Fraude au virement : 2 décisions de justice en 8 jours, et c'est à la banque de rembourser

En bref : le 8 octobre 2026, la Cour de cassation juge qu'une banque qui a accepté d'exécuter un ordre reçu par un canal qui n'était plus l'instrument de paiement convenu ne peut pas reprocher au client une négligence grave. Le 15 octobre, la Cour de justice de l'Union européenne juge que le prestataire doit rembourser immédiatement une opération non autorisée, et que la négligence grave du payeur ne l'autorise pas à différer ce remboursement : elle se discute après, pas avant. Prises ensemble, ces deux décisions ne créent pas une obligation nouvelle, elles changent qui avance l'argent et pendant combien de temps. Le seul levier qui reste vraiment rentable, c'est d'empêcher l'opération de partir.

‍

Ce que dit la Cour de justice : rembourser d'abord, discuter ensuite

‍

Saisie par une juridiction polonaise, la Cour de justice de l'Union européenne s'est prononcée le 15 octobre 2026 dans l'affaire C-70/25, sur l'articulation entre deux articles de la deuxième directive sur les services de paiement : l'article 73, qui organise le remboursement des opérations non autorisées, et l'article 74, qui règle la répartition finale des pertes.

‍

La réponse tient en une mécanique en deux temps.

‍

Premier temps, le remboursement. Lorsqu'une opération de paiement non autorisée est notifiée, le prestataire de services de paiement est en principe tenu d'en rembourser le montant immédiatement, et au plus tard à la fin du premier jour ouvrable suivant. La directive ne prévoit qu'une seule dérogation à cette immédiateté : le cas où le prestataire a de bonnes raisons de soupçonner une fraude commise par le client, soupçon qu'il doit communiquer par écrit à l'autorité nationale compétente.

‍

Deuxième temps, la responsabilité. La négligence grave du payeur ne figure pas parmi les exceptions au remboursement immédiat. Elle relève de l'article 74, qui détermine qui supporte finalement la perte. Le prestataire peut donc, le cas échéant, réclamer ensuite au client les sommes correspondantes. Mais il ne peut pas se dispenser de rembourser en invoquant par avance cette négligence.

‍

La Cour ajoute deux précisions qui pèsent lourd en pratique. D'une part, c'est au prestataire de prouver la négligence grave du client, et non l'inverse. D'autre part, permettre au prestataire de refuser le remboursement en invoquant lui-même une négligence priverait l'obligation de son effet utile, puisque le payeur n'aurait d'autre voie que d'aller en justice pour récupérer son argent.

‍

Une précision de lecture, parce qu'elle circule déjà de travers : la Cour ne dit pas « remboursement sous 24 heures ». Elle dit immédiatement, et au plus tard à la fin du premier jour ouvrable suivant la notification, ce qui n'est pas la même chose.

‍

Ce que dit la Cour de cassation : le canal que vous acceptez définit votre exposition

‍

Sept jours plus tôt, le 8 octobre 2026, la chambre commerciale de la Cour de cassation rendait un arrêt publié au Bulletin, sur le pourvoi n° 25-17.510. Le sujet est différent, et c'est précisément ce qui rend la séquence intéressante.

‍

Les faits relèvent de la fraude au président, dans sa variante du faux avocat, et ils sont presque archaïques. En décembre 2019, l'assistante du dirigeant d'une société est contactée par un individu se présentant comme l'avocat de l'entreprise. Elle transmet par télécopie un ordre de virement international vers un compte en Hongrie, portant une signature imitée du dirigeant, puis le confirme par courriel. La banque exécute le lendemain.

‍

L'élément décisif est ailleurs. Depuis un contrat de 2017, le canal convenu entre la société et sa banque reposait sur un protocole sécurisé avec clé d'authentification personnalisée. La télécopie n'était plus utilisée depuis cette date.

‍

La cour d'appel avait pourtant retenu la négligence grave de la société pour écarter le remboursement. La Cour de cassation casse, au visa des articles L. 133-16 et L. 133-19, IV du code monétaire et financier, lus à la lumière des articles 69 et 74 de la directive.

‍

Le raisonnement est serré. La négligence grave de l'article L. 133-19, IV ne peut porter que sur les obligations de l'article L. 133-16, lesquelles se rattachent à l'instrument de paiement convenu entre les parties. Or la télécopie ne l'était plus. La banque qui a accepté d'exécuter une opération au moyen d'un tel instrument ne peut donc pas reprocher au client une négligence grave dans son utilisation.

‍

Affaire renvoyée devant la cour d'appel de Paris, autrement composée.

‍

Pourquoi les deux ensemble valent plus que chacune séparément

‍

Les deux décisions traitent de questions distinctes. La CJUE traite du moment du remboursement. La Cour de cassation traite du périmètre du grief de négligence grave. Elles n'ont d'ailleurs pas pu se répondre, la décision française étant antérieure.

‍

Mais elles poussent dans le même sens, et elles ferment deux portes différentes.

