Une énième fraude au RIB… l’autorisation du paiement s’apprécie et se prouve virement par virement
En cas de fraude au faux RIB, l’exécution du virement conformément à l’identifiant fourni par le payeur relève du régime spécial des services de paiement. Encore faut-il que la banque prouve, pour chaque opération contestée, que le payeur avait autorisé le paiement au profit du compte effectivement crédité.
La fraude par substitution de coordonnées bancaires continue de mettre à l’épreuve les catégories du droit des services de paiement ! La question paraît, de prime abord, relever du devoir de vigilance du banquier. Lorsque ce dernier est confronté à un changement de RIB, à un compte ouvert à l’étranger ou à des circonstances inhabituelles, doit-il détecter la fraude avant d’exécuter l’ordre ?
La chambre commerciale a pourtant progressivement déplacé le centre de gravité du contentieux. Avant de s’interroger sur la vigilance du prestataire, encore faut-il déterminer si l’opération était autorisée et si elle a été exécutée conformément à l’identifiant fourni par le payeur. L’arrêt du 9 septembre 2026 ajoute à cette construction une dimension probatoire intéressante. En effet, lorsqu’une succession de virements est en cause, l’autorisation ne se présume pas d’une opération à l’autre.
En l’espèce, une SCI avait confié à la société Hanny la construction d’un immeuble. Le 13 janvier 2020, elle adressa au Crédit lyonnais une situation de travaux n° 6, revêtue d’un bon à payer, accompagnée d’une facture de 189 893,14 € mentionnant le compte bancaire de l’entreprise auprès de la Société générale. Deux jours plus tard, la SCI transféra à la banque un courriel présenté comme provenant de l’entreprise. Celui-ci indiquait que son compte n’était plus actif et communiquait un nouvel IBAN, ouvert dans les livres de la banque Santander Totta, pour les prochains virements, y compris celui correspondant à la situation de travaux n° 6. Le paiement fut effectué sur ce compte. Le 13 février suivant, la SCI transmit une nouvelle situation de travaux, d’un montant de 175 404,11 €, accompagnée cette fois encore d’une facture comportant le véritable IBAN de la société Hanny auprès de la Société générale. Le second virement fut néanmoins exécuté sur le compte Santander Totta. Le lendemain, la SCI découvrit que le changement de coordonnées bancaires résultait d’une fraude.
La société rechercha alors la responsabilité de sa banque. La Cour d’appel de Lyon rejeta ses demandes pour les deux virements. S’agissant du premier, elle considéra que le transfert du courriel frauduleux du 15 janvier avait pour objet d’informer le prestataire des nouvelles coordonnées bancaires à utiliser. S’agissant du second, elle estima que cette instruction demeurait applicable et reprocha à la SCI de ne pas justifier des instructions particulières qu’elle aurait données pour la nouvelle situation de travaux.
La chambre commerciale distingue les deux opérations. Pour la première, elle approuve les juges du fond d’avoir déduit des échanges successifs que la SCI avait ordonné le paiement sur le compte Santander Totta. Le virement ayant été exécuté conformément à l’identifiant unique fourni par le payeur, le régime spécial de l’article L. 133-21 du code monétaire et financier s’appliquait à l’exclusion de la responsabilité contractuelle de droit commun. Pour la seconde, elle casse l’arrêt au visa de l’article 1353 du code civil et des articles L. 133-6 et L. 133-7 du code monétaire et financier. La nouvelle facture mentionnant le véritable IBAN du créancier, il appartenait à la banque de produire l’ordre de paiement établissant que la SCI avait néanmoins autorisé le virement au profit du compte Santander Totta. En exigeant du payeur qu’il démontre les instructions qu’il avait données, la cour d’appel avait inversé la charge de la preuve.
