Fraude au RIB : la Cour de cassation met fin au bouclier IBAN des banques

La Cour de cassation vient de trancher : l'usurpateur d'identité qui détourne un virement en substituant un RIB frauduleux n'est juridiquement pas un « créancier » au sens du droit des paiements, ce qui bouleverse la répartition de la responsabilité entre banques, entreprises et victimes. Cette décision structurante intervient à un moment où les banques investissent massivement dans des algorithmes d'authentification — détection de deepfakes, biométrie comportementale, scoring en temps réel — sans que ces dispositifs ne suffisent, selon la Cour, à exonérer l'établissement de ses obligations légales.

Dans un contexte où la fraude aux coordonnées bancaires représente, selon le rapport annuel de l'Observatoire de la sécurité des moyens de paiement (OSMP) de la Banque de France publié en 2025, plus de 1,2 milliard d'euros de préjudice annuel pour les entreprises françaises, la question de savoir qui supporte la perte n'est pas théorique. Elle est vitale pour les trésoriers d'entreprise, les DAF, les responsables conformité et les juristes bancaires.

Cet article décrypte la portée exacte de la jurisprudence, analyse ce qu'elle impose concrètement aux systèmes automatisés d'authentification, et identifie les angles morts que les banques doivent combler urgemment.

Contexte juridique

La fraude au RIB exploite une faille entre la confiance contractuelle et l'anonymat technique des virements SEPA, que le droit devait nécessairement qualifier.

Le virement SEPA et la notion de « créancier »

Le virement bancaire est régi, en droit français, par les articles L.133-1 et suivants du Code monétaire et financier (CMF), qui transposent la directive européenne DSP2 (Directive sur les services de paiement, 2015/2366/UE). Ces textes posent un principe cardinal : l'ordre de paiement exécuté conformément à l'identifiant unique fourni par le payeur (en pratique, l'IBAN) est réputé correctement exécuté, même si cet IBAN appartient à un fraudeur.

L'article L.133-21 du CMF précise que lorsqu'un ordre de paiement est exécuté conformément à l'identifiant unique, le prestataire de services de paiement n'est pas responsable de la mauvaise exécution à l'égard du donneur d'ordre. C'est sur ce terrain que les banques s'appuyaient jusqu'ici pour se dégager.

La décision de la Cour de cassation vient corriger une lecture trop favorable aux établissements : l'usurpateur qui a fourni l'IBAN frauduleux n'est pas le « créancier » au sens contractuel de la relation de paiement. Il n'a aucun titre à recevoir les fonds. Par conséquent, l'exécution vers cet IBAN ne constitue pas techniquement une exécution « conforme à l'ordre » au sens plein du droit, ce qui rouvre la voie à la responsabilité bancaire.

Historique jurisprudentiel : d'une tolérance à une clarification

Depuis 2019, les juridictions du fond étaient divisées. Certaines cours d'appel (Paris, Lyon) avaient jugé que la banque, en exécutant un virement sur la base d'un IBAN erroné communiqué par voie de phishing ou de fraude au président, n'engageait pas sa responsabilité dès lors qu'elle avait respecté l'identifiant unique. D'autres (Versailles, Bordeaux) avaient au contraire retenu une faute de la banque lorsque des signaux d'alerte auraient dû déclencher une vérification supplémentaire.

La Cour de cassation, dans sa chambre commerciale, unifie désormais la doctrine : le respect formel de l'identifiant unique ne purge pas la responsabilité si la banque disposait, ou aurait dû disposer, d'éléments permettant de suspecter la fraude.

Analyse approfondie

Les algorithmes bancaires d'authentification sont désormais intégrés dans l'appréciation de la faute : leur insuffisance peut engager la responsabilité de la banque.

Ce que la Cour exige réellement

La décision ne dit pas que les banques doivent vérifier l'identité du bénéficiaire de chaque virement — ce serait économiquement impossible dans un système SEPA qui traite plusieurs dizaines de milliards de transactions par an. Elle pose une obligation de vigilance proportionnée au risque détecté.

Concrètement, la Cour raisonne en trois temps :

1. La détection d'anomalie : la banque avait-elle, dans ses systèmes, des indicateurs de risque activés pour cette opération (nouveau bénéficiaire, montant atypique, horaire inhabituels, modification récente de coordonnées) ?
2. La réaction attendue : face à ces indicateurs, un système d'authentification raisonnable aurait-il dû générer une friction supplémentaire (rappel téléphonique, validation multi-canal) ?
3. La causalité : si cette friction avait été appliquée, la fraude aurait-elle pu être évitée ?

