Usurpation dans la facturation par courrier électronique : le débiteur est-il libéré de l'obligation de payer ?

Selon les données recueillies par le bureau du procureur général, plus de 16 900 procédures judiciaires pour cybercriminalité ont eu lieu en Espagne en 2020, soit une augmentation de 28,69% par rapport à l'année précédente. Au cours des années suivantes, ces chiffres n'ont fait qu'augmenter.

Parmi les victimes de ce type de délit, on estime que 65 à 70% sont des petites et moyennes entreprises. La raison est claire : l'utilisation récurrente d'outils numériques - pour stocker et gérer des informations, pour effectuer des paiements, etc. - couplé à un manque de ressources et de connaissances en matière de prévention, font des PME la cible numéro 1 de ces criminels.

L'une des formes les plus connues de cybercriminalité est la technique dite de "l'homme du milieu" (ou man-in-the-middle-attack). Par le biais de cette technique, le cybercriminel intercepte les communications échangées entre deux parties, surveille les messages et, le moment venu, manipule comme il le souhaite les messages croisés.

L'une des typologies les plus fréquentes, et celle que nous aborderons dans cet article, est la fraude de factures par e-mail ; le délinquant agit lorsque, dans le cadre du paiement de services, le fournisseur envoie une facture au client. À ce stade, avec des communications préalablement surveillées par l'auteur de l'infraction, ce dernier envoie, à partir du propre compte de courrier électronique du fournisseur ou d'un compte dont l'adresse est très similaire, un courrier électronique informant d'un changement du numéro de compte bancaire sur lequel le paiement doit être effectué.

Une fois que le débiteur a versé le montant sur le nouveau compte, le délinquant disparaît sans laisser de trace. Souvent, l'intrusion n'est détectée que quelques semaines plus tard, lorsque le fournisseur, ne voyant pas le dépôt sur son compte bancaire, contacte son client et découvre ce qui s'est passé.

Comme nous l'avons souligné, il s'agit d'une technique largement utilisée par les criminels et qui a déjà été traitée par nos tribunaux pénaux et civils. Ils ont eu l'occasion de se prononcer, entre autres, sur la question centrale de cet article : le paiement effectué par le débiteur a-t-il un effet libératoire ? En d'autres termes, une fois que ce qui s'est passé a été détecté, le débiteur doit-il payer à son créancier la somme déjà créditée sur le compte du cybercriminel ou le paiement effectué le libère-t-il de son obligation ?

Pour résoudre cette question, il faut tout d'abord partir de la règle générale énoncée à l'article 1162 du code civil, selon laquelle le paiement doit être effectué à "celui en faveur duquel l'obligation a été constituée".

Toutefois, il existe deux exceptions à la règle générale : (i) celle prévue à l'article 1163 du Code civil : " [...] le paiement fait à un tiers est valable en tant qu'il est devenu l'utilité du créancier" ; et surtout, (ii) celle contenue dans l'article 1164 du Code civil : "le paiement fait de bonne foi au possesseur de la créance libère le débiteur ".

C'est précisément sur la base de ces deux préceptes que notre jurisprudence s'est prononcée sur l'effet libératoire du paiement effectué dans le cadre d'une fraude de type "l’homme du milieu" et, en particulier, sur les exigences ou éléments à examiner pour répondre à la question posée.

Dans un souci de clarté, nous nous référons tout d'abord à la décision de l'Audiencia Provincial de Madrid (10e section), jugement n° 501/2019 du 28 octobre :

"En somme, il faut, dans ce dernier cas, celui sur lequel s'articule la résolution de la question soumise au jugement, que pour que le paiement effectué par le débiteur au créancier apparent produise un effet libératoire, la concomitance de trois exigences soit nécessaire : le paiement effectif par le débiteur ; la possession du crédit ou l'apparence de propriété du crédit, qui doit être raisonnable ou objectivement plausible, c'est-à-dire justifier la bonne foi lors du paiement à une personne autre que le véritable créancier ; et la bonne foi du débiteur ou du solvens ; [...] la simple croyance ou conviction subjective que le véritable créancier est payé n'est pas suffisante, car il est nécessaire que cette croyance existe même si la diligence réellement requise selon les circonstances du cas a été utilisée, et elle doit découler de données objectives et fiables. La bonne foi objective qui, contrairement à la bonne foi subjective, ne se présume pas, mais doit être prouvée par la partie qui l'invoque (Art.217 LEC). Et, en l'absence de telles hypothèses, comme en l'espèce, le débiteur est tenu de payer son créancier, sans préjudice de réclamer la restitution de ce qu'il considérait comme le créancier [...]".

Ainsi, les conditions qui doivent être respectées pour que le paiement effectué par un tiers de bonne foi à un non-créancier ait un effet libératoire sont les suivantes : (i) effectuer un paiement effectif ; (ii) l'existence d'une apparence raisonnable et justifiée de propriété de la créance ; et (iii) la bonne foi du débiteur, comprise objectivement et examinée à la lumière de l'utilisation de la diligence raisonnable.

Dans ces cas, ni le paiement à un tiers ni la bonne foi subjective, entendue comme la conviction que celui qui paie le fait au véritable créancier, ne sont discutables ; l'effet libératoire du paiement sera déterminé par la concomitance de la bonne foi objective qui, comme nous l'avons déjà souligné, découle de l'utilisation de la diligence raisonnable. Ainsi, seule l'observation de cette diligence, contextualisée dans les particularités de chaque cas, permet d'affirmer le caractère raisonnable de la croyance apparente qui justifie le paiement à un tiers et qui le libère de sa dette.

Il n'est donc pas possible de donner une réponse générique à la question posée, mais il faut nécessairement tenir compte des circonstances spécifiques de chaque cas.

Ainsi, contrairement à ce qui s'est passé dans le cas précédent, où le tribunal a décidé que le débiteur devait payer au véritable créancier le montant déjà versé au cybercriminel, dans le cas suivant, jugé par le tribunal de commerce n° 2 de Bilbao dans son jugement n° 152/2021 du 11 mars, le contraire est établi :

"Avec la précision que j'apporterai en ce qui concerne le montant, la contestation sera résolue en faveur de la victime car, compte tenu des circonstances concomitantes, il doit être considéré comme prouvé que Balzola a agi avec la diligence requise. En effet, il a agi après avoir reçu un courriel de la même personne avec laquelle il avait précédemment organisé le paiement et de la même adresse électronique. Plus important encore, lorsqu'il a effectué le transfert, il a obtenu un reçu indiquant que la société qui conteste était la bénéficiaire du transfert. Par conséquent, Balzola n'avait aucune raison de soupçonner qu'il faisait l'objet d'un acte illicite et, pour cette raison, le paiement qu'il a effectué doit être effectif".

Par conséquent, en guise de conclusion, nous pouvons affirmer que, pour que le paiement effectué par le débiteur de bonne foi à un tiers autre que le créancier ait un effet libératoire, il faut analyser si le créancier a agi avec une diligence raisonnable, et il n'est pas possible d'établir une réponse homogène pour tous les cas. À cette fin, il est important d'évaluer les circonstances de chaque cas en observant de nombreux éléments tels que : (i) l'adresse électronique utilisée par le délinquant ; (ii) l'existence de signes extérieurs évidents qui avertissent d'un possible piratage ; (iii) l'existence de relations commerciales antérieures dans lesquelles le paiement a été effectué sur un autre compte différent ou par le biais d'un autre contact ; etc.

Pedro Pérez-Cuesta Llaneras
Avocat chez Illeslex Abogados