Le virement bancaire est un moyen de paiement courant, rapide et sécurisé. Mais il n’est pas sans risque. En effet, il peut être détourné par des escrocs qui utilisent des techniques de phishing, de hacking ou de spoofing pour obtenir les coordonnées bancaires des victimes et leur faire croire qu’ils doivent effectuer un virement urgent à un tiers. Ces fraudes au virement bancaire peuvent causer des préjudices financiers importants aux particuliers et aux professionnels.
Que faire en cas de fraude avérée ? Quels sont les recours possibles pour se faire rembourser ? Comment les éviter à l’avenir ?
Quand la procédure de recall (retour des fonds) ne fonctionne pas, vous n’êtes pas sans solution.
Cet article vous apporte des éléments de réponse.
Qu’est-ce que la fraude au virement bancaire ?
La fraude au virement bancaire est une escroquerie qui consiste à faire croire à une personne qu’elle doit effectuer un virement bancaire à un bénéficiaire qui n’est pas celui qu’elle croit. Le fraudeur se fait passer pour un proche, un fournisseur, un organisme officiel ou une banque, et lui envoie un message (par mail, SMS, téléphone, etc.) lui demandant de réaliser un virement urgent pour une raison quelconque (paiement d’une facture, remboursement d’un trop-perçu, confirmation d’une transaction, etc.). Le message contient généralement un lien vers un site internet frauduleux qui ressemble à celui de la banque de la victime, ou un RIB falsifié. La victime, qui croit agir en toute confiance, effectue alors le virement sur le compte du fraudeur, qui s’empresse de retirer les fonds.
Quels sont les différents types de fraude bancaire ?
Il existe plusieurs types de fraudes au virement bancaire (faux ordre de virement ou FOVI ), selon le profil de la victime et la méthode utilisée par le fraudeur :
La fraude au président (escroquerie au président)
La fraude au président (escroquerie au président) : le fraudeur se fait passer pour le dirigeant d’une entreprise ou d’une organisation, et contacte un salarié ou un collaborateur pour lui demander d’effectuer un virement confidentiel et urgent à un tiers, sous prétexte d’une opération financière, d’une acquisition, d’un litige, etc. Le salarié, qui croit obéir à son supérieur hiérarchique, exécute l’ordre sans vérifier l’identité du bénéficiaire ni l’authenticité du message. Sur son site, la DGCCRF explique les modalités de l’escroquerie « au président » : le fraudeur contacte, par courriel ou téléphone, le service comptable d’une entreprise, en se faisant passer pour le président de la société mère. Après quelques échanges destinés à instaurer la confiance, le fraudeur demande que soit réalisé un virement international non planifié, au caractère urgent et confidentiel. Le comptable sollicité s’exécute, après avoir reçu les références du compte étranger à créditer.
La fraude au fournisseur
La fraude au fournisseur : le fraudeur se fait passer pour un fournisseur habituel d’une entreprise, et lui envoie un mail lui indiquant un changement de ses coordonnées bancaires, ou lui demandant de régler une facture en urgence. L’entreprise, qui ne se méfie pas, effectue le virement sur le compte du fraudeur, au lieu de celui du véritable fournisseur.
La fraude au faux support technique ou l’escroquerie à l’informatique
La fraude au faux support technique ou l’escroquerie à l’informatique : le fraudeur se fait passer pour un technicien d’un service informatique ou d’une plateforme en ligne, et contacte une personne pour lui signaler un problème technique ou une mise à jour à effectuer sur son ordinateur ou son compte. Il lui demande alors de lui communiquer ses identifiants et mots de passe, ou de lui donner accès à distance à son ordinateur, afin de résoudre le problème. Le fraudeur profite alors de cette intrusion pour accéder aux comptes bancaires de la victime et effectuer des virements à son profit. Les escrocs peuvent se faire passer pour l’éditeur du logiciel de comptabilité ou pour un responsable informatique, afin de réaliser des opérations frauduleuses en prenant le contrôle du poste informatique d’un agent.
