La fraude au faux conseiller bancaire, souvent commise au moyen d’un procédé de spoofing téléphonique, place les juridictions devant une difficulté juridique majeure. Une opération validée par SécuriPass, Certicode, Sécur’Pass ou un autre dispositif d’authentification forte est-elle nécessairement autorisée lorsque le client n’a agi que parce qu’un escroc lui faisait croire qu’il sécurisait son compte ? La jurisprudence récente refuse désormais de considérer automatiquement la victime comme gravement négligente. Elle n’a toutefois pas encore définitivement tranché la question, plus fondamentale, de l’existence même d’un consentement juridiquement valable. Une lecture cohérente de la Directive sur les Services de Paiement 2 (DSP2) et du Code monétaire et financier conduit pourtant à distinguer l’authentification technique de l’autorisation juridique : le client qui pense protéger ses avoirs ou payer un bénéficiaire légitime ne consent pas au transfert de ses fonds vers le compte d’un fraudeur
Introduction : le spoofing révèle les limites d’une conception purement technique du paiement
Le spoofing bancaire désigne, dans son acception la plus courante, l’utilisation frauduleuse d’un numéro de téléphone ou d’un identifiant d’appel donnant à la victime l’impression qu’elle est contactée par sa banque. L’escroc peut faire apparaître le numéro officiel de l’agence, du service d’opposition ou du conseiller habituel. Il dispose fréquemment d’informations personnelles ou bancaires précises, parfois obtenues à la suite d’une fuite de données, d’un hameçonnage antérieur ou de la compromission d’un espace numérique.
Le procédé dépasse ainsi la simple usurpation d’un numéro. Il constitue une mise en scène globale de la relation bancaire. L’auteur de la fraude connaît le nom du conseiller, les caractéristiques du compte, certaines opérations récentes ou les quatre derniers chiffres d’une carte. Il crée un sentiment d’urgence en annonçant une prétendue attaque informatique, des paiements suspects ou l’imminence de virements frauduleux. La victime est ensuite invitée à « annuler », « bloquer » ou « sécuriser » ces opérations en effectuant, sur son propre téléphone, les manipulations demandées.
Ces manipulations peuvent conduire à l’ajout d’un nouveau bénéficiaire, à la validation d’un paiement par carte, à l’exécution d’un virement ou à l’activation d’un dispositif de paiement. L’ordre est parfois confirmé au moyen d’une authentification forte : notification dans l’application bancaire, reconnaissance biométrique, code personnel SécuriPass, Certicode Plus, Sécur’Pass ou dispositif équivalent.
C’est précisément cette intervention matérielle de la victime qui nourrit le contentieux. Les banques soutiennent généralement que l’opération a été autorisée puisque le client s’est connecté à son espace, a utilisé son instrument de paiement et a validé la transaction. Elles invoquent subsidiairement une négligence grave au sens de l’article L. 133-19 du Code monétaire et financier, tirée de la communication d’informations confidentielles, de l’inobservation des messages d’alerte ou de l’exécution d’instructions reçues par téléphone.
Une telle présentation tend cependant à confondre trois notions distinctes : l’identification de l’utilisateur, l’authentification de l’opération et le consentement à son exécution. Or la DSP2 comme le Code monétaire et financier n’assimilent pas ces notions. Une authentification peut établir qu’un dispositif ou une donnée de sécurité a été utilisé. Elle ne démontre pas, à elle seule, que l’utilisateur a juridiquement consenti à l’opération litigieuse. L’article L. 133-23 du Code monétaire et financier précise d’ailleurs que l’utilisation de l’instrument de paiement, telle qu’enregistrée par le prestataire, ne suffit pas nécessairement à prouver que l’opération a été autorisée ou que l’utilisateur a commis une fraude ou une négligence grave.
Les évolutions récentes de la jurisprudence française illustrent cette prise de conscience. Par un arrêt du 23 octobre 2024 (N°23-16.267), la chambre commerciale de la Cour de cassation a admis que l’utilisation du spoofing avait pu mettre le client en confiance et diminuer sa vigilance, de sorte qu’aucune négligence grave ne pouvait être retenue dans les circonstances examinées. Par un arrêt du 4 mars 2026 (N° 24-19.588), elle a néanmoins rappelé que les juges doivent analyser précisément le contenu des messages de confirmation reçus par le client et rechercher si ceux-ci permettaient de suspecter la fraude.
Ces décisions organisent principalement le débat autour de la négligence grave. Elles ne répondent pas encore explicitement à la question qui devrait logiquement précéder toutes les autres : l’opération obtenue par spoofing est-elle autorisée au sens des articles L. 133-6 et L. 133-7 du Code monétaire et financier ?
La réponse défendue ici est négative lorsque la tromperie porte sur l’identité du bénéficiaire, sur la nature de l’acte accompli ou sur la destination des fonds. Le client qui croit annuler un paiement ne consent pas à le confirmer. Celui qui croit transférer de l’argent vers un compte sécurisé ouvert à son nom ne consent pas à enrichir un escroc. Celui qui croit rétablir un bénéficiaire habituel ne consent pas à enregistrer le compte d’un tiers inconnu. Le consentement technique n’est pas le consentement juridique.
- La qualification du spoofing bancaire au regard du régime des opérations non autorisées
- L’autorisation d’une opération de paiement suppose un consentement, et non une simple validation informatique
L’article L. 133-6 du Code monétaire et financier pose une règle apparemment simple : une opération de paiement est autorisée si le payeur a donné son consentement à son exécution. L’article L. 133-7 ajoute que ce consentement est donné sous la forme convenue entre le payeur et son prestataire et qu’en son absence l’opération est réputée non autorisée.
