Fraude au virement bancaire subie par une entreprise : comment obtenir le remboursement ?

Un e-mail qui semble venir du dirigeant, un fournisseur qui annonce un « changement de banque », un appel du prétendu « service fraude » de votre établissement… En quelques minutes, plusieurs dizaines ou centaines de milliers d'euros quittent le compte de l'entreprise. Obtenir le remboursement d'un virement frauduleux est possible, mais la stratégie dépend d'une question juridique précise : le virement était-il autorisé ou non autorisé ? Elle dépend aussi, et surtout, de votre rapidité de réaction.

L'essentiel en 30 secondes :

• Virement non autorisé (piratage des accès, opération émise par le fraudeur lui-même) : la banque doit rembourser au plus tard à la fin du premier jour ouvrable suivant le signalement, sauf fraude ou négligence grave qu'elle doit prouver (article L. 133-18 du Code monétaire et financier).
• Virement autorisé mais obtenu par manipulation (fraude au président) : la banque peut être condamnée pour manquement à son devoir de vigilance si l'ordre présentait une anomalie apparente.
• Faux RIB : la banque est en principe protégée par l'exécution conforme à l'IBAN fourni, sauf exceptions (ordre rédigé par la banque, défaut de vérification du bénéficiaire).
• Délai : signalez sans tarder, et au plus tard dans les 13 mois suivant le débit. Attention, ce délai peut être modifié par la convention de compte d'une entreprise.

Fraude au virement : de quelles escroqueries parle-t-on ?

Les entreprises sont la cible privilégiée des fraudeurs, parce qu'elles manipulent des montants élevés et que plusieurs salariés sont habilités à émettre des paiements. Quatre scénarios reviennent dans la grande majorité des dossiers :

• La fraude au président (ou faux ordre de virement) : le fraudeur usurpe l'identité du dirigeant, d'un avocat ou d'un commissaire aux comptes et convainc un salarié d'effectuer un virement urgent et confidentiel.
• La fraude au faux RIB (ou faux fournisseur) : après avoir piraté ou imité une messagerie, l'escroc envoie une facture ou un courriel annonçant de nouvelles coordonnées bancaires.
• La fraude au faux conseiller bancaire (spoofing) : un appel qui affiche le numéro de la banque pousse un salarié à valider des opérations, soi-disant pour les « sécuriser ».
• Le piratage des accès à la banque en ligne : le fraudeur se connecte avec des identifiants dérobés et émet lui-même les virements.

Ces scénarios ne relèvent pas des mêmes règles. C'est pourquoi la première étape consiste toujours à qualifier juridiquement l'opération.

La question clé : virement autorisé ou non autorisé ?

Le droit des services de paiement, issu des directives européennes et codifié aux articles L. 133-1 et suivants du Code monétaire et financier, distingue deux situations :

• le virement non autorisé, auquel l'entreprise n'a pas consenti : par exemple, un virement émis par un pirate qui a pris le contrôle de l'espace de banque en ligne ;
• le virement autorisé, donné par une personne habilitée de l'entreprise, même si elle a été trompée.

Virement non autorisé : un remboursement quasi automatique

Lorsque le virement n'a pas été autorisé par l'entreprise, la loi est très protectrice. L'article L. 133-18 du Code monétaire et financier impose à la banque de rembourser immédiatement le montant de l'opération, et au plus tard à la fin du premier jour ouvrable suivant le signalement. Elle ne peut y déroger que si elle a de bonnes raisons de soupçonner une fraude de son client et qu'elle communique ces raisons par écrit à la Banque de France.

Depuis la loi du 16 août 2022, un retard de remboursement est sanctionné par des pénalités de retard :

• intérêts au taux légal majoré de 5 points en cas de retard ;
• taux légal majoré de 10 points au-delà de 7 jours ;
• taux légal majoré de 15 points au-delà de 30 jours.

Surtout, la charge de la preuve pèse sur la banque. Selon l'article L. 133-23, elle doit prouver que l'opération a été authentifiée, dûment enregistrée et comptabilisée. La simple utilisation enregistrée de vos identifiants ne suffit pas nécessairement à prouver que vous avez autorisé l'opération ou que vous avez commis une négligence grave.

