Fraude bancaire : comment se faire rembourser par la banque ?

La fraude bancaire peut prendre de multiples formes et notamment la fraude à la carte bancaire ou la fraude au virement bancaire.

Le virement bancaire est un moyen de paiement courant, rapide et sécurisé. Mais il n’est pas sans risque. En effet, il peut être détourné par des escrocs qui utilisent des techniques de phishing, de hacking ou de spoofing pour obtenir les coordonnées bancaires des victimes et leur faire croire qu’ils doivent effectuer un virement urgent à un tiers. Ces fraudes au virement bancaire peuvent causer des préjudices financiers importants aux particuliers et aux professionnels.

En cas d’opération de paiement non autorisée signalée par l’utilisateur dans les conditions de l’article L 133-24, le prestataire de services de paiement doit lui rembourser le montant de l’opération et, le cas échéant, rétablir le compte débité dans l’état où il se serait trouvé si l’opération n’avait pas eu lieu (C. mon. fin. art. L 133-18).

Que faire en cas de fraude avérée ? Quels sont les recours possibles pour se faire rembourser ? Comment les éviter à l’avenir ?

Quand la procédure de recall (retour des fonds) ne fonctionne pas, vous n’êtes pas sans solution.

Cet article vous apporte des éléments de réponse.

Fraude au conseiller bancaire (spoofing) : comment se faire rembourser par sa banque ?

Qu’est-ce que la fraude au virement bancaire ? Quels sont les différents types de fraude bancaire ?

La fraude au virement bancaire est une escroquerie qui consiste à faire croire à une personne qu’elle doit effectuer un virement bancaire à un bénéficiaire qui n’est pas celui qu’elle croit. Le fraudeur se fait passer pour un proche, un fournisseur, un organisme officiel ou une banque, et lui envoie un message (par mail, SMS, téléphone, etc.) lui demandant de réaliser un virement urgent pour une raison quelconque (paiement d’une facture, remboursement d’un trop-perçu, confirmation d’une transaction, etc.). Le message contient généralement un lien vers un site internet frauduleux qui ressemble à celui de la banque de la victime, ou un RIB falsifié. La victime, qui croit agir en toute confiance, effectue alors le virement sur le compte du fraudeur, qui s’empresse de retirer les fonds.

Il existe plusieurs types de fraudes au virement bancaire (faux ordre de virement ou FOVI ), selon le profil de la victime et la méthode utilisée par le fraudeur :

La fraude au président (escroquerie au président)

La fraude au président (escroquerie au président) : le fraudeur se fait passer pour le dirigeant d’une entreprise ou d’une organisation, et contacte un salarié ou un collaborateur pour lui demander d’effectuer un virement confidentiel et urgent à un tiers, sous prétexte d’une opération financière, d’une acquisition, d’un litige, etc. Le salarié, qui croit obéir à son supérieur hiérarchique, exécute l’ordre sans vérifier l’identité du bénéficiaire ni l’authenticité du message. Sur son site, la DGCCRF explique les modalités de l’escroquerie « au président » : le fraudeur contacte, par courriel ou téléphone, le service comptable d’une entreprise, en se faisant passer pour le président de la société mère. Après quelques échanges destinés à instaurer la confiance, le fraudeur demande que soit réalisé un virement international non planifié, au caractère urgent et confidentiel. Le comptable sollicité s’exécute, après avoir reçu les références du compte étranger à créditer.

La fraude au fournisseur

La fraude au fournisseur : le fraudeur se fait passer pour un fournisseur habituel d’une entreprise, et lui envoie un mail lui indiquant un changement de ses coordonnées bancaires, ou lui demandant de régler une facture en urgence. L’entreprise, qui ne se méfie pas, effectue le virement sur le compte du fraudeur, au lieu de celui du véritable fournisseur.