La forme du consentement et son existence ne doivent pas être confondues. La convention de compte peut prévoir que le consentement sera exprimé par la saisie d’un code, l’utilisation d’une application mobile, une reconnaissance biométrique ou la validation d’une notification. Ces stipulations déterminent le canal par lequel une volonté peut être manifestée. Elles ne permettent pas de présumer irréfragablement l’existence de cette volonté lorsque le client démontre que la manipulation a été obtenue par tromperie.
À défaut, le régime légal serait inversé. Le prestataire pourrait transformer toute authentification réussie en preuve définitive de l’autorisation, alors que l’article L. 133-23 lui impose précisément, lorsque le client nie avoir autorisé l’opération, de démontrer que celle-ci a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre. Le même texte exclut que le seul enregistrement de l’utilisation de l’instrument suffise nécessairement à établir l’autorisation ou la négligence grave.
Cette distinction résulte également de l’architecture de la DSP2. L’authentification répond à une question factuelle : les éléments de sécurité attribués au client ont-ils été utilisés conformément au protocole technique ? L’autorisation répond à une question juridique : le payeur a-t-il voulu l’exécution de cette opération déterminée ?
Un dispositif tel que SécuriPass peut donc attester qu’un téléphone enregistré a reçu une notification et qu’un code personnel ou une donnée biométrique a été utilisé. Il ne démontre pas automatiquement ce que l’utilisateur croyait accomplir. Il ne prouve ni qu’il connaissait l’identité réelle du bénéficiaire, ni qu’il avait compris la nature de l’opération, ni qu’il avait l’intention de transférer les fonds au destinataire effectivement crédité.
L’authentification forte constitue une mesure de sécurité. Elle n’est pas une théorie générale du consentement.
- Le consentement du payeur doit porter sur l’opération effectivement exécutée
Le consentement exigé par l’article L. 133-6 ne peut être réduit à une volonté abstraite d’utiliser l’application bancaire. Il doit porter sur l’exécution de l’opération de paiement litigieuse.
Une opération de paiement n’est pas une donnée purement informatique. Elle comporte des éléments individualisants : un montant, une date, un instrument, un compte débité et un bénéficiaire. L’article L. 133-44 du Code monétaire et financier confirme cette individualisation. Pour les opérations électroniques à distance, l’authentification forte doit comporter des éléments établissant un lien dynamique entre l’opération, le montant et le bénéficiaire donnés.
La référence légale au « bénéficiaire donné » est essentielle. Elle démontre que la sécurité d’un paiement ne porte pas seulement sur le montant et sur l’identité du payeur. Elle doit également assurer un rattachement à un bénéficiaire déterminé.
La banque objectera que, dans un virement, l’identifiant unique est l’IBAN et que l’ordre exécuté conformément à cet identifiant est réputé correctement exécuté en ce qui concerne le bénéficiaire. L’article L. 133-21 du Code monétaire et financier prévoit effectivement que le prestataire n’est pas responsable de la mauvaise exécution lorsque l’identifiant unique fourni par l’utilisateur est inexact.
Mais cette disposition traite de la bonne ou mauvaise exécution d’un ordre donné. Elle ne répond pas à la question préalable de savoir si cet ordre a été autorisé. L’article L. 133-21 protège la banque qui exécute correctement un ordre valable comportant un IBAN erroné fourni par le client. Il ne saurait servir à créer une autorisation lorsque le client conteste avoir consenti à l’opération telle qu’elle a été exécutée.
La distinction est déterminante. Une erreur de saisie d’IBAN dans un virement librement voulu relève potentiellement de la mauvaise exécution. Une substitution frauduleuse de bénéficiaire, dissimulée par un faux conseiller, concerne l’objet même du consentement et relève du régime des opérations non autorisées.
Assimiler les deux situations reviendrait à considérer que le client consent juridiquement à tout transfert vers l’IBAN techniquement validé, même lorsqu’il ignore que cet IBAN appartient à un fraudeur et que cette ignorance résulte d’une manœuvre destinée à usurper l’identité de sa banque ou d’un bénéficiaire légitime.
- La tromperie sur l’identité du bénéficiaire exclut l’autorisation de l’opération réellement exécutée
Dans le scénario classique du spoofing, la victime ne souhaite pas effectuer un paiement au profit de l’escroc. Elle poursuit un autre objectif : protéger son compte, annuler une opération, mettre ses fonds à l’abri ou payer un interlocuteur légitime.
Sa volonté psychologique et économique ne porte donc pas sur l’opération réellement exécutée.
Cette analyse n’impose pas de transposer mécaniquement au paiement toutes les règles du droit commun des contrats. Le régime des services de paiement constitue un droit spécial, largement harmonisé par l’Union européenne. Il n’en demeure pas moins qu’il utilise expressément la notion de consentement. Celle-ci ne peut raisonnablement recevoir, en droit bancaire, une définition opposée à sa signification juridique élémentaire.
L’article 1130 du Code civil prévoit que l’erreur, le dol et la violence vicient le consentement lorsqu’ils ont été déterminants. L’article 1137 définit le dol comme l’obtention d’un consentement par des manœuvres ou des mensonges. L’article 1139 précise que l’erreur résultant d’un dol est toujours excusable.
Il faut toutefois manier ces textes avec rigueur. Le fraudeur n’est généralement pas le cocontractant de la victime au titre de la convention de compte, et le dol d’un tiers n’entraîne pas nécessairement la nullité d’un contrat dans les mêmes conditions que le dol du cocontractant. Le débat sur l’autorisation d’un paiement n’est, en outre, pas exactement celui de la validité d’un contrat.
Les principes du droit civil conservent néanmoins une fonction interprétative. Ils montrent que le droit français ne reconnaît pas comme pleinement efficace une volonté obtenue par une tromperie déterminante. Surtout, le Code monétaire et financier exige lui-même un consentement à l’exécution de l’opération. Il n’exige pas une simple manifestation matérielle déconnectée de toute compréhension de son objet.
