Responsabilité • Digital • Juridique

RIB : la sécurité est une chaîne à trois maillons

Un notaire condamné pour avoir envoyé son RIB par mail, et la tentation de croire qu'un outil sécurisé règle tout. Il couvre un maillon sur trois : l'outil, la procédure de l'étude et la vigilance du client.

Alexandre CastaingCo-Fondateur - Directeur éditorial
Un notaire transmet un RIB à son client pendant qu'un fraudeur intercepte le document

Fin octobre 2022, une étude de l'Eure envoie à son client, un marchand de biens qui achète 320 000 euros, un mail contenant le décompte acquéreur et le RIB de l'office. Le lendemain matin, vers 9 heures, le client reçoit le même message : mêmes références, mêmes montants, même nom d'étude, depuis une adresse presque identique. Seul le RIB a changé. Le 7 novembre, il vire 96 400 euros. Le 16, le notaire s'étonne de ne pas voir arriver les fonds.

Le 25 mars 2026, le tribunal judiciaire de Paris a jugé l'affaire. Les deux banques sont mises hors de cause. Le notaire supporte environ 70 % du préjudice, soit 48 025 euros. Les 30 % restants restent à la charge du client, qui n'a pas vérifié l'adresse d'expédition. D'après la presse, le notaire et son assurance n'excluaient pas de faire appel.

La conclusion qu'on tire en premier est simple : ne plus envoyer de RIB par mail. Elle est juste. Elle est aussi incomplète, et c'est ce que cet article veut dire franchement.

Premier maillon : sortir le RIB de la messagerie

Le jugement est net sur la responsabilité de l'étude. Les juges retiennent qu'il lui revenait de prendre, dès octobre 2022, toutes les précautions pour que l'acte soit finalisé en sécurité. Ils écartent aussi l'idée que les consignes de prudence diffusées par la profession ne s'adresseraient qu'aux clients : un officier ministériel ne peut pas soutenir que les précautions opposables à ses clients ne lui seraient pas opposables.

Ces consignes ne sont pas récentes. Le CSN et les Notaires de France les rappellent depuis décembre 2020 : ne pas transmettre de RIB par mail, privilégier la voie postale ou la remise en main propre, vérifier par téléphone, contrôler qu'un IBAN d'étude française commence par FR et compte 27 caractères.

Une plateforme d'échange dédiée répond à ce premier maillon. Le RIB ne circule plus en pièce jointe : le client reçoit un lien, s'authentifie par SMS et code de contrôle, télécharge le fichier une seule fois, et chaque étape est horodatée dans le dossier. Si l'on demande un jour à l'étude ce qu'elle a fait, elle peut le prouver.

C'est une vraie réponse à l'obligation. Une garantie contre toute fraude, en revanche, personne ne peut la donner.

Ce qu'aucun outil ne peut garantir

Un éditeur contrôle ses serveurs et ses procédures. Il ne contrôle pas la boîte mail de votre client, ni son ordinateur, ni son téléphone.

Si un pirate a pris la main sur une messagerie, celle du client comme celle de l'étude, il peut lire les échanges, intercepter un message et en glisser un autre à la place. Rien n'oblige ce faux message à contenir un RIB. Il peut très bien prétendre venir d'une plateforme sécurisée et inviter le client à cliquer sur un lien qui ressemble à celui de l'outil, avec le logo, le ton et les références du dossier. Le client croit utiliser la procédure qu'on lui a recommandée, et il se trouve sur la page du pirate.

Dans l'affaire d'Évreux, on ne sait toujours pas quelle boîte a été compromise. Cette incertitude dit déjà quelque chose : la fraude ne passe pas par la faille que l'outil ferme.

Aucun fournisseur sérieux ne peut promettre l'inverse.

Un client scrute son écran, incertain face à un message reçu

Deuxième maillon : la procédure de l'étude

Ce que l'étude peut maîtriser, c'est la manière dont elle fait circuler l'information. Quelques règles, simples à tenir :

  • une seule voie pour les coordonnées bancaires, annoncée au client dès l'ouverture du dossier ;
  • jamais le montant à virer et le RIB dans le même mail ;
  • un appel sur un numéro déjà connu pour toute demande de changement de coordonnées, surtout si elle arrive « en urgence » dans un fil déjà ouvert ;
  • un accusé de réception du virement demandé et suivi : dans l'affaire d'Évreux, neuf jours se sont écoulés avant que l'étude s'inquiète de ne pas voir arriver les fonds.

Depuis le 9 octobre 2025, les banques européennes vérifient aussi, pour tout virement SEPA, que le nom du bénéficiaire correspond à l'IBAN. Le client est averti en cas de discordance. L'alerte informe, elle ne bloque pas : un acquéreur pressé peut la valider. L'étude reste la seule à savoir à quel nom et sur quel établissement les fonds doivent arriver, et c'est à elle de le dire avant le virement.

Troisième maillon : prévenir le client

Le tribunal a retenu 30 % de responsabilité contre un client qui n'avait pas vérifié l'adresse de l'expéditeur. L'avocat du client rappelle que presque personne ne le fait, et que dans ce dossier l'écart entre les deux adresses était minime. Si l'on veut que le client vérifie, il faut lui expliquer comment.

Le geste est simple : lire la fin du nom de domaine, c'est-à-dire le dernier mot avant le .fr ou le .com, et s'assurer qu'il correspond bien à celui de l'outil que l'étude lui a indiqué. C'est ce mot qui désigne le vrai propriétaire du site, quels que soient le logo, le ton du message ou les références du dossier. Une lettre en trop, en moins ou remplacée suffit à tromper un lecteur de bonne foi.

Le meilleur moment pour l'expliquer est le début du dossier, quand le client est attentif et que rien ne presse encore. Idéalement, c'est un échange en face à face, lors du premier rendez-vous. À défaut, un appel téléphonique, et en dernier recours un mail. L'objectif est de lui dire clairement ce qui va se passer et ce à quoi il doit faire attention : par quel canal et sur quel domaine arrivera la demande de RIB, le fait que l'étude n'en demandera jamais autrement, la vérification de l'expéditeur et du domaine avant de cliquer ou de virer, et un appel à l'étude, sur un numéro qu'il connaît déjà, au moindre doute.

Une fraude, plusieurs occasions de l'arrêter

Dans l'affaire d'Évreux, le faux mail a traversé le dossier sans rencontrer de résistance : un RIB envoyé en pièce jointe, un montant et des coordonnées dans le même message, un virement dont personne ne s'est inquiété pendant neuf jours, une adresse que personne n'a regardée de près. Une seule de ces précautions aurait rendu la fraude plus difficile, sans la rendre impossible, et c'est ce qui rend le jugement intéressant à relire : il ne montre pas une faille à colmater, mais plusieurs occasions manquées, que seule une combinaison de bonnes pratiques permet de refermer.

Le transfert de RIB sécurisé de Documan

Le transfert de RIB Documan est un outil sécurisé qui répond à l'obligation de ne plus faire circuler les coordonnées bancaires par mail.

Nous conseillons tout de même la plus grande exigence et pédagogie auprès de vos clients, pour les prévenir des risques de piratage de boîte mail et leur rappeler de vérifier le nom de domaine et l'expéditeur.

L'envoi du RIB de l'étude est gratuit. La demande du RIB d'un client est à 1 € HT par échange, ou 35 € HT par mois en illimité, sans engagement.

Découvrir le transfert de RIB sécurisé

Sources

À lire aussi