Fraude au faux conseiller bancaire : la négligence grave ne se déduit pas du seul paiement authentifié
Description de l'article de blog :
7/26/202615 min temps de lecture
Cour d’appel de Douai, 3e chambre, 9 juillet 2026, n° 25/03149
Les fraudes au faux conseiller bancaire placent les juridictions devant une difficulté particulière. La victime accomplit elle-même certaines manipulations exigées par l’escroc : elle se connecte à son application, enregistre un bénéficiaire ou valide une opération. Pourtant, elle n’entend nullement transférer ses fonds au fraudeur. Elle croit, au contraire, protéger son compte ou annuler des paiements suspects.
L’authentification technique de l’opération ne permet donc pas nécessairement d’établir le consentement juridique du payeur. Elle ne suffit pas davantage à prouver sa négligence grave. Encore faut-il que la banque démontre concrètement les comportements ayant rendu la fraude possible et les circonstances qui auraient dû alerter son client.
L’arrêt rendu le 9 juillet 2026 par la cour d’appel de Douai illustre cette méthode. La cour reconnaît que les opérations litigieuses n’ont pas été autorisées, tout en refusant leur remboursement en raison de l’accumulation des négligences commises par la victime. L’absence d’usurpation du numéro de téléphone de la banque joue un rôle important dans son raisonnement, mais elle ne constitue pas le seul élément déterminant. Le client avait auparavant communiqué ses données bancaires sur un faux site, puis modifié ses codes, ajouté des bénéficiaires et authentifié plusieurs opérations en suivant les instructions d’un interlocuteur appelant depuis un numéro portable inconnu.
La décision s’inscrit dans une ligne déjà affirmée par la même chambre quelques mois auparavant. Sa confrontation avec d’autres décisions récentes révèle néanmoins que le numéro affiché ne constitue jamais un critère automatique. La négligence grave résulte d’un faisceau d’indices tenant à la crédibilité objective du scénario frauduleux, à la nature des actes accomplis et, surtout, à la preuve qu’en rapporte la banque.
Une fraude organisée en deux temps
Le client de la Banque populaire du Nord avait reçu, le 15 juin 2022 à 23 h 52, un SMS l’invitant à renouveler sa carte Vitale en cliquant sur un lien. Pensant que cette démarche pouvait être liée à un récent changement de mutuelle, il avait accédé au faux site et renseigné un formulaire comportant notamment son identité, ses date et lieu de naissance ainsi que ses coordonnées bancaires.
Deux semaines plus tard, il avait été contacté depuis un numéro de téléphone portable par une personne se présentant comme un préposé du service des fraudes de sa banque. L’interlocuteur disposait d’informations personnelles et bancaires suffisamment précises pour gagner sa confiance. Il lui avait demandé de redémarrer son application bancaire, de modifier ses codes de sécurité et de valider différentes opérations au moyen de codes reçus par SMS. Le client soutenait avoir cru qu’il procédait à leur annulation.
Des débits d’un montant total de 15 699 euros, comprenant trois sommes de 5 000 euros et un paiement de 699 euros auprès de la société Boulanger, avaient finalement été portés sur ses comptes. Après le refus de remboursement opposé par la banque, le tribunal judiciaire de Lille avait rejeté ses demandes. La cour d’appel confirme intégralement cette décision.
La question posée à la cour était donc la suivante : la victime d’une fraude combinant un premier hameçonnage et l’intervention ultérieure d’un faux conseiller bancaire avait-elle commis une négligence suffisamment grave pour supporter définitivement les pertes occasionnées par des opérations auxquelles elle n’avait pas réellement consenti ?
La cour répond par l’affirmative. La portée de cette réponse ne peut cependant être comprise qu’en distinguant trois questions : l’autorisation de l’opération, son authentification technique et la négligence grave du client.
I. L’authentification technique ne vaut ni consentement ni preuve automatique de la négligence grave
A. Des opérations techniquement validées, mais juridiquement non autorisées
La Banque populaire ne contestait pas que son client n’avait pas véritablement consenti aux opérations litigieuses. Celui-ci avait certes matériellement exécuté les manipulations demandées, mais il croyait agir pour bloquer ou annuler des opérations frauduleuses.
