Fraude au président : la négligence grave ne peut être invoquée par le prestataire de services de paiement qui exécute un virement en dehors des formes convenues

09.11.2026

La télécopie n’étant pas l’instrument de paiement convenu entre les parties, l’opération exécutée par la banque était non autorisée de sorte que la négligence grave ne pouvait pas être reprochée au payeur.

Dans son rapport pour l’année 2025, mis en ligne en septembre 2026, l’Observatoire de la sécurité des moyens de paiement constate la progression constante des moyens de paiement scripturaux (+ 5,5 % en nombre de transactions en un an, pour des montants en hausse de 4,2 %) mais aussi le ralentissement de la fraude : celle-ci a progressé à un rythme plus faible (+ 3,8 %, à 1,2 milliard d’€), avec un nombre de transactions frauduleuses en repli (- 7,6 %). L’Observatoire relève cependant que les modes opératoires évoluent et que la fraude par manipulation, notamment la fraude au président, se développe.

La fraude par manipulation représentait 516 millions d’€ en 2025. C’est dire que le contentieux est loin d’être tari et que les décisions resteront nombreuses et souvent importantes.

Parmi elles, celle du 8 octobre 2026 présente une originalité qui attire l’attention.

A priori, les faits sont relativement communs. En décembre 2019, une société a été victime d’une fraude au président : l’assistante administrative de son président avait été contactée par un individu prétendant être avocat et avoir été désigné pour effectuer une offre publique d’achat confidentielle et urgente.

Cette opération impliquant un virement d’un montant de 383 268,37 €, l’assistante administrative a transmis par télécopie à la banque de la société un ordre de virement portant la fausse signature du président à destination d’une banque située en Hongrie. La société victime a demandé à sa banque le remboursement des sommes transférées, en prétendant que l’opération n’avait pas été autorisée. Sous réserve d’une restitution de 271 € dans le cadre de la procédure de retour de fonds, la banque n’a pas donné suite à cette demande, imposant à la victime d’agir en justice. Si un dépôt de plainte a bien eu lieu, il est évident que la recherche des escrocs et de leurs complices est le plus souvent vouée à l’échec.

En l’espèce, cependant, la plainte a abouti à la condamnation pour recel du dirigeant d’une société hongroise, mais l’insolvabilité de celui-ci a rendu nécessaire l’action contre la banque de la victime. Accueillie en première instance, la demande de la victime a toutefois été rejetée par la Cour d’appel de Paris au terme d’une motivation discutable et qui n’a d’ailleurs pas emporté la conviction de la Cour de cassation qui a cassé l’arrêt. Selon les juges du fond, si le virement relevait de la catégorie des opérations non autorisées, la négligence grave du payeur le privait de son droit à remboursement. Si l’accord entre les juges du fond et la Cour de cassation se fait sur la qualification de l’opération, considérée comme non autorisée en l’espèce, les conséquences qui en sont tirées sont différentes. La question était alors de savoir dans quelle mesure la banque pouvait opposer la négligence grave du payeur victime d’une fraude au président dès lors que la qualification d’opération non autorisée était retenue.

De manière originale par rapport à la tendance dominante en jurisprudence, la fraude au président est qualifiée d’opération non autorisée. À la différence de la cour d’appel, la Cour de cassation considère cependant que la négligence grave du payeur ne pouvait paralyser son droit à remboursement en l’espèce : la télécopie n’étant pas l’instrument de paiement convenu entre les parties, l’opération exécutée par la banque était non autorisée de sorte que la négligence grave ne pouvait pas être reprochée au payeur.