La fraude au faux proche
La fraude au faux proche : le fraudeur se fait passer pour un ami, un parent ou un conjoint de la victime, et lui envoie un message lui demandant de l’aide financière en urgence, sous prétexte d’un accident, d’une maladie, d’un voyage, etc. La victime, qui veut aider son proche, effectue le virement sans se douter qu’il s’agit d’un imposteur.
La fraude à la fausse entreprise
La fraude à la fausse entreprise : la victime contracte avec une société qui n’existe pas et ne livrera jamais le produit ou la prestation payée.
Le changement de RIB via usurpation d’identité
Le changement de RIB via usurpation d’identité Les fraudeurs contactent (téléphone, courrier, courriel) un agent de la collectivité ou de la trésorerie, en se faisant passer pour un fournisseur ou pour une société d’affacturage. Ils demandent que les versements de la collectivité soient dirigés vers un nouveau compte bancaire, le plus souvent domicilié à l’étranger. Les escrocs collectent en amont de nombreux renseignements sur le fournisseur, sur la collectivité et sur leurs liens respectifs. Cette connaissance, associée à des éléments convaincants (ton persuasif, utilisation des logos du fournisseur, etc.), est la clé de la réussite de la fraude.
Une opération de paiement est une action consistant à verser, transférer ou retirer des fonds, indépendamment de toute obligation sous-jacente entre le payeur et le bénéficiaire, initiée par le payeur, ou pour son compte, ou par le bénéficiaire (C. mon. fin. art. L 133-3, I).
La question essentielle : l’opération de paiement est-elle autorisée ?
La question fondamentale pour l’indemnisation est celle de savoir si le paiement a été autorisée.
Aux termes de l’article 133-6, I. du même code, « Une opération de paiement est autorisée si le payeur a donné son consentement à son exécution ».
C’est à dire, que dès lors que le titulaire du compte est à l’origine de l’ordre de paiement/virement et que cet ordre n’a pas été falsifié par la suite, l’opération de paiement est autorisée.
L’autorisation du payeur doit concerner l’ordre de paiement tel qu’il parvient à son prestataire de services de paiement.
Par exemple dans le cas d’une fraude au président même si le paiement n’a pas de fondement juridique ou même si le destinataire n’est pas celui auquel les fonds auraient dû être versés, l’opération de paiement reste autorisée dès lors que le payeur a de lui-même rentré un IBAN et a demandé à la banque de faire le virement.
L’opération de paiement non autorisée
C’est le premier cas de remboursement sur le fondement de la responsabilité sans faute de la banque.
Dans le cas d’une opération de paiement non autorisée, la banque rembourse généralement 100%. Ce cas ne pose pas de problème car il n’est pas nécessaire de prouver une faute de la banque et les présomptions jouent pour le payeur.
Dans quels cas l’opération de paiement n’est pas autorisée ?
Il appartient à la banque de prouver que l’opération de paiement était autorisée et « l’utilisation de l’instrument de paiement telle qu’enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l’opération a été autorisée par le payeur ».
Voici des cas dans lesquels l’opération de paiement n’est pas autorisée :
- L’ordre de paiement a été donné par l’escroc, par exemple après le vol des moyens de paiement (carte bancaire, chèque). Par exemple, On vole votre Carte bleue et on l’utilise en sans contact ;
- Virement falsifié après sa rédaction régulière mais avant sa réception par le prestataire de paiement (la banque), l’ordre de paiement a été falsifié en cours de route après interceptation de l’escroc : le numéro IBAN du compte destinataire, régulier quand le client l’a rédigé, a été ultérieurement modifié par un tiers à l’insu du donneur d’ordre (par exemple dans le cas d’un ordre de virement envoyé par la Poste) (Cour de cassation, Chambre commerciale, 1 juin 2023, 21-19.289 21-21.831, Publié au bulletin).
- Le payeur n’avait pas l’autorisation de réaliser le virement : montant dépassant le plafond, montant hors zone SEPA, etc.