La fraude au faux support technique ou l’escroquerie à l’informatique

La fraude au faux support technique ou l’escroquerie à l’informatique : le fraudeur se fait passer pour un technicien d’un service informatique ou d’une plateforme en ligne, et contacte une personne pour lui signaler un problème technique ou une mise à jour à effectuer sur son ordinateur ou son compte. Il lui demande alors de lui communiquer ses identifiants et mots de passe, ou de lui donner accès à distance à son ordinateur, afin de résoudre le problème. Le fraudeur profite alors de cette intrusion pour accéder aux comptes bancaires de la victime et effectuer des virements à son profit. Les escrocs peuvent se faire passer pour l’éditeur du logiciel de comptabilité ou pour un responsable informatique, afin de réaliser des opérations frauduleuses en prenant le contrôle du poste informatique d’un agent.

La fraude au faux proche

La fraude au faux proche : le fraudeur se fait passer pour un ami, un parent ou un conjoint de la victime, et lui envoie un message lui demandant de l’aide financière en urgence, sous prétexte d’un accident, d’une maladie, d’un voyage, etc. La victime, qui veut aider son proche, effectue le virement sans se douter qu’il s’agit d’un imposteur.

La fraude à la fausse entreprise

La fraude à la fausse entreprise : la victime contracte avec une société qui n’existe pas et ne livrera jamais le produit ou la prestation payée.

Le changement de RIB via usurpation d’identité

Le changement de RIB via usurpation d’identité Les fraudeurs contactent (téléphone, courrier, courriel) un agent de la collectivité ou de la trésorerie, en se faisant passer pour un fournisseur ou pour une société d’affacturage. Ils demandent que les versements de la collectivité soient dirigés vers un nouveau compte bancaire, le plus souvent domicilié à l’étranger. Les escrocs collectent en amont de nombreux renseignements sur le fournisseur, sur la collectivité et sur leurs liens respectifs. Cette connaissance, associée à des éléments convaincants (ton persuasif, utilisation des logos du fournisseur, etc.), est la clé de la réussite de la fraude.

Une opération de paiement est une action consistant à verser, transférer ou retirer des fonds, indépendamment de toute obligation sous-jacente entre le payeur et le bénéficiaire, initiée par le payeur, ou pour son compte, ou par le bénéficiaire (C. mon. fin. art. L 133-3, I).

La question essentielle : l’opération de paiement est-elle autorisée ?

La question fondamentale pour l’indemnisation est celle de savoir si le paiement a été autorisée.

Aux termes de l’article 133-6, I. du même code, « Une opération de paiement est autorisée si le payeur a donné son consentement à son exécution ».

C’est à dire, que dès lors que le titulaire du compte est à l’origine de l’ordre de paiement/virement et que cet ordre n’a pas été falsifié par la suite, l’opération de paiement est autorisée.

L’autorisation du payeur doit concerner l’ordre de paiement tel qu’il parvient à son prestataire de services de paiement.

Par exemple dans le cas d’une fraude au président même si le paiement n’a pas de fondement juridique ou même si le destinataire n’est pas celui auquel les fonds auraient dû être versés, l’opération de paiement reste autorisée dès lors que le payeur a de lui-même rentré un IBAN et a demandé à la banque de faire le virement.

L’opération de paiement non autorisée

C’est le premier cas de remboursement sur le fondement de la responsabilité sans faute de la banque.

Dans le cas d’une opération de paiement non autorisée, la banque rembourse généralement 100%. Ce cas ne pose pas de problème car il n’est pas nécessaire de prouver une faute de la banque et les présomptions jouent pour le payeur.

Dans quels cas l’opération de paiement n’est pas autorisée ?

Il appartient à la banque de prouver que l’opération de paiement était autorisée et « l’utilisation de l’instrument de paiement telle qu’enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l’opération a été autorisée par le payeur ».

Voici des cas dans lesquels l’opération de paiement n’est pas autorisée :

1. L’ordre de paiement a été donné par l’escroc, par exemple après le vol des moyens de paiement (carte bancaire, chèque). Par exemple, On vole votre Carte bleue et on l’utilise en sans contact ;
2. Virement falsifié après sa rédaction régulière mais avant sa réception par le prestataire de paiement (la banque), l’ordre de paiement a été falsifié en cours de route après interceptation de l’escroc : le numéro IBAN du compte destinataire, régulier quand le client l’a rédigé, a été ultérieurement modifié par un tiers à l’insu du donneur d’ordre (par exemple dans le cas d’un ordre de virement envoyé par la Poste) (Cour de cassation, Chambre commerciale, 1 juin 2023, 21-19.289 21-21.831, Publié au bulletin).
3. Le payeur n’avait pas l’autorisation de réaliser le virement : montant dépassant le plafond, montant hors zone SEPA, etc.