‍

La première porte était temporelle : contester d'abord, rembourser éventuellement plus tard. Elle se referme. Le remboursement devient le point de départ, pas le point d'arrivée.

‍

La seconde était argumentative : opposer au client sa propre imprudence. Elle se rétrécit. On ne peut pas reprocher à un client de mal utiliser un instrument de paiement quand on a soi-même accepté un ordre arrivé par un canal qui n'en était pas un.

‍

Il faut y ajouter une troisième décision, du 17 juin 2026 (pourvoi n° 24-13.306), rendue en formation plénière de chambre et destinée au Bulletin comme au rapport annuel. Elle ne concerne pas la relation banque-client mais la relation entre entreprises : au visa de l'article 1342-3 du code civil, la Cour juge que n'est pas créancier apparent le tiers qui usurpe l'identité du créancier. En clair, une entreprise qui paie sur un faux RIB transmis par un escroc n'est pas libérée de sa dette. Elle a payé, et elle doit payer une seconde fois.

‍

Mises bout à bout, ces décisions dessinent une répartition nouvelle. Le particulier victime d'une opération non autorisée est remboursé d'abord. L'entreprise qui paie sur un faux RIB reste débitrice. Et la banque qui a laissé passer l'ordre voit son principal moyen de défense se restreindre.

‍

Ce que cela coûte, en ordres de grandeur

‍

La question n'est pas théorique, parce que le virement est devenu le canal où la fraude se concentre en valeur.

‍

D'après le rapport 2025 de l'Observatoire de la sécurité des moyens de paiement, la fraude aux moyens de paiement en France atteint 1,241 milliard d'euros, dont 485 millions d'euros sur le virement, en hausse de 37 % en un an. Le virement représente désormais 39 % de la fraude en valeur.

‍

Le rapport précédent, portant sur 2024, donnait la mesure du décalage entre canaux. Le taux global de remboursement s'établissait à 91 % en nombre d'opérations et 62 % en montant. Mais derrière cette moyenne, l'écart est considérable : 98 % en montant pour les paiements par carte sans authentification forte, contre 20 % seulement pour les virements sans authentification forte, un niveau que l'Observatoire qualifiait lui-même de très insuffisant.

‍

Ce 20 % est le chiffre que la jurisprudence d'octobre 2026 vient bousculer. Si la règle devient « rembourser d'abord », l'écart entre canaux ne tient plus, et le virement cesse d'être le point du système où la perte reste chez le payeur par défaut.

‍

L'équation économique bascule vers la prévention

‍

Tant que la perte restait majoritairement supportée par le client, le coût d'une fraude au virement était, pour l'établissement, un coût de traitement et de réputation. La charge financière, elle, était ailleurs.

‍

Si la perte est avancée par défaut, puis récupérée seulement quand le prestataire parvient à prouver la négligence grave, trois lignes de coût se cumulent : la trésorerie immobilisée, le contentieux pour la récupérer, et le risque de ne jamais la récupérer. Le tout sur un canal dont la fraude progresse de 37 % par an.

‍

Dans ce contexte, les leviers classiques perdent du rendement :

‍

• Contester après coup devient plus coûteux, puisque la contestation ne suspend plus le remboursement et que la charge de la preuve pèse sur le prestataire.
• Renforcer l'authentification ne traite pas le cœur du problème. La majorité de ces opérations sont authentifiées correctement : c'est le client lui-même, manipulé, qui valide. Et dans l'affaire du 8 octobre, le canal sécurisé existait, il n'a simplement pas été utilisé.
• Former les clients reste utile et reste insuffisant, les dispositifs d'ingénierie sociale étant précisément conçus pour neutraliser la vigilance.

‍

Reste le seul levier dont le rendement augmente quand la charge se déplace : empêcher l'opération de partir.

‍

Ce qui se contrôle avant le débit

‍

La prévention en temps réel ne consiste pas à vérifier une identité de plus, mais à vérifier si l'opération a du sens. Quelques points de contrôle, concrets, se jouent tous avant l'exécution :

‍

• La cohérence entre l'IBAN et le bénéficiaire annoncé. C'est l'objet du dispositif européen de vérification du bénéficiaire. C'est aussi, depuis l'arrêt du 17 juin 2026, un sujet de bilan pour une entreprise et plus seulement une bonne pratique comptable.
• Le changement de coordonnées bancaires sur un fournisseur connu, qui reste le mode opératoire le plus rentable de la fraude au virement en B2B.
• Le canal d'arrivée de l'ordre. L'arrêt du 8 octobre le dit à sa façon : accepter un ordre par un canal qui n'est pas celui convenu crée une exposition propre à l'établissement. Vérifier que l'instrument utilisé est bien l'instrument contractuel n'est pas une formalité, c'est devenu un point de défense.
• La rupture de comportement : un bénéficiaire jamais vu, un pays inhabituel, un montant hors série, une urgence anormale, une opération initiée depuis un appareil ou une session qui détonne.
• La traçabilité de la décision. Si la preuve de la négligence grave incombe au prestataire, encore faut-il disposer d'un dossier qui montre ce qui a été vu, quand, et sur quelle base la décision a été prise. Un contrôle non documenté n'est pas un contrôle opposable.