Attention : le banquier ne peut être tenu pour responsable de la mauvaise exécution de l’opération de paiement si l’identifiant unique (IBAN) fourni par l’utilisateur du service de paiement est inexact. (Cass. com. 24 janv. 2018, n° 16-22.336 ; Cour d’appel, Reims, Chambre civile, 1re section, 4 Janvier 2022 – n° 20/01551)
L.133-21 du Code monétaire et financier
Quelle est la conséquence de la qualification d’opération de paiement non autorisée ?
Aux termes de l’article L. 133-18 du code monétaire et financier, en cas d’opération de paiement non autorisée signalée par l’utilisateur dans les conditions prévues à l’article L. 133-24 du Code monétaire et financier, le prestataire de services de paiement du payeur rembourse immédiatement au payeur le montant de l’opération non autorisée et, le cas échéant, rétablit le compte débité dans l’état où il se serait trouvé si l’opération de paiement non autorisée n’avait pas eu lieu.
–> Le remboursement est intégral, automatique et de plein droit.
Comment peut se défendre la banque ?
L’article L. 133-19 du Code monétaire et financier dispose que le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées en cas
- d’agissement frauduleux de sa part
- ou si le payeur n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17 du code monétaire et financier.
En dehors de ces deux cas de fraude ou de négligence grave, la banque doit rembourser l’intégralité des sommes versées par erreur.
L’opération de paiement autorisée : quelle responsabilité pour faute de la banque ?
Si l’opération de paiement a été autorisée, par exemple si l’IBAN renseigné par le donneur d’ordres s’est révélé a posteriori être celui d’un escroc, alors il est cependant toujours possible d’engager la responsabilité contractuelle de la banque.
La banque doit vérifier la régularité apparente des ordres de paiement que son client lui adresse. Elle doit notamment faire preuve d’une vigilance particulière lorsque les mouvements du compte sont de nature suspecte (Cass. com. 22-11-2011 no 10-30.101 F-PB : RJDA 2/12 no 190 ; Cass. com. 5-4-2023 no 21-22.300 F-D : RJDA 10/23 no 536). Mais cette obligation de vigilance se confronte à celle qui impose au banquier de ne pas s’immiscer dans les affaires de son client (par exemple, Cass. com. 5-6-2007 no 06-12.632 F-D : RJDA 11/07 no 1151 ; Cass. com. 27-11-2012 no 11-19.311 FS-D : RJDA 4/13 no 357). De cette articulation découle la règle rappelée par la Haute Juridiction dans l’affaire commentée : dès lors que les ordres ne comportent aucune anomalie apparente, la banque n’est pas tenue de procéder à des vérifications particulières (Cass. com. 2-5-2024 no 22-18.454 F-D : BRDA 11/24 inf. 15).
Le principe de non-ingérence du banquier
La jurisprudence a dégagé le principe de non-ingérence (ou de non-immixtion) du banquier dans les affaires des clients et leur gestion, dicté par le bon sens et le respect de la liberté de chacun. Il signifie d’abord qu’il n’a pas à accomplir des opérations de son propre chef pour le compte du client ni agir sans ordre de ce dernier(Com. 5 juin 2007, no 06-12.632 )
Les limites au principe de non-ingérence
Si l’établissement d’un faux ordre de virement a été rendu possible à la suite d’une faute du titulaire du compte ou de l’un de ses préposés, la banque n’est tenue envers lui que si elle a elle-même commis une négligence et ce, seulement pour la part de responsabilité en résultant.
La présence d’anomalies apparentes
Le concept clé pour engager la responsabilité de la banque est de prouver que les ordres de paiement comportaient une ou plusieurs anomalie apparente qui aurait obligé la banque à procéder à des vérifications particulières.
Le principe de non-ingérence n’exclut pas le devoir de vigilance du banquier, lui imposant notamment de s’assurer que les instructions et ordres qu’il exécute émanent bien des personnes ayant qualité pour les donner(Nancy, 2e ch. civ., 4 juill. 2013, RG no 11/01103, RJDA 2013, no 1044.).