Ce triptyque s'articule avec l'article L.133-19 du CMF, qui prévoit que le prestataire de paiement supporte la perte résultant d'opérations de paiement non autorisées, sauf négligence grave du payeur. La Cour étend ce raisonnement : la négligence peut aussi être celle de la banque dans la conception de ses dispositifs d'alerte.

L'IA d'authentification sous le prisme de la faute civile

C'est ici que l'angle IA devient juridiquement décisif. En 2026, les grandes banques françaises déploient trois familles d'outils automatisés :

La Cour ne valide pas ces outils comme exonératoires en soi. Elle les intègre dans l'appréciation de la diligence raisonnable au sens de l'article 1242 du Code civil (responsabilité du fait des choses) et de la faute caractérisée au sens contractuel. Autrement dit : avoir un algorithme n'est pas suffisant ; encore faut-il qu'il soit correctement paramétré et que ses alertes soient traitées efficacement.

L'impact de l'AI Act entré en vigueur en août 2024

L'AI Act européen, dont les dispositions relatives aux systèmes à haut risque sont pleinement applicables depuis le début de l'année 2026, classe les systèmes d'évaluation de la solvabilité et de scoring utilisés dans les services financiers dans la catégorie des systèmes d'IA à haut risque (Annexe III, point 5b). À ce titre, ils doivent satisfaire à des obligations de :

• Transparence et traçabilité des décisions automatisées
• Supervision humaine effective (human oversight, article 14 de l'AI Act)
• Exactitude et robustesse documentées

Une banque qui s'appuierait sur un scoring algorithmique pour valider un virement à haut risque, sans supervision humaine documentée, s'exposerait donc à une double sanction : civile (responsabilité envers la victime) et administrative (amende de l'ACPR pouvant atteindre 7% du chiffre d'affaires mondial en application de l'AI Act).

Jurisprudence de référence

La décision commentée s'inscrit dans un mouvement jurisprudentiel plus large. On peut citer :

• Cour d'appel de Paris, 25 juin 2024 (n° RG 22/14731) : condamnation d'un établissement bancaire pour défaut de vigilance lors d'un changement de RIB sur une plateforme de gestion fournisseurs, malgré l'existence d'un système de détection automatisée.
• Cour de cassation, Com., 8 mars 2023 (pourvoi n° 21-24.270, ECLI:FR:CCASS:2023:CO00178) : premier signal d'une lecture stricte de l'obligation de vigilance dans les virements d'entreprise.

Implications pratiques

Banques et entreprises doivent revoir leur partage contractuel du risque fraude, sous peine de voir les juges trancher à leur défaveur.

Du côté des banques

La décision impose une revue complète des chaînes de traitement automatisé des virements. Les établissements ne peuvent plus se contenter de respecter formellement l'identifiant unique IBAN. Ils doivent :

• Documenter précisément les seuils de leurs algorithmes de détection et justifier leur calibration
• Prévoir des procédures de rappel pour les virements dépassant certains seuils ou présentant des anomalies comportementales
• Former les équipes opérationnelles à ne pas écraser les alertes algorithmiques sans décision tracée
• Auditer leurs systèmes IA au regard des exigences de l'AI Act et des attentes de l'ACPR

Du côté des entreprises (victimes potentielles)

La décision est une bonne nouvelle pour les entreprises victimes, mais elle ne les exonère pas de toute responsabilité. La jurisprudence maintient le principe de faute partagée : si l'entreprise a elle-même négligé des procédures élémentaires de vérification (appel téléphonique de confirmation d'un changement de RIB, procédure de double validation interne), le juge pourra réduire l'indemnisation en application de l'article 1254 du Code civil.

Deux perspectives s'affrontent sur le point d'équilibre :

• Perspective banques : les établissements arguent que rendre les algorithmes suffisamment sensibles pour capter toutes les fraudes entraînerait un nombre insupportable de faux positifs, bloquant des millions de virements légitimes quotidiennement. Le coût systémique serait socialisé sur l'ensemble des clients.
• Perspective entreprises et associations de consommateurs : la sophistication technique des banques, mise en avant commercialement, crée une confiance légitime que l'institution doit honorer. On ne peut pas vanter ses capacités IA et se dédouaner en cas d'échec.