La cour qualifie donc expressément les paiements et virements d’opérations non autorisées au sens des articles L. 133-3 et L. 133-6 du Code monétaire et financier. Cette qualification est essentielle : le consentement du payeur ne se réduit pas au fait de saisir un code, d’appuyer sur un bouton ou de recourir à un dispositif d’authentification forte.
Une personne trompée peut être l’auteur matériel de la validation sans avoir consenti au montant, au bénéficiaire ou à la finalité réelle de l’opération. À cet égard, l’arrêt évite l’erreur consistant à confondre l’identité de la personne ayant manipulé l’application avec l’existence d’une volonté juridiquement éclairée.
L’article L. 133-18 du Code monétaire et financier impose en principe au prestataire de rembourser immédiatement une opération non autorisée. Par exception, le payeur supporte les pertes si la banque prouve qu’il a agi frauduleusement ou qu’il a manqué, intentionnellement ou par négligence grave, à ses obligations de sécurité.
L’article L. 133-23 précise surtout que l’utilisation de l’instrument de paiement telle qu’elle a été enregistrée par la banque ne suffit pas nécessairement à établir que le payeur a autorisé l’opération ou qu’il a gravement négligé ses obligations. La cour de Douai reprend ce principe en se référant notamment à l’arrêt de la Cour de cassation du 5 mars 2025, n° 23-22.687.
La distinction est parfaitement justifiée. L’authentification répond à une question technique : quelles données ou quels dispositifs ont été employés ? L’autorisation répond à une question juridique différente : le payeur a-t-il voulu l’opération telle qu’elle a réellement été exécutée ?
Une décision du tribunal de proximité de Haguenau du 10 novembre 2025 illustre, par contraste, le risque de confusion. Le jugement paraît considérer que l’utilisation régulière de l’authentification forte conduirait à qualifier l’opération d’autorisée. Une telle assimilation est difficilement conciliable avec l’article L. 133-23 : le mécanisme d’authentification permet d’identifier l’utilisation de données personnalisées, mais ne démontre pas nécessairement la volonté réelle du client.
B. Une preuve qui doit dépasser les seules traces informatiques
La banque devait néanmoins établir que son système avait correctement fonctionné. Elle produisait le relevé des connexions et les traces relatives au dispositif Sécur’Pass. Ces documents faisaient apparaître l’ajout de comptes tiers, l’exécution des transferts et le paiement de 699 euros. Les opérations avaient été réalisées au moyen de codes reçus par SMS puis du code secret de connexion à la banque en ligne.
Ces éléments permettaient d’écarter l’existence d’une défaillance technique. Ils ne suffisaient cependant pas, à eux seuls, à démontrer la négligence grave du client.
La cour ne se limite précisément pas à ces données. Elle les confronte à la plainte déposée par la victime, à ses propres explications et au relevé des SMS reçus. La preuve technique est ainsi corroborée par des éléments extérieurs permettant de reconstituer concrètement le déroulement de la fraude.
La comparaison avec un jugement du tribunal judiciaire de Paris du 7 juillet 2025 est éclairante. Dans cette affaire, BNP Paribas déduisait de l’utilisation de sa clé digitale que le client avait nécessairement divulgué des informations confidentielles. Le tribunal lui reproche cependant de ne pas démontrer que l’intéressé avait renseigné ses données sur un faux site, transmis ses identifiants, augmenté personnellement ses plafonds ou ajouté les bénéficiaires. La banque ne produisait pas non plus les SMS correspondants. La seule communication d’un relevé d’identité bancaire ne pouvait caractériser une négligence grave, le RIB n’étant pas une donnée secrète. La banque fut donc condamnée à rembourser les 11 228 euros litigieux.
La différence entre les deux solutions est principalement probatoire. Dans l’affaire jugée le 9 juillet 2026, la Banque populaire ne déduisait pas abstraitement la faute du seul succès de l’authentification. Elle établissait, à partir des déclarations de son client et des messages produits, les actes précis qu’il avait accomplis.
Un jugement du tribunal judiciaire de Paris du 8 juillet 2026 adopte une démarche comparable. Les traces informatiques y sont qualifiées de commencement de preuve devant être corroboré par des éléments extérieurs, notamment les déclarations faites par le payeur dans sa plainte. La cliente reconnaissait en l’occurrence avoir communiqué des données confidentielles, validé plusieurs paiements et remis physiquement ses cartes à un prétendu coursier.
