⚠️ L'irrévocabilité et la fraude au virement instantané

Ce que l'irrévocabilité recouvre exactement

Un virement instantané est un crédit poussé par le payeur, réglé en quelques secondes, et définitif au moment du règlement. Aucun message postérieur ne le renverse. Le bénéficiaire dispose des fonds dès le crédit, et le payeur ne conserve plus aucun droit sur les sommes transférées. Ce caractère définitif relève de la conception du rail, qui a été construit pour donner au receveur des fonds acquis sans réserve. Le commerçant reçoit des fonds définitifs sur son compte bancaire, le règlement entre banques se faisant en monnaie de banque centrale, sans risque de reprise, ce que ni la carte ni le prélèvement ne lui offrent.

Le mot exact est finalité, qui désigne le point du traitement au-delà duquel l'opération ne peut plus être annulée, même par accord des deux banques. Sur Pix, la finalité intervient au règlement dans le SPI, l'infrastructure du Banco Central do Brasil mise en service en novembre 2020. Sur SCT Inst, elle intervient au règlement dans TIPS ou RT1. Sur le RTP network de The Clearing House, ouvert en 2017, elle intervient sur les comptes préfinancés du système. Après ce point, un seul mécanisme subsiste, celui qui consiste à obtenir du bénéficiaire qu'il restitue les fonds, ou à contraindre sa banque à le faire.

Quatre opérations distinctes règlent le sort d'un paiement déjà émis, et une intégration mal câblée les confond. L'annulation n'existe pas après finalité. La demande de retour, camt.056 en ISO 20022, sollicite le bénéficiaire sans l'obliger. Le retour proprement dit, pacs.004, est l'acte volontaire de la banque du bénéficiaire, qui suppose son accord. Le remboursement, enfin, est un paiement neuf, sortant, émis par le commerçant, et lui-même irrévocable. Le traitement de ces quatre cas par un chemin unique produit des doubles paiements que personne ne récupère.

Où la fraude s'est déplacée

Le déplacement de la fraude désigne le passage d'une fraude portant sur l'instrument de paiement à une fraude portant sur le payeur lui-même. Tant que l'instrument dominant était la carte, le fraudeur devait obtenir des données : numéro, cryptogramme, code d'authentification. L'industrie a passé vingt ans à durcir cette chaîne, avec la puce EMV, la tokenisation, 3-D Secure et l'authentification forte. Le virement instantané rend cet effort sans objet, puisque le fraudeur n'a plus à dérober un identifiant. Il lui suffit d'obtenir du titulaire lui-même qu'il pousse le paiement.

Cette catégorie porte un nom né au Royaume-Uni, où le rail instantané est le plus ancien, celui d'authorised push payment fraud, la fraude au virement autorisé. Elle regroupe les opérations qu'un titulaire exécute lui-même, sous l'effet d'une manipulation, au profit d'un compte contrôlé par le fraudeur. Le paiement est régulier au sens technique, authentifié, conforme, exécuté par un client légitime depuis son propre appareil, sans qu'aucun contrôle d'instrument ne le distingue d'un virement ordinaire. Les filtres qui portent sur la régularité de l'ordre laissent donc passer ces opérations.

Le second déplacement concerne le côté receveur. Un rail instantané a besoin d'un compte destinataire ouvert, alimentable et vidable en quelques secondes. Le compte mule est donc l'actif rare du fraudeur, et la qualité de l'entrée en relation le contrôle déterminant. Le Brésil nomme trois figures distinctes dans les statistiques d'infraction de son annuaire d'alias, le DICT. La falsidade ideológica désigne un compte ouvert avec les papiers d'un tiers, quand la conta laranja vise un compte ouvert légitimement, puis prêté. La troisième catégorie regroupe les comptes au nom même du fraudeur.

• Faux conseiller bancaire : appel entrant avec numéro usurpé, le client vire lui-même vers un « compte sûr » qui n'existe pas.
• Faux vendeur : annonce entre particuliers, marketplace, billetterie ; le rail gratuit et instantané est le mode de règlement demandé.
• QR substitué : autocollant recouvert en magasin, code modifié sur une facture ; le payeur scanne un bénéficiaire qui n'est pas le commerçant.
• Faux fournisseur : coordonnées bancaires modifiées dans une chaîne de courriels ; c'est la variante entreprise, à ticket élevé.
• Contrainte physique : au Brésil, le sequestro relâmpago consiste à forcer une victime à exécuter des virements pendant sa séquestration, et c'est ce vecteur qui a motivé les plafonds nocturnes.
• Fausse promesse d'investissement : la campagne la plus rentable au Royaume-Uni en 2025, à elle seule 221,5 M£ (UK Finance, 2026).

