Fraude au faux conseiller bancaire : le numéro usurpé suffit-il à obtenir le remboursement ?
Description de l'article de blog :
8/3/202616 min temps de lecture
Panorama de la jurisprudence récente, à partir du jugement rendu par le tribunal judiciaire de Montpellier le 5 mars 2026, RG n° 25/01399.
Un prétendu conseiller bancaire téléphone à un client pour l’alerter d’une fraude. Le numéro officiel de la banque apparaît parfois à l’écran. L’interlocuteur demande alors de valider une prétendue annulation, de sécuriser le compte, d’ajouter un bénéficiaire ou même de remettre une carte bancaire à un coursier.
Le client découvre ensuite que les manipulations effectuées ont permis au fraudeur de débiter son compte. La banque refuse pourtant le remboursement en invoquant une négligence grave.
Le numéro de la banque affiché sur le téléphone suffit-il à écarter cette négligence ? Une opération validée par authentification forte est-elle nécessairement autorisée ? Et quelles preuves l’établissement doit-il produire avant de pouvoir faire supporter les pertes à son client ?
Le jugement rendu le 5 mars 2026 par le tribunal judiciaire de Montpellier apporte une réponse sévère dans une affaire mêlant faux SMS de l’Assurance maladie et faux conseiller bancaire. Mais l’étude de la jurisprudence récente révèle un contentieux beaucoup plus complexe, structuré autour de trois questions successives.
L’essentiel en quatre points
1. Une opération authentifiée n’est pas nécessairement autorisée. Le client peut avoir matériellement validé une manipulation sans avoir consenti au véritable paiement, à son montant ou à son bénéficiaire.
2. La banque supporte une double charge probatoire. Elle doit d’abord établir que chaque opération a été authentifiée, enregistrée et comptabilisée sans déficience technique. Elle doit ensuite prouver la fraude ou la négligence grave du client.
3. Le spoofing n’est pas un bouclier automatique. L’affichage du numéro officiel de la banque peut légitimement diminuer la vigilance du client, mais il doit être confronté au contenu exact des messages de validation.
4. La qualification de l’opération commande le régime applicable. Une opération non autorisée relève des articles L. 133-18 et suivants du Code monétaire et financier. Lorsqu’elle est qualifiée d’autorisée, seule une éventuelle responsabilité contractuelle de la banque peut encore être recherchée.
Un faux SMS de la CPAM suivi de l’appel d’un prétendu conseiller
Dans l’affaire jugée à Montpellier, une cliente de la BRED avait reçu un SMS lui demandant de « réactiver » sa carte Vitale de manière urgente. Elle avait cliqué sur le lien communiqué, puis renseigné les données de sa carte bancaire afin de payer 75 centimes.
Environ trente minutes plus tard, une personne l’avait appelée en se présentant comme appartenant à sa banque. Son interlocuteur lui avait expliqué qu’il bloquait son compte et lui avait demandé d’effectuer plusieurs manipulations destinées, selon lui, à empêcher ou à rembourser les opérations frauduleuses.
La cliente avait suivi ses instructions. Elle avait ensuite constaté plusieurs débits pour un montant total de 6 164,15 euros et assigné la BRED en remboursement, outre 1 000 euros au titre de son préjudice moral.
La banque opposait l’utilisation d’une authentification forte et la négligence grave de sa cliente, qui avait successivement renseigné ses coordonnées bancaires sur un faux site et validé des opérations à la demande d’un interlocuteur dont elle n’avait pas vérifié l’identité.
Première question : l’opération était-elle juridiquement autorisée ?
Une opération est autorisée lorsque le payeur a donné son consentement à son exécution. Cette autorisation ne se confond pas avec l’authentification technique.
Dans une fraude au faux conseiller, le client utilise souvent lui-même son téléphone ou son application bancaire. Mais il croit annuler une opération, bloquer son compte ou sécuriser ses avoirs. Il ne consent pas nécessairement au véritable paiement, à son montant ou au bénéficiaire réel.