‍

Ce dernier point est celui qui change le plus de choses en interne. Un moteur qui bloque sans expliquer pourquoi ne sert à rien dans un contentieux. Ce qui sert, c'est un enchaînement lisible : voilà le signal observé, voilà le seuil, voilà la décision, voilà l'horodatage.

‍

Ce qu'il faut retenir

‍

Rien dans ces décisions n'oblige à acheter quoi que ce soit, et ce n'est pas le sujet. Le sujet est que la fenêtre où une fraude au virement peut encore être arrêtée sans coût s'est réduite à l'intervalle qui précède l'exécution. Après, la question n'est plus de savoir si la fraude était évitable, mais qui porte la perte pendant que les juges tranchent.

‍

C'est une bascule d'économie, pas de technologie. Elle a été actée par deux juridictions suprêmes en 8 jours, ce qui vaut mieux qu'un argumentaire commercial. Pour voir ce que donne ce type de contrôle appliqué à vos propres flux, planifiez une démo.

‍

FAQ

‍

Une banque peut-elle refuser de rembourser une opération non autorisée en invoquant la négligence du client ?

‍

Non, pas pour différer le remboursement lui-même. D'après l'arrêt de la Cour de justice de l'Union européenne du 15 octobre 2026 (affaire C-70/25), le prestataire doit rembourser immédiatement, au plus tard à la fin du premier jour ouvrable suivant la notification. La seule dérogation prévue est l'existence de bonnes raisons de soupçonner une fraude commise par le client, communiquées par écrit à l'autorité nationale compétente. La négligence grave relève de la répartition finale des pertes et se discute après le remboursement.

‍

Qui doit prouver la négligence grave ?

‍

Le prestataire de services de paiement. La Cour de justice le rappelle expressément dans son arrêt du 15 octobre 2026. Ce n'est pas au client de démontrer qu'il a été prudent, c'est au prestataire d'établir qu'il ne l'a pas été.

‍

Que change l'arrêt de la Cour de cassation du 8 octobre 2026 ?

‍

Il restreint le périmètre du grief de négligence grave. La négligence grave au sens de l'article L. 133-19, IV du code monétaire et financier se rattache aux obligations de l'article L. 133-16, qui portent sur l'instrument de paiement convenu entre les parties. Une banque qui a accepté d'exécuter un ordre arrivé par un canal qui n'était plus l'instrument convenu, en l'espèce une télécopie abandonnée depuis plusieurs années au profit d'un protocole sécurisé, ne peut donc pas opposer cette négligence à son client.

‍

Une entreprise qui a payé sur un faux RIB est-elle libérée de sa dette ?

‍

Non. Par un arrêt du 17 juin 2026 (pourvoi n° 24-13.306), la chambre commerciale de la Cour de cassation juge, au visa de l'article 1342-3 du code civil, que n'est pas créancier apparent le tiers qui usurpe l'identité du créancier. Le paiement n'est donc pas libératoire et le débiteur reste tenu envers son véritable créancier. Le fondement n'est pas la directive sur les services de paiement mais le droit commun du paiement.

‍

Quel est le montant de la fraude au virement en France ?

‍

485 millions d'euros en 2025, en hausse de 37 % en un an, soit 39 % de la fraude aux moyens de paiement en valeur, pour un total de 1,241 milliard d'euros. Source : rapport 2025 de l'Observatoire de la sécurité des moyens de paiement, publié en septembre 2026.

‍

L'authentification forte suffit-elle à se protéger ?

‍

Non, et c'est ce que montre la composition de la fraude. L'authentification forte vérifie qui agit, pas si l'action a du sens. Dans la majorité des fraudes au virement aujourd'hui, l'opération est authentifiée correctement parce que c'est le client lui-même, manipulé, qui la valide. Le contrôle utile porte donc sur la cohérence de l'opération : bénéficiaire, IBAN, canal d'arrivée de l'ordre, rupture de comportement.

‍

Sources : Cour de justice de l'Union européenne, arrêt du 15 octobre 2026, affaire C-70/25, et communiqué de presse n° 147/26 ; conclusions de l'avocat général Athanasios Rantos du 5 mars 2026 ; directive (UE) 2015/2366 sur les services de paiement, articles 69, 71, 72, 73 et 74 ; Cour de cassation, chambre commerciale, 8 octobre 2026, pourvoi n° 25-17.510, publié au Bulletin ; Cour de cassation, chambre commerciale, 17 juin 2026, pourvoi n° 24-13.306, publié au Bulletin et au rapport annuel ; Cour de cassation, chambre commerciale, 23 octobre 2024, pourvoi n° 23-16.267, publié au Bulletin ; articles L. 133-16 et L. 133-19 du code monétaire et financier ; article 1342-3 du code civil ; Banque de France, rapports 2024 et 2025 de l'Observatoire de la sécurité des moyens de paiement.