La solution s’inscrit dans une construction jurisprudentielle désormais nourrie. Après avoir consacré l’exclusivité du régime spécial lorsque le prestataire exécute l’identifiant communiqué par son client, la Cour en a précisé les limites lorsque la banque intervient elle-même dans la confection de l’ordre. Elle a, parallèlement, resserré les exigences entourant la preuve du consentement du payeur. L’arrêt du 9 septembre 2026 articule ces deux lignes. Certes, l’identifiant unique détermine le régime de l’exécution du paiement, mais encore faut-il prouver que son utilisation a bien été autorisée pour l’opération considérée. Il convient ainsi de distinguer l’effet attaché à l’identifiant effectivement fourni par le payeur de la preuve, opération par opération, de l’autorisation portant sur le bénéficiaire du paiement.
L’identifiant effectivement fourni par le payeur détermine le régime de l’exécution du paiement
Le premier volet de la décision s’inscrit dans le prolongement direct de la jurisprudence relative aux fraudes par substitution de RIB. Celle-ci repose sur une dissociation désormais familière entre la finalité économique du paiement et son objet bancaire. Le payeur entend exécuter sa dette envers un créancier déterminé. Le prestataire de services de paiement reçoit, pour sa part, un ordre structuré autour d’un IBAN. Lorsque la fraude conduit le client à communiquer lui-même l’IBAN d’un tiers, ces deux dimensions se séparent. Aussi l’opération peut-elle manquer sa finalité contractuelle tout en pouvant être régulièrement exécutée au sens du droit des services de paiement.
L’article L. 133-21 du code monétaire et financier donne à cette dissociation sa traduction juridique. L’ordre exécuté conformément à l’IBAN fourni par l’utilisateur est réputé dûment exécuté quant au bénéficiaire désigné par cet identifiant. Si l’identifiant est inexact, le prestataire n’est pas responsable de la mauvaise exécution ou de la non-exécution de l’opération. La chambre commerciale avait déjà fait produire à ce texte des conséquences rigoureuses. Dans un arrêt du 23 mai 2024, elle avait jugé que la responsabilité délictuelle ne pouvait concurrencer le régime harmonisé des services de paiement lorsque le virement avait été exécuté au vu de l’identifiant fourni par le donneur d’ordre, quand bien même la banque du bénéficiaire aurait eu connaissance d’une discrépance entre le titulaire du compte et le bénéficiaire annoncé (Com. 23 mai 2024, n° 22-18.098 F-D). Elle se fondait alors sur l’harmonisation complète résultant notamment de l’arrêt Beobank de la Cour de justice (CJUE 16 mars 2023, aff. C-351/21). Le mouvement a surtout été consacré par l’arrêt du 15 janvier 2025. La chambre commerciale y a affirmé que, lorsque la responsabilité du prestataire est recherchée en raison d’une opération non autorisée ou mal exécutée, le régime défini aux articles L. 133-18 à L. 133-24 du code monétaire et financier est exclusif de tout régime alternatif issu du droit national. Elle en a déduit que l’article L. 133-21 ne pouvait être contourné par l’invocation du devoir de vigilance de droit commun, alors même que l’identifiant transmis au payeur avait été substitué par un fraudeur (Com. 15 janv. 2025, n° 23-15.437 FS-B, Dalloz actualité, 21 janv. 2025, obs. C. Hélaine ; D. 2025. 148 
; ibid. 196, point de vue P. Storrer ; ibid. 2104, obs. N. Binctin, A. Favreau, A. Mendoza-Caminade et C. Le Stanc ; RTD com. 2025. 173, obs. D. Legeais ). La même solution a depuis été appliquée à un RIB correspondant à un compte ouvert à l’étranger, sans que cette circonstance permette de restaurer une obligation de vigilance concurrente (Com. 10 sept. 2025, n° 24-15.485 F-D).
Le premier virement litigieux entre sans difficulté dans cette ligne. Certes, la situation de travaux initialement adressée à la banque comportait le véritable IBAN de la société Hanny. Mais la SCI avait ensuite elle-même transféré le courriel annonçant le changement de compte, lequel précisait que les nouvelles coordonnées devaient être utilisées pour les prochains règlements et visait expressément la situation de travaux n° 6. La chambre commerciale laisse ici jouer l’appréciation souveraine des juges du fond. Elle considère en effet que de la succession de ces échanges, ceux-ci avaient pu déduire que le payeur avait effectivement ordonné le premier paiement au crédit du compte Santander Totta.
