Le paiement d’une facture sur le compte d’un escroc ne vous libère pas, en principe, de votre dette envers le fournisseur. Même si vous avez suivi de bonne foi un courriel qui semblait provenir de lui, il peut encore réclamer son règlement. La Cour de cassation l’a précisé le 17 juin 2026 : celui qui usurpe l’identité du fournisseur n’est pas un « créancier apparent » auquel un paiement serait valable sur ce seul fondement.
Le piratage de sa messagerie peut toutefois soulever une autre question : le fournisseur a-t-il commis un manquement qui a contribué à votre perte ? Cette éventuelle responsabilité doit être prouvée. Elle ne fait pas disparaître automatiquement la facture. Si les fonds viennent de partir, contactez immédiatement votre banque pour tenter de les bloquer ou de les rappeler.
Pourquoi le fournisseur peut-il réclamer la facture une seconde fois ?
Votre relevé bancaire prouve que votre compte a été débité. Il ne prouve pas que le fournisseur a reçu son dû. Selon l’article 1342-2 du Code civil, vous devez payer le créancier ou la personne qu’il a désignée pour recevoir le paiement. Le règlement à une autre personne peut néanmoins être valable si le créancier le ratifie ou en a profité : ces circonstances se vérifient dans les pièces du dossier.
Dans l’arrêt du 17 juin 2026, n° 24-13.306, une facture et un RIB frauduleux avaient transité par un intermédiaire. Le client avait versé les fonds à l’escroc en croyant payer son fournisseur. La Cour écarte l’application de l’article 1342-3 du Code civil : l’identité du véritable créancier était connue ; le fraudeur se faisait passer pour lui. La bonne foi du payeur ne suffisait donc pas à rendre le paiement libératoire.
La Cour a renvoyé l’affaire devant une autre cour d’appel. Cet arrêt tranche la question du créancier apparent ; il ne fixe pas une répartition générale des pertes entre tous les fournisseurs, clients et banques victimes de faux RIB.
Que change le piratage de la messagerie du fournisseur ?
Commencez par établir ce qui a réellement été compromis. Un message envoyé depuis une adresse presque identique peut tromper le destinataire sans qu’aucune boîte mail ait été piratée. À l’inverse, un accès frauduleux à une véritable messagerie peut permettre à l’escroc de reprendre une conversation, une référence de commande et le montant exact attendu.
Ces scénarios n’offrent pas les mêmes preuves. Demandez au fournisseur de préserver les messages originaux et les journaux de connexion disponibles, et de préciser quand il a découvert l’incident. Conservez aussi vos propres éléments : la compromission peut se situer chez l’acheteur ou chez un intermédiaire. Une capture affichant le nom habituel du contact ne suffit pas à localiser l’intrusion.
Pour rechercher une responsabilité contractuelle, il faut identifier une obligation applicable, son inexécution, le préjudice et le lien entre les deux. L’article 1231-1 du Code civil encadre cette réparation. Le contrat peut, par exemple, prévoir une procédure précise de changement de coordonnées bancaires. Son respect, les alertes effectivement reçues et leur chronologie méritent d’être examinés.
Le seul constat d’une boîte mail piratée ne démontre ni une faute du fournisseur ni sa responsabilité pour toute la somme. De votre côté, un changement de RIB validé malgré une alerte ou sans le contrôle convenu peut peser dans le litige. Aucune clé de partage automatique, comme « moitié chacun », ne s’applique à tous les dossiers.
Comment répondre à une relance sans abandonner vos recours ?
Répondez par un canal dont vous avez vérifié l’authenticité. Indiquez la facture concernée, la date du virement et la découverte de la fraude. Joignez les justificatifs utiles, après avoir retiré les informations bancaires sans rapport avec le litige. Demandez la confirmation des coordonnées de règlement par un appel au numéro déjà connu du fournisseur.
Si la trésorerie ne permet pas de régler immédiatement une facture qui reste due, proposez un échéancier ou un délai écrit pendant les investigations. Précisez le sort des pénalités et les recours que chaque partie entend conserver. Une plainte ou une demande de rappel bancaire ne suspend pas à elle seule l’échéance de la facture.