Classiquement, cette responsabilité requiert l’existence d’une faute de la banque qui est retenue lorsqu’il existe une ou plusieurs anomalies (Cass. Com. 31 janvier 2017, pourvoi n°15-17498).
Le donneur d’ordres doit prouver la faute ou la négligence de la banque ou sa connaissance du caractère frauduleux de l’opération qui seront révélés par une ou plusieurs anomalies apparentes (Cass. com., 3 janvier 1977, n° 75-11.853, publié au bulletin ; Cass. com., 15 novembre 2016, n° 15-14.133, F-D ; Cass. com., 25 septembre 2019, n° 18-15.965, F-D ).
A réception de l’ordre de virement le banquier du donneur d’ordre, nonobstant son obligation de non-ingérence, est : (Cass. Com. 31 janvier 2017, pourvoi n°15-17498)
- investi d’une mission de vérification de cet ordre afin de déceler les éventuelles anomalies apparentes, que ces dernières soient matérielles ou intellectuelles,
- de tout mettre en oeuvre, en présence d’une telle anomalie apparente, pour éviter le préjudice qui résulterait pour elle ou son client de réaliser cette opération
L’anomalie apparente est celle qui ne doit pas échapper au banquier suffisamment prudent et diligent (Cour d’appel, Amiens, Chambre économique, 28 Juillet 2020 – n° 17/04624). Ce devoir de vigilance emporte ainsi pour l’établissement bancaire l’obligation de se rapprocher de son client et de le mettre en garde sur l’opération bancaire dont l’exécution est sollicitée et qui apparait comme suspecte (Cour d’appel, Paris, Pôle 1, chambre 8, 4 Juin 2021 – n° 20/15763 ; Cour d’appel, Lyon, 1re chambre civile A, 9 Janvier 2020 – n° 16/02368). Lorsque le Banquier manque à ce devoir de vigilance, sa responsabilité́ se trouve engagée de plein droit sans qu’il ne puisse, par la suite, invoquer une quelconque absence de faute pour tenter d’éluder sa responsabilité́. (CA Paris, 3 janv. 1975 : Banque 1975, 325 ; RTD com. 1975, 151, obs. M. Cabrillac et J.-L. Rives-Lange ; CA Paris, 21 janv. 1992 : Banque 1992, 845, note J.-L. Rives-Lange ; CA Paris, 15e ch., sect. A, 19 nov. 1997 : D. 1998).
Exemples d’anomalies apparentes
Un bonus argentarius ne saurait accepter sans réagir une opération :
- présentant une anomalie apparente(Com. 10 déc. 2003, no 00-18.653 , P IV, no 200 – Com. 7 juill. 2009, no 08-18.251)
- par exemple en ne décelant pas une signature apparemment différente de celle du titulaire du compte(Cass. com. 10-10-2000 no 98-10.831 F-D : RJDA 1/01 no 66 ; Cass. com. 8-11-2005 no 03-20.402 F-D : RJDA 3/06 no 315 ; Cass. com. 31-1-2017 no 15-17.498 F-D : JCP E 2017.1246 no 29 obs. Causse).
- ou qui est manifestement irrégulière ou inhabituelle dans la pratique commerciale ou dans les habitudes du client(Com. 28 oct. 1974, no 72-14.397 , P IV, no 264 – Com. 11 janv. 1983, no 81-14.155 , P IV, no 11 – Civ. 1re, 8 févr. 1983, no 81-14.573 , P I, no 51 – Com. 30 oct. 1984, no 83-12.997 , P IV, no 285 – Paris, 13 juill. 1990, D. 1990. IR 223 – Com. 11 mai 2010, no 09-67.131 , NP, RJDA 2010, no 993, 2e esp) (ainsi pour un virement, important et international, hors des habitudes du client( Paris, 12 janv. 1996, D. 1996. 507) ;
- Qui est le préposé demandeur au paiement : interlocuteur habituel ou non ?