Attention : le banquier ne peut être tenu pour responsable de la mauvaise exécution de l’opération de paiement si l’identifiant unique (IBAN) fourni par l’utilisateur du service de paiement est inexact. (Cass. com. 24 janv. 2018, n° 16-22.336 ; Cour d’appel, Reims, Chambre civile, 1re section, 4 Janvier 2022 – n° 20/01551)

L.133-21 du Code monétaire et financier

Quelle est la conséquence de la qualification d’opération de paiement non autorisée ?

Aux termes de l’article L. 133-18 du code monétaire et financier, en cas d’opération de paiement non autorisée signalée par l’utilisateur dans les conditions prévues à l’article L. 133-24 du Code monétaire et financier, le prestataire de services de paiement du payeur rembourse immédiatement au payeur le montant de l’opération non autorisée et, le cas échéant, rétablit le compte débité dans l’état où il se serait trouvé si l’opération de paiement non autorisée n’avait pas eu lieu.

–> Le remboursement est intégral, automatique et de plein droit.

Comment peut se défendre la banque ?

 L’article L. 133-19 du Code monétaire et financier dispose que le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées en cas

• d’agissement frauduleux de sa part
• ou si le payeur n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17 du code monétaire et financier.

En dehors de ces deux cas de fraude ou de négligence grave, la banque doit rembourser l’intégralité des sommes versées par erreur.

Le fondement juridique de la responsabilité de la banque en cas d’opération de paiement non autorisée

En cas de virements effectués sans l’autorisation du titulaire du compte, la responsabilité de la banque ne peut être recherchée que sur le fondement de l’article L 133-18 du Code monétaire et financier, et pas sur celui de la responsabilité contractuelle de droit commun. Il s’agit d’un Régime exclusif de responsabilité du prestataire de services de paiement pour virement non autorisé. Cass. com. 27-3-2024 no 22-21.200 FS-B, Sté Banque populaire Alsace Lorraine Champagne c/ Sté Systran Software Inc.

Le régime exclusif de l’article L 133-18 du Code monétaire et financier

La réglementation relative aux opérations de paiement non autorisées est issue des articles 58 à 60 de la directive 2007/64 du 13 novembre 2007 (dite « DSP1 »), qui ont été transposés dans le Code monétaire et financier par l’ordonnance 2009-866 du 15 juillet 2009.

L’article L 133-18 de ce Code dispose que, en cas d’opération de paiement non autorisée signalée par l’utilisateur dans les conditions de l’article L 133-24, le prestataire de services de paiement doit lui rembourser le montant de l’opération et, le cas échéant, rétablir le compte débité dans l’état où il se serait trouvé si l’opération n’avait pas eu lieu. L’article L 133-24 prévoit que l’utilisateur doit signaler à son prestataire l’opération non autorisée ou mal exécutée au plus tard dans les treize mois suivant la date de débit sous peine de forclusion, à moins que le prestataire ne lui ait pas fourni ou n’ait pas mis à sa disposition les informations relatives à cette opération. Les parties peuvent convenir d’un autre délai, sauf si l’utilisateur est une personne physique agissant pour des besoins non professionnels (même art.).

La Cour de justice de l’Union européenne a considéré que les articles 58 et 60, 1 de la directive 2007/64 s’opposent à ce qu’un utilisateur de services de paiement puisse engager la responsabilité du prestataire de ces services sur le fondement d’un régime de responsabilité autre que celui prévu par ces dispositions lorsque cet utilisateur a manqué à son obligation de notification dans les treize mois de la date du débit prévue à l’article 58 (CJUE 2-9-2021 aff. 337/20 : RJDA 12/21 no 791). Dans le même sens, elle a jugé que le régime de responsabilité prévu par la directive a fait l’objet d’une harmonisation totale, ce qui a pour conséquence de rendre incompatibles avec ladite directive tant un régime de responsabilité parallèle au titre d’un même fait générateur qu’un régime de responsabilité concurrent qui permettrait à l’utilisateur d’engager cette responsabilité sur le fondement d’autres faits générateurs (CJUE 16-3-2023 aff. 351/21).