Il se dessine ainsi une méthode probatoire relativement cohérente : les données informatiques établissent le fonctionnement du dispositif et le chemin technique de l’opération ; elles doivent être complétées par des éléments permettant d’établir le comportement effectif du client et les circonstances dans lesquelles celui-ci a été trompé.
II. La négligence grave résulte de l’accumulation de signaux d’alerte
A. Une succession d’actes dépassant la simple crédulité
La cour reproche d’abord au client d’avoir renseigné ses données bancaires sur un faux site de renouvellement de carte Vitale accessible depuis un SMS reçu tardivement. Elle estime qu’il aurait dû se rendre directement sur son espace personnel sécurisé et souligne que les organismes sociaux rappellent régulièrement qu’ils ne demandent pas de données bancaires par ce procédé.
Cette première imprudence ne semble pourtant pas suffire isolément à expliquer la solution. La motivation utilise la formule « d’autre part et surtout » pour introduire le comportement adopté lors de l’appel du faux conseiller.
La cour relève alors que :
l’appel provenait d’un numéro portable inconnu et non d’un numéro de la Banque populaire ;
le client avait accepté de se connecter à son application et de modifier ses codes de sécurité ;
de nouveaux bénéficiaires avaient été ajoutés ;
plusieurs opérations avaient été authentifiées au moyen de Sécur’Pass ;
les messages de sécurité indiquaient qu’en cas de doute, il convenait de contacter directement l’agence.
La négligence grave procède ainsi d’un enchaînement. Le client ne s’est pas seulement laissé tromper par la qualité revendiquée par l’appelant. Il a poursuivi les manipulations malgré la nature des actes demandés et les informations apparaissant dans les messages de validation.
Cette approche rejoint celle adoptée par le tribunal judiciaire de Paris le 4 juin 2025. Dans cette affaire, le client avait communiqué au fraudeur le code permettant l’enrôlement de sa clé digitale sur un nouvel appareil, alors que le SMS comportait en lettres capitales la mention : « NE JAMAIS COMMUNIQUER CE CODE ». L’usurpation du numéro de la banque n’étant pas établie, la transmission du code en dépit de cet avertissement avait été qualifiée de négligence grave.
Le point déterminant n’est donc pas que la victime ait accompli une opération prescrite par le fraudeur. Il réside dans la contradiction manifeste entre l’instruction donnée oralement par l’inconnu et le contenu objectif des messages de sécurité adressés par la banque.
Il faut néanmoins éviter de donner une portée excessive aux campagnes générales de sensibilisation invoquées par les établissements bancaires. Le fait que les fraudes au phishing soient régulièrement dénoncées ne permet pas, en lui-même, d’imputer une négligence grave à toute victime ayant cliqué sur un lien frauduleux. L’article L. 133-19 exige une appréciation concrète. Dans l’affaire commentée, ce ne sont pas les seules connaissances théoriques que le client aurait dû posséder qui justifient la solution, mais les anomalies directement perceptibles au moment des faits.
B. L’absence de spoofing : un indice important, mais non une règle automatique
Le client soutenait avoir été victime de spoofing. La cour rejette cette qualification au motif que l’appel provenait d’un numéro portable qui ne correspondait pas à celui de la banque. Aucun numéro bancaire n’avait donc été usurpé.
Cette précision permet à la cour de distinguer l’affaire des arrêts de la Cour de cassation des 23 octobre 2024, n° 23-16.267, et 12 juin 2025, n° 24-13.777. Dans ces décisions, le numéro affiché appartenait apparemment à la banque, ce qui avait renforcé la crédibilité du faux conseiller et permis d’écarter la négligence grave.
L’arrêt du 9 juillet 2026 ne constitue d’ailleurs pas une décision isolée. Le 19 mars précédent, la même troisième chambre de la cour d’appel de Douai, composée des mêmes magistrats, avait déjà retenu la négligence grave dans une affaire où les communications provenaient de numéros mobiles ne correspondant pas à ceux de BNP Paribas. La cliente avait en outre transmis un code malgré la mention « NE JAMAIS COMMUNIQUER CE CODE » et n’avait pas réagi aux messages annonçant le changement de son adresse électronique et l’installation de sa clé digitale sur un nouvel appareil.
Les deux arrêts permettent d’identifier une orientation propre à la troisième chambre de Douai : lorsque le numéro officiel de la banque n’a pas été usurpé et que les messages reçus comportent des avertissements explicites, la confiance alléguée dans le faux conseiller ne suffit pas à neutraliser les autres signes d’anomalie.