- La signature erronée
- Le MONTANT :
- un virement important mettant pour la première fois le compte à découvert(Com. 27 févr. 1996, no 94-15.176 ) ;
- des montants anormaux des chèques émis par rapport aux revenus du couple titulaire du compte [le banquier aurait dû attirer l’attention de ses clients sur l’importance des mouvements susceptibles de mettre leur équilibre financier en péril, ce qui leur aurait permis de découvrir que les chèques étaient émis frauduleusement par leur employée de maison(Versailles, 2 oct. 1998, D. 1998. IR 258 )] ;
- un découvert anormal(Paris, 9 févr. 1999, JCP E 1999. Pan. 789.) ;
- une opération inhabituelle et complexe, nécessitant des vérifications afin d’en déterminer la justification économique(Paris, 5 mars 2002, D. 2002. 1897, note V. Avena-Robardet .)
- Caractère inhabituel
- Comptes destinataires situés à l’international ou en zone à risque
- Montant disproportionné par rapport aux opérations habituelles
- Zones géographiques destinataires sans lien avec les opérations habituelles
- Objet/justification du virement sans lien avec le client (exemple : “due diligence internationale” pour un retraité)
- Compte déjà “red flagged” par la banque en interne
Le devoir de conseil
La banquier doit avertir son client sur les fraudes “populaires” en cours et les moyens de s’en prémunir (emails d’informations, pop-up, etc.)
Quelle indemnisation ?
En général, et selon la nature des fautes, le tribunal procèdera à un partage en pourcentage de la faute entre la banque et le donneur d’ordres.
Le fondement juridique de la responsabilité de la banque
En cas de virements effectués sans l’autorisation du titulaire du compte, la responsabilité de la banque ne peut être recherchée que sur le fondement de l’article L 133-18 du Code monétaire et financier, et pas sur celui de la responsabilité contractuelle de droit commun. Il s’agit d’un Régime exclusif de responsabilité du prestataire de services de paiement pour virement non autorisé. Cass. com. 27-3-2024 no 22-21.200 FS-B, Sté Banque populaire Alsace Lorraine Champagne c/ Sté Systran Software Inc.
Le régime exclusif de l’article L 133-18 du Code monétaire et financier
La réglementation relative aux opérations de paiement non autorisées est issue des articles 58 à 60 de la directive 2007/64 du 13 novembre 2007 (dite « DSP1 »), qui ont été transposés dans le Code monétaire et financier par l’ordonnance 2009-866 du 15 juillet 2009.
L’article L 133-18 de ce Code dispose que, en cas d’opération de paiement non autorisée signalée par l’utilisateur dans les conditions de l’article L 133-24, le prestataire de services de paiement doit lui rembourser le montant de l’opération et, le cas échéant, rétablir le compte débité dans l’état où il se serait trouvé si l’opération n’avait pas eu lieu. L’article L 133-24 prévoit que l’utilisateur doit signaler à son prestataire l’opération non autorisée ou mal exécutée au plus tard dans les treize mois suivant la date de débit sous peine de forclusion, à moins que le prestataire ne lui ait pas fourni ou n’ait pas mis à sa disposition les informations relatives à cette opération. Les parties peuvent convenir d’un autre délai, sauf si l’utilisateur est une personne physique agissant pour des besoins non professionnels (même art.).
La Cour de justice de l’Union européenne a considéré que les articles 58 et 60, 1 de la directive 2007/64 s’opposent à ce qu’un utilisateur de services de paiement puisse engager la responsabilité du prestataire de ces services sur le fondement d’un régime de responsabilité autre que celui prévu par ces dispositions lorsque cet utilisateur a manqué à son obligation de notification dans les treize mois de la date du débit prévue à l’article 58 (CJUE 2-9-2021 aff. 337/20 : RJDA 12/21 no 791). Dans le même sens, elle a jugé que le régime de responsabilité prévu par la directive a fait l’objet d’une harmonisation totale, ce qui a pour conséquence de rendre incompatibles avec ladite directive tant un régime de responsabilité parallèle au titre d’un même fait générateur qu’un régime de responsabilité concurrent qui permettrait à l’utilisateur d’engager cette responsabilité sur le fondement d’autres faits générateurs (CJUE 16-3-2023 aff. 351/21).