La qualification la plus cohérente consiste donc à considérer que le payeur n’a pas autorisé l’opération lorsqu’il n’a jamais voulu le transfert effectivement réalisé. Dans cette hypothèse, la fraude ne crée pas seulement un consentement vicié au sens du droit commun. Elle révèle l’absence de consentement à l’opération juridiquement pertinente : celle qui enrichit le bénéficiaire réel.
Cette proposition doctrinale doit être clairement distinguée du droit positif jurisprudentiel établi. À ce jour, la Cour de cassation n’a pas affirmé, en termes généraux, qu’une opération validée par le client sous l’influence d’un faux conseiller est toujours non autorisée. Dans l’arrêt du 23 octobre 2024, elle raisonne sur une série de virements qualifiés de frauduleux et sur l’absence de négligence grave, sans élaborer une théorie générale du consentement au bénéficiaire réel.
La qualification d’opération non autorisée demeure néanmoins le préalable logique de l’application de l’article L. 133-19. Ce texte organise la répartition des pertes résultant d’opérations non autorisées. Dès lors que les juges recherchent si la victime a commis une négligence grave susceptible de lui faire supporter les pertes, ils se situent déjà dans le cadre juridique de l’opération non autorisée.
- L’authentification forte ne suffit pas à établir une autorisation valable
- La fonction de l’authentification forte est de sécuriser l’accès et l’initiation du paiement
L’authentification forte repose, selon l’article L. 133-4 du Code monétaire et financier, sur au moins deux éléments indépendants appartenant aux catégories de la connaissance, de la possession et de l’inhérence. Il peut s’agir, par exemple, d’un code secret, d’un téléphone enregistré et d’une donnée biométrique.
L’article L. 133-44 impose en principe cette authentification lorsque le payeur accède à son compte en ligne, initie une opération de paiement électronique ou accomplit à distance une opération présentant un risque de fraude. Pour les paiements électroniques à distance, le mécanisme doit créer un lien dynamique avec le montant et le bénéficiaire.
Ces exigences ont permis de réduire certaines fraudes fondées sur le vol de données ou l’utilisation de cartes à distance. Les rapports européens reconnaissent l’efficacité de l’authentification forte contre les fraudes résultant de la compromission de données d’identification. Ils soulignent simultanément son insuffisance face aux fraudes par ingénierie sociale, dans lesquelles le fraudeur manipule le client afin que celui-ci accomplisse lui-même les étapes d’authentification. L’Autorité bancaire européenne a expressément relevé en 2024 que l’authentification forte avait produit des résultats contre le vol d’identifiants, mais que de nouveaux types de fraude contournaient cette protection en manipulant le payeur.
Le spoofing ne brise donc pas nécessairement le dispositif d’authentification. Il le détourne. Le fraudeur ne cherche plus toujours à se substituer techniquement au client ; il cherche à transformer le client en exécutant involontaire de l’escroquerie.
Cette évolution impose de ne pas demander à l’authentification forte ce qu’elle ne peut démontrer. Un système peut authentifier correctement une personne tout en facilitant une opération que cette personne n’aurait jamais acceptée si elle avait connu sa véritable nature.
- L’authentification prouve l’usage d’un dispositif, non la réalité du consentement
L’article L. 133-23 constitue ici le texte central. Lorsqu’un utilisateur nie avoir autorisé une opération, la banque doit prouver que celle-ci a été authentifiée, enregistrée et comptabilisée sans déficience technique. Mais le texte ne s’arrête pas à ce constat. Il refuse que l’utilisation de l’instrument, telle qu’enregistrée par le prestataire, suffise nécessairement à prouver l’autorisation ou une négligence grave.
L’authentification est ainsi une condition probatoire nécessaire, mais non toujours suffisante.
La banque doit produire des éléments permettant d’identifier ce qui a réellement été présenté au client : le texte de la notification, le montant affiché, le nom ou l’identifiant du bénéficiaire, l’heure de la validation, l’appareil utilisé, le parcours suivi, les alertes éventuellement générées et les anomalies détectées. Elle doit également établir que le mécanisme de liaison dynamique a fonctionné et que les données présentées n’étaient ni ambiguës ni tronquées.
Il ne suffit pas d’affirmer que « l’opération a été validée par SécuriPass ». Une telle formule décrit un événement technique. Elle ne répond pas aux questions juridiques essentielles. Quelle opération a été présentée ? Sous quel intitulé ? Le nom du bénéficiaire réel était-il lisible ? Le client pouvait-il comprendre qu’il confirmait un paiement plutôt qu’une annulation ? Le dispositif distinguait-il clairement l’ajout d’un bénéficiaire de l’exécution d’un virement ? Une alerte circonstanciée signalait-elle que la banque ne demanderait jamais une telle validation par téléphone ?
L’arrêt de la chambre commerciale du 30 août 2023 (N°22-11.707), rendu à propos d’une opération non autorisée, confirme par ailleurs l’importance autonome de l’authentification forte. La Cour de cassation a jugé que, sauf fraude du payeur, celui-ci ne supporte aucune conséquence financière lorsque l’opération non autorisée a été effectuée sans authentification forte. Les juges doivent donc rechercher si cette authentification a effectivement été exigée avant de retenir une négligence grave.
Cette décision ne permet pas de raisonner a contrario. Elle signifie que l’absence d’authentification forte prive en principe la banque de la possibilité d’opposer la négligence grave. Elle ne signifie pas que la présence d’une authentification forte transforme automatiquement l’opération en opération autorisée.
- Le consentement technique ne peut absorber le consentement juridique
La thèse bancaire revient souvent à considérer que le client qui saisit son code ou valide une notification consent, par définition, au paiement. Elle confère ainsi au geste technique une portée absolue.
