Virement frauduleux : la banque doit-elle rembourser l'entreprise ?
Introduction
Le 16 décembre 2019, l'assistante du président d'une société industrielle est contactée par une personne se présentant comme l'avocat de l'entreprise. Elle transmet à HSBC un ordre de virement international vers la Hongrie, par télécopie, revêtu d'une signature imitée du président et confirmé par courriel. La banque exécute le lendemain.
Un détail va décider de toute l'affaire. Depuis un contrat du 10 mars 2017, la télécopie n'était plus le canal convenu entre la banque et sa cliente : elle avait été remplacée par un système de télétransmission sécurisée à clé numérique personnelle. L'entreprise avait cessé d'utiliser le fax. La banque, elle, a accepté l'ordre reçu par ce canal abandonné.
La cour d'appel de Paris, le 28 mai 2025, en a tiré une conséquence et son contraire : l'opération était bien non autorisée, puisqu'elle n'avait pas utilisé le dispositif de sécurité personnalisé prévu au contrat, mais la banque pouvait refuser de rembourser en invoquant la négligence grave de sa cliente. La Cour de cassation a cassé cette décision le 8 octobre 2026.
Cet article explique ce que ces décisions changent, et surtout ce qu'elles ne changent pas. Il s'adresse autant à l'entreprise qui subit un virement frauduleux qu'à l'établissement qui l'exécute, parce que la charge se déplace de l'un vers l'autre.
La règle de départ, que peu d'entreprises connaissent
Lorsqu'un utilisateur signale une opération de paiement non autorisée, l'article L. 133-18 du code monétaire et financier impose à sa banque de rembourser immédiatement, et au plus tard à la fin du premier jour ouvrable suivant, puis de rétablir le compte dans l'état où il se serait trouvé sans l'opération.
Le texte ne prévoit qu'une seule exception à ce remboursement immédiat : la banque a de bonnes raisons de soupçonner une fraude de l'utilisateur lui-même, et elle communique ces raisons par écrit à la Banque de France. Le retard se paie : les sommes dues portent intérêt au taux légal majoré de 5, 10 ou 15 points selon la durée du manquement.
Autrement dit, le régime par défaut n'est pas « la banque examine, puis décide ». C'est « la banque rembourse, puis conteste ». Dans la pratique, beaucoup d'entreprises l'ignorent et acceptent un refus comme s'il était la norme.
L'exception de négligence grave
Ce régime connaît une limite réelle. Le IV de l'article L. 133-19 prévoit que le payeur supporte toutes les pertes si elles résultent d'un agissement frauduleux de sa part, ou s'il a manqué intentionnellement ou par négligence grave aux obligations des articles L. 133-16 et L. 133-17.
Ces obligations sont précises : prendre toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées, et utiliser l'instrument de paiement conformément aux conditions de sa délivrance et de son utilisation. La loi, en revanche, ne définit nulle part la négligence grave, ce qui explique pourquoi le contentieux se concentre depuis des années sur ce seul mot.
Un point mal compris mérite d'être souligné : la négligence grave n'est pas une appréciation générale du comportement de la victime. Elle doit se rattacher à l'une de ces obligations précises. S'être laissé tromper ne suffit pas, en soi, à la caractériser.
L'arrêt du 8 octobre 2026
La chambre commerciale casse l'arrêt d'appel au visa des articles L. 133-16 et L. 133-19, IV du code monétaire et financier, lus à la lumière des articles 69 et 74 de la directive (UE) 2015/2366, dite DSP2.
Le raisonnement tient en une phrase : la banque avait accepté d'exécuter un ordre transmis par un instrument qui n'était plus celui convenu entre les parties. Elle ne pouvait donc pas, ensuite, reprocher à sa cliente une négligence grave pour échapper à son obligation de remboursement.