La décision commentée s’inscrit dans le droit-fil de cette jurisprudence européenne. Elle est transposable au régime issu de la directive 2015/2366 du 25 novembre 2015 (« DSP2 »), qui a abrogé et remplacé la directive 2007/64 sans remettre en cause les dispositions précitées.
2o La caution d’un utilisateur de services de paiement peut quant à elle invoquer la responsabilité contractuelle de droit commun du prestataire qui a procédé à des virements non autorisés par cet utilisateur, même quand ce dernier n’a pas contesté l’opération dans le délai de treize mois (CJUE 2-9-2021 aff. 337/20 précité ; Cass. com. 9-2-2022 no 17-19.441 FS-B : RJDA 6/22 no 361).
L’inapplication du régime de responsabilité contractuelle de droit commun
La responsabilité contractuelle de droit commun prévue par l’article 1231-1 du Code civil n’est pas applicable en présence d’un régime de responsabilité exclusif. Dès lors que la responsabilité d’un prestataire de services de paiement est recherchée en raison d’une opération de paiement non autorisée ou mal exécutée, seul est applicable le régime de responsabilité défini aux articles L 133-18 à L 133-24 du Code monétaire et financier, qui transposent les articles 58, 59 et 60, 1 de la directive 2007/64 du 13 novembre 2007, à l’exclusion de tout régime alternatif de responsabilité résultant du droit national. La Cour de cassation a été appelée à rappeler cette règle, issue de la jurisprudence de la Cour de justice de l’Union européenne, à l’occasion des faits suivants.
Une société ayant constaté que des virements avaient été effectués depuis son compte bancaire sans son consentement, sur ordre d’un tiers ayant piraté la messagerie électronique de son dirigeant, poursuit sa banque en restitution des sommes ainsi versées et en paiement de dommages-intérêts.
Une cour d’appel condamne la banque à payer la société sur le fondement de l’article 1231-1 du Code civil, en retenant qu’il ressortait des éléments de preuve que le dirigeant de la société n’était pas à l’origine des ordres qui avaient été exécutés et qu’en les exécutant, alors qu’ils présentaient des anomalies apparentes, la banque avait manqué à son devoir contractuel de vigilance.
La Haute Juridiction casse cette décision : dès lors que la société contestait être l’auteur des ordres de transfert des fonds litigieux, la responsabilité de la banque ne pouvait être recherchée que sur le fondement de l’article L 133-18 du Code monétaire et financier.
Cass. com. 27-3-2024 no 22-21.200 FS-B, Sté Banque populaire Alsace Lorraine Champagne c/ Sté Systran Software Inc.
L’assurance moyens de paiement
Enfin, l’assurance moyens de paiements (le virement est un moyen de paiement) proposée par votre banque permet dans certains cas de couvrir une partie des pertes.
Bonjour
j ai subi des virements frauduleux sur le compte de ma mère (compte-joint avec moi même sa fille) suite a une arnaque Paylib ou j ai donné mes codes et identifiants. J ai déposé une plainte auprès de la gendarmerie avec toutes les preuves d une fraude au virements, mais ma banque ne veut pas rembourser les 1200 euros qui ont été détournés.
Ma mère qui a 84 ans touche une petite pension et moi je suis seule et je touche un smic, cela nous met vraiment dans l embarras. Je sais que l erreur est de ma faute et je culpabilise car les virements ont été fait sur le compte de ma mère. J aimerai savoir s il y aurai un moyen après le refus de la banque, de récupérer cet argent. Si aucune solution n est possible, je vais devoir rembourser mensuellement a ma maman la perte qu elle a eu et ce qui me bouleverse, c est que je ne sais pas si j aurai le temps de rembourser toute cette dette avant qu elle nous quitte car je ne pourrai donner que de petites mensualités.
Je cherche de l aide ou je peux.
cordialement