L’absence de spoofing ne saurait toutefois constituer une présomption de négligence grave. La cour d’appel de Reims a adopté une appréciation différente dans un arrêt du 15 octobre 2024. Le fraudeur avait également appelé depuis un numéro inconnu. La cour a néanmoins considéré qu’il ne pouvait être reproché à la cliente de ne pas avoir vérifié l’attribution de ce numéro, dès lors que les messages reçus apparaissaient comme émanant de BNP Paribas, correspondaient à ceux qu’elle recevait habituellement et comportaient un lien conduisant au site de la banque. La banque n’établissait pas davantage comment le fraudeur avait obtenu les identifiants et codes personnels. La négligence grave fut donc écartée.
Cette comparaison est décisive. Elle montre que le numéro affiché n’est qu’un élément du scénario. Sa portée dépend notamment :
de l’apparence et de l’origine des messages reçus ;
des informations personnelles détenues par l’appelant ;
de la teneur exacte des codes ou notifications ;
de la nature des manipulations demandées ;
de la possibilité pour la victime de comprendre ce qu’elle validait ;
des preuves effectivement produites par la banque.
Réciproquement, l’usurpation d’un numéro bancaire ne garantit pas systématiquement le remboursement. Dans le jugement du 8 juillet 2026 précité, la cliente déclarait avoir été appelée depuis le numéro de la conciergerie associée à sa carte Visa Infinite. Le tribunal retient néanmoins sa négligence grave compte tenu de l’ensemble de son comportement : communication de données confidentielles, validation de plusieurs opérations et remise de deux cartes bancaires à un tiers chargé prétendument de les détruire.
Le spoofing accroît donc la vraisemblance du mensonge, mais il ne fait pas disparaître toutes les exigences de prudence. À l’inverse, l’absence de spoofing affaiblit la crédibilité de l’appelant, sans rendre automatiquement fautive toute personne qui lui accorde confiance.
III. Une décision cohérente, mais dont la portée doit rester strictement factuelle
A. Une solution sévère, fondée sur un faisceau d’indices suffisamment caractérisé
La solution rendue par la cour de Douai est sévère pour la victime, qui a effectivement été manipulée par un escroc disposant de nombreuses informations personnelles. Elle demeure cependant cohérente avec le régime des articles L. 133-18, L. 133-19 et L. 133-23 du Code monétaire et financier.
La cour ne transforme pas l’authentification forte en preuve irréfragable du consentement. Elle reconnaît au contraire le caractère non autorisé des opérations. Elle ne déduit pas davantage la négligence grave du seul fait que Sécur’Pass a fonctionné. Elle s’appuie sur un ensemble d’éléments distincts :
la communication initiale de données sur un faux site ;
le délai de deux semaines entre le hameçonnage et l’appel ;
l’utilisation par l’escroc d’un numéro portable inconnu ;
la modification des codes de sécurité ;
l’ajout de nouveaux bénéficiaires ;
la validation de plusieurs opérations ;
les avertissements apparaissant dans les SMS bancaires.
Ce faisceau distingue l’affaire de celles dans lesquelles la banque est incapable de démontrer la manière dont les identifiants ont été compromis ou les actes réellement accomplis par son client.
L’enseignement principal de l’arrêt n’est donc pas que toute victime d’un faux conseiller appelant depuis un numéro portable serait gravement négligente. Il est que la banque peut renverser le principe de remboursement lorsqu’elle reconstitue avec précision les étapes du scénario et établit que plusieurs anomalies objectives auraient dû conduire le client à interrompre les manipulations.
B. La qualification des opérations reste une source d’incertitude
L’affaire commentée est clairement analysée comme portant sur des opérations non autorisées. Le client n’avait pas souhaité transférer les fonds aux véritables bénéficiaires et croyait annuler des mouvements frauduleux.
D’autres juridictions adoptent cependant une qualification différente lorsque la victime enregistre elle-même un IBAN et ordonne un virement en croyant transférer l’argent vers un « compte de sécurité ».
Dans un jugement du 26 novembre 2025, le tribunal judiciaire de Paris a considéré que de tels virements constituaient des opérations mal exécutées au sens de l’article L. 133-21. La cliente avait elle-même enregistré l’IBAN remis par l’escroc et validé les ordres par Sécur’Pass. La banque ayant exécuté les virements conformément à l’identifiant unique communiqué, elle ne pouvait être tenue responsable de l’erreur antérieure affectant l’identité réelle du bénéficiaire.
