Fraude au président : quels recours pour l’entreprise victime ?

Victime d'une fraude au président, l'entreprise doit agir sur trois fronts en parallèle. Contacter immédiatement sa banque pour tenter de bloquer ou rappeler les fonds. Préserver toutes les preuves : courriels, ordres de virement, journaux d'appels. Déposer plainte sans attendre, le délai de 72 heures conditionnant l'indemnisation d'assurance lorsque la fraude s'accompagne d'une intrusion informatique. Des recours contre la banque, l'assureur ou les auteurs peuvent ensuite être étudiés. Chaque situation est particulière.

Qu'est-ce que la fraude au président ?

La fraude au président, ou fraude au faux ordre de virement, suit un scénario bien rodé. Un escroc se fait passer pour le dirigeant de l'entreprise, ou pour un tiers de confiance agissant à sa demande. Il contacte un salarié du service comptable ou financier, souvent par courriel ou par téléphone. Il invoque une opération urgente et confidentielle : acquisition secrète, contrôle fiscal, contrat stratégique. Il obtient l'exécution d'un ou plusieurs virements vers des comptes qu'il contrôle, fréquemment à l'étranger.

Les variantes sont nombreuses : faux fournisseur annonçant un changement de coordonnées bancaires, faux technicien bancaire réalisant des « tests » de virement, faux avocat ou faux commissaire aux comptes. Le point commun reste la manipulation d'un collaborateur habilité à payer. La compromission préalable d'une messagerie interne facilite souvent la fraude : l'escroc connaît alors les habitudes, les dossiers en cours et le style des échanges.

Une escroquerie au sens du Code pénal

Juridiquement, la fraude au président est une escroquerie : l'usage d'un faux nom, d'une fausse qualité ou de manœuvres frauduleuses pour déterminer la remise de fonds. L'article 313-1 du Code pénal la punit de 5 ans d'emprisonnement et de 375 000 € d'amende. Les peines sont portées à 7 ans et 750 000 € en cas de circonstances aggravantes, et à 10 ans et 1 000 000 € lorsque l'escroquerie est commise en bande organisée, hypothèse fréquente pour ces réseaux structurés.

D'autres qualifications peuvent s'ajouter selon le mode opératoire. L'usurpation de l'identité d'un tiers, en ligne notamment, est punie d'un an d'emprisonnement et de 15 000 € d'amende (article 226-4-1 du Code pénal). Si la fraude a supposé un accès frauduleux à la messagerie ou au système d'information de l'entreprise, les atteintes aux systèmes de traitement automatisé de données sont également en cause (articles 323-1 et suivants). Ces qualifications fondent la plainte et orientent l'enquête.

Les réflexes immédiats après la découverte

Alertez la banque sans délai. Demandez le blocage des virements en cours d'exécution et le rappel des fonds déjà partis. Cette demande de retour, adressée à la banque du bénéficiaire via votre banque, n'offre aucune garantie : son efficacité dépend de la rapidité de la réaction et de la localisation des fonds, souvent dispersés en cascade. Chaque heure compte.

Préservez les preuves. Conservez les courriels frauduleux avec leurs en-têtes techniques complets, les ordres de virement, les relevés bancaires, les numéros appelants et toute note des échanges téléphoniques. Ne supprimez rien, même les messages embarrassants : ils documentent la manœuvre frauduleuse et la mise en confiance.

Déposez plainte rapidement. La plainte déclenche l'enquête et matérialise la date de découverte. Elle conditionne aussi, dans certains cas, l'assurance : lorsque les pertes résultent d'une atteinte à un système de traitement automatisé de données, par exemple une messagerie compromise, l'article L. 12-10-1 du Code des assurances subordonne l'indemnisation des professionnels à un dépôt de plainte au plus tard 72 heures après la connaissance de l'atteinte.

Déclarez le sinistre à l'assureur. Vérifiez vos garanties fraude et cyber, leurs plafonds et leurs conditions de déclaration. Les contrats imposent des délais courts et des justificatifs précis.

Quels recours contre la banque ?

La question se pose presque toujours : la banque qui a exécuté les virements doit-elle rembourser ? La réponse dépend d'abord d'une distinction : l'opération était-elle autorisée ou non ?

Lorsque l'opération n'a pas été autorisée par l'utilisateur, l'article L. 133-18 du Code monétaire et financier impose à la banque un remboursement immédiat, au plus tard à la fin du premier jour ouvrable suivant le signalement, sauf soupçon de fraude de l'utilisateur motivé par écrit. La charge de la preuve pèse sur la banque : l'enregistrement de l'opération « ne suffit pas nécessairement » à prouver l'autorisation ou une négligence grave du payeur (article L. 133-23). Le signalement doit intervenir sans tarder, au plus tard 13 mois après le débit (article L. 133-24).

La Cour de cassation a précisé la notion de négligence grave dans un arrêt remarqué : Cass. com., 23 octobre 2024, n° 23-16.267, publié au bulletin. Dans cette affaire de spoofing, un client avait validé des opérations après un appel d'un escroc usurpant le numéro de sa conseillère bancaire. La Cour juge que la banque doit prouver la négligence grave et que la validation obtenue grâce à un procédé de mise en confiance n'en constitue pas une : la banque a été condamnée à rembourser 54 500 €.

