Faux RIB et virement bancaire : la banque peut-elle être responsable ?

La Cour de cassation admet, le 4 mars 2026, la responsabilité contractuelle de droit commun de la banque lorsqu’elle ne se borne pas à exécuter un IBAN fourni par le client, mais rédige elle-même l’ordre de virement sur la base d’un faux RIB.

Arrêt analysé
Cass. com., 4 mars 2026, n° 25-11.959, publié au Bulletin

Résumé 

Le 4 mars 2026, la chambre commerciale de la Cour de cassation rejette le pourvoi de BNP Paribas et confirme qu’une banque peut engager sa responsabilité contractuelle de droit commun lorsqu’elle ne se contente pas d’exécuter un ordre de paiement conforme à l’identifiant unique fourni par le client, mais rédige elle-même l’ordre de virement avant l’opération, alors que le RIB utilisé présentait des incohérences apparentes révélant un faux grossier.

Les parties au litige étaient, d’un côté, la société BNP Paribas, demanderesse au pourvoi, et, de l’autre, M. et Mme [K], ainsi qu’une SCP notariale, défendeurs à la cassation. L’arrêt attaqué provenait de la cour d’appel d’Amiens du 19 décembre 2024.

Le litige naît d’une fraude au virement dans le cadre d’une acquisition immobilière. Des acquéreurs ont transmis à leur banque un RIB qui imitait frauduleusement celui d’une étude notariale. La banque a ensuite établi l’ordre de virement, l’a soumis à signature, puis a exécuté l’opération. Les fonds ont été envoyés vers un compte inconnu.

L’effet direct de la décision est important : la Cour de cassation ne revient pas sur le principe d’exclusivité du régime spécial des articles L. 133-18 à L. 133-24 du code monétaire et financier lorsque la banque exécute simplement l’identifiant fourni. En revanche, elle ouvre clairement la voie au droit commun lorsque la banque dépasse ce rôle technique et participe elle-même à la confection de l’ordre de paiement.

Les faits

M. et Mme [K], clients de BNP Paribas, préparaient une acquisition immobilière financée en partie par un prêt accordé par cette banque. Ils avaient été destinataires, les 27 et 28 octobre 2020, de deux RIB distincts au nom de la SCP de notaires qui les assistait, puis, le 10 novembre 2020, d’un troisième RIB présenté comme émanant de la SCP de notaires des vendeurs, censée recevoir les fonds de l’acte.

Le 10 novembre 2020, en réponse à la demande de la banque, les acquéreurs ont adressé un décompte des sommes à verser et ce troisième RIB. Le même jour, la banque leur a envoyé un ordre de virement déjà complété avec les références bancaires figurant sur ce RIB. Les époux l’ont signé puis retourné à la banque.

Il est ensuite apparu que ce RIB avait été transmis depuis une adresse électronique imitant frauduleusement celle de la SCP notariale. Le virement, correspondant à l’apport personnel des acquéreurs, a crédité un compte dont le bénéficiaire est resté inconnu.

La procédure

Les 12 et 17 février 2021, M. et Mme [K] ont assigné la banque en soutenant qu’elle avait manqué à son obligation de vigilance. La cour d’appel d’Amiens, par arrêt du 19 décembre 2024, a retenu la responsabilité contractuelle de la banque et l’a condamnée à payer 60 343,69 euros aux époux [K]. BNP Paribas a formé un pourvoi en cassation. La Cour de cassation le rejette par arrêt du 4 mars 2026.

Les arguments des parties

BNP Paribas soutenait principalement que le régime de responsabilité prévu par les articles L. 133-18 à L. 133-24 du code monétaire et financier est exclusif de tout recours au droit commun. Elle faisait valoir que le virement avait été exécuté sur la base de l’identifiant unique fourni par les clients, de sorte que l’article L. 133-21 devait s’appliquer et exclure toute responsabilité de la banque, y compris en présence d’un faux RIB ou d’une fraude.

Les époux [K] soutenaient, au contraire, que la banque n’avait pas seulement exécuté un IBAN transmis par eux, mais avait établi elle-même l’ordre de virement à partir d’un document comportant des anomalies visuelles manifestes qu’un professionnel normalement diligent devait détecter.

Le raisonnement de la Cour de cassation

La Cour rappelle d’abord la teneur de l’article L. 133-21 du code monétaire et financier : un ordre de paiement exécuté conformément à l’identifiant unique fourni par l’utilisateur est réputé dûment exécuté pour le bénéficiaire désigné, et si cet identifiant est inexact, le prestataire n’est pas responsable de la mauvaise exécution ou de la non-exécution.

Elle rappelle ensuite la jurisprudence européenne issue notamment de l’arrêt CRCAM, selon laquelle le régime harmonisé de responsabilité des services de paiement ne peut pas être concurrencé par un régime national parallèle sur les mêmes faits et le même fondement, sauf à ne pas porter atteinte à l’effet utile du régime harmonisé.