Fraude au président et opération non autorisée

La fraude au président est celle « par laquelle, un faussaire, généralement très bien renseigné, va contacter le service comptable d’une grande société afin de lui donner instruction de procéder au virement d’une somme importante vers un compte frauduleux situé généralement à l’étranger. Dans ce cas, c’est le donneur d’ordre, trompé, qui procédera au virement » (J.-Cl. Droit bancaire et financier, v° Services bancaires : services de paiement. Virement, par J.-F. Riffard, fasc. 390, n° 152). Il s’agit donc d’une forme d’escroquerie relativement sophistiquée qui amène une entreprise à donner des ordres de paiement à la suite de l’usurpation de l’identité d’un dirigeant. L’originalité de cette affaire tient notamment à la qualification retenue pour caractériser la fraude au président dont a été victime la société en l’espèce. Alors que la qualification d’opération autorisée est souvent retenue, c’est celle d’opération non autorisée qui l’est ici. Cette qualification se justifie tant au regard du consentement à l’opération qu’au regard des formes utilisées.

Substance

Qualification dominante : opération autorisée

Le plus souvent, l’opération déclenchée à la suite d’une fraude au président est considérée comme une opération autorisée (Com. 30 avr. 2025, n° 24-11.255, RTD com. 2025. 482, obs. D. Legeais ; LEDB juin 2025, n° DBA202x0, note J. Lasserre Capdeville ; 12 juin 2025, n° 24-13.697 F-B, Dalloz actualité, 17 juin 2025, obs. C. Hélaine ; D. 2025. 1870 , note P. Storrer ; RTD com. 2025. 764, obs. D. Legeais ).

En effet, l’opération est bien ordonnée et authentifiée par le client, plus précisément son préposé, manipulé par l’escroc usurpant l’identité du dirigeant. Pour mémoire, une opération de paiement est considérée comme autorisée si le payeur a donné son consentement à son exécution (C. mon. fin., art. L. 133-6, I), consentement donné sous la forme convenue entre le payeur et son prestataire de services de paiement (C. mon. fin., art. L. 133-7, al. 1^er).

Il est vrai cependant que cette qualification peut être discutée dans la mesure où le consentement donné par la personne trompée par les manœuvres de l’auteur de la fraude pourrait sembler vicié. La question est particulièrement vive en matière de fraudes au faux conseiller (v. N. Mathey, La fraude au faux conseiller, Banque et Dr., HS 2025-2, p. 28). Toutefois, en matière de fraude au président, la réalité du consentement à l’opération de paiement est moins contestable et la qualification de principe d’opération autorisée semble préférable, sauf circonstances particulières.

Qualification retenue : opération non autorisée

C’est là que l’affaire jugée le 8 octobre 2026 s’avère originale (v. cep. pour un autre ex. récent, Com. 4 févr. 2026, n° 24-22.320 F-D, RTD com. 2026. 471, obs. D. Legeais ). En effet, alors même que l’ordre de virement a été donné par une personne semblant habilitée à le faire, l’opération est qualifiée de non autorisée (C. mon. fin., art. L. 133-7) par les juges du fond, qualification tenue pour acquise par la Cour de cassation (v. les travaux préparatoires à l’arrêt, rapport de P. Calloch et avis de M.-L. Guinamant).

Il faut reconnaître que les circonstances de fait étaient relativement complexes bien que cette complexité soit moins visible dans l’arrêt de la Cour de cassation.

D’une part, l’ordre de virement avait été transmis par télécopie revêtue d’une fausse signature du dirigeant. D’autre part, l’assistante administrative avait confirmé le virement par courriel depuis l’ordinateur d’un second signataire autorisé, et ce en son nom et à son insu. La qualification d’opération non autorisée pouvait donc être retenue pour des raisons tenant à la substance de l’ordre donné. Cette qualification peut être renforcée en se fondant sur des raisons de forme.

Forme

Ordre de virement par télécopie

En l’espèce, l’ordre de virement a été donné par télécopie suivant une pratique répandue par le passé mais dont la faible sécurité n’est plus à démontrer. Surtout, même s’il n’était pas formellement exclu, ce procédé n’était plus prévu par la documentation contractuelle liant la banque à son client depuis plus de deux ans. Depuis 2017, les parties étaient convenues de recourir à un service utilisant un système sécurisé de télétransmission permettant, notamment, les remises de virements internationaux à distance (Protocole EBICS, retenu par le Comité français d’organisation et de normalisation bancaires [CFONB] pour prendre la suite d’ETEBAC).