La banque ne peut refuser le remboursement qu'en démontrant que l'entreprise a agi frauduleusement ou a manqué, intentionnellement ou par négligence grave, à ses obligations de sécurité (article L. 133-19 du Code monétaire et financier) : protéger ses données de sécurité personnalisées et signaler sans tarder toute utilisation anormale.

Point de vigilance propre aux entreprises : l'article L. 133-2 du Code monétaire et financier permet, sauf lorsque l'utilisateur est une personne physique agissant pour des besoins non professionnels, de déroger par contrat à plusieurs règles protectrices, notamment celles des articles L. 133-19 (répartition des pertes entre le client et la banque, négligence grave) et L. 133-23 (charge de la preuve). L'obligation de remboursement de l'article L. 133-18 ne figure pas dans cette liste. En revanche, le délai de signalement de 13 mois peut lui aussi être aménagé, en vertu de l'article L. 133-24. Votre convention de compte professionnelle peut donc modifier sensiblement l'équilibre du litige. Son analyse est indispensable avant toute réclamation. Le cabinet Badina Letoue, avocat spécialisé en droit bancaire à Rouen vous accompagne dans vos litiges bancaires.

Fraude au président : engager la responsabilité de la banque pour défaut de vigilance

Dans une fraude au président, le salarié a lui-même donné l'ordre. Le remboursement automatique ne s'applique donc pas. Le recours consiste à démontrer que la banque a manqué à son obligation de vigilance, sur le fondement de la responsabilité contractuelle (article 1231-1 du Code civil).

Le banquier est tenu d'un principe de non-ingérence dans les affaires de son client. Il doit toutefois réagir face à un ordre présentant une anomalie apparente, c'est-à-dire décelable par un professionnel normalement diligent. Dans un arrêt publié du 2 octobre 2024 (n° 23-13.282), la Cour de cassation a approuvé la condamnation d'une banque qui avait exécuté plusieurs virements vers un compte situé hors zone SEPA : en présence d'anomalies apparentes laissant supposer une fraude au président, elle devait vérifier la régularité des ordres auprès du dirigeant, ou de la personne contractuellement habilitée à les valider.

La jurisprudence reste néanmoins exigeante. Dans ses arrêts du 12 juin 2025 et du 19 novembre 2025, la Cour de cassation a rappelé que :

• un montant élevé, un nouveau bénéficiaire ou un compte à l'étranger ne suffisent pas nécessairement, pris isolément, à caractériser une anomalie apparente, surtout si l'entreprise a déjà réalisé des opérations comparables ;
• la banque peut se contenter de vérifier l'ordre auprès de la personne contractuellement habilitée à le transmettre, sans devoir systématiquement joindre le dirigeant.

Pour réussir, il faut donc démontrer un faisceau d'indices au regard du fonctionnement habituel du compte. Les éléments le plus souvent retenus sont les suivants :

• un montant sans commune mesure avec l'historique du compte ;
• des virements rapprochés et répétés sur une courte période ;
• un bénéficiaire étranger aux relations d'affaires de l'entreprise ;
• un pays de destination inhabituel au regard de l'activité ;
• une période inhabituelle (congés, fin d'année) ou un contexte d'urgence.

Les juges peuvent retenir un partage de responsabilité lorsque l'entreprise a elle-même commis des imprudences, par exemple l'absence de procédure de double validation. D'où l'importance de reconstituer avec précision l'historique du compte et les procédures internes avant d'engager l'action.

Faux RIB : quels recours quand l'IBAN a été substitué ?

La fraude au faux RIB est la plus difficile à récupérer auprès de sa propre banque. Selon l'article L. 133-21 du Code monétaire et financier, un ordre exécuté conformément à l'identifiant unique (l'IBAN) fourni par le client est réputé correctement exécuté pour ce qui concerne le bénéficiaire désigné par l'identifiant unique.