Mais la Cour opère ici une distinction décisive. Elle énonce que le droit commun fondé sur l’article 1231-1 du code civil n’est pas applicable lorsque le prestataire exécute simplement un ordre conforme à l’identifiant unique fourni par l’utilisateur. En revanche, cette exclusion ne joue pas lorsque le prestataire « ne s’est pas borné à exécuter l’ordre de paiement ». Or, en l’espèce, la banque avait elle-même rédigé l’ordre de virement avant de le faire approuver par les clients.

La Cour approuve encore la cour d’appel d’avoir retenu que le RIB incorporé dans l’ordre de paiement comportait des incohérences apparentes et manifestes, révélatrices d’un faux grossier, qu’un professionnel normalement diligent ne pouvait ignorer. Dès lors, le manquement au devoir de vigilance relevait du droit commun contractuel et justifiait l’indemnisation des clients.

La solution retenue

Le pourvoi est rejeté. BNP Paribas est condamnée aux dépens et à payer aux époux [K] 3 000 euros au titre de l’article 700 du code de procédure civile, en plus de la condamnation indemnitaire prononcée au fond.

Textes légaux applicables

Article L. 133-21 du code monétaire et financier

« Un ordre de paiement exécuté conformément à l'identifiant unique fourni par l'utilisateur du service de paiement est réputé dûment exécuté pour ce qui concerne le bénéficiaire désigné par l'identifiant unique.
Si l'identifiant unique fourni par l'utilisateur du service de paiement est inexact, le prestataire de services de paiement n'est pas responsable de la mauvaise exécution ou de la non-exécution de l'opération de paiement.
Toutefois, le prestataire de services de paiement du payeur s'efforce de récupérer les fonds engagés dans l'opération de paiement. Le prestataire de services de paiement du bénéficiaire communique au prestataire de services de paiement du payeur toutes les informations utiles pour récupérer les fonds.
Si le prestataire de services de paiement du payeur ne parvient pas à récupérer les fonds engagés dans l'opération de paiement, il met à disposition du payeur, à sa demande, les informations qu'il détient pouvant documenter le recours en justice du payeur en vue de récupérer les fonds.
Si la convention de compte de dépôt ou le contrat-cadre de services de paiement le prévoit, le prestataire de services de paiement peut imputer des frais de recouvrement à l'utilisateur de services de paiement.
Si l'utilisateur de services de paiement fournit des informations en sus de l'identifiant unique ou des informations définies dans la convention de compte de dépôt ou dans le contrat-cadre de services de paiement comme nécessaires aux fins de l'exécution correcte de l'ordre de paiement, le prestataire de services de paiement n'est responsable que de l'exécution de l'opération de paiement conformément à l'identifiant unique fourni par l'utilisateur de services de paiement. »

Article 1231-1 du code civil

« Le débiteur est condamné, s'il y a lieu, au paiement de dommages et intérêts soit à raison de l'inexécution de l'obligation, soit à raison du retard dans l'exécution, s'il ne justifie pas que l'exécution a été empêchée par la force majeure. »

Comparaison avec la jurisprudence antérieure

1. Le socle initial : l’exécution conforme à l’identifiant unique exonère la banque

Cass. com., 24 janv. 2018, n° 16-22.336

Cet arrêt posait déjà clairement que, si l’identifiant unique fourni par l’utilisateur est inexact, le prestataire de services de paiement n’est pas responsable de la mauvaise exécution qui en résulte. C’est la matrice de lecture de l’article L. 133-21.

2. Le verrou européen : pas de concurrence avec le droit commun sur les mêmes faits

CJUE, 2 sept. 2021, CRCAM, C-337/20
Cette décision, reprise par la Cour de cassation, affirme que le régime harmonisé des opérations non autorisées ou mal exécutées ne peut être concurrencé par un régime national alternatif de responsabilité lorsqu’il repose sur les mêmes faits et le même fondement.

3. La réception en droit français

Cass. com., 9 févr. 2022, n° 17-19.441

La Cour de cassation y reprend expressément la leçon de la CJUE : un utilisateur ne peut contourner le régime spécial par une action fondée sur un autre régime lorsque la contestation concerne une opération relevant des règles de paiement harmonisées.

4. Le renforcement de l’exclusivité en 2024 et 2025

Cass. com., 27 mars 2024, n° 22-21.200

La Cour casse un arrêt qui avait retenu la responsabilité de la banque sur le fondement du devoir de vigilance de droit commun alors que le client contestait être l’auteur d’ordres frauduleux. Elle dit expressément que, dans une telle hypothèse, seul le régime des articles L. 133-18 à L. 133-24 est applicable.

Cass. com., 2 mai 2024, n° 22-18.074

Même logique pour des retraits et paiements opérés avec le doublon d’une carte bancaire : exclusion de tout régime de responsabilité de droit national.

Cass. com., 15 janv. 2025, n° 23-15.437

Cet arrêt est particulièrement proche du dossier de 2026. La Cour y juge que, lorsque la banque exécute un virement conformément à l’identifiant unique fourni par les clients, l’article L. 133-21 est exclusif de toute application des règles de droit commun et l’obligation de contrôle d’une anomalie apparente ne peut être invoquée sur ce terrain.