La décision commentée s’inscrit dans le droit-fil de cette jurisprudence européenne. Elle est transposable au régime issu de la directive 2015/2366 du 25 novembre 2015 (« DSP2 »), qui a abrogé et remplacé la directive 2007/64 sans remettre en cause les dispositions précitées.

2o La caution d’un utilisateur de services de paiement peut quant à elle invoquer la responsabilité contractuelle de droit commun du prestataire qui a procédé à des virements non autorisés par cet utilisateur, même quand ce dernier n’a pas contesté l’opération dans le délai de treize mois (CJUE 2-9-2021 aff. 337/20 précité ; Cass. com. 9-2-2022 no 17-19.441 FS-B : RJDA 6/22 no 361).

L’inapplication du régime de responsabilité contractuelle de droit commun

dès lors que la responsabilité d’un prestataire de services de paiement est recherchée sur le fondement d’une opération de paiement non autorisées au sens de l’article L 133-6 du Code monétaire et financier, est seul applicable le régime de responsabilité défini aux articles L 133-18 à L 133-20 du Code monétaire et financier, à l’exclusion de tout régime alternatif de responsabilité résultant du droit national (CJUE 16-3-2023 aff. 351/21).

La responsabilité contractuelle de droit commun prévue par l’article 1231-1 du Code civil n’est pas applicable en présence d’un régime de responsabilité exclusif. Dès lors que la responsabilité d’un prestataire de services de paiement est recherchée en raison d’une opération de paiement non autorisée ou mal exécutée, seul est applicable le régime de responsabilité défini aux articles L 133-18 à L 133-24 du Code monétaire et financier, qui transposent les articles 58, 59 et 60, 1 de la directive 2007/64 du 13 novembre 2007, à l’exclusion de tout régime alternatif de responsabilité résultant du droit national. La Cour de cassation a été appelée à rappeler cette règle, issue de la jurisprudence de la Cour de justice de l’Union européenne, à l’occasion des faits suivants.

Une société ayant constaté que des virements avaient été effectués depuis son compte bancaire sans son consentement, sur ordre d’un tiers ayant piraté la messagerie électronique de son dirigeant, poursuit sa banque en restitution des sommes ainsi versées et en paiement de dommages-intérêts.

Une cour d’appel condamne la banque à payer la société sur le fondement de l’article 1231-1 du Code civil, en retenant qu’il ressortait des éléments de preuve que le dirigeant de la société n’était pas à l’origine des ordres qui avaient été exécutés et qu’en les exécutant, alors qu’ils présentaient des anomalies apparentes, la banque avait manqué à son devoir contractuel de vigilance.

La Haute Juridiction casse cette décision : dès lors que la société contestait être l’auteur des ordres de transfert des fonds litigieux, la responsabilité de la banque ne pouvait être recherchée que sur le fondement de l’article L 133-18 du Code monétaire et financier.

Cass. com. 27-3-2024 no 22-21.200 FS-B, Sté Banque populaire Alsace Lorraine Champagne c/ Sté Systran Software Inc.

De la même façon, la responsabilité de la banque en sa qualité d’employeur-commettant responsable des agissements de ses salariés-préposés (C. civ. art. 1242, al. 5) est rejetée (Cass. com. 2-5-2024 no 22-18.074 F-B, L. c/ Sté Caisse d’épargne et de prévoyance Côte d’Azur).

Quel délai de prescription ?

Il s’agit du délai de treize mois prévu par l’article L 133-24 du code monétaire et financier

L’opération de paiement autorisée : quelle responsabilité pour faute de la banque ?

Si l’opération de paiement a été autorisée, par exemple si l’IBAN renseigné par le donneur d’ordres s’est révélé a posteriori être celui d’un escroc, alors il est cependant toujours possible d’engager la responsabilité contractuelle de la banque.