Vérifier le nom avant de payer : CoP, VoP et leurs équivalents

La Confirmation of Payee, exploitée par Pay.UK, confronte le nom saisi par le payeur au titulaire réel du compte destinataire, avant l'exécution. Née au Royaume-Uni, elle est la première contre-mesure de place adoptée contre la fraude au virement autorisé. Le Payment Systems Regulator l'a imposée aux six plus grands groupes bancaires par la Specific Direction 10, avec échéance au 31 mars 2020. La Specific Direction 17 l'a ensuite étendue à quelque 400 prestataires supplémentaires, aux 31 octobre 2023 et 31 octobre 2024. Cinq années d'exploitation ont fait apparaître les points de rupture du dispositif.

La zone euro a repris ce principe et en a étendu la portée. L'article 5 quater du règlement SEPA, inséré par le règlement (UE) 2024/886 sur les paiements instantanés, impose depuis le 9 octobre 2025 un service de vérification du bénéficiaire à tout prestataire de la zone. Le service est gratuit. Il s'applique à tous les virements, instantanés ou non, sur tous les canaux d'initiation. L'European Payments Council en normalise les échanges interbancaires par un rulebook entré en vigueur le 5 octobre 2025.

D'autres marchés ont obtenu le même effet par la conception du rail, sans texte dédié. En Australie, PayID, service d'alias du New Payments Platform lancé en 2018 par Australian Payments Plus, affiche le nom du bénéficiaire avant validation, le contrôle relevant du parcours plutôt que de la loi. Au Brésil, la résolution d'une chave dans le DICT restitue le nom du titulaire, partiellement masqué. En Inde, l'identifiant virtuel UPI expose le nom enregistré du bénéficiaire. Le principe converge d'un marché à l'autre, alors que son fondement juridique diffère, réglementaire dans un cas et propre à la conception du rail dans l'autre.

• Ce n'est pas un contrôle d'honnêteté. La vérification confirme que l'identifiant appartient à ce nom, pas que le bénéficiaire est légitime. Un faux vendeur qui encaisse sous son vrai nom obtient un Match.
• L'identifiant juridique reste l'IBAN en zone euro : un Match n'efface pas une erreur de saisie d'identifiant.
• Les non-consommateurs peuvent renoncer à la vérification pour leurs remises groupées, et y revenir à tout moment (art. 5 quater §6).
• Un code d'identification (numéro de TVA, identifiant d'entité juridique) ne produit que Match ou No match : jamais de Close match.
• La banque du bénéficiaire porte le verdict qu'elle rend : c'est elle, pas celle du payeur, qui définit ce qui constitue une correspondance.

La friction paramétrée : plafonds, fenêtres horaires et délais d'attente

La friction paramétrée désigne les limites de montant, les fenêtres horaires et les délais d'attente qu'un régulateur, ou l'opérateur du rail lui-même, impose aux paiements instantanés. Ces limites bornent la somme qu'un fraudeur peut extraire par unité de temps, seule variable qui subsiste lorsqu'un paiement ne peut plus être défait. Plusieurs banques centrales ont plafonné leur rail pour ce motif. Les valeurs retenues sont des règles normées et opposables, que le commerçant ne négocie pas avec son prestataire, et qui interrompent des paiements à des heures qu'il ne choisit pas.

Le Brésil en a fait un régime complet. L'Instrução Normativa BCB nº 512, du 30 août 2024, fixe une période nocturne courant de 20 h à 6 h, que l'utilisateur peut demander à décaler à 22 h. Dans cette fenêtre, le plafond est de R$ 1 000 lorsque le bénéficiaire est une personne physique (art. 3º, § 7º). Le paiement par approche est limité à R$ 500 par transaction (art. 16-A, § 1º). Une baisse de limite prend effet immédiatement ; une hausse demande 24 à 48 heures.

L'Inde a retenu une friction d'une autre nature, temporelle elle aussi, adossée à l'ancienneté de la relation plutôt qu'à l'heure de la journée. Un identifiant UPI neuf, ou un compte fraîchement lié, reste plafonné à ₹5 000 pendant vingt-quatre heures. Le plafond fonctionne comme un sas : un fraudeur qui vient d'enrôler un compte mule ne peut pas le vider dans les vingt-quatre heures qui suivent. La Reserve Bank of India indique dans son rapport annuel 2025-26 étudier l'introduction délibérée de frictions supplémentaires, ainsi qu'un mécanisme universel de blocage immédiat de tous les débits d'un compte.

Récupérer après la finalité : MED, camt.056 et retours

Après finalité, trois familles d'outils subsistent, qui n'ont ni la même force juridique ni le même destinataire. Le retour volontaire est décidé par le bénéficiaire. La demande de retour sollicite sa banque sans pouvoir la contraindre, là où la restitution réglementée oblige un participant à bloquer puis à rendre les fonds. Seule la restitution réglementée produit un résultat garanti, et uniquement sur les sommes encore présentes sur le compte visé.

Le contournement du dispositif était accessible, et il a été massivement exploité. Le fraudeur disperse les fonds vers un deuxième puis un troisième compte dans la minute qui suit la réception. Le Banco Central do Brasil y a répondu par le MED 2.0, obligatoire depuis février 2026, qui étend le blocage conservatoire au-delà du premier compte receveur, le long de la chaîne des comptes destinataires. Un encaisseur qui reçoit des fonds contestés expose désormais son compte au blocage, même lorsqu'il se situe au deuxième rang.