Cette approche est contestable pour trois raisons.
D’abord, elle rendrait presque inutile la seconde partie de l’article L. 133-23. Si l’utilisation régulière du dispositif suffisait toujours à établir l’autorisation, le législateur n’aurait pas précisé qu’elle ne suffit pas nécessairement à la prouver.
Ensuite, elle dénaturerait le rôle de l’authentification forte. Celle-ci est un procédé de sécurisation et de preuve. Elle n’a pas pour objet de créer une volonté inexistante.
Enfin, elle reporterait sur l’utilisateur l’intégralité du risque d’ingénierie sociale alors même que les établissements organisent, contrôlent et font évoluer les interfaces au sein desquelles le consentement est recueilli. Une banque qui choisit le texte de la notification, l’ordre des écrans, la visibilité du bénéficiaire et la présentation des alertes ne peut soutenir que ces éléments sont juridiquement indifférents.
Le consentement juridique suppose que la volonté du payeur corresponde à l’opération exécutée. Dans une fraude au faux conseiller, cette concordance fait souvent défaut. Le client accomplit le geste matériel demandé, mais refuse précisément le résultat économique qui en découle. Il croit empêcher une sortie de fonds ; le système enregistre une autorisation de paiement. Il croit mettre ses avoirs en sécurité ; l’argent est envoyé au fraudeur.
La contradiction entre la volonté réelle et le résultat enregistré ne peut être résolue par la seule formule « le client a validé ».
III. La jurisprudence récente : une protection accrue de la victime, mais une construction encore inachevée
- L’arrêt du 23 octobre 2024 : la reconnaissance du pouvoir de sidération du spoofing
L’arrêt rendu par la chambre commerciale, financière et économique de la Cour de cassation le 23 octobre 2024, pourvoi n° 23-16.267, constitue la décision de référence en matière de spoofing bancaire.
Dans cette affaire, un client de BNP Paribas avait constaté plusieurs virements frauduleux pour un montant total de 54 500 euros. Il avait été contacté par une personne se présentant comme une salariée de la banque et avait, à sa demande, utilisé ses données personnelles de sécurité pour supprimer puis réinscrire des bénéficiaires. Le numéro affiché correspondait à celui de sa conseillère. La cour d’appel de Versailles avait condamné la banque à rembourser les sommes.
La banque soutenait devant la Cour de cassation que le client avait commis une négligence grave en validant à distance des opérations dont il n’était pas l’auteur, sans vérifier les informations affichées.
La Cour rejette le pourvoi. Elle relève que le numéro de la conseillère s’était affiché sur le téléphone, que le client croyait être en relation avec une salariée de la banque et qu’il pensait valider une opération sécurisée. Elle approuve les juges du fond d’avoir retenu que le spoofing avait mis la victime en confiance et diminué sa vigilance. La négligence grave n’était donc pas caractérisée.
La portée de l’arrêt est importante, mais doit être exactement mesurée.
La Cour de cassation ne pose pas une immunité générale au profit de toute victime de faux conseiller. Elle valide une appréciation circonstanciée des juges du fond. Elle reconnaît cependant deux éléments structurants.
Le premier est que le spoofing modifie l’appréciation du comportement attendu d’un utilisateur normalement attentif. Une victime qui reçoit un appel paraissant provenir du numéro officiel de sa banque ne peut être assimilée sans nuance à celle qui répond à un courriel grossièrement frauduleux.
Le second est que la négligence grave ne se déduit pas de la seule utilisation du dispositif de sécurité personnalisé. Le client avait accompli des validations. Cette circonstance n’a pas empêché la condamnation de la banque.
L’arrêt marque donc un recul de l’approche strictement technique. La validation informatique n’épuise plus l’analyse du comportement de la victime.
- L’arrêt du 4 mars 2026 : le retour à une appréciation concrète des alertes reçues
Par un arrêt du 4 mars 2026, pourvoi n° 24-19.588, publié au Bulletin, la chambre commerciale a apporté une nuance notable.
Un client du CIC avait été contacté par une personne se faisant passer pour un préposé de la banque. Celle-ci lui avait demandé de se connecter à son application pour annuler de prétendues opérations frauduleuses. Deux paiements à distance avaient ensuite été débités.
Le tribunal de proximité avait écarté la négligence grave en considérant que l’appel provenait du numéro officiel de l’agence pendant ses heures d’ouverture, circonstances de nature à rassurer une personne raisonnable.
La Cour de cassation casse le jugement. Elle reproche aux juges de ne pas avoir recherché si le message de confirmation reçu par le client, indiquant qu’il confirmait un paiement et non une annulation, ne lui permettait pas de suspecter la fraude.
La décision ne contredit pas frontalement l’arrêt du 23 octobre 2024. Elle en précise la méthode.
Le spoofing est un facteur susceptible de diminuer la vigilance. Il ne neutralise pas nécessairement tous les autres indices. Les juges doivent reconstituer l’intégralité du parcours de validation : contenu des messages, clarté des avertissements, cohérence entre les instructions téléphoniques et les informations affichées, degré de sophistication de la fraude et circonstances personnelles de l’utilisateur.
L’arrêt du 4 mars 2026 interdit donc deux automatismes symétriques. Le premier consisterait à retenir systématiquement la négligence grave parce que le client a validé l’opération. Le second consisterait à exclure systématiquement cette négligence dès qu’un numéro bancaire a été usurpé.
Il subsiste toutefois une difficulté. La motivation demeure centrée sur la négligence grave, alors que le message indiquant « vous confirmez un paiement » pourrait également être examiné sous l’angle de l’existence du consentement. Le fait que le client ait matériellement reçu cette information ne signifie pas nécessairement qu’il a voulu le paiement, notamment lorsque l’escroc lui expliquait précisément que la validation produirait l’effet inverse.