La transposition à la fraude au président appelle toutefois de la prudence. Cet arrêt concerne le spoofing bancaire, et la fraude au président présente une particularité : le virement est matériellement ordonné par un salarié habilité de l'entreprise, ce qui alimente le débat sur le caractère autorisé de l'opération. L'issue dépend des circonstances de chaque espèce : mode d'émission de l'ordre, procédés d'usurpation employés, anomalies éventuelles de l'opération. Une analyse au cas par cas est indispensable ; nous l'avions illustré dans notre commentaire d'une décision en matière de spoofing bancaire.

Assurance et suites internes

Côté assurance, tout dépend de la rédaction du contrat : certaines polices fraude couvrent les faux ordres de virement, d'autres l'excluent ou les plafonnent fortement. La déclaration doit être rapide et complète, et le respect du délai de plainte de 72 heures vérifié dès que la fraude implique une intrusion informatique. Un examen attentif des clauses, exclusions et conditions de garantie s'impose avant toute discussion d'indemnisation.

En interne, l'entreprise gagne à traiter l'incident comme un révélateur de ses procédures plutôt qu'à rechercher un coupable. Le salarié manipulé est la cible de la fraude, pas son auteur. L'analyse porte utilement sur les circuits de validation des paiements, les délégations de pouvoirs et la sécurité de la messagerie, autant d'éléments qui pèseront aussi dans les discussions avec la banque et l'assureur.

Obtenir réparation : la voie pénale et la voie civile

Au-delà de l'urgence, l'entreprise victime dispose de plusieurs leviers pour rechercher une indemnisation. Sur le terrain pénal, elle peut se constituer partie civile afin de demander réparation de son préjudice aux auteurs identifiés, lors des poursuites pour escroquerie. L'efficacité de cette voie dépend de l'identification des auteurs et de la localisation d'actifs saisissables, souvent incertaines dans les réseaux internationaux.

C'est pourquoi l'analyse des responsabilités des acteurs solvables, banque et assureur en tête, structure généralement la stratégie de recouvrement. Chaque piste suppose un examen précis des faits et des contrats : aucune issue ne peut être garantie, et l'articulation des procédures, pénale, civile et assurantielle, se décide au vu du dossier.

Prévenir la fraude au président

La prévention juridique et organisationnelle repose sur quelques règles simples. Instaurer une double validation systématique pour tout virement au-delà d'un seuil, sans exception d'urgence. Imposer un contre-appel de vérification au donneur d'ordre, sur un numéro déjà connu, jamais sur celui communiqué dans la demande. Verrouiller les procédures de changement de coordonnées bancaires des fournisseurs. Sensibiliser régulièrement les équipes comptables aux scénarios de manipulation. Et revoir les contrats bancaires et d'assurance pour connaître, avant l'incident, l'étendue réelle des garanties.

Notre cabinet intervient tant en urgence, dans les heures qui suivent la découverte d'une fraude, qu'en conseil pour sécuriser vos procédures. Voir nos pages dédiées à la cybercriminalité et au contentieux cyber.

Questions fréquentes sur la fraude au président

La banque doit-elle rembourser un virement validé par un salarié trompé ?
Pas automatiquement. Le remboursement de l'article L. 133-18 du Code monétaire et financier vise les opérations non autorisées, et le caractère autorisé d'un virement émis par un salarié manipulé se discute au cas par cas. La jurisprudence de 2024 sur le spoofing montre toutefois que la validation obtenue par mise en confiance frauduleuse ne caractérise pas une négligence grave.

Sous quel délai faut-il déposer plainte ?
Le plus tôt possible. Lorsque la fraude s'accompagne d'une atteinte au système informatique, la plainte dans les 72 heures de la découverte conditionne l'indemnisation d'assurance des professionnels (article L. 12-10-1 du Code des assurances). La rapidité augmente aussi les chances de blocage des fonds.

Peut-on récupérer des fonds partis à l'étranger ?
C'est difficile et jamais garanti. Les chances dépendent de la rapidité du signalement à la banque, de la coopération des établissements destinataires et du gel éventuel des comptes au cours de l'enquête pénale. Aucun résultat ne peut être promis.

Quelles peines encourent les auteurs ?
L'escroquerie est punie de 5 ans d'emprisonnement et 375 000 € d'amende, portés à 10 ans et 1 000 000 € en bande organisée (articles 313-1 et 313-2 du Code pénal). L'usurpation d'identité et les intrusions informatiques constituent des infractions distinctes qui peuvent s'y ajouter.

Sources officielles

• Article 313-1 du Code pénal, escroquerie – Légifrance
• Article 226-4-1 du Code pénal, usurpation d'identité – Légifrance
• Article L. 133-18 du Code monétaire et financier, remboursement des opérations non autorisées – Légifrance
• Article L. 133-23 du Code monétaire et financier, charge de la preuve – Légifrance
• Cass. com., 23 octobre 2024, n° 23-16.267, publié au bulletin (spoofing bancaire et négligence grave) – Légifrance
• Article L. 12-10-1 du Code des assurances, plainte sous 72 heures et indemnisation des risques cyber – Légifrance

Cet article présente l'état du droit à titre d'information générale. Il ne constitue pas une consultation juridique. Chaque situation est particulière et mérite une analyse dédiée. Contenu conforme aux règles déontologiques de la profession d'avocat.