La conséquence suit alors bel et bien la qualification. Dès lors que l’identifiant a été fourni par le payeur pour l’opération considérée, la mauvaise orientation économique des fonds n’autorise pas à revenir au droit commun. La SCI soutenait précisément que plusieurs indices auraient dû susciter une vérification supplémentaire comme les deux RIB différents communiqués en quelques jours, le compte situé à l’étranger, et certaines incohérences formelles dans le courriel. Il reste que la Cour n’entre pas dans cette discussion et qu’une fois admis que l’identifiant litigieux avait été communiqué par le payeur, l’article L. 133-21 absorbe la question de la mauvaise exécution et ferme la voie de l’article 1231-1 du code civil.
La solution doit cependant être, à notre sens, replacée dans les limites que la jurisprudence a elle-même dessinées. Le régime spécial ne protège le prestataire que lorsqu’il demeure dans sa fonction d’exécution. La chambre commerciale a ainsi jugé, le 4 mars 2026, que l’exclusion du droit commun ne joue plus lorsque la banque ne se borne pas à exécuter l’ordre communiqué par son client, mais rédige elle-même l’ordre avant de réaliser l’opération avec l’approbation de l’utilisateur. La faute reprochée ne se situe alors plus seulement dans l’exécution de l’identifiant fourni mais affecte la confection de l’ordre lui-même, ce qui permet alors le retour de l’article 1231-1 du code civil (Com. 4 mars 2026, n° 25-11.959 F-B, Dalloz actualité, 18 mars 2026, obs. K. A. Lévy ; D. 2026. 428 ; RTD com. 2026. 469, obs. D. Legeais ; ibid. 475, obs. D. Legeais ).
La frontière est donc moins celle, parfois avancée, entre fraude grossière et fraude indécelable que celle tenant à l’origine de l’instruction bancaire. Lorsque le client fournit l’identifiant et ordonne le paiement, le régime spécial assume le risque attaché à l’inexactitude de cet identifiant. Lorsque le prestataire participe lui-même à la formation de l’ordre, le litige retrouve une dimension contractuelle distincte de la seule mauvaise exécution. L’arrêt du 9 septembre 2026 ne remet pas en cause cette articulation mais révèle plutôt une condition préalable. Encore faut-il pouvoir rattacher l’identifiant litigieux à une autorisation du payeur pour l’opération précisément contestée.
L’autorisation quant au bénéficiaire doit être établie pour chaque opération de paiement
C’est sur le second virement que l’arrêt apporte sa précision la plus intéressante. En effet, un mois après avoir transmis le faux RIB, la SCI avait adressé à sa banque une nouvelle situation de travaux. Or, la facture jointe mentionnait à nouveau le véritable IBAN de la société Hanny auprès de la Société générale ! Le contexte n’était donc plus le même. La question n’était pas seulement de savoir si l’instruction du mois de janvier pouvait, abstraitement, viser les « prochains virements » mais il fallait déterminer si le paiement du mois de février avait effectivement été autorisé au profit du compte Santander Totta.
À bien y regarder, la cour d’appel avait, en fait, renversé la perspective. Elle avait retenu que l’ordre antérieur continuait à produire effet et reproché à la SCI de ne pas établir qu’elle avait donné une instruction différente pour la situation de travaux n° 7. Autrement dit, le premier changement de RIB était traité comme une sorte d’instruction-cadre dont il appartenait au client de démontrer la révocation.