La banque doit vérifier la régularité apparente des ordres de paiement que son client lui adresse. Elle doit notamment faire preuve d’une vigilance particulière lorsque les mouvements du compte sont de nature suspecte (Cass. com. 22-11-2011 no 10-30.101 F-PB : RJDA 2/12 no 190 ; Cass. com. 5-4-2023 no 21-22.300 F-D : RJDA 10/23 no 536). Mais cette obligation de vigilance se confronte à celle qui impose au banquier de ne pas s’immiscer dans les affaires de son client (par exemple, Cass. com. 5-6-2007 no 06-12.632 F-D : RJDA 11/07 no 1151 ; Cass. com. 27-11-2012 no 11-19.311 FS-D : RJDA 4/13 no 357). De cette articulation découle la règle rappelée par la Haute Juridiction dans l’affaire commentée : dès lors que les ordres ne comportent aucune anomalie apparente, la banque n’est pas tenue de procéder à des vérifications particulières (Cass. com. 2-5-2024 no 22-18.454 F-D : BRDA 11/24 inf. 15).

Le principe de non-ingérence du banquier

La jurisprudence a dégagé le principe de non-ingérence (ou de non-immixtion) du banquier dans les affaires des clients et leur gestion, dicté par le bon sens et le respect de la liberté de chacun. Il signifie d’abord qu’il n’a pas à accomplir des opérations de son propre chef pour le compte du client ni agir sans ordre de ce dernier(Com. 5 juin 2007, n^o 06-12.632 )

Les limites au principe de non-ingérence

Si l’établissement d’un faux ordre de virement a été rendu possible à la suite d’une faute du titulaire du compte ou de l’un de ses préposés, la banque n’est tenue envers lui que si elle a elle-même commis une négligence et ce, seulement pour la part de responsabilité en résultant.

La présence d’anomalies apparentes

Le concept clé pour engager la responsabilité de la banque est de prouver que les ordres de paiement comportaient une ou plusieurs anomalie apparente qui aurait obligé la banque à procéder à des vérifications particulières.

Le principe de non-ingérence n’exclut pas le devoir de vigilance du banquier, lui imposant notamment de s’assurer que les instructions et ordres qu’il exécute émanent bien des personnes ayant qualité pour les donner(Nancy, 2^e ch. civ., 4 juill. 2013, RG n^o 11/01103, RJDA 2013, n^o 1044.).

Classiquement, cette responsabilité requiert l’existence d’une faute de la banque qui est retenue lorsqu’il existe une ou plusieurs anomalies (Cass. Com. 31 janvier 2017, pourvoi n°15-17498).

Le donneur d’ordres doit prouver la faute ou la négligence de la banque ou sa connaissance du caractère frauduleux de l’opération qui seront révélés par une ou plusieurs anomalies apparentes (Cass. com., 3 janvier 1977, n° 75-11.853, publié au bulletin  ; Cass. com., 15 novembre 2016, n° 15-14.133, F-D ; Cass. com., 25 septembre 2019, n° 18-15.965, F-D ).

A réception de l’ordre de virement le banquier du donneur d’ordre, nonobstant son obligation de non-ingérence, est : (Cass. Com. 31 janvier 2017, pourvoi n°15-17498)

• investi d’une mission de vérification de cet ordre afin de déceler les éventuelles anomalies apparentes, que ces dernières soient matérielles ou intellectuelles,
• de tout mettre en oeuvre, en présence d’une telle anomalie apparente, pour éviter le préjudice qui résulterait pour elle ou son client de réaliser cette opération

L’anomalie apparente est celle qui ne doit pas échapper au banquier suffisamment prudent et diligent (Cour d’appel, Amiens, Chambre économique, 28 Juillet 2020 – n° 17/04624). Ce devoir de vigilance emporte ainsi pour l’établissement bancaire l’obligation de se rapprocher de son client et de le mettre en garde sur l’opération bancaire dont l’exécution est sollicitée et qui apparait comme suspecte (Cour d’appel, Paris, Pôle 1, chambre 8, 4 Juin 2021 – n° 20/15763 ; Cour d’appel, Lyon, 1re chambre civile A, 9 Janvier 2020 – n° 16/02368). Lorsque le Banquier manque à ce devoir de vigilance, sa responsabilité́ se trouve engagée de plein droit sans qu’il ne puisse, par la suite, invoquer une quelconque absence de faute pour tenter d’éluder sa responsabilité́. (CA Paris, 3 janv. 1975 : Banque 1975, 325 ; RTD com. 1975, 151, obs. M. Cabrillac et J.-L. Rives-Lange ; CA Paris, 21 janv. 1992 : Banque 1992, 845, note J.-L. Rives-Lange ; CA Paris, 15e ch., sect. A, 19 nov. 1997 : D. 1998).

