Le contrat cyber couvre l'intrusion informatique. La fraude au président relève d'une autre garantie.
Le plus souvent non, et la raison tient en une phrase : personne n'est entré dans vos systèmes. Un escroc s'est fait passer pour votre dirigeant, et un collaborateur habilité à payer a lancé le virement lui-même. C'est une escroquerie, pas une intrusion informatique, et beaucoup de contrats cyber écartent la fraude aux moyens de paiement. La garantie qui couvre ce sinistre existe : elle porte le nom de fraude et détournement, et elle se souscrit à part. C'est elle qu'il faut chercher dans la liste de vos garanties.
La loi range ce que vous avez subi parmi les escroqueries : tromper quelqu'un par une fausse qualité pour le déterminer à remettre des fonds (article 313-1 du code pénal). L'escroc connaît vos noms et votre organigramme. Il appelle un collaborateur habilité à payer, se présente comme le dirigeant, annonce un dossier urgent et confidentiel dont il interdit de parler. Rien là-dedans ne relève de l'inattention.
L'intrusion informatique est une autre infraction : l'accès frauduleux à un système de traitement automatisé de données. C'est elle que vise le coeur du contrat cyber, et c'est elle que retient la seule règle légale sur l'indemnisation des cyberattaques, qui subordonne le versement de l'indemnité au dépôt d'une plainte sous 72 heures.
Le code monétaire et financier partage les paiements en deux familles. Une opération est autorisée dès lors que le payeur a consenti à son exécution. À défaut, elle est réputée non autorisée, et la banque rembourse au plus tard à la fin du premier jour ouvrable suivant votre signalement.
Dans la fraude au président, l'ordre part d'un poste habilité, avec les bons codes et la volonté de celui qui le saisit. Il est donc autorisé, même si ce consentement a été obtenu par tromperie : le remboursement de plein droit des articles L. 133-18 et suivants ne joue pas.
La banque peut malgré tout devoir réparer, au titre de son devoir de vigilance. Il se déclenche devant une anomalie apparente, c'est-à-dire un élément visible qui détonne : un bénéficiaire nouveau à l'étranger, un montant sans rapport avec vos flux. Le 2 octobre 2024, la Cour de cassation a validé la condamnation d'une banque qui avait exécuté sept virements vers Hong Kong sans appeler le dirigeant.
Ce devoir a des bornes. La banque n'a pas à contrôler l'opportunité de vos paiements : elle répond des seules anomalies apparentes. En juin 2025, la Cour de cassation a ainsi écarté la responsabilité d'une banque dans une autre fraude au président, au motif que les virements restaient sous les plafonds convenus, étaient couverts par le solde du compte et partaient vers un établissement agréé dans l'Union européenne. Ce qui déclenche l'alerte, ce n'est donc pas la qualité de celui qui saisit l'ordre, c'est ce que l'opération a d'inhabituel au regard de vos flux.
Voici la ligne de partage, sinistre par sinistre.
| Le sinistre | Contrat cyber | Garantie fraude et détournement |
|---|---|---|
| Rançongiciel, serveurs chiffrés, activité arrêtée | Coeur de la garantie | Hors champ |
| Fuite de données consécutive à une intrusion | Couvert, plainte sous 72 heures exigée (art. L. 12-10-1 c. assur.) | Hors champ |
| Faux ordre du dirigeant exécuté par un collaborateur | Souvent exclu, selon la rédaction de votre police | Objet même de la garantie |
| Faux RIB au nom d'un fournisseur | Souvent exclu, même logique | Généralement visé, à vérifier |
| Détournement commis par un collaborateur | Hors champ | Couvert selon les options |
Cette garantie s'appelle fraude, détournement de fonds ou fraude aux moyens de paiement selon les assureurs. C'est tantôt une extension de garantie, c'est-à-dire un ajout payant à un contrat existant, tantôt un contrat séparé. Son revers est une exclusion, c'est-à-dire un cas écarté d'avance.
Le temps joue contre le rappel des fonds. Appelez votre banque avant tout, signalez la fraude et demandez le retour des sommes. Faites bloquer le compte du bénéficiaire dans vos applications de paiement. Conservez les messages, les numéros appelants et l'ordre lui-même. Déposez plainte sans attendre : votre banque en aura besoin, votre assureur aussi.
Déclarez ensuite le sinistre sur vos deux contrats, sans trancher d'avance lequel répond. Si une messagerie a été piratée en amont, la frontière se déplace, et la page assurance cyber dit ce que ce contrat prend en charge. Quand la faille vient d'un tiers, la chaîne se lit autrement, sujet de la page sur le prestataire informatique piraté. Et votre questionnaire de souscription pèse sur la suite.