Cette qualification peut être discutée. La victime a certes voulu accomplir matériellement un virement, mais elle n’a pas consenti à transférer ses fonds au bénéficiaire réel. Elle croyait les verser sur un compte ouvert à son propre nom. Selon l’importance accordée au consentement au bénéficiaire effectif, la même fraude peut donc être appréhendée soit comme une opération non autorisée, soit comme une opération mal exécutée en raison d’un IBAN trompeur.
L’enjeu est considérable. Dans le premier cas, le principe est celui du remboursement, sous réserve de la négligence grave. Dans le second, la banque qui a exécuté l’identifiant unique communiqué peut plus directement échapper à toute responsabilité.
C. Le devoir de vigilance de la banque ne peut être réintroduit sans précaution
Le client reprochait également à la Banque populaire de ne pas avoir bloqué les opérations et de ne pas avoir immédiatement engagé une procédure de rappel des fonds. La cour n’accueille pas cet argument, la négligence grave du client excluant le remboursement et le refus de la banque ne constituant pas une résistance abusive.
Certaines juridictions tentent pourtant de combiner la faute du client avec un manquement de la banque à son devoir de vigilance. Le tribunal de commerce de Draguignan a ainsi retenu, le 24 mars 2026, que la dirigeante de plusieurs sociétés avait contribué à son dommage en validant des virements frauduleux, mais que le Crédit agricole n’avait pas suffisamment réagi à des opérations atypiques. La responsabilité de la banque fut fixée à 30 % du préjudice.
Cette solution doit être accueillie avec prudence. Lorsqu’une action concerne directement une opération non autorisée ou mal exécutée, la jurisprudence reconnaît généralement un caractère exclusif au régime spécial des services de paiement. La réintroduction d’un partage de responsabilité sur le fondement général du droit des contrats risque donc de contourner les conditions fixées par les articles L. 133-18 à L. 133-24.
Une responsabilité distincte de la banque demeure concevable, mais elle suppose d’identifier un manquement autonome, étranger à la seule exécution de l’opération litigieuse. Elle ne peut servir à neutraliser systématiquement les conséquences que le régime spécial attache à la négligence grave du payeur.
Conclusion
L’arrêt rendu par la cour d’appel de Douai le 9 juillet 2026 ne consacre pas une règle selon laquelle l’absence d’usurpation du numéro de la banque entraînerait automatiquement la responsabilité du client.
Il met en œuvre une appréciation plus nuancée. La négligence grave se déduit de la combinaison de trois catégories d’éléments :
la crédibilité objective de la fraude, appréciée notamment au regard du numéro affiché et des informations détenues par l’escroc ;
la nature des actes accomplis, tels que la communication de données, la modification des codes, l’ajout de bénéficiaires ou la validation répétée d’opérations ;
la qualité de la preuve produite par la banque, qui doit dépasser les seules traces informatiques et établir concrètement les circonstances de la fraude.
La comparaison avec les décisions de Reims et de Paris confirme qu’aucun indice ne suffit isolément. Un numéro inconnu n’établit pas automatiquement la négligence grave ; un numéro bancaire usurpé ne l’exclut pas nécessairement ; et le fonctionnement normal de l’authentification forte ne démontre ni le consentement ni la faute du client.
La véritable ligne de partage réside dans la capacité de la banque à établir que, malgré la mise en confiance organisée par le fraudeur, les messages reçus et les manipulations demandées comportaient des anomalies suffisamment nombreuses et explicites pour qu’un utilisateur normalement attentif interrompe l’opération et contacte directement son établissement.
Sous cet angle, l’arrêt du 9 juillet 2026 apparaît moins comme un recul de la protection accordée aux victimes de faux conseillers que comme une confirmation de son caractère nécessairement casuistique : la sophistication de l’escroquerie protège la victime tant qu’elle explique raisonnablement son comportement ; elle cesse de l’exonérer lorsque les signaux d’alerte établis par la banque deviennent trop nombreux pour être ignorés.
Cabinet KTORZA
27 cours Honoré Estienne d'Orves
13001 Marseille
Nous contacter
06 10 16 70 92
ronny.ktorza@gmail.com