Le tribunal de Montpellier reconnaît cette distinction. Il relève que les opérations litigieuses avaient suivi une procédure d’authentification forte, tout en constatant qu’elles n’avaient pas été autorisées par la demanderesse au sens des articles L. 133-3 et L. 133-6 du Code monétaire et financier.
Une opération peut donc être techniquement validée sans être juridiquement autorisée.
Cette distinction est toutefois moins évidente lorsque le client saisit lui-même le montant, ajoute le bénéficiaire et donne expressément l’ordre de virement, tout en étant trompé sur l’identité ou les intentions de celui-ci. Dans plusieurs affaires concernant des entreprises, la Cour de cassation a qualifié de tels virements d’opérations autorisées, dès lors que la personne habilitée avait bien ordonné leur exécution, même sous l’effet d’une fraude.
Deuxième question : la banque apporte-t-elle la preuve technique exigée ?
Lorsqu’un utilisateur nie avoir autorisé une opération, l’article L. 133-23 du Code monétaire et financier impose à la banque de démontrer que l’opération :
a été authentifiée ;
a été dûment enregistrée ;
a été correctement comptabilisée ;
n’a été affectée par aucune déficience technique ou autre.
L’utilisation du téléphone, de la carte ou des identifiants du client ne suffit pas, à elle seule, à établir l’autorisation ou la négligence grave.
La négligence grave ne remplace pas cette preuve
La Cour de cassation a expressément affirmé que la banque devait établir la régularité technique de l’opération avant de pouvoir opposer la négligence grave.
Dans un arrêt du 20 novembre 2024, n° 23-15.099, elle a censuré une cour d’appel qui avait retenu les négligences particulièrement graves d’un client ayant remis sa carte, ses codes et ses identifiants à un inconnu, sans rechercher si les opérations avaient été authentifiées, enregistrées et comptabilisées sans déficience.
La solution a été réaffirmée par un arrêt du 30 avril 2025, n° 24-10.149. La Cour de cassation y énonce que le prestataire doit « au préalable » rapporter cette preuve technique, même lorsqu’un comportement gravement négligent paraît établi.
À l’inverse, un autre arrêt rendu le même jour, sous le numéro 24-13.663, montre qu’un fichier de logs suffisamment précis peut satisfaire à cette exigence. La chronologie technique corroborait les propres déclarations du client, établissait sa connexion, la modification de son code et la validation du virement au moyen d’un code temporaire accompagné d’un avertissement.
La banque ne doit donc pas seulement produire des captures issues de son système informatique. Elle doit fournir des éléments lisibles permettant de reconstituer chaque opération et d’exclure concrètement une anomalie technique.
Le point fragile du jugement de Montpellier
Le tribunal de Montpellier rappelle correctement cette double exigence. Il affirme qu’il appartient à la banque de démontrer l’authentification forte, l’enregistrement, la comptabilisation et l’absence de déficience technique.
Mais sa motivation devient ensuite plus elliptique.
Le jugement indique qu’« il n’est pas discuté » que les opérations ont été réalisées selon la procédure d’authentification forte. Il passe ensuite directement à l’examen de la négligence grave, sans préciser :
quelles pièces techniques avaient été produites par la BRED ;
si chaque opération avait été individuellement analysée ;
comment leur enregistrement et leur comptabilisation étaient établis ;
ni sur quels éléments reposait l’absence de déficience technique.
L’authentification forte ne suffit pourtant pas nécessairement à satisfaire aux quatre branches de l’article L. 133-23.
Il serait excessif d’affirmer que le jugement encourt nécessairement la cassation : la régularité technique paraît avoir été peu ou pas discutée entre les parties. Mais la motivation est incontestablement plus brève que celle désormais exigée par les arrêts des 20 novembre 2024 et 30 avril 2025.
C’est la principale réserve que suscite la décision.
Troisième question : la banque prouve-t-elle une négligence grave ?
Lorsque l’opération est non autorisée, l’article L. 133-18 du Code monétaire et financier impose en principe son remboursement immédiat et, au plus tard, à la fin du premier jour ouvrable suivant la contestation.
L’établissement ne peut faire supporter les pertes au client que dans les hypothèses prévues à l’article L. 133-19, IV :
agissement frauduleux du payeur ;
manquement intentionnel à ses obligations de sécurité ;
ou manquement résultant d’une négligence grave.