La perception d’un avertissement est un élément de fait. Elle n’est pas une présomption irréfragable de consentement.
- Les juridictions du fond demeurent partagées sur la notion d’opération autorisée
Les décisions des cours d’appel et tribunaux révèlent encore des approches divergentes.
Certaines juridictions considèrent que le client ayant lui-même validé le paiement au moyen de son téléphone a autorisé l’opération. La cour d’appel de Versailles a ainsi jugé, le 23 avril 2024, dans une affaire enregistrée sous le numéro RG 23/01638, que les procédures d’authentification avaient été respectées et que le paiement validé sur le téléphone ne constituait pas une opération non autorisée.
Cette analyse identifie l’autorisation à l’accomplissement de la procédure prévue par la convention. Elle présente l’avantage apparent de la simplicité, mais méconnaît la distinction entre preuve de l’authentification et preuve du consentement. Elle risque également de priver l’article L. 133-23 de son effet utile.
D’autres juridictions intègrent davantage la sophistication du procédé, les informations détenues par l’escroc, l’usurpation du numéro de la banque et la présentation concrète des écrans. Elles reconnaissent que la victime a pu croire qu’elle annulait ou sécurisait une opération et qu’aucune négligence grave n’est établie.
La jurisprudence établie de la Cour de cassation porte surtout sur la charge de la preuve. Il appartient à la banque de démontrer la négligence grave. Celle-ci ne peut être présumée du seul fait que l’instrument ou les données de sécurité ont été utilisés. Cette solution, déjà affirmée dans plusieurs contentieux relatifs à des paiements frauduleux, structure l’arrêt du 23 octobre 2024.
En revanche, la Haute juridiction n’a pas encore clairement décidé si la tromperie déterminante sur le bénéficiaire réel suffit, par elle-même, à exclure l’autorisation. Cette question constitue probablement le prochain front jurisprudentiel.
- Les conséquences de la qualification d’opération non autorisée
- L’article L. 133-18 impose un remboursement immédiat
Lorsqu’une opération non autorisée est signalée dans les conditions légales, l’article L. 133-18 impose au prestataire de services de paiement de rembourser son montant immédiatement après en avoir pris connaissance et au plus tard à la fin du premier jour ouvrable suivant. La banque doit, le cas échéant, rétablir le compte dans l’état où il se serait trouvé si l’opération n’avait pas eu lieu.
La banque ne peut différer ce remboursement que si elle dispose de bonnes raisons de soupçonner une fraude de l’utilisateur et communique ces raisons par écrit à la Banque de France. Le simple fait que l’opération ait été authentifiée ne constitue pas, à lui seul, une fraude du client.
Depuis la loi du 16 août 2022, le retard dans le remboursement entraîne en outre des pénalités particulièrement significatives : les sommes dues produisent intérêt au taux légal majoré de cinq points, puis de dix points au-delà de sept jours et de quinze points au-delà de trente jours.
La logique de ce mécanisme est celle d’un remboursement préalable. Le prestataire doit recréditer rapidement le client, sous réserve de la fraude imputable à celui-ci. Le système n’a pas été conçu comme une procédure dans laquelle la victime supporterait pendant plusieurs mois ou plusieurs années les conséquences financières de la fraude jusqu’à ce qu’un tribunal tranche définitivement le litige.
Dans la pratique, de nombreux établissements inversent pourtant cette logique. Ils rejettent la réclamation après une instruction interne sommaire, au motif que le paiement a été validé par authentification forte. La victime est alors contrainte d’engager une contestation d’opération non autorisée, de saisir le médiateur ou de recourir à un avocat en fraude bancaire.
Une telle pratique ne correspond pas au mécanisme prévu par l’article L. 133-18 lorsque l’opération est juridiquement non autorisée.
- La négligence grave constitue une exception dont la banque doit rapporter la preuve
L’article L. 133-19, IV, prévoit que le payeur supporte les pertes résultant d’opérations non autorisées lorsqu’elles procèdent de sa fraude ou d’un manquement intentionnel ou gravement négligent aux obligations prévues par les articles L. 133-16 et L. 133-17.
L’article L. 133-16 impose à l’utilisateur de prendre toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées et d’utiliser l’instrument conformément à ses conditions objectives, non discriminatoires et proportionnées.
La négligence grave ne se confond pas avec une imprudence ordinaire, une erreur d’appréciation ou la réussite de la fraude. Elle suppose un comportement d’une particulière gravité, apprécié concrètement. La sophistication du scénario, l’usurpation du numéro, la connaissance par l’escroc d’informations confidentielles, l’état d’urgence créé et la clarté des messages bancaires doivent être examinés ensemble.
Il appartient à la banque de démontrer ce comportement. Elle ne peut se borner à produire des conditions générales indiquant que le client ne doit jamais communiquer ses codes ou suivre les instructions d’un interlocuteur téléphonique. Des avertissements généraux ne prouvent pas que, dans les circonstances particulières de l’espèce, la victime avait conscience d’autoriser un paiement au fraudeur.
L’arrêt du 4 mars 2026 montre néanmoins que le contenu précis des notifications sera déterminant. Une alerte explicite, lisible et contextualisée peut contribuer à caractériser la négligence grave si elle contredit directement les affirmations du faux conseiller. Encore faut-il que la banque produise cette alerte, établisse sa réception et démontre que sa formulation permettait réellement de comprendre la nature de l’opération.
- L’absence d’authentification forte neutralise, sauf fraude du client, l’exception de négligence grave
L’article L. 133-19, V, prévoit que, sauf agissement frauduleux du payeur, celui-ci ne supporte aucune conséquence financière si l’opération non autorisée a été effectuée sans authentification forte.