Elle ne dit pas que toute entreprise victime d'une fraude au président sera remboursée. Elle ne dit pas non plus que l'absence d'authentification forte exclut à elle seule la négligence grave, ni qu'une irrégularité d'exécution rend automatiquement la banque responsable. La solution tient au comportement de la banque dans ce dossier précis : elle s'est écartée du protocole convenu, puis a invoqué la faute du client.
L'arrêt de la CJUE du 15 octobre 2026
Sept jours plus tard, la Cour de justice de l'Union européenne se prononce dans l'affaire C-70/25. Une cliente polonaise, vendant un objet en ligne, suit un lien imitant la place de marché puis le site de sa banque, saisit ses identifiants et valide par code reçu par SMS une opération d'environ 3 000 złotys. Elle signale la fraude dès le lendemain. La banque refuse de rembourser en invoquant sa négligence grave.
La Cour répond que le prestataire ne peut pas refuser le remboursement immédiat d'une opération non autorisée en se fondant sur la négligence grave du payeur. La négligence grave reste pertinente, mais comme fondement d'une action de la banque après avoir remboursé, et non comme motif de refus. La charge de la preuve pèse sur elle.
Les deux décisions convergent donc vers le même déplacement : on rembourse d'abord, on discute ensuite, et c'est à l'établissement de démontrer ce qu'il avance.
Les conséquences pratiques pour une entreprise
La leçon opérationnelle de l'affaire HSBC n'est pas juridique, elle est organisationnelle, et elle est inconfortable.
L'affaire a basculé ni sur l'habileté du fraudeur ni sur la naïveté de l'assistante, mais sur un point de contrat : la télécopie n'était plus l'instrument de paiement convenu depuis 2017. Une entreprise qui laisse subsister un canal hérité « au cas où », ou qui tolère des ordres hors protocole quand le délai presse, fabrique elle-même l'ambiguïté sur laquelle se jouera son indemnisation.
L'arrêt ne tranche pas le point de savoir si une pratique tolérée dans les faits peut valoir convention sur l'instrument de paiement. Une entreprise qui, dans les mois précédents, a fait passer plusieurs ordres hors du canal officiel est donc dans une position beaucoup moins nette que celle de ce dossier, où l'usage du fax avait cessé.
Et il y a le délai, qui est le chiffre le plus parlant de toute l'affaire.
Quelle que soit l'évolution de la jurisprudence, le recours n'est pas une solution à l'échelle d'une trésorerie d'entreprise. Il est un réconfort lointain. C'est l'argument le plus solide en faveur du contrôle en amont, et il ne repose sur aucune statistique de fraude.
Les conséquences pour les établissements
Du côté de la banque, le raisonnement s'inverse. Si la possibilité d'opposer la négligence grave se rétrécit, et si le remboursement doit intervenir avant toute discussion, alors le coût d'un virement douteux exécuté remonte mécaniquement vers l'établissement.
L'intérêt se déplace donc vers deux moments précis : avant l'exécution, savoir à qui l'on s'apprête à virer des fonds ; après le signalement, établir très vite ce qui s'est passé, parce que la fenêtre pour geler des fonds se compte en heures et que la charge de la preuve pèse désormais sur le prestataire.
Comment et où Lysta intervient
Une précision d'honnêteté avant tout : aucune de ces décisions ne se gagne avec un outil de détection. Le partage de la perte se joue sur le contrat et sur la discipline d'exécution. Il reste deux leviers : ce qui se passe avant le virement, et la vitesse de reconstitution après.
Un virement frauduleux arrive toujours sur un compte détenu par quelqu'un. La question utile n'est pas « cet IBAN est-il valide » mais « ce bénéficiaire a-t-il un lien quelconque avec le fournisseur qu'il prétend être ». C'est l'objet de la vérification du bénéficiaire, et au-delà, de la cohérence entre l'entité titulaire du compte et la relation commerciale invoquée.
