Réponse publiée le 16 septembre 2025

Tout d'abord, le Gouvernement tient à rappeler qu'il ne peut pas se prononcer sur un cas particulier. Cependant, plusieurs éléments peuvent être utilement rappelés s'agissant des contrôles effectués par les prestataires de services de paiement pour prévenir la fraude. En premier lieu, les prestataires de services de paiement doivent prévenir, rechercher et détecter les fraudes en matière de paiement. Ils sont ainsi tenus de déployer des mécanismes de contrôle des opérations leur permettant de déceler les opérations de paiement non autorisées ou frauduleuses qui doivent notamment prendre en compte les scénarios connus de fraude, notamment aux fins de l'application de mesures d'authentification forte. Des travaux sont ainsi conduits en France sous l'égide de l'Observatoire de la sécurité des moyens de paiement (OSMP) pour détecter et prévenir les formes émergentes de fraude afin que ces nouvelles typologies de fraude puissent être prises en compte par les prestataires de services de paiement. Par ailleurs, les prestataires de services de paiement peuvent être tenus responsables en cas d'exécution d'une opération de paiement non autorisée par le payeur ou en cas de mauvaise exécution d'une telle opération, sauf si l'identifiant unique fourni par l'utilisateur de service de paiement est inexact, conformément à l'article L. 133-21 du code monétaire et financier. Dans cette hypothèse, le prestataire de services de paiement n'est pas responsable de la mauvaise ou de la non-exécution d'une opération de paiement si l'identifiant unique fourni par l'utilisateur (comme celui figurant sur un RIB) est inexact. Dans une décision récente rendue par sa Chambre commerciale du 15 janvier 2025 (pourvoi 23-15.437, au Bulletin officiel), la Cour de cassation a ainsi rappelé qu'un ordre de paiement exécuté conformément à l'identifiant unique fourni par l'utilisateur du service de paiement est réputé dûment exécuté pour ce qui concerne le bénéficiaire désigné par l'identifiant unique. Par ailleurs, la réglementation prévoit que dans cette hypothèse, le prestataire de services de paiement du payeur doit s'efforcer de récupérer les fonds engagés dans l'opération de paiement et communiquer au prestataire de services de paiement du payeur toutes les informations utiles pour récupérer les fonds. Si le prestataire de services de paiement du payeur ne parvenait pas à récupérer les fonds engagés dans l'opération de paiement, il mettrait à disposition du payeur, à sa demande, les informations qu'il détiendrait pouvant documenter le recours en justice du payeur en vue de récupérer les fonds. Enfin, le Gouvernement rappelle que le règlement (UE) 2024/886 du Parlement européen et du Conseil du 13 mars 2024 sur les virements instantanés prévoit que les prestataires de services de paiement auront l'obligation, à compter d'octobre 2025, de déployer le service de vérification de la concordance entre le nom du destinataire et celui du titulaire de l'IBAN bénéficiaire, y compris pour les virements classiques. Cette mesure constitue une brique supplémentaire de nature à prévenir de manière plus efficace la fraude à la substitution de RIB.