La Cour de cassation en a tiré les conséquences dans son arrêt du 30 août 2023. Les juges ne peuvent retenir la négligence grave sans rechercher préalablement si l’établissement avait exigé l’authentification forte applicable.
Ce dispositif traduit une règle de répartition du risque. La banque qui n’a pas déployé les mesures de sécurité requises ne peut transférer les pertes au client en lui reprochant son comportement, sauf fraude de celui-ci.
Mais, là encore, le raisonnement inverse serait erroné. Le respect de l’authentification forte ouvre seulement la possibilité de discuter la négligence grave. Il ne la prouve pas. Il ne démontre pas davantage que l’opération a été autorisée.
- La responsabilité de la banque ne se limite pas à la mise à disposition d’un code de sécurité
- L’établissement est débiteur d’obligations propres de sécurité
Le Code monétaire et financier répartit les obligations entre les parties.
Le client doit préserver ses données de sécurité et signaler rapidement toute perte, tout détournement ou toute utilisation non autorisée. La banque doit, pour sa part, s’assurer que les données de sécurité personnalisées ne sont accessibles qu’à l’utilisateur autorisé, mettre gratuitement à sa disposition un dispositif de signalement et empêcher toute nouvelle utilisation après l’alerte. Elle supporte également certains risques liés à l’envoi de l’instrument ou des données de sécurité.
Ces obligations seraient privées de portée si la banque pouvait considérer que son rôle s’achève dès lors qu’un code ou une donnée biométrique a été correctement saisi.
La sécurité des services de paiement doit être adaptée aux risques contemporains. Or le risque principal n’est plus uniquement le vol d’un mot de passe. Il réside aussi dans la manipulation du payeur par un interlocuteur qui connaît les procédures de la banque et sait exploiter les interfaces d’authentification.
La responsabilité de la banque doit donc être appréciée à partir de l’ensemble du système : sécurisation des communications, conception des notifications, surveillance des opérations atypiques, détection de l’ajout inhabituel de bénéficiaires, limitation des virements immédiats, analyse comportementale et réaction aux alertes.
- Le devoir de vigilance ne doit pas être confondu avec les obligations de lutte contre le blanchiment
Le contentieux bancaire recourt fréquemment à la notion de devoir de vigilance. Il faut cependant identifier son fondement avec précision.
Dans son arrêt du 4 mars 2026, la Cour de cassation a rappelé que les obligations prévues par les articles L. 561-4-1 à L. 561-14-2 du Code monétaire et financier ont pour finalité la lutte contre le blanchiment de capitaux et le financement du terrorisme. La victime d’une fraude ne peut invoquer leur méconnaissance pour obtenir des dommages-intérêts.
Il serait donc juridiquement imprudent de fonder une action indemnitaire sur le seul article L. 561-6.
Cela ne signifie pas que la banque serait dépourvue de toute obligation de vigilance dans l’exécution des ordres. La jurisprudence reconnaît traditionnellement qu’un établissement doit réagir face aux anomalies apparentes affectant une opération, sans s’immiscer dans les affaires de son client. La chambre commerciale a encore rappelé, dans des affaires concernant des virements professionnels, que des anomalies manifestes peuvent imposer une vérification auprès du dirigeant ou du directeur financier.
Ce devoir de non-ingérence assorti d’une vigilance face aux anomalies apparentes n’est toutefois pas identique au régime spécial des opérations non autorisées. Lorsque la victime conteste l’autorisation elle-même, les articles L. 133-18, L. 133-19 et L. 133-23 constituent le fondement principal. La responsabilité contractuelle de droit commun peut intervenir à titre complémentaire, notamment lorsqu’une faute propre de la banque a aggravé le dommage, mais elle ne doit pas servir à contourner le régime harmonisé des services de paiement.
- La banque doit faire évoluer ses systèmes à mesure que la fraude se transforme
La sécurité n’est pas une obligation figée au jour de la conclusion de la convention de compte.
Les établissements disposent d’une connaissance statistique et opérationnelle des fraudes affectant leurs services. Ils centralisent les réclamations, identifient les schémas récurrents, suivent les ajouts de bénéficiaires, connaissent les appareils habituellement utilisés et peuvent détecter les ruptures de comportement.
Lorsque des fraudes se répètent selon un scénario déterminé, la banque ne peut se satisfaire indéfiniment d’un avertissement générique figurant dans ses conditions générales. Elle doit évaluer l’efficacité réelle de son dispositif.
Une notification indiquant uniquement « opération à valider » peut être insuffisante lorsque l’établissement sait que les fraudeurs demandent à leurs victimes de valider de prétendues annulations. Une interface qui masque le nom du bénéficiaire ou le relègue dans un écran secondaire affaiblit la qualité du consentement. Un virement important vers un bénéficiaire nouvellement créé, effectué depuis un appareil ou dans des circonstances atypiques, peut justifier une temporisation ou une vérification supplémentaire.
La prévention de la fraude ne suppose pas de bloquer arbitrairement toutes les opérations inhabituelles. Elle requiert des mesures proportionnées, intelligibles et adaptées au risque.
- Les évolutions techniques confirment que la prévention est possible
- La vérification de concordance entre le nom et l’IBAN change la logique du virement
Pendant de nombreuses années, l’exécution des virements SEPA a reposé presque exclusivement sur l’IBAN. Le nom renseigné par le payeur n’était généralement pas vérifié par rapport à l’identité du titulaire du compte bénéficiaire.
Cette situation a facilité les fraudes par substitution de coordonnées bancaires et les escroqueries au faux conseiller. Une victime pouvait saisir le nom d’un proche, de son entreprise ou d’un compte prétendument sécurisé, tandis que l’IBAN correspondait au compte d’un fraudeur.