C’est donc bien l’article L. 133-19, IV, et non l’article L. 133-18 lui-même, qui fonde l’exonération invoquée par la banque.
La preuve de la négligence grave incombe à l’établissement. Elle doit être appréciée au regard des obligations prévues aux articles L. 133-16 et L. 133-17 : préserver les données de sécurité personnalisées, utiliser l’instrument conformément à ses conditions et informer sans tarder la banque en cas de détournement.
Pourquoi la cliente de la BRED est-elle déboutée ?
Le tribunal de Montpellier relève une succession de comportements :
la cliente avait cliqué sur un lien reçu par SMS ;
elle avait renseigné les références de sa carte bancaire pour payer 75 centimes ;
elle avait ensuite suivi les instructions d’un interlocuteur inconnu ;
elle n’avait ni vérifié le numéro ni rappelé son agence ;
elle avait validé plusieurs manipulations.
Le juge insiste également sur l’absence de preuve du spoofing. La demanderesse ne produisait ni capture d’écran, ni constat, ni témoignage établissant que le numéro de la BRED s’était réellement affiché.
L’appelant ne s’était pas non plus présenté sous le nom d’un conseiller connu et ne paraît pas avoir communiqué des informations personnelles suffisamment précises pour confirmer sa qualité.
Le tribunal en déduit qu’il n’est pas démontré que la cliente ait été victime d’une usurpation du numéro de la banque. Il retient finalement une négligence grave et rejette la demande de remboursement.
La solution ne signifie pas qu’une capture d’écran serait toujours obligatoire. La preuve du spoofing peut résulter d’un faisceau d’éléments : historique d’appels, relevés opérateur, messages, correspondances avec la banque ou informations détenues par l’escroc.
Mais lorsqu’aucun de ces éléments n’est produit, le juge peut refuser d’accorder au récit de la victime la portée particulière attachée à l’affichage du numéro officiel.
23 octobre 2024 : une décision très favorable à la victime de spoofing
Dans son arrêt du 23 octobre 2024, n° 23-16.267, publié au Bulletin, la chambre commerciale avait approuvé le remboursement d’un client appelé par une personne dont le numéro s’affichait comme étant celui de sa conseillère.
Le faux conseiller lui avait demandé de supprimer puis de réinscrire des bénéficiaires afin d’empêcher de prétendues opérations malveillantes. La Cour de cassation a considéré qu’aucune négligence grave ne pouvait être imputée au titulaire dans les circonstances retenues par les juges du fond.
Cet arrêt ne pose cependant pas une règle générale selon laquelle tout spoofing exclurait la négligence grave. Il valide une appréciation concrète : numéro officiel affiché, scénario cohérent et manipulations présentées comme destinées à protéger le compte.
12 juin 2025 : la sophistication de la fraude reste déterminante
Par un arrêt du 12 juin 2025, n° 24-13.777, également publié, la Cour de cassation a rejeté le pourvoi d’une banque dans une affaire concernant une société dont la salariée avait été manipulée par un prétendu technicien.
L’interlocuteur connaissait certaines opérations internes et pouvait avoir usurpé le numéro de la banque. Il avait guidé la salariée dans l’utilisation d’un boîtier de sécurité, sans lui demander directement son mot de passe. Les juges avaient pu en déduire que la banque ne démontrait pas une négligence grave.
L’arrêt confirme donc que le juge peut tenir compte de la sophistication du scénario, des informations détenues par le fraudeur et du fait que la victime ait ou non divulgué ses données les plus sensibles.
En revanche, cet arrêt ne concerne pas spécialement un message indiquant que le client validait un paiement et non une annulation. Ce point apparaît dans l’arrêt suivant.
4 mars 2026 : le message « paiement, et non annulation » change l’analyse
L’arrêt du 4 mars 2026, n° 24-19.588, existe bien et a été publié au Bulletin.
Le client avait été appelé depuis un numéro correspondant à celui de son agence, pendant les horaires d’ouverture. Le tribunal en avait déduit que ces circonstances étaient propres à rassurer une personne raisonnable et avait écarté toute négligence grave.