Points clés à retenir

• L'usurpateur d'identité n'est pas un « créancier » : l'exécution technique d'un virement vers son IBAN ne vaut pas exécution conforme au sens juridique du CMF.
• Le respect de l'identifiant unique (IBAN) n'est plus un bouclier absolu pour les banques dès lors que des signaux d'alerte étaient détectables.
• Les outils IA d'authentification (biométrie, scoring, deepfake detection) sont intégrés dans l'appréciation de la diligence raisonnable, mais ne sont pas exonératoires par nature.
• L'AI Act impose depuis 2026 des obligations de supervision humaine sur les systèmes de scoring financier à haut risque, ajoutant une couche de responsabilité réglementaire.
• La faute peut être partagée entre la banque (défaut de vigilance algorithmique) et l'entreprise victime (absence de procédures internes de vérification).
• Les sanctions potentielles sont doubles : civiles (remboursement de la perte) et administratives (ACPR, amende AI Act jusqu'à 7% du CA mondial).
• Une revue contractuelle s'impose : les conventions de compte et mandats de paiement doivent être relus à la lumière de cette jurisprudence pour clarifier la répartition des risques.

Questions fréquentes

Qu'est-ce que la fraude au RIB et comment fonctionne-t-elle ?

La fraude au RIB (ou fraude aux coordonnées bancaires) consiste pour un escroc à substituer un IBAN frauduleux à celui du véritable créancier, pour détourner un virement à son profit. Elle passe généralement par une usurpation d'adresse e-mail, un piratage de messagerie (BEC - Business Email Compromise) ou une fausse plateforme fournisseur. Selon l'OSMP, ce type de fraude représentait en 2024 plus de 40% des pertes sur virements des entreprises françaises.

La banque est-elle automatiquement responsable si un virement frauduleux est exécuté ?

Non, pas automatiquement. La responsabilité de la banque n'est engagée que si elle disposait d'éléments lui permettant de détecter la fraude et n'a pas réagi de manière adéquate. Si l'entreprise a elle-même commis une négligence grave (par exemple, en ignorant ses propres procédures de vérification), la responsabilité peut être partagée ou même exclue.

Un algorithme de détection de fraude suffit-il à exonérer la banque ?

Non. La Cour de cassation juge que l'existence d'un outil algorithmique ne suffit pas : encore faut-il que ses seuils soient correctement calibrés, que ses alertes soient effectivement traitées, et que des procédures de friction humaine existent pour les opérations à risque élevé. Un algorithme mal paramétré peut même constituer une preuve de négligence.

Quel est le délai de prescription pour agir contre sa banque en cas de fraude au RIB ?

Le délai de prescription applicable est de 5 ans à compter de la découverte de la fraude, en application de l'article 2224 du Code civil (prescription de droit commun). Pour les opérations de paiement non autorisées, l'article L.133-24 du CMF impose en outre une déclaration rapide à la banque, sous peine de forclusion, dans un délai de 13 mois après le débit.

L'IA peut-elle remplacer un avocat pour contester un virement frauduleux auprès de sa banque ?

Non. Si des outils IA peuvent aider à rédiger un premier courrier de contestation ou à synthétiser sa situation, la complexité juridique de ces litiges (articulation CMF, Code civil, AI Act, jurisprudence en évolution) nécessite l'intervention d'un avocat spécialisé en droit bancaire, notamment pour évaluer la faute partagée et préparer une éventuelle action en justice.

Qu'est-ce que l'AI Act change concrètement pour les banques en 2026 ?

L'AI Act, pleinement applicable en 2026, oblige les banques à documenter, auditer et encadrer par une supervision humaine effective tous les systèmes d'IA à haut risque utilisés dans les décisions financières. Pour les systèmes de scoring transactionnel anti-fraude, cela signifie des registres d'audit, des tests de robustesse réguliers et une traçabilité des décisions automatisées. Le non-respect expose à des amendes pouvant atteindre 7% du chiffre d'affaires mondial annuel.

Une entreprise peut-elle se retourner contre son prestataire de logiciel comptable si c'est par lui que le RIB frauduleux a été injecté ?

Oui, potentiellement. Si le vecteur de la fraude est une faille de sécurité du logiciel (ERP, plateforme de gestion fournisseurs), l'entreprise victime peut engager la responsabilité contractuelle du prestataire sur le fondement des articles 1231-1 et suivants du Code civil, en prouvant un manquement à l'obligation de sécurité. Cette piste est de plus en plus explorée en pratique, notamment lorsque les logiciels ne chiffrent pas les données bancaires des tiers.

Comment une entreprise peut-elle se protéger concrètement contre la fraude au RIB ?

Plusieurs mesures cumulatives sont recommandées : instaurer une procédure de confirmation téléphonique systématique de tout changement de coordonnées bancaires fournisseur (via un numéro connu, jamais celui figurant dans le message suspect), mettre en place une double validation interne pour les virements dépassant un seuil défini, sensibiliser les équipes comptables aux techniques de phishing, et vérifier que les conventions de compte avec la banque prévoient des alertes pour tout nouveau bénéficiaire. Ces mesures peuvent influer favorablement sur l'appréciation de la faute partagée par un tribunal.