Fraude au faux RIB : le débiteur paie-t-il toujours deux fois ? (Cass. com., 17 juin 2026, n° 24-13.306)
Les faits. Une société créancière (Petrogarde) est victime d’une usurpation d’identité par courriel : un fraudeur adresse à l’intermédiaire commercial (Eazybunker) un message provenant d’une adresse mail ne différant que d’une lettre de l’adresse authentique de Petrogarde, accompagné d’une facture et d’un RIB frauduleux. La débitrice finale (Sea Fleurs) règle la facture sur ce compte frauduleux, de bonne foi. Les fonds, envolés, ne sont jamais recouvrés.
La solution. La Cour de cassation casse l’arrêt d’appel qui avait jugé le paiement libératoire au motif que Sea Fleurs croyait légitimement payer son créancier. Pour la Haute juridiction, la cour d’appel a commis une confusion entre la croyance légitime en l’identité du créancier et la croyance légitime en l’identité du titulaire du compte : « n’est pas créancier apparent, au sens de [l’article 1342-3 du code civil], le tiers qui usurpe l’identité du créancier ». Le paiement effectué sur le compte de l’escroc n’est donc pas libératoire, quand bien même le débiteur aurait été de bonne foi. Sea Fleurs reste tenue envers Petrogarde, charge à elle de se retourner, le cas échéant, contre l’intermédiaire ou vers une action en responsabilité.
Et si le mail frauduleux avait été envoyé depuis la véritable adresse du créancier (boîte mail piratée, sans erreur d’orthographe) ?
Ma conviction : la solution n’est pas certaine, en dépit du caractère général de l’attendu de principe.
L’attendu retenu par la Cour : « n’est pas créancier apparent le tiers qui usurpe l’identité du créancier » est formulé de façon générale et pourrait, à première lecture, s’appliquer indifféremment que l’usurpation résulte d’un typosquattage (adresse légèrement modifiée) ou d’un piratage pur et simple de la messagerie légitime du créancier (adresse authentique, mais boîte compromise).
Mais deux éléments invitent à la prudence :
- La focalisation de l’arrêt sur les faits de l’espèce. La Cour a statué sur un cas où l’adresse était falsifiée, un indice que la juridiction du fond aurait pu (et dû) déceler. Or, en cas de piratage de la boîte mail authentique, cet indice disparaît : rien, dans l’adresse elle-même, ne permet au débiteur de suspecter la fraude.
- La notion de créancier apparent reste fondée sur l’apparence perçue par le débiteur. Si l’article 1342-3 du code civil protège le paiement fait de bonne foi à un créancier apparent, l’appréciation de cette apparence est nécessairement casuistique. Un débiteur qui reçoit un courriel de l’adresse authentique de son créancier, sans aucune anomalie décelable, se trouve dans une situation d’apparence bien plus forte que celui confronté à une adresse trompeuse. En pareille hypothèse, la qualification de créancier apparent et donc l’effet libératoire du paiement redevient discutable, voire acquise au débiteur.
En somme, l’attendu de principe énonce une règle qui vise l’usurpation d’identité en général mais son application concrète a été forgée sur un facteur d’espèce (l’anomalie décelable de l’adresse) qui pourrait bien constituer, en creux, une des conditions de la solution. Il faudra attendre une décision statuant sur un piratage pur pour lever le doute.
Le professionnel dont la boîte mail piratée a permis la fraude engage-t-il sa responsabilité délictuelle envers le débiteur contraint de payer deux fois ?
La question n’est pas tranchée par cet arrêt, qui ne portait que sur le rapport entre le créancier authentique et son débiteur (effet libératoire du paiement). Mais elle en est le prolongement naturel et mérite d’être posée sous l’angle de la responsabilité civile délictuelle.
Plusieurs éléments plaident en faveur d’une réponse positive :
- Une obligation de sécurisation des systèmes d’information pèse aujourd’hui sur tout professionnel, a fortiori lorsque sa messagerie sert de vecteur à des échanges financiers avec ses clients ou partenaires (référentiels de cybersécurité, exigences renforcées en matière bancaire et financière, DORA pour le secteur régulé mais logique transposable par analogie de vigilance pour tout professionnel), se posera peut être la question de savoir si une boite mail n’est pas une chose que l’on a sous sa garde…
- Le lien de causalité pourrait être établi : c’est bien la carence dans la sécurisation de la messagerie qui a permis au fraudeur d’intercepter ou d’usurper les échanges et donc de provoquer le double paiement subi par le débiteur.
- Le préjudice est certain : le débiteur, tenu de payer une seconde fois en vertu du raisonnement retenu par la Cour de cassation le 17 juin 2026, subit un dommage direct dont l’origine se trouve dans la défaillance de sécurité du créancier.
En pratique, cet arrêt invite les entreprises à un double réflexe : côté débiteur, vérifier systématiquement par un canal indépendant (téléphone) tout changement de coordonnées bancaires avant paiement ; côté créancier, sécuriser sa messagerie professionnelle sous peine de voir sa responsabilité recherchée par ricochet.
Cass. com., 17 juin 2026, n° 24-13.306, publié au Bulletin 1
Article rédigé par Boris Marie.
Source : Boris Marie - Cabinet MARIE & SOULARD