Le règlement européen 2024/886 du 13 mars 2024 a introduit une obligation de vérification du bénéficiaire, couramment désignée par les expressions Verification of Payee ou Confirmation of Payee. Le prestataire du payeur doit offrir un service permettant de vérifier la concordance entre le nom fourni et l’IBAN avant l’initiation du virement. Pour les prestataires situés dans un État membre dont la monnaie est l’euro, l’obligation s’applique depuis le 9 octobre 2025. Elle concerne les virements ordinaires comme les virements instantanés en euros.
Ce mécanisme ne supprimera pas toute fraude. Un escroc peut persuader la victime qu’un nom différent est normal ou utiliser un compte ouvert sous une identité trompeuse. Mais il réduit l’asymétrie d’information qui caractérisait l’ancien système.
Son adoption présente également une portée doctrinale. Elle démontre que l’identité du bénéficiaire n’est pas juridiquement indifférente. Le système européen reconnaît désormais qu’une discordance entre le nom voulu et le titulaire réel de l’IBAN constitue un risque devant être signalé avant l’exécution.
Il devient dès lors de plus en plus difficile de soutenir que le consentement au paiement porterait uniquement sur une chaîne de caractères constituant l’IBAN. La vérification du bénéficiaire confirme que la décision du payeur doit être éclairée sur la destination réelle des fonds.
- La temporisation de l’activation d’un nouveau bénéficiaire limite les transferts sous emprise
De nombreux établissements imposent ou ont imposé un délai entre l’ajout d’un bénéficiaire et la possibilité d’effectuer un premier virement. D’autres autorisent une activation immédiate après authentification forte.
La temporisation présente une efficacité particulière contre le spoofing. La fraude repose sur l’urgence, la peur et la continuité de la conversation téléphonique. Un délai de plusieurs heures rompt cette emprise. Il permet au client de relire les informations, de contacter son agence par un canal indépendant ou de recevoir une alerte complémentaire.
La généralisation du virement instantané rend cette réflexion encore plus nécessaire. Une opération exécutée en quelques secondes est difficilement récupérable. La rapidité, avantage commercial pour l’utilisateur légitime, devient une arme lorsqu’elle est exploitée par un fraudeur.
Un dispositif proportionné pourrait combiner l’analyse du risque, le montant, le caractère nouveau du bénéficiaire, l’historique du client et les circonstances de connexion. La temporisation n’a pas à être uniforme. Elle peut être ciblée sur les opérations cumulant plusieurs facteurs de risque.
- La détection comportementale permet d’identifier les paiements atypiques
Les banques disposent de données permettant de construire le profil transactionnel d’un compte : montants habituels, bénéficiaires récurrents, horaires de connexion, localisation approximative, appareil utilisé, vitesse de navigation, fréquence des virements et séquence des actions.
L’ajout de plusieurs bénéficiaires suivi de virements importants dans un temps très court peut constituer une rupture manifeste. Il en va de même d’un transfert immédiat vers un compte nouvellement enregistré, alors que le client n’utilise habituellement jamais cette fonctionnalité.
La détection comportementale ne doit pas conduire à une surveillance disproportionnée ni à des refus automatisés opaques. Elle peut toutefois déclencher une étape supplémentaire : message renforcé, appel sortant depuis un canal sécurisé, délai de réflexion ou contrôle humain.
Le groupe de travail européen sur la prévention de la fraude a relevé que les modèles prédictifs et l’apprentissage automatique peuvent permettre aux prestataires de détecter des comportements ou transactions potentiellement frauduleux en identifiant des anomalies, puis de bloquer ou de soumettre les opérations suspectes à une vérification.
- L’intelligence artificielle ne dispense pas de garanties humaines et juridiques
L’intelligence artificielle peut analyser en temps réel un volume d’informations inaccessible à un opérateur humain. Elle peut identifier des réseaux de comptes bénéficiaires, rapprocher des opérations de scénarios frauduleux connus et attribuer un score de risque.
Son utilisation montre que les banques disposent aujourd’hui de moyens techniques importants pour prévenir une part des fraudes. Elle ne doit cependant pas servir d’argument abstrait. Dans un contentieux, l’établissement devrait être en mesure d’expliquer les règles de détection applicables, les alertes effectivement générées et les raisons pour lesquelles une opération objectivement atypique n’a pas été suspendue.
L’algorithme ne peut être invoqué comme une boîte noire permettant alternativement de bloquer une opération légitime ou de justifier a posteriori l’absence de détection d’une fraude.
La prévention efficace suppose un équilibre entre automatisation, contrôle humain, transparence des alertes et possibilité pour le client de confirmer l’opération par un canal réellement indépendant de la conversation frauduleuse.
VII. Vers une redéfinition jurisprudentielle du consentement au paiement
- Le droit positif protège déjà la victime contre les présomptions automatiques
Plusieurs éléments sont désormais solidement établis.
Une opération n’est autorisée que si le payeur a consenti à son exécution. En l’absence de consentement, elle est réputée non autorisée. La banque supporte la charge de la preuve lorsque l’utilisateur conteste l’autorisation. L’utilisation de l’instrument ou des données de sécurité ne suffit pas nécessairement à établir l’autorisation ou la négligence grave. Le remboursement des opérations non autorisées doit intervenir immédiatement, sauf fraude du client régulièrement suspectée. Enfin, la négligence grave doit être concrètement démontrée par la banque.
L’arrêt du 23 octobre 2024 ajoute que le spoofing peut légitimement diminuer la vigilance du client. L’arrêt du 4 mars 2026 impose toutefois d’examiner les éventuels messages contradictoires ou alertes explicites.
Ce socle jurisprudentiel interdit déjà aux établissements d’opposer une réponse standardisée fondée sur le seul usage de SécuriPass, Certicode ou Sécur’Pass.