Exemples d’anomalies apparentes

Un bonus argentarius ne saurait accepter sans réagir une opération :

• présentant une anomalie apparente(Com. 10 déc. 2003, n^o 00-18.653 , P IV, n^o 200 – Com. 7 juill. 2009, n^o 08-18.251) 
• par exemple en ne décelant pas une signature apparemment différente de celle du titulaire du compte(Cass. com. 10-10-2000 n^o 98-10.831 F-D : RJDA 1/01 n^o 66 ; Cass. com. 8-11-2005 n^o 03-20.402 F-D : RJDA 3/06 n^o 315 ; Cass. com. 31-1-2017 n^o 15-17.498 F-D : JCP E 2017.1246 n^o 29 obs. Causse).
• ou qui est manifestement irrégulière ou inhabituelle dans la pratique commerciale ou dans les habitudes du client(Com. 28 oct. 1974, n^o 72-14.397 , P IV, n^o 264 – Com. 11 janv. 1983, n^o 81-14.155 , P IV, n^o 11 – Civ. 1^re, 8 févr. 1983, n^o 81-14.573 , P I, n^o 51 – Com. 30 oct. 1984, n^o 83-12.997 , P IV, n^o 285 – Paris, 13 juill. 1990, D. 1990. IR 223  – Com. 11 mai 2010, n^o 09-67.131 , NP, RJDA 2010, n^o 993, 2^e esp) (ainsi pour un virement, important et international, hors des habitudes du client( Paris, 12 janv. 1996, D. 1996. 507) ;
• Qui est le préposé demandeur au paiement : interlocuteur habituel ou non ?
• La signature erronée
• Le MONTANT :
  • un virement important mettant pour la première fois le compte à découvert(Com. 27 févr. 1996, n^o 94-15.176 ) ;
  • des montants anormaux des chèques émis par rapport aux revenus du couple titulaire du compte [le banquier aurait dû attirer l’attention de ses clients sur l’importance des mouvements susceptibles de mettre leur équilibre financier en péril, ce qui leur aurait permis de découvrir que les chèques étaient émis frauduleusement par leur employée de maison(Versailles, 2 oct. 1998, D. 1998. IR 258 )] ;
  • un découvert anormal(Paris, 9 févr. 1999, JCP E 1999. Pan. 789.) ;
• une opération inhabituelle et complexe, nécessitant des vérifications afin d’en déterminer la justification économique(Paris, 5 mars 2002, D. 2002. 1897, note V. Avena-Robardet .)
• Caractère inhabituel
• Comptes destinataires situés à l’international ou en zone à risque
• Montant disproportionné par rapport aux opérations habituelles
• Zones géographiques destinataires sans lien avec les opérations habituelles
• Objet/justification du virement sans lien avec le client (exemple : “due diligence internationale” pour un retraité)
• Compte déjà “red flagged” par la banque en interne

Le devoir de conseil

La banquier doit avertir son client sur les fraudes “populaires” en cours et les moyens de s’en prémunir (emails d’informations, pop-up, etc.)

Quelle indemnisation ?

En général, et selon la nature des fautes, le tribunal procèdera à un partage en pourcentage de la faute entre la banque et le donneur d’ordres.

L’assurance moyens de paiement

Enfin, l’assurance moyens de paiements (le virement est un moyen de paiement) proposée par votre banque permet dans certains cas de couvrir une partie des pertes.

Les pièces à adresser à votre avocat

• Votre pièce d’identité
• Le contrat d’ouverture de compte, le RIB,
• Les échanges avec la banque avant la fraude
• Les ordres de virements
• Le relevé de compte avec les virements frauduleux
• Les échanges avec la banque après la fraude
• Le dépôt de plainte