Il existe cependant trois leviers importants :

• La banque a rédigé l'ordre elle-même : par un arrêt publié du 4 mars 2026 (n° 25-11.959), la Cour de cassation a jugé que la protection de l'article L. 133-21 ne s'applique pas lorsque la banque a elle-même rédigé l'ordre. Sa responsabilité de droit commun peut alors être engagée.
• La vérification du bénéficiaire (VoP) : depuis le 9 octobre 2025, les banques de la zone euro doivent vérifier gratuitement, avant l'autorisation d'un virement en euros, la concordance entre l'IBAN et le nom du bénéficiaire (article 5 quater du règlement (UE) n° 260/2012, issu du règlement (UE) 2024/886). Si la banque n'a pas fourni ce service correctement et que ce manquement a conduit à une opération mal exécutée, elle doit restituer sans tarder le montant viré.
• Votre relation avec le vrai fournisseur : par un arrêt publié du 17 juin 2026 (n° 24-13.306), la Cour de cassation a jugé que l'escroc qui usurpe l'identité du créancier n'est pas un créancier apparent. Le paiement fait à l'escroc n'éteint donc pas la dette : si vous êtes le fournisseur non payé, vous pouvez toujours réclamer votre dû au client ; si vous êtes le client, la vigilance sur les changements d'IBAN devient un enjeu financier majeur.

Une précaution liée à la VoP : si l'entreprise a validé le virement malgré une alerte de non-concordance, la banque n'est en principe plus responsable.

Délais : les règles à ne surtout pas manquer

La rapidité conditionne à la fois la récupération matérielle des fonds et le succès juridique du recours.

• Signalement « sans tarder » : l'article L. 133-24 du Code monétaire et financier impose de signaler l'opération non autorisée ou mal exécutée sans tarder, et au plus tard dans les 13 mois suivant la date de débit, sous peine de forclusion.
• Délai contractuel pour les entreprises : le même article permet aux parties de convenir d'un délai différent lorsque le client n'est pas un particulier. Votre convention de compte peut donc prévoir un délai plus court.
• Action en justice : par un arrêt publié du 2 juillet 2025 (n° 24-16.590), la Cour de cassation a précisé que le délai de 13 mois concerne le signalement et non l'action en justice. Une fois le signalement effectué à temps, l'action en paiement contre la banque peut être engagée dans le délai de prescription de droit commun de cinq ans.
• Preuve du signalement : par un arrêt publié du 4 février 2026 (n° 22-22.609), la Cour de cassation a approuvé le rejet d'une demande de remboursement faute pour le client de justifier de la date de son signalement. Un signalement par écrit, daté et conservé, est recommandé.

FAQ : fraude au virement en entreprise

La banque doit-elle rembourser une entreprise victime d'une fraude au président ?

Pas automatiquement. Le virement ayant été ordonné par un salarié habilité, il est juridiquement considéré comme autorisé. L'entreprise doit démontrer que la banque a manqué à son devoir de vigilance en exécutant un ordre qui présentait une anomalie apparente (montant inhabituel, bénéficiaire inconnu, destination atypique, virements répétés). La banque peut alors être condamnée à indemniser tout ou partie du préjudice.

Quel est le délai pour contester un virement frauduleux quand on est une entreprise ?

Le Code monétaire et financier impose de signaler l'opération sans tarder et au plus tard dans les 13 mois suivant le débit. Pour une entreprise, la convention de compte peut toutefois prévoir un délai différent, souvent plus court. Une fois le signalement fait dans les temps, l'action en justice peut être engagée dans le délai de prescription de droit commun de cinq ans.

Que faire si l'entreprise a payé un fournisseur sur un faux RIB ?

Il faut alerter immédiatement la banque pour tenter un rappel des fonds, déposer plainte et conserver toutes les preuves. La banque est en principe protégée lorsqu'elle a exécuté le virement vers l'IBAN fourni, sauf si elle a elle-même rédigé l'ordre ou si elle n'a pas correctement effectué la vérification du bénéficiaire obligatoire depuis le 9 octobre 2025. Attention : le paiement fait à l'escroc n'éteint pas la dette envers le véritable fournisseur.

La vérification du bénéficiaire (VoP) protège-t-elle mon entreprise ?

Oui, en partie. Depuis le 9 octobre 2025, les banques de la zone euro doivent vérifier gratuitement la concordance entre l'IBAN et le nom du bénéficiaire avant que le virement soit autorisé. Si la banque manque à cette obligation et que cela entraîne un virement mal exécuté, elle doit restituer le montant viré. En revanche, si l'entreprise valide le virement malgré une alerte, ou si elle a renoncé à la vérification pour ses paiements groupés, la protection est fortement réduite.