- La tendance jurisprudentielle demeure dépendante des circonstances de chaque affaire
Le contentieux reste néanmoins très factuel. Les juges examinent l’affichage du numéro, la qualité de l’interlocuteur usurpée, les informations détenues par le fraudeur, le nombre de validations, la rédaction des notifications, le montant des opérations, les habitudes du client et la rapidité de la contestation.
Cette méthode est nécessaire pour apprécier la négligence grave. Elle est plus discutable lorsqu’elle conduit à déterminer l’existence du consentement lui-même.
Le consentement à une opération précise ne devrait pas dépendre uniquement du degré de crédulité de la victime. Une personne peut avoir été imprudente tout en n’ayant jamais voulu payer le fraudeur. La négligence grave est une cause éventuelle de transfert des pertes dans le régime des opérations non autorisées ; elle ne devrait pas servir à reconstruire rétroactivement une autorisation inexistante.
Il faut donc maintenir une séparation conceptuelle.
Dans un premier temps, le juge doit déterminer si le payeur a consenti à l’opération effectivement exécutée, compte tenu de son montant, de sa nature et du bénéficiaire réel.
Dans un second temps, si l’opération est non autorisée, il doit rechercher si la banque démontre une fraude ou une négligence grave de l’utilisateur au sens de l’article L. 133-19.
Confondre ces étapes conduit à qualifier d’« autorisée » toute opération techniquement validée et à rendre inutile l’examen légal de la négligence grave.
- Une proposition doctrinale : rattacher le consentement au bénéficiaire réel
La solution la plus fidèle aux textes consisterait à exiger que le consentement du payeur porte sur le bénéficiaire réel ou, à tout le moins, sur l’identité sous laquelle ce bénéficiaire est présenté.
Lorsque le client souhaite payer une société déterminée mais qu’un fraudeur substitue son IBAN, l’opération créditant le fraudeur ne correspond pas à la volonté exprimée.
Lorsque le client croit effectuer un virement vers un compte de sécurité ouvert à son nom, il ne consent pas au transfert vers le compte d’un tiers.
Lorsque le client croit annuler un paiement, il ne consent pas à confirmer ce paiement.
Dans ces hypothèses, l’authentification peut être techniquement régulière. L’opération demeure juridiquement non autorisée, car le consentement ne porte pas sur son objet réel.
Cette analyse est compatible avec l’objectif de protection poursuivi par la DSP2. Elle préserve également la distinction entre l’autorisation et la responsabilité. La banque conserve la possibilité d’établir une négligence grave dans les conditions strictes de l’article L. 133-19. Mais elle ne peut échapper au régime légal en prétendant que la tromperie aurait transformé le client en auteur volontaire de l’opération.
Elle est enfin cohérente avec la Verification of Payee. Dès lors que le droit européen exige désormais une vérification entre le nom et l’IBAN, l’identité du bénéficiaire devient un élément explicite du processus de décision du payeur.
Conclusion : la responsabilité bancaire à l’épreuve d’un consentement manipulé
La fraude par spoofing ne peut être correctement appréhendée par une opposition sommaire entre une banque techniquement irréprochable et un client qui aurait « lui-même validé » l’opération.
Le faux conseiller bancaire exploite la confiance attachée à l’identité de la banque, détourne les mécanismes de sécurité et transforme une procédure d’authentification en instrument de tromperie. La victime n’agit pas pour enrichir le fraudeur. Elle croit protéger son compte, annuler un paiement ou transférer ses fonds vers un bénéficiaire légitime.
Le droit positif impose déjà de distinguer l’utilisation technique de l’instrument et l’autorisation juridique. L’article L. 133-23 refuse de faire de l’authentification une preuve automatique du consentement. L’article L. 133-18 impose le remboursement rapide des opérations non autorisées. L’article L. 133-19 ne permet de faire supporter les pertes au client qu’en présence d’une fraude ou d’une négligence grave démontrée par la banque.
L’arrêt de la chambre commerciale du 23 octobre 2024 constitue une avancée majeure : le spoofing peut placer la victime dans une situation de confiance incompatible avec la qualification de négligence grave. L’arrêt du 4 mars 2026 rappelle toutefois que les avertissements effectivement reçus doivent être analysés avec précision. La jurisprudence entre ainsi dans une phase de construction plus fine, attentive à la réalité du parcours de paiement.
La prochaine étape devrait consister à reconnaître expressément que le consentement ne se réduit pas à la saisie d’un code ou à une validation biométrique. Il doit porter sur l’opération réellement exécutée et sur son bénéficiaire réel. Lorsqu’une tromperie déterminante dissocie la volonté du payeur du transfert accompli, l’opération demeure non autorisée.
Les évolutions techniques renforcent cette conclusion. La vérification du nom du bénéficiaire et de l’IBAN, la temporisation des nouveaux bénéficiaires, les outils de détection comportementale et les modèles d’intelligence artificielle démontrent qu’une prévention plus efficace est possible. Le risque de fraude ne peut être systématiquement transféré à l’utilisateur au motif qu’il aurait franchi avec succès une procédure conçue et contrôlée par la banque.
Une victime de spoofing bancaire doit contester immédiatement les opérations, conserver les messages, notifications et relevés, déposer plainte et demander à la banque la communication des éléments techniques d’authentification. Face à un refus de remboursement fondé sur SécuriPass, Certicode, Sécur’Pass ou sur une prétendue négligence grave, l’analyse précise du scénario, des écrans de validation et des obligations probatoires de l’établissement est déterminante.
L’intervention d’un avocat spécialisé en fraude bancaire permet de qualifier juridiquement les opérations, de mettre en œuvre le régime des articles L. 133-18 et suivants du Code monétaire et financier et, lorsque cela est nécessaire, d’engager la responsabilité de la banque devant la juridiction compétente.