Ce point faible manifeste de l’opération fournit un fondement solide de la solution bien que cela n’apparaisse pas expressément dans l’arrêt. En effet, l’ordre n’a pas été donné dans les formes convenues par les parties. Or, ainsi que le rappelle régulièrement la Cour de cassation, en l’absence d’un consentement donné sous la forme convenue entre le payeur et le prestataire de services de paiement, une opération doit être réputée non autorisée (Com. 21 avr. 2022, n° 20-18.859 ; 10 déc. 2025, n° 24-20.778, Dalloz actualité, 19 déc. 2025, obs. N. Mathey ; D. 2026. 419 , note L. Siguoirt ; JT 2026, n° 292, p. 13, obs. X. Delpech ; RTD civ. 2026. 366, obs. P.-Y. Gautier ; RTD com. 2026. 192, obs. D. Legeais ). Sous réserve de la référence un peu équivoque à la notion d’instrument de paiement dans la réponse de la Cour de cassation (pour comprendre la référence, v. C. mon. fin., art. L. 133-4, c), qui définit l’instrument de paiement comme tout dispositif personnalisé et l’ensemble de procédures convenu entre l’utilisateur et le PSP et utilisé pour donner un ordre de paiement), la solution adoptée se trouve dans le prolongement de la jurisprudence antérieure sur la forme de l’ordre de paiement.

Sécurité et risque

L’arrêt du 8 octobre 2026 permet de rappeler l’importance des formes convenues et des protocoles sécurisés mis en place : dès lors que les ordres de paiement doivent être donnés selon des modalités précisées contractuellement, les prestataires de services de paiement (PSP) doivent s’y conformer rigoureusement.

La sécurité des opérations de paiement est garantie avant tout par les PSP qui, proposant des services présentant des risques pour les utilisateurs, doivent scrupuleusement respecter les mesures mises en place conventionnellement pour limiter ces risques. Certes, la banque n’était pas restée passive en l’espèce car elle avait tenté de contacter le dirigeant mais n’ayant pas pu obtenir confirmation de l’opération de sa part, elle aurait dû s’abstenir d’effectuer le virement demandé.

L’argumentation de la banque défendant, devant les juges du fond, une approche un peu plus souple n’a pas convaincu. Il ressort clairement de cette affaire que la charge principale du risque pèse sur le PSP alors même que le payeur a pu lui-même ne pas être suffisamment prudent : la charge du risque pèse sur l’opérateur qui propose le service de paiement et surtout sur celui qui, maîtrisant un dispositif de sécurité, accepte que le payeur s’en affranchisse.

Dès lors que, au regard des circonstances de fait de l’espèce, l’opération de paiement n’était pas autorisée, le client avait droit au remboursement, à moins que sa négligence grave soit caractérisée. C’est ici que les juges du fond et la Cour de cassation divergent.

Fraude au président et droit au remboursement

L’opération non autorisée est soumise à un régime spécial exclusif du droit commun qui permet au payeur d’obtenir le remboursement du montant de l’opération irrégulière. Présenté comme protecteur des intérêts du payeur, ce régime reste cependant d’une portée équivoque.

