« J’ai validé mon virement malgré l’alerte » : voici ce que dit la loi et pourquoi votre banque ne vous remboursera plus rien

Un message d'alerte s'affiche. Le nom du bénéficiaire ne correspond pas à l'IBAN. Vous hésitez deux secondes. La personne au téléphone, soi-disant votre fournisseur, votre propriétaire, votre banquier — vous assure que c'est normal, "juste un changement de compte". Vous cliquez sur "Valider". L'argent part. Et avec lui, toute chance de remboursement.

Ce scénario, des milliers de Français l'ont vécu depuis l'automne dernier. Mais depuis octobre 2025, ce geste anodin a une conséquence juridique précise : vous avez accepté la responsabilité du virement.

Ce que la loi impose depuis le 9 octobre 2025

Le règlement européen 2024/886 a introduit un mécanisme de vérification du bénéficiaire, dit Verification of Payee (VoP), obligatoire pour tous les prestataires de services de paiement de la zone euro depuis le 9 octobre 2025. Concrètement, avant que vous ne validiez un virement, votre banque doit comparer le nom du bénéficiaire que vous avez saisi avec le nom du titulaire du compte associé à l'IBAN. Ce contrôle est sans frais pour les clients et n'entraîne aucun délai supplémentaire : la réponse de la banque du bénéficiaire doit être rendue en moins de 5 secondes, même pour les virements instantanés.

Toutes les banques sont tenues de mettre en place cette procédure sur tous les virements SEPA, standards et instantanés, réalisés en ligne, et quel que soit l'émetteur : particulier, professionnel, entreprise, association. Le résultat vous est communiqué avant validation, selon quatre cas de figure possibles : concordance parfaite, concordance partielle, discordance totale, ou vérification impossible.

La concordance partielle, c'est la zone grise. Le nom du bénéficiaire ne correspond pas exactement à celui associé à l'IBAN, par exemple, "Claire DUBOI" au lieu de "Claire DUBOIS". Le nom exact vous est alors communiqué, et vous pouvez confirmer ou annuler le virement. Un écart d'orthographe, un prénom tronqué : souvent légitime, parfois le signe d'une manipulation. La discordance totale, elle, est sans ambiguïté. Aucun rapport n'est trouvé entre les deux noms. Une alerte forte invite le titulaire du compte à vérifier ses informations.

Valider malgré l'alerte : la conséquence que personne n'anticipe

C'est le point que les banques communiquent peu, et que les victimes découvrent trop tard. En cas de non-concordance entre le nom et l'IBAN, le client peut tout de même effectuer le virement, mais en toute connaissance de cause : la banque ne peut plus être tenue pour responsable en cas de découverte de fraude ou d'erreur. Dit autrement : l'alerte transforme votre clic de validation en aveu de consentement éclairé.

Vous avez la possibilité de modifier votre ordre de virement, de l'annuler ou de le maintenir en l'état. Si vous décidez d'autoriser en toute connaissance de cause le virement, vous prenez le risque de créditer le compte d'un autre bénéficiaire. L'article L.133-18 du Code monétaire et financier, qui oblige normalement la banque à rembourser toute opération non autorisée, s'efface ici derrière la notion de négligence grave. C'est à la banque de prouver que vous avez commis une négligence grave pour s'y soustraire, et une alerte ignorée, c'est exactement cette preuve qu'elle cherchait.

La Cour de cassation a d'ailleurs durci la position dans un arrêt du 4 mars 2026. La chambre commerciale a cassé un arrêt de cour d'appel qui avait accordé le remboursement à une victime de spoofing, au motif que les juges du fond n'avaient pas recherché si le client avait lu le contenu des messages de validation affichés par l'application bancaire avant de les confirmer. Cette décision rappelle que la négligence grave s'apprécie au regard de l'ensemble des informations dont disposait le client au moment de la validation. L'alerte affichée à l'écran fait partie de ces informations. Ignorer sciemment un avertissement explicite, c'est prendre une décision à ses risques et périls.

Contre-intuition utile à retenir : beaucoup de gens pensent encore que le système bancaire les protège quoi qu'il arrive. L'idée que la banque rembourse toujours "parce que c'est une fraude" est fausse depuis octobre 2025 dès lors qu'une alerte a été affichée et ignorée. La protection existe, mais elle a des conditions.

La fraude que ce mécanisme était censé tuer

Ce type d'escroquerie, la fraude au détournement de factures, a coûté 183 millions d'euros en 2024 selon la Banque de France. Le principe est simple et redoutable : le fraudeur intercepte une facture tout à fait légitime et remplace l'IBAN de la personne à payer par le sien. Jusqu'alors, les banques ne contrôlaient que la validité du numéro d'IBAN, pas son titulaire. Un IBAN correct mais appartenant à un escroc passait sans encombre.

Depuis octobre 2025, cette mécanique est théoriquement cassée. Mais les escrocs s'adaptent. La nouvelle technique consiste à convaincre la victime que l'alerte est normale, changement de banque, nouveau compte professionnel, holding intermédiaire. La recommandation des autorités est ferme : ne validez pas le virement en cas de non-concordance, même si le bénéficiaire insiste. Si quelqu'un fait pression pour que vous ignoriez une alerte, c'est précisément le signal d'alarme à prendre au sérieux.

Ce que le nouveau fichier anti-fraude change à partir de mai 2026

Le dispositif VoP ne s'arrête pas là. La loi n° 2025-1058 du 6 novembre 2025 a créé un outil inédit : le Fichier national des comptes à risque de fraude (FNC-RF). Ce fichier centralisé, géré par la Banque de France, regroupe tous les comptes bancaires signalés comme suspects. Dès qu'un établissement identifie un IBAN lié à une fraude, il peut le déclarer dans cette base, et toutes les autres banques peuvent consulter cette information avant de valider un virement.

Ce fichier est opérationnel depuis le 7 mai 2026. Ce que cela change concrètement : avant le 7 mai 2026, un escroc pouvait envoyer un faux RIB à des dizaines de victimes, encaisser les virements, et vider le compte avant que la moindre alerte circule d'une banque à l'autre. Le FNC-RF casse cette mécanique. Dès le premier signalement, l'IBAN est inscrit dans le registre et les autres banques peuvent bloquer les virements entrants.

Et pour les victimes, cela modifie aussi l'équation du remboursement. Si votre banque a exécuté un virement vers un IBAN figurant dans le FNC-RF sans consulter le fichier, elle a failli à son obligation de vigilance, ce manquement peut engager sa responsabilité contractuelle et ouvre la voie à un remboursement. Aucune donnée personnelle n'y figure : seul l'IBAN est enregistré.

La combinaison des deux dispositifs, VoP et FNC-RF, dessine un nouveau partage des responsabilités entre banques et clients. Plus les outils de protection sont visibles et accessibles, plus l'utilisateur qui les contourne assume la charge de sa décision. Ce dispositif sert à "alerter" et "responsabiliser l'utilisateur", qui doit vérifier auprès du bénéficiaire que les informations le concernant sont correctes avant de valider, ou y renoncer. La prochaine fois qu'une alerte rouge s'affichera sur votre écran de virement, souvenez-vous que ce n'est pas une formalité à cocher, c'est un choix juridiquement engageant.

Sources : abe-infoservice.fr | credit-et-banque.com