Qui rembourse, selon les marchés

La prise en charge de la fraude au virement autorisé relève de règles nationales, qui diffèrent fortement d'un marché à l'autre. Un opérateur présent sur quatre juridictions applique quatre régimes de responsabilité incomparables, avec des plafonds, des bénéficiaires éligibles et des voies de recours différents. Aucune règle ne se transpose, de sorte qu'une politique de remboursement écrite pour Londres ne décrit aucune obligation applicable à São Paulo. La réciproque est également vraie.

Le régime britannique est le plus détaillé, et le seul à imposer un versement chiffré. Il couvre les paiements exécutés sur Faster Payments Service et CHAPS, entre deux comptes britanniques, y compris lorsqu'un prestataire d'initiation les déclenche. Le prestataire du payeur instruit seul le dossier et décide en cinq jours ouvrés, trente-cinq au maximum s'il demande une information. La réclamation se prescrit par treize mois. Une franchise facultative de 100 £ au plus est admise, inopposable aux clients vulnérables.

L'écart entre 88 % et 61 % ne traduit aucune contradiction : il tient au périmètre que le régime ne couvre pas, soit les cartes, les paiements internationaux, les autres systèmes et les litiges civils. Singapour a retenu un dispositif sans barème d'indemnisation. Son cadre assigne des devoirs précis aux établissements financiers puis aux opérateurs télécoms, et n'ouvre l'indemnisation qu'en cas de manquement à l'un d'eux. Lorsque chacun a rempli ses obligations, la victime supporte seule la perte. L'Australie a suivi la même logique d'obligations sectorielles, sans barème, avec des sanctions civiles pouvant atteindre 50 M AUD.

Opérer du côté qui encaisse

Le côté receveur désigne l'établissement qui tient le compte crédité, ainsi que le commerçant ou la plateforme qui encaisse par son intermédiaire. Un régime à responsabilité partagée transforme la nature de ce métier, puisqu'au Royaume-Uni la banque qui héberge le compte du fraudeur paie la moitié de la réclamation. La lutte contre les comptes mules cesse alors de relever de la seule conformité, et son coût s'inscrit au compte de résultat. Le même mouvement se lit au Brésil, où le MED 2.0 expose au blocage les comptes de deuxième rang. L'encaissement pour le compte de tiers comporte donc un risque financier propre.

• Séparer, dès le premier contact, la contestation de fraude et la demande de remboursement commercial : ni le même interlocuteur, ni le même délai, ni la même issue.
• Suivre le taux de contestation par sous-marchand, et non le chiffre d'affaires : c'est cet indicateur qui déclenche le blocage d'un compte.
• Documenter l'entrée en relation de chaque compte receveur : un bénéficiaire non identifiable expose l'établissement à la restitution et à la sanction.
• Caler le calendrier des paiements sortants sur les fenêtres du rail, en heure locale du marché, 20 h à Brasília, pas 20 h au siège.
• Rapprocher chaque remboursement de la vente d'origine, dans les deux sens, sur l'identifiant de bout en bout fourni par le rail.
• Mesurer le taux de No match de ses propres encaissements : une dérive signale un écart entre le nom communiqué aux clients et celui du compte.

Chronologie d'une prise de conscience, et les angles morts qui restent

Aucun de ces dispositifs n'a été conçu avant le rail qu'il protège, tous ayant été ajoutés après, sous la pression de pertes constatées. L'écart entre la date d'ouverture d'un rail et celle de son premier garde-fou mesure le temps qu'il a fallu pour que ces pertes deviennent assez visibles pour justifier une règle. Un marché qui ouvre aujourd'hui un rail instantané dispose de ce retour d'expérience, et peut installer les garde-fous en même temps que l'infrastructure.

Deux angles morts subsistent. Le premier est calendaire, puisque hors zone euro la vérification du bénéficiaire n'est exigible qu'au 9 juillet 2027, tout comme l'émission d'instantanés. Pendant deux ans, un même virement en euros obéit à deux régimes de contrôle selon le pays du prestataire émetteur. Le second angle mort tient à la géographie des rails, et aucun dispositif ne le couvre à ce jour.

Les interconnexions transfrontalières se multiplient. PayNow–PromptPay relie Singapour et la Thaïlande depuis 2021, UPI–PayNow l'Inde et Singapour depuis 2023, PayNow–DuitNow Singapour et la Malaisie depuis 2023. S'y ajoutent les liaisons QR de DuitNow QR, opéré par PayNet, et de QRIS, la norme indonésienne imposée par Bank Indonesia en 2019. Aucun régime de remboursement ne franchit ces frontières. Une victime singapourienne d'une fraude exécutée vers un compte thaïlandais relève du cadre singapourien pour son propre établissement, alors qu'aucune règle n'atteint la banque qui tient le compte receveur.