Application du régime spécial exclusif

Rappel du principe

À la suite de l’arrêt Beobank de la Cour de justice de l’Union européenne (CJUE 16 mars 2023, aff. C-351/21), la Cour de cassation rappelle régulièrement que le régime des articles L. 133-18 et suivants du code monétaire et financier s’applique aux opérations de paiement non autorisées ou mal exécutées et est exclusif des dispositions du droit commun de la responsabilité (Com. 19 nov. 2025, n° 24-17.056 et n° 24-19.776, Dalloz actualité, 27 nov. 2025, obs. M. Zaffagnini ; D. 2026. 273 , note N. Ida ; RTD com. 2026. 190, obs. D. Legeais ; v. égal., Com. 4 févr. 2026, n° 24-22.320, rappelant également le principe en présence d’une fraude au président qualifiée d’opération non autorisée, RTD com. 2026. 471, obs. D. Legeais ). La Cour de cassation affirme avec fermeté le caractère exclusif du régime de responsabilité issu des directives sur les services de paiement. Dans un arrêt du 27 mars 2024, elle a ainsi jugé que la responsabilité d’un prestataire de services de paiement ayant commis une faute dans l’exécution d’une opération de paiement ne peut être recherchée que sur le fondement de l’article L. 133-18 du code monétaire et financier (Com. 27 mars 2024, n° 22-21.200 FS-B, Dalloz actualité, 3 avr. 2024, obs. C. Hélaine ; D. 2024. 636 ; ibid. 1154, chron. C. Bellino, T. Boutié et C. Lefeuvre ; RTD com. 2024. 411, obs. D. Legeais ; JCP E 2024. 1170, obs. N. Mathey ; RCA 2024. Comm. 115, obs. L. Bloch). Les demandes de la société victime formulées au titre du devoir de vigilance ne pouvaient donc qu’être écartées. La question n’est d’ailleurs plus discutée devant la Cour de cassation.

Droit au remboursement : exclusion de la négligence grave

En application des dispositions spéciales du code monétaire et financier, le client victime avait donc droit au remboursement des sommes débitées de son compte, sous réserve de sa négligence grave. L’apport principal de l’arrêt se trouve sans doute dans la réponse apportée par la Cour de cassation à la question soulevée par la deuxième branche du premier moyen du pourvoi. Alors que la cour d’appel avait cru pouvoir retenir l’existence d’une négligence grave de la part du payeur qui aurait manqué aux obligations pesant sur lui aux termes de l’article L. 133-16 du code monétaire et financier, la Cour de cassation considère que le fait d’avoir exécuté une opération de paiement au moyen d’un instrument ne répondant pas aux prévisions contractuelles interdisait au banquier de reprocher une éventuelle négligence grave à son client.

L’articulation entre les dispositions de l’article L. 133-16 et celles de l’article L. 133-19, IV, du code monétaire et financier, visées pour fonder la cassation, explique d’ailleurs la référence, étonnamment non explicitée dans l’arrêt (référence absente du rapport et de l’avis pour lesquels la seule référence au c. mon. fin. était effectivement suffisante), aux articles 69 et 74 de la DSP2 (Dir. [UE] 2015/2366 du 25 nov. 2015, dite « DSP2 ») : la négligence grave s’entend d’un manquement aux obligations de l’article L. 133-16 relatives à l’instrument délivré. Or, aucun manquement de ce type n’est concevable lorsque la banque a accepté un instrument non convenu.

Deux observations s’imposent alors.

D’une part, la Cour de cassation saisit l’occasion de préciser ce qu’est la négligence grave du payeur au sens des textes européens et nationaux et les conditions dans lesquelles elle peut être caractérisée. Elle rappelle que le PSP « ne peut s’exonérer de sa responsabilité que lorsque l’utilisateur du service de paiement manque par négligence grave à ses obligations d’utiliser l’instrument de paiement qui lui a été délivré conformément aux conditions régissant sa délivrance et son utilisation ou ne prend pas toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées ». D’autre part, et par conséquent, l’exécution d’un ordre de paiement, donné en dehors des prévisions contractuelles régissant les services de paiement que les parties avaient en vue, sort de ce fait du champ d’application de l’exception de négligence grave (v. not. sur ce point, l’avis de M^me l’avocate générale M.-L. Guinamant, préc., spéc. § 4).