Une fois l'ordre parti, tout se joue sur la rapidité : quelle entité détient le compte destinataire, qui la dirige, à quelles autres sociétés et adresses elle se rattache, et si elle apparaît déjà dans d'autres dossiers. C'est ce que fait notre outil d'investigation, qui interroge automatiquement les sources et registres plutôt que de laisser un analyste ouvrir quinze onglets, et qui produit un dossier opposable plutôt qu'un faisceau d'intuitions.
Les comptes qui reçoivent ces virements sont rarement à usage unique, et les entités qui les portent se recoupent : mêmes dirigeants, mêmes adresses, séries de sociétés créées et radiées. Ces liens n'apparaissent sur aucune opération prise isolément, parce que les registres décrivent les sociétés une par une et jamais leurs relations.
Conclusion
Octobre 2026 a bien déplacé quelque chose, mais pas ce qu'on lit le plus souvent. Il ne s'agit pas d'un droit au remboursement pour toute victime de fraude. Il s'agit d'un resserrement du moyen de défense préféré des établissements : la négligence grave doit se rattacher à une obligation précise, elle ne peut pas être invoquée par une banque qui s'est elle-même écartée du canal convenu, et elle ne justifie pas de différer le remboursement.
Pour une entreprise, la conséquence pratique tient en deux points. Le premier est contractuel : vérifiez quel est votre instrument de paiement convenu, et n'en sortez jamais, parce que c'est ce document qui décidera qui paie. Le second est une question de temps : sept ans de procédure pour un virement de décembre 2019, et le dossier n'est pas clos.
La bonne question n'est donc pas « la banque me remboursera-t-elle ». C'est « qui est le bénéficiaire de ce virement, et qu'est-ce qui me le dit avant de l'envoyer ».
Sur les mécanismes en amont, voir nos analyses sur la fraude au président et la vérification du bénéficiaire, ainsi que nos pages Investigation et crime financier et Banques et assurances.
Sources
Les articles L. 133-18 et L. 133-19 du code monétaire et financier sont cités de Légifrance, dans leur version en vigueur. Une réserve sur l'arrêt du 8 octobre 2026 : à la date de publication de cet article, son texte n'était pas encore accessible sur Légifrance, dont la base de jurisprudence est alimentée avec un décalage. Il est ici cité d'après deux commentaires indépendants publiés par des avocats, concordants sur la référence, les faits et la solution. Nous invitons le lecteur qui s'appuierait sur cette décision à en vérifier le texte sur le site de la Cour de cassation. L'arrêt de la CJUE est cité des mêmes commentaires.
- Code monétaire et financier, article L. 133-18 (Légifrance) : remboursement immédiat et au plus tard à la fin du premier jour ouvrable suivant, unique exception tenant au soupçon motivé de fraude de l'utilisateur communiqué par écrit à la Banque de France, rétablissement du compte et intérêts au taux légal majoré de 5, 10 ou 15 points en cas de retard.
- Code monétaire et financier, article L. 133-19 (Légifrance) : au IV, perte intégralement supportée par le payeur en cas d'agissement frauduleux ou de manquement intentionnel ou par négligence grave aux obligations des articles L. 133-16 et L. 133-17 ; au V, absence de conséquence financière pour le payeur lorsque l'authentification forte n'a pas été exigée.
- Virginie Audinot, avocat, « Fraude au président : la Cour de cassation rappelle les limites de la négligence grave » (Village de la Justice) : référence de l'arrêt, chronologie du dossier, contrat du 10 mars 2017 remplaçant la télécopie par une télétransmission à clé numérique, arrêt de la cour d'appel de Paris du 28 mai 2025 et portée exacte de la cassation.
- Guillaume Pierre, avocat, « Fraude bancaire : en octobre 2026, la CJUE et la Cour de cassation ont retiré aux banques leur argument préféré » (Village de la Justice) : faits et solution de l'affaire C-70/25 de la CJUE, articulation des deux décisions et limites de leur portée.