette fraction à 20 % en l’espèce, ce qui constitue une évaluation équilibrée tenant compte de la réalité des chances de succès d’un recall et du manquement effectif de la banque.

Quelle solution a été retenue par la Cour d’appel ?

Au terme de son analyse, la Cour d’appel de Bordeaux infirme partiellement le jugement de première instance. Elle retient la responsabilité de la Banque Populaire Aquitaine, mais sur un fondement juridique différent et pour un montant considérablement réduit.

Quel est le dispositif de l’arrêt ?

La Cour décide ce qui suit :

• Infirmation partielle : le jugement est infirmé uniquement sur le quantum des dommages et intérêts
• Condamnation de la banque : la Banque Populaire Aquitaine Centre Atlantique doit verser 3 203,50 euros de dommages et intérêts à la société Garage [Q]
• Frais irrépétibles : la banque doit également verser 1 500 euros complémentaires au titre de l’article 700 du Code de procédure civile (s’ajoutant aux 1 500 euros déjà alloués en première instance)
• Dépens : la banque, partie perdante, est condamnée aux dépens de première instance et d’appel

La société Garage [Q] obtient donc gain de cause sur le principe de la responsabilité bancaire, même si le montant de l’indemnisation est significativement réduit par rapport à la décision de première instance. Elle récupère au total 3 203,50 euros au titre du préjudice subi, ainsi que 3 000 euros pour ses frais d’avocat (1 500 euros en première instance + 1 500 euros en appel).

Quels sont les enseignements pratiques de cet arrêt ?

Cette décision apporte plusieurs clarifications importantes sur le régime de responsabilité bancaire en matière de virements frauduleux.

Pour les clients victimes de fraude, l’arrêt confirme qu’il est très difficile d’engager la responsabilité de sa banque lorsqu’on a soi-même, même trompé par un fraudeur, donné l’ordre de virement vers un IBAN erroné. Le régime spécial du Code monétaire et financier fait peser sur le donneur d’ordre le risque de l’erreur dans la désignation du bénéficiaire.

La seule voie de recours contre la banque réside dans la démonstration d’un manquement spécifique à ses obligations une fois la fraude détectée. Encore faut-il que la banque ait elle-même détecté l’anomalie et n’ait pas réagi avec la diligence requise.

Pour les banques, l’arrêt fixe une ligne de conduite claire : si elles détectent elles-mêmes une suspicion de fraude après l’exécution d’un virement, elles doivent immédiatement engager une procédure de recall et en conserver des preuves documentaires précises (demande écrite à la banque bénéficiaire, réponse reçue, dates exactes).

L’absence de conservation de ces éléments expose la banque à voir sa responsabilité retenue sur le fondement de la perte de chance, même si le quantum de l’indemnisation reste limité (20 % en l’espèce).

Sur la procédure de recall, l’arrêt rappelle l’importance cruciale du facteur temps. Chaque jour de retard diminue les chances de récupération des fonds. Une procédure engagée cinq jours après le virement frauduleux n’offre déjà plus qu’une faible probabilité de succès.

Les banques ont donc intérêt à mettre en place des systèmes de détection automatique des virements suspects, permettant d’alerter en temps réel sur les incohérences entre l’identité du bénéficiaire déclaré et le titulaire réel de l’IBAN. Certaines banques ont d’ores et déjà développé de tels outils dans le cadre de leur lutte contre la fraude.

Sur la charge de la preuve, l’arrêt constitue un avertissement aux banques : elles doivent documenter soigneusement leurs procédures internes. Affirmer avoir procédé à un recall sans pouvoir le prouver équivaut, aux yeux du juge, à ne pas l’avoir fait.

Quelle évolution réglementaire pour l’avenir ?

L’évolution réglementaire européenne en cours vise à renforcer les obligations de vigilance des prestataires de services de paiement en matière de sécurité des virements. Cette tendance devrait conduire les établissements bancaires à mettre en place des mécanismes de vérification automatique de la cohérence entre l’IBAN saisi et l’identité du bénéficiaire déclaré.

Plusieurs pays européens ont déjà commencé à déployer des systèmes de « confirmation of payee » (CoP) qui vérifient en temps réel la correspondance entre le nom du bénéficiaire et l’IBAN. Lorsqu’une incohérence est détectée, le client est alerté avant la validation définitive du virement.

Ces outils devraient considérablement réduire le nombre de fraudes aux virements et, corrélativement, le nombre de litiges entre clients et banques sur ce sujet. Ils déplaceront également le curseur de la responsabilité : si un système de vérification automatique signale une incohérence et que le client valide quand même l’opération, il sera plus difficile pour lui d’engager ensuite la responsabilité de sa banque.

Conclusion

L’arrêt rendu par la Cour d’appel de Bordeaux le 23 février 2026 illustre parfaitement la complexité du régime de responsabilité applicable aux virements frauduleux. Il établit une distinction essentielle entre deux moments dans la vie d’une opération de paiement litigieuse.

Au moment de l’exécution de l’ordre, la banque n’a aucune obligation de vérifier l’opportunité ou la régularité du virement ordonné par son client. Le principe de non-immixtion dans les affaires du client prévaut, et le régime spécial du Code monétaire et financier écarte toute responsabilité de la banque qui exécute un ordre régulier, autorisé et provisionné.

En revanche, dès lors que la banque détecte elle-même, après coup, une suspicion de fraude, elle doit agir avec diligence pour limiter le préjudice de son client en engageant immédiatement une procédure de recall. Son inertie à ce stade engage sa responsabilité, non pas pour la totalité du préjudice (qui résulte de la fraude elle-même), mais pour la perte de chance de récupérer les fonds.

Cette solution préserve un équilibre entre la protection des clients victimes de fraude et le respect de l’autonomie contractuelle. Elle incite les banques à la vigilance une fois qu’elles ont connaissance d’une anomalie, tout en évitant de leur imposer une obligation de surveillance générale et systématique de tous les ordres de paiement, ce qui serait techniquement impossible et économiquement irréaliste.

Pour les entreprises et particuliers, cet arrêt rappelle que la première ligne de défense contre la fraude aux virements demeure leur propre vigilance : vérification scrupuleuse des IBAN, confirmation des coordonnées bancaires par un canal différent de celui par lequel elles ont été reçues (téléphone plutôt qu’email), méfiance face aux demandes urgentes de virement.

Pour les banques, il constitue un rappel de leurs obligations une fois qu’elles ont détecté une fraude : réactivité immédiate, documentation précise des démarches entreprises, conservation des preuves. L’évolution réglementaire en cours devrait par ailleurs les conduire à généraliser les outils de vérification automatique de cohérence des virements, transformant progressivement leur rôle passif d’exécutant en celui, plus actif, de gardien de la sécurité des paiements.

FAQ — Questions fréquentes