Halte aux faux ordres de virements !

Depuis quelques années, les utilisateurs de moyens de paiement sont de plus en plus confrontés à des situations de fraudes, qu’il s’agisse d’un prélèvement non souhaité, d’une carte abusivement débitée ou d’un virement mal dirigé. Me Alexandre Marion, avocat au sein du cabinet La Tour International, nous alerte sur la forte augmentation des virements par tromperie, avec manipulation à distance du donneur d’ordre.

Ces quelques lignes s’intéressent aux situations de virements par manipulation du donneur d’ordre (payeur), parfois évoquées sous l’expression de faux ordres de virement (FOVI). Ces FOVI ne concernent pas que les particuliers, bien au contraire. Dans le secteur professionnel, ils découlent souvent d’une absence d’organisation à même de les prévenir ou de les stopper à temps.

Le très récent rapport du service de la médiation auprès de la Fédération Bancaire Française (FBF) publié à la mi-juin 2022 y revient d’ailleurs dans ses recommandations au titre de son exercice 2021.

On peut commencer en disant que les services de la Banque de France ont constaté un doublement des fraudes aux virements en nombre d’opérations et une augmentation de leur poids par rapport aux autres moyens de paiement.

En outre, le développement du virement instantané constitue un risque d’accentuation de cette fraude puisque faire échec à des virements instantanés mal dirigés est plus aléatoire. Il suffit, pour s’en convaincre, de constater que le taux de fraude de ces derniers s’établit à un niveau supérieur de près de cinquante fois au taux global sur le virement !

Il est donc plus que jamais nécessaire de prendre conscience du risque de FOVI mais aussi de rechercher les responsabilités respectives du donneur d’ordre et des banques impliquées lorsqu’un FOVI est constaté.

FOVI, de quoi parle-t-on exactement ?

Le FOVI, c’est l’arnaque amenant la victime à réaliser un virement de fonds non planifié, par persuasion, menaces ou pressions diverses. Il faut bien le distinguer du faux virement qui consiste en l’émission d’un ordre de virement par le fraudeur qui peut se produire après le vol ou la contrefaçon d’un instrument physique, ou par détournement de données ou d’identifiants bancaires.

Le FOVI est un virement par tromperie (ingénierie sociale), où le fraudeur manipule le donneur d’ordre du virement. Le fraudeur parvient souvent à distance à ce que sa victime émette un virement à destination d’un numéro de compte qui n’est pas celui du bénéficiaire attendu/légitime et qui ne correspond à aucune réalité économique.
On parle communément d’arnaque au Président lorsque le fraudeur usurpe l’identité d’un dirigeant pour déclencher le virement par une personne au sein de la comptabilité de l’entreprise. Les variantes sont toutefois nombreuses, selon que l’identité usurpée est celle du fournisseur qui réclame le règlement de factures réelles sur de nouvelles coordonnées bancaires ou celle d’un salarié qui sollicite le changement des coordonnées bancaires où virer son salaire.

Opération « autorisée » malgré un consentement vicié

Les autorités et les banques considèrent souvent que bien que mal dirigé et révélateur d’un consentement du donneur d’ordre clairement vicié, le FOVI serait une opération autorisée parce que le donneur d’ordre est bien celui qui l’a validée. Elles s’appuient sur des règles européennes qui ont imposé un système de validation par « authentification forte », en exigeant que les opérations de paiement en ligne soient vérifiées avec au moins deux des trois éléments suivants :

• un élément que seul le client connait (mot de passe, code, etc.) ;
• un élément que seul le client possède (téléphone mobile, carte à puce, etc.) ;
• une caractéristique personnelle au client (empreinte digitale, reconnaissance vocale, etc.).

La qualification d’opération autorisée est importante puisqu’elle détermine l’application d’un régime de responsabilité qui considère que seule l’opération non autorisée déclenche une obligation de principe du remboursement par le prestataire de paiement du donneur d’ordre. Cette obligation est toutefois mise en échec lorsque la banque prouve que l’opération autorisée n’a non seulement pas été affectée par une déficience technique mais aussi que le client a été gravement négligent, avec une jurisprudence dense sur cette dernière qualification !

L’assimilation parfois opposée par les banquiers ou médiateurs que l’authentification forte du donneur d’ordre vaut autorisation peut être contestée puisque les règles européennes appliquées disposent qu’« une opération de paiement est autorisée si le payeur a donné son consentement à son exécution » et qu’« en l’absence d’un tel consentement, l’opération ou la série d’opérations de paiement est réputée non autorisée ». En effet, un donneur d’ordre peut-il avoir consenti à un virement qu’il pensait adresser à une personne alors qu’il l’était à une autre, à la suite d’une manipulation qui a vicié son consentement ?

Quelle contestation possible ?

Pour autant la contestation du consentement par le donneur d’ordre dépend aussi des conditions générales appliquées par la banque qui peuvent prévoir – particulièrement dans les situations impliquant des professionnels – que l’ordre de virement authentifié vaut consentement et donc autorisation, nonobstant toute situation de consentement vicié. Il est ainsi fréquent que les banques exigent du donneur d’ordre qu’il renseigne le bénéficiaire sans s’engager à vérifier que la personne renseignée corresponde bien à la personne vers qui les fonds sont dirigés.

Il peut être ainsi utile d’exiger de son banquier – par l’application de conditions particulières – qu’il s’assure que les bénéficiaires indiqués dans les ordres de virements correspondent effectivement aux personnes vers lesquelles les fonds sont dirigés (vérification systématique du couple IBAN/bénéficiaire).

Si cette vérification n’est pas effectuée, par exemple à travers une application interbancaire française bien connue des banques (l’application « Diamond »), le donneur d’ordre prend le risque de se placer sous le régime des opérations mal exécutées, dans lequel il ne dispose que d’un droit à assistance pour une opération en sens contraire (recall), par nature très aléatoire.

L’ « authentification forte », pas assez forte

Face à une situation où la réglementation n’a pas accompagné les règles d’« authentification forte » du donneur d’ordre d’une authentification systématique et préalable du bénéficiaire renseigné par le donneur d’ordre par rapport au bénéficiaire enregistré dans les livres du banquier recevant les fonds, les utilisateurs de virements doivent ainsi être particulièrement vigilants et s’organiser pour éviter les situations de FOVI. 

Bien que les victimes ne soient pas totalement démunies pour contester les FOVI – en utilisant des arguments techniques tirés des règles européennes en matière de paiement ou de la lutte contre le blanchiment de capitaux et le financement du terrorisme - les donneurs d’ordre ne doivent jamais oublier qu’ils prennent le risque, sans s’en rendre compte, d’adresser des fonds à des bénéficiaires qui ne sont pas ceux qu’ils croient être. Cette situation perdurera tant que les banques ne seront pas tenues d’une vérification en temps réel et systématique du couple IBAN/bénéficiaire…