This post is also available in:
La fraude bancaire en ligne prospère. Phishing, fausses factures, IBAN substitué : malgré la prévention, des clients ordonnent encore des virements vers des comptes qui ne sont pas ceux qu’ils croient. L’« IBAN check », ou vérification du bénéficiaire (Verification of Payee), est désormais en place dans nos banques : avant un paiement, l’IBAN saisi est comparé au nom déclaré du bénéficiaire et, en cas de discordance, un avertissement est donné. C’est une obligation européenne, gratuite pour le client, applicable dans la zone euro depuis le 9 octobre 2025 en vertu du règlement (UE) 2024/886 sur les virements instantanés.
Révolution ? Un peu, mais pas forcément au sens où on l’imagine.
Un déclencheur de responsabilité, pas un pare-feu
Le mécanisme de la vérification de la concordance entre le nom d’un bénéficiaire indiqué lors de l’encodage d’un virement et celui du titulaire du compte bénéficiaire qui y est mentionné n’est pas un pare-feu qui bloque ; c’est un déclencheur de responsabilité. Si la banque propose correctement le service et que le client confirme malgré l’avertissement, elle n’endosse pas le risque d’un identifiant erroné. Si le service n’a pas été correctement proposé, remboursement. Tout se joue sur la preuve.
Trois issues sont prévues : correspondance (match, égalité stricte après les normalisations usuelles), quasi-correspondance (close match : micro-écart, une lettre, des accents, une translittération, une inversion nom et prénom) et non-correspondance (no match). En cas de quasi-correspondance, la banque doit afficher le nom associé à l’IBAN pour éclairer la décision. Pour les personnes morales identifiées par un code unique (numéro d’entreprise, LEI), c’est binaire : match ou no match.
En cas de litige, la banque devra rejouer la scène
Le point critique n’est pas l’algorithme, c’est le probatoire. En cas de contestation, gagner un litige, c’est pouvoir rejouer la scène : IBAN et nom saisis, résultat exact (match, close match, no match), texte exact de l’avertissement, action du client (confirmer ou annuler), horodatages et canal. Sans ce film, le « service correctement proposé » est indémontrable.
Ce constat prolonge celui que nous faisions déjà sur la charge de la preuve en matière de fraude aux paiements : la banque qui ne peut pas documenter ce qu’elle a fait est réputée ne pas l’avoir fait.
Correspondance approximative : où placer le curseur ?
Reste le réglage du « quasi ». Trop strict, il génère des faux positifs et banalise l’alerte. Trop permissif, il laisse passer des fraudes. La voie praticable tient en trois points : documenter des règles de rapprochement claires (tolérances, diacritiques, noms d’usage) ; les réviser à partir des incidents ; afficher un verbatim d’avertissement compréhensible (« vous risquez d’envoyer les fonds à un tiers non souhaité ») avec un bouton de confirmation explicite (« je confirme malgré l’avertissement »).
La bonne expérience client n’est pas cosmétique : elle est juridique.
Prestataires d’initiation et virements en lot : qui répond ?
La chaîne d’intervenants complique la donne. Si les données du bénéficiaire viennent d’un prestataire d’initiation de paiement, l’exactitude relève d’abord de ce tiers ; à la banque du payeur de tracer la provenance et de prévoir l’action récursoire. Côté entreprises, la possibilité de renoncer au contrôle pour des virements en lot suppose un cadre contractuel net : qui choisit, qui supporte, qui prouve.
Ni gadget ni bouclier
L’IBAN check n’est ni un gadget ni un bouclier absolu. Il redistribue le risque selon une logique simple : information préalable et preuve. Les banques qui s’en sortiront investiront moins dans les slogans que dans quatre fondamentaux : des écrans juridiquement robustes (y compris le cas « quasi »), des journaux inviolables, des seuils gouvernés, des clauses sobres et alignées sur le texte.
Et, côté client, une réalité sans fard : confirmer malgré l’alerte, c’est assumer.
(Article initialement publié dans le journal « L’Echo », sous forme de carte blanche).