Dès lors que l’instrument utilisé n’est pas un instrument de paiement convenu entre les parties, la négligence grave ne peut être retenue à raison d’un manquement aux exigences de l’article L. 133-16 du code monétaire et financier. Autrement dit, les PSP sont incités à mettre en œuvre les services de paiement proposés en se conformant strictement aux protocoles prévus par la convention de services de paiement. La formule adoptée par la Cour de cassation est ferme et semble large : dès lors que l’opération de paiement est réalisée au moyen d’un instrument ne respectant pas les formes convenues, l’opération est non seulement non autorisée mais la négligence grave du payeur semble sans conséquence. Peu importe le comportement de la victime dans ce cas, sous réserve d’une éventuelle fraude. À nouveau, les PSP seront bien avisés de ne pas exécuter un ordre de paiement transmis en dehors des canaux convenus.

Portée du droit au remboursement

Deux brèves observations méritent d’être formulées pour compléter ce qui précède.

Indifférence de l’absence d’authentification forte

Alors que la question de l’authentification forte avait été discutée par le pourvoi, elle rejoint les autres griefs non examinés par la Cour de cassation. A priori, la question pouvait en effet se poser de savoir si la cour d’appel pouvait retenir la négligence grave du payeur alors que la banque n’avait exigé aucune authentification forte avant d’exécuter le virement litigieux. Toutefois, l’exigence de l’authentification forte était probablement hors sujet s’agissant d’un virement réalisé par télécopie. Il est possible de penser qu’implicitement la Cour de cassation a suivi l’analyse de son avocate générale M^me M.-L. Guinamant (v. avis préc., spéc. § 3, relevant que l’argument n’aurait de pertinence qu’en présence d’« instruments de paiement dotés de données de sécurité personnalisées » mais que « [t]el n’est pas le cas d’un virement ordonné par télécopie »).

Protection du payeur victime : remboursement et responsabilité civile

A priori, la solution adoptée est particulièrement protectrice du payeur victime d’une fraude au président. Il est vrai que le droit au remboursement est largement garanti. Le respect des protocoles et des mesures de sécurité prévues par la convention liant les parties est strictement assuré. L’exception de négligence grave est précisément délimitée. Toutefois, il ne faut pas oublier que le virement frauduleux portait sur un montant important et que la société victime prétendait avoir subi un préjudice complémentaire à raison de la privation de trésorerie dont elle aurait disposé en l’absence du fait dommageable. L’exclusivité du régime spécial ferme la voie à l’indemnisation de ce type de préjudice dont l’existence est indéniable dans certains cas (v. cep., C. mon. fin., art. L. 133-18, dans sa rédaction issue de la loi n° 2022-1158 du 16 août 2022).

La lourdeur de l’obligation de remboursement mise à la charge des PSP ne doit pas faire oublier l’exonération de responsabilité civile dont ils bénéficient. Il est aisé de comprendre alors pourquoi certaines victimes préfèrent plaider l’opération autorisée en invoquant un manquement au devoir de vigilance du PSP. Cela peut toutefois être inopportun lorsqu’une faute de la victime peut être établie, comme cela semble possible en l’espèce. En l’espèce, d’ailleurs, la qualification d’opération autorisée était défendue par la banque afin d’échapper au régime spécial du code monétaire et financier de sorte qu’un partage de responsabilité aurait pu être envisagé sur le fondement de la responsabilité civile de droit commun.

L’équilibre trouvé est donc équivoque et la remise en cause de la distinction des opérations autorisées et non autorisées prévue par la prochaine réforme des services de paiement peut susciter un doute légitime dès lors qu’aucun véritable régime de responsabilité complémentaire n’est envisagé (v. le très modeste art. L. 133-18 c. mon. fin., par lequel notre législateur national a décidé que les parties peuvent convenir contractuellement d’une indemnité complémentaire, ce qui revient à l’exclure en principe).

par Nicolas Mathey, Professeur à l’Université Paris Cité, membre du CEDAG, Directeur du Master Droit des obligations civiles et commerciales

Com. 8 oct. 2026, FS-B, n° 25-17.510

Source