Un comptable qui change, un outil de paiement qu'on remplace, et la procédure déclarée à l'assureur n'est plus celle que vos équipes appliquent. Accent Conseil remet les deux au même niveau à chaque fois, seuils de validation écrits noir sur blanc.
Audit gratuit
Nous vous disons laquelle de vos deux polices répondrait demain matin, et ce qu'il manque pour que la réponse soit oui.
Demander un audit en 30 minVos questions
De plein droit, seulement quand l'opération n'a jamais été consentie, par exemple si un tiers a capté vos identifiants. La loi impose alors un remboursement au plus tard à la fin du premier jour ouvrable suivant le signalement. L'établissement peut s'y soustraire en démontrant une négligence grave de votre part, c'est-à-dire un manquement caractérisé à votre obligation de protéger vos moyens d'accès et de signaler tout incident sans délai. Cette preuve lui incombe, et la Cour de cassation la contrôle étroitement. La fraude au président sort de ce cadre, puisque l'ordre a bien été consenti. Reste le devoir de vigilance, sur lequel la discussion se mène pièce en main, relevés et échanges à l'appui.
Sur le plan financier, très rarement. La Cour de cassation juge de façon constante que la responsabilité pécuniaire d'un salarié envers son employeur ne peut résulter que de sa faute lourde, celle qui suppose une intention de nuire, et qu'une faute grave n'y suffit pas. Un collaborateur trompé par une mise en scène organisée en est loin : il a appliqué ce qu'il croyait être une instruction de son dirigeant. La question disciplinaire est distincte et relève de votre conseil en droit social. Ces fraudes visent d'ailleurs une fonction plutôt qu'une personne, celle qui détient le pouvoir de payer.
Il faut lire la définition, pas l'intitulé. Beaucoup de contrats limitent cette garantie aux fonds détournés à la suite d'une atteinte à votre système d'information, après le piratage d'une messagerie ou l'introduction d'un logiciel malveillant par exemple. Un virement décidé par un salarié trompé, sans aucune intrusion, reste alors en dehors. D'autres polices l'admettent moyennant une extension et un plafond propre à cette garantie, en général plus bas que celui du contrat. La réponse figure dans les définitions et la liste des exclusions de votre propre contrat, et votre assureur la confirme par écrit si vous la lui demandez.
C'est la même famille. Les autorités publiques regroupent ces montages sous le nom de faux ordres de virement : usurpation du dirigeant, du fournisseur, ou du salarié qui demande à changer le compte où son salaire est versé. Le raisonnement assurantiel est identique, puisque votre entreprise a payé volontairement, sur la foi d'une information fausse. La parade l'est aussi, et elle ne coûte rien : rappeler le fournisseur sur le numéro que vous aviez déjà, celui de vos anciennes factures, jamais celui qui figure dans le message annonçant le changement.
Celles qui ralentissent le paiement. Un seuil au-delà duquel deux personnes valident, un rappel obligatoire du donneur d'ordre sur un numéro connu, une règle écrite non dérogeable, et une trace de qui a validé quoi. Les autorités publiques recommandent en plus de limiter ce que votre site et vos réseaux sociaux publient sur les personnes habilitées à payer, car c'est là que l'escroc construit son scénario. Ces éléments figurent au questionnaire de souscription : ce que vous y déclarez vous engage, et se vérifie au moment du sinistre.
Sources
Textes : article 313-1 du code pénal ; article L. 133-6 du code monétaire et financier ; article L. 133-18 ; article L. 133-19 ; article L. 12-10-1 du code des assurances.
Jurisprudence : Cour de cassation, com., 2 octobre 2024, n° 23-13.282 ; com., 23 octobre 2024, n° 23-16.267 ; com., 12 juin 2025, n° 24-10.168 ; soc., 25 janvier 2017, n° 14-26.071.
Ressources publiques : Cybermalveillance.gouv.fr, faux ordres de virement.
Pour aller plus loin : protection des dirigeants et primes en baisse, risque en hausse.
Cette page fait partie de nos réponses aux questions des employeurs.
Le cabinet : Accent Conseil est le nom commercial d'Accent Assurances, 80 rue de Paris, 93100 Montreuil. Courtier immatriculé à l'ORIAS sous le numéro 09049208 depuis le 30 avril 2009, registre consultable sur orias.fr.
Parce que notre métier chez Accent Conseil, c’est d’accompagner à la fois les décideurs dans la sélection des assurances les plus pertinentes, et les équipes qui sont les premières concernées par les options retenues.