5. L’exception de champ d’application

Cass. com., 14 févr. 2024, n° 22-11.654

La Cour admet le recours au droit commun lorsque le régime spécial des services de paiement n’est pas applicable, ici parce que les virements litigieux avaient été réalisés dans une devise hors champ. Cette affaire montrait déjà que le droit commun n’avait pas disparu, mais seulement reculé.

6. La preuve de l’absence de déficience technique

Cass. com., 20 nov. 2024, n° 23-15.099

Cet arrêt rappelle que la banque qui entend opposer au client sa fraude ou sa négligence grave doit d’abord prouver que l’opération a été authentifiée, dûment enregistrée, comptabilisée, et qu’elle n’a pas été affectée par une déficience technique.

7. Le devoir de vigilance hors exclusivité du régime spécial

Cass. com., 2 mai 2024, n° 22-17.233

La Cour rappelle que le manquement au devoir de vigilance suppose une anomalie apparente obligeant la banque à procéder à des vérifications particulières. Cet arrêt ne portait pas sur un faux RIB notarial, mais il éclaire la notion d’“anomalie apparente” mobilisée en 2026.

Apport de l’arrêt du 4 mars 2026

L’arrêt du 4 mars 2026 n’abandonne pas la ligne sévère de 2024-2025. Il la précise. En réalité, la chambre commerciale dessine désormais trois hypothèses.

Première hypothèse : la banque exécute simplement un ordre ou un identifiant unique fourni par le client. Le régime spécial est exclusif et le droit commun est écarté.

Deuxième hypothèse : l’affaire est en dehors du champ du régime spécial, par exemple en raison de la devise ou d’un autre critère de champ d’application. Le droit commun redevient possible.

Troisième hypothèse, nouvelle et décisive : le régime spécial est en principe présent, mais la banque ne se limite pas au rôle d’exécutant technique. Lorsqu’elle rédige elle-même l’ordre de paiement et y incorpore un faux RIB manifestement incohérent, elle s’expose à une responsabilité contractuelle de droit commun.

Autrement dit, la frontière jurisprudentielle ne passe plus seulement par la distinction entre opération autorisée et non autorisée, ni seulement par le champ d’application des textes spéciaux. Elle passe aussi par le rôle concret joué par la banque dans la construction de l’ordre de paiement. C’est l’apport majeur de l’arrêt.

Portée pratique pour les particuliers et professionnels

Cette décision intéresse directement les victimes d’escroquerie au virement lors d’achats immobiliers, notamment lorsqu’un faux RIB prétend émaner d’un notaire, d’un agent immobilier ou d’un professionnel intervenant à la vente. L’arrêt montre qu’une action utile contre la banque reste envisageable lorsque celle-ci a participé activement à l’émission de l’ordre de paiement sans détecter des incohérences manifestes.

Pour les banques, le message est clair : l’automatisme de l’article L. 133-21 protège l’exécution technique, pas une intervention positive dans la préparation de l’ordre lorsque des anomalies évidentes sautent aux yeux d’un professionnel diligent.

Pour les clients, la conservation des échanges, des RIB reçus, des courriels, des formulaires de virement préparés par la banque et des signatures apposées devient déterminante. En pratique contentieuse, l’enjeu sera souvent de démontrer qui a réellement “rédigé” l’ordre de paiement et à partir de quels éléments. Cette dernière proposition est une déduction pratique tirée de la motivation de l’arrêt.

Regard critique sur la décision

La solution est juridiquement convaincante, parce qu’elle évite une impunité de fait dans des dossiers de fraude au RIB où la banque n’a pas été un simple exécutant passif. Elle maintient l’autorité du droit européen et du régime harmonisé, tout en refusant de l’étendre au-delà de sa fonction.

Elle laisse toutefois subsister une zone de débat : à partir de quel degré d’intervention peut-on considérer que la banque n’a plus seulement exécuté, mais a “rédigé” l’ordre ? La motivation de l’arrêt invite à une appréciation concrète, fondée sur les documents, l’initiative prise par la banque et le caractère visible des anomalies. C’est une inférence raisonnable à partir de la décision, non une formule textuellement énoncée par elle.

Accompagnement personnalisé

Cette analyse concerne à la fois le droit de la responsabilité et un contexte d’acquisition immobilière. Elle entre donc pleinement dans les domaines dans lesquels la SELARL Philippe GONET, avocat à Saint-Nazaire, peut accompagner les justiciables. Le site du cabinet présente notamment une activité en droit de l’immobilier, droit de la famille, indemnisation du préjudice corporel et responsabilité professionnelle, ainsi qu’une implantation au 2 rue du Corps de Garde, 44600 Saint-Nazaire.

Dans une ville comme Saint-Nazaire et, plus largement, en Loire-Atlantique, où les transactions immobilières sont nombreuses, les fraudes au faux RIB dans les ventes immobilières sont un risque très concret pour les particuliers. Lorsqu’un achat, une vente ou un versement notarial tourne mal, un accompagnement juridique rapide permet de sécuriser les preuves, d’identifier les responsabilités possibles et d’agir contre les bons interlocuteurs. Cette dernière phrase relève d’un conseil pratique général.