Évitez de déduire unilatéralement le montant perdu en affirmant que le fournisseur « doit forcément vous rembourser ». Une demande de dommages et intérêts encore contestée ne vaut pas automatiquement compensation avec sa créance. Faites examiner les conditions d’une compensation, d’un accord ou d’une demande devant le juge avant de refuser définitivement le paiement.
Si vous recevez une mise en demeure, une assignation ou un acte de commissaire de justice, transmettez l’acte entier à votre conseil, avec sa date de réception. Les délais de réaction dépendent de la procédure engagée ; ne vous contentez pas de poursuivre les échanges informels avec le service comptable.
Quelles pièces réunir pour discuter la dette et les responsabilités ?
Constituez un dossier partagé avec les seules personnes qui doivent intervenir. Gardez les originaux et travaillez sur des copies. Les éléments suivants permettent de comparer les instructions de paiement, l’opération exécutée et la demande actuelle du fournisseur.
| Pièce | Ce qu’elle permet de vérifier |
|---|---|
| Contrat, commande et facture initiale | Identité du créancier, montant exigible, échéance et procédure prévue pour changer de RIB. |
| Courriels originaux et pièces jointes | Adresses complètes, en-têtes techniques, versions successives du RIB et personnes ayant reçu les instructions. |
| Ordre de virement et retour de la banque | IBAN utilisé, heure d’exécution, personne ayant validé, éventuels avertissements et résultat de la demande de rappel. |
| Chronologie de l’incident et relances | Dates de découverte et d’alerte, mesures prises, demande exacte du fournisseur, pertes déjà récupérées et sommes encore réclamées. |
Si le fournisseur invoque un piratage, demandez les éléments techniques qu’il peut communiquer utilement, sans réclamer un accès à toute sa messagerie. Un professionnel de l’investigation numérique peut établir les traces disponibles ; l’avocat organise leur utilisation dans la discussion ou la procédure.
La banque ou l’assurance peut-elle prendre en charge la perte ?
La réponse dépend notamment de l’autorisation du virement. Lorsqu’une personne habilitée a effectivement ordonné le paiement, une tromperie sur le bénéficiaire ne déclenche pas automatiquement le remboursement des opérations non autorisées. L’arrêt du 19 novembre 2025, n° 24-17.056, distingue ce régime et la responsabilité contractuelle de la banque pour un éventuel défaut de vigilance devant des anomalies apparentes. Notre article sur les recours après une fraude au président développe ce volet.
Si vous contestez avoir autorisé l’opération, l’authentification technique ne règle pas à elle seule la question. Les règles de remboursement et de preuve doivent être examinées avec le contrat du compte professionnel. Celui-ci peut aménager certaines règles en vertu de l’article L. 133-2 et prévoir un délai de contestation distinct. Nous détaillons ces précautions dans notre analyse du remboursement d’une fraude sur un compte professionnel.
Déclarez aussi le sinistre à l’assureur selon les conditions du contrat. Pour les personnes morales et les personnes physiques agissant professionnellement, l’article L. 12-10-1 du Code des assurances impose une plainte au plus tard 72 heures après la connaissance de l’atteinte lorsqu’il s’agit d’indemniser des pertes causées par une atteinte au système informatique. Cette condition ne garantit pas la couverture : les garanties, exclusions et plafonds restent à vérifier.
Quels gestes effectuer dès la découverte du faux RIB ?
Cybermalveillance.gouv.fr recommande d’alerter la banque et le créancier, de conserver les preuves et de déposer plainte rapidement. Demandez le blocage si l’opération est encore en cours, ou le retour des fonds déjà virés. Leur récupération reste incertaine.
Faites sécuriser la messagerie touchée : changement du mot de passe, vérification des redirections et des règles de filtrage, puis activation de la double authentification. Documentez les règles suspectes avant de les supprimer. Les premières mesures de sécurité et la collecte des preuves doivent avancer ensemble.
Le fournisseur vous réclame un nouveau paiement ? Notre équipe en droit de la cybersécurité peut examiner la facture, les échanges et les réponses de la banque pour préparer une réponse et étudier les responsabilités. Contactez Hashtag Avocats en indiquant la date de découverte, le montant concerné et l’existence éventuelle d’une mise en demeure.
Sources officielles consultées le 18 octobre 2026. Information générale en droit français ; la réponse à une demande de paiement dépend des contrats, des faits établis et de la procédure éventuelle.