La chambre commerciale refuse cette construction jurisprudentielle et énonce, au visa de l’article 1353 du code civil et des articles L. 133-6 et L. 133-7 du code monétaire et financier, que « la charge de la preuve de l’autorisation du paiement initié par le payeur donnée au prestataire de services de paiement, sous la forme convenue entre eux, repose sur le prestataire de services de paiement ». Dès lors que la facture transmise le 13 février mentionnait le véritable IBAN de la société Hanny, il appartenait à la banque de produire l’ordre relatif au second virement afin d’établir que celui-ci avait néanmoins été autorisé au profit du compte Santander Totta.
Le choix des textes mérite toutefois une attention. Quelques semaines auparavant, la chambre commerciale avait déjà rappelé que l’utilisation de l’instrument de paiement, telle qu’enregistrée par la banque, ne suffit pas nécessairement à établir l’autorisation du payeur. Dans l’arrêt du 1er juillet 2026, elle s’était fondée sur les articles L. 133-6, L. 133-7 et L. 133-23 du code monétaire et financier pour censurer des juges ayant déduit le consentement de la seule utilisation du dispositif convenu, alors que le client soutenait que ses données de sécurité avaient été employées à son insu (Com. 1er juill. 2026, n° 25-13.134 F-B, Dalloz actualité, 18 sept. 2026, obs. N. Mathey). L’arrêt du 9 septembre 2026 prolonge cette logique tout en déplaçant légèrement son fondement. La Cour ne vise pas l’article L. 133-23, spécialement consacré à la preuve de l’authentification d’une opération contestée. Elle combine l’article 1353 du code civil avec les articles L. 133-6 et L. 133-7, c’est-à-dire la règle générale de charge de la preuve avec les textes qui définissent l’opération autorisée par le consentement du payeur donné dans la forme convenue. Ce choix est particulièrement intéressant puisqu’il permet de saisir exactement la difficulté. Il ne s’agissait pas seulement de savoir si le virement avait été techniquement authentifié mais de déterminer l’objet même de l’autorisation et, plus précisément, le bénéficiaire au profit duquel le paiement avait été consenti.
La formule employée par la Cour le confirme bien, puisque le prestataire devait prouver, selon ses mots, que « l’opération avait été autorisée quant au bénéficiaire ». Le consentement n’est donc pas appréhendé de manière abstraite, comme une simple volonté de payer une certaine somme. Cette précision fait particulièrement sens dans les fraudes au RIB dans la mesure où le payeur peut parfaitement avoir voulu payer, tout en contestant avoir autorisé le paiement vers le compte auquel les fonds ont finalement été transférés.
Au fond, la Cour refuse qu’une première autorisation se prolonge par une quelconque présomption dans le temps. La solution évite surtout de confondre deux questions successives. La première est celle du consentement, à savoir quel paiement le client a-t-il autorisé et au profit de quel identifiant ? La seconde est celle de l’exécution, la banque a-t-elle exécuté cet ordre conformément à l’identifiant ainsi fourni ?
L’arrêt du 9 septembre 2026 prend alors place dans une jurisprudence dont les lignes deviennent progressivement plus lisibles. L’article L. 133-21 protège le prestataire qui exécute l’identifiant effectivement communiqué par son client, y compris lorsque celui-ci a été victime d’une substitution frauduleuse (Com. 23 mai 2024, n° 22-18.098 F-D, préc. ; 15 janv. 2025, n° 23-15.437 FS-B, préc. ; 10 sept. 2025, n° 24-15.485 F-D, préc.). Le droit commun peut réapparaître lorsque le prestataire ne se contente plus d’exécuter mais intervient lui-même dans la confection de l’ordre (Com. 4 mars 2026, n° 25-11.959 F-B, préc.). Enfin, lorsque l’existence ou la portée même de l’autorisation est discutée, la banque doit en rapporter la preuve et ne peut tirer du comportement antérieur du payeur une présomption générale couvrant les opérations ultérieures (Com. 1er juill. 2026, n° 25-13.134 F-B, préc. ; 9 sept. 2026, n° 25-15.225, D. 2026. 1492 ).
par Marie Zaffagnini, Maître de conférences, Université Côte d’Azur
Com. 9 sept. 2026, F-B, n° 25-15.225
© Lefebvre Dalloz