La Cour de cassation casse le jugement. Elle reproche aux juges de ne pas avoir recherché si le message de confirmation envoyé par la banque aurait dû alerter le client. Ce message précisait qu’il confirmait un paiement et qu’il ne s’agissait « ni d’un remboursement, ni d’une annulation ».
La Cour de cassation ne juge pas que le client a nécessairement commis une négligence grave. Elle impose une analyse plus complète.
Le numéro officiel demeure un élément important, mais il doit être confronté au contenu précis des notifications reçues. Un client peut être rassuré par le numéro affiché tout en étant alerté par un message qui contredit directement les affirmations de l’escroc.
Le numéro usurpé n’est donc ni décisif ni indifférent
La jurisprudence récente ne consacre pas un renversement total en faveur des banques.
Elle impose une analyse objective des obligations du client :
a-t-il communiqué un mot de passe ou un code confidentiel ?
a-t-il validé un paiement clairement identifié ?
a-t-il ajouté un bénéficiaire inconnu ?
a-t-il augmenté ses plafonds ?
le message reçu mentionnait-il le montant et le bénéficiaire ?
les propos du prétendu conseiller étaient-ils compatibles avec les informations affichées ?
Le spoofing demeure susceptible de diminuer la vigilance d’un utilisateur normalement attentif. Mais il ne neutralise pas un avertissement explicite.
À l’inverse, l’absence de preuve du spoofing ne dispense jamais la banque de produire les éléments techniques exigés par l’article L. 133-23.
Des décisions du fond encore contradictoires
Certaines juridictions accordent une importance considérable au scénario frauduleux et aux lacunes de la preuve bancaire.
La cour d’appel de Montpellier a ainsi confirmé, le 18 septembre 2025, RG n° 24/02538, la condamnation d’une Caisse d’épargne qui ne démontrait pas suffisamment que les opérations avaient été authentifiées, enregistrées et comptabilisées sans déficience. Le numéro de l’agence s’était affiché et les SMS frauduleux s’inséraient dans le fil habituel des communications bancaires.
Le tribunal judiciaire de Tours a également ordonné, le 27 avril 2026, RG n° 24/03627, le remboursement d’un virement de 14 900 euros, tout en rappelant expressément l’obligation pour la banque de rapporter la double preuve résultant des articles L. 133-19 et L. 133-23.
D’autres décisions retiennent au contraire la négligence grave lorsque les messages indiquaient clairement la nature de l’opération, lorsque plusieurs codes avaient été communiqués ou lorsque la victime avait effectué des manipulations répétées.
Il ne se dégage donc pas encore de solution mécanique. Les décisions sont extrêmement dépendantes de la preuve produite et du libellé exact des notifications.
Opération autorisée : le régime spécial peut être écarté
La qualification de l’opération constitue un enjeu préalable.
Lorsqu’un client a lui-même créé le bénéficiaire, indiqué le montant et ordonné le virement, le juge peut considérer que l’opération a été autorisée, même si le consentement a été obtenu par escroquerie.
Le remboursement de plein droit prévu par l’article L. 133-18 n’est alors plus applicable. Le client peut seulement rechercher la responsabilité contractuelle de la banque en démontrant un manquement distinct, notamment face à une anomalie apparente.
Le tribunal judiciaire de Vannes en fournit une illustration par un jugement du 12 mars 2026, RG n° 25/00524. Le client avait été appelé le 11 mars 2025 successivement depuis les numéros apparents de la gendarmerie et de son agence. Il avait ajouté un compte présenté comme étant ouvert à son nom et validé un virement de 4 500 euros par reconnaissance faciale. Le tribunal qualifie l’opération d’autorisée, puis condamne néanmoins la banque en raison de l’absence de contrôle de concordance entre le nom annoncé et l’IBAN bénéficiaire.
La solution de Vannes doit être fortement relativisée
Cette motivation est juridiquement discutable.
L’article L. 133-21 du Code monétaire et financier prévoit qu’un ordre exécuté conformément à l’identifiant unique fourni par l’utilisateur est réputé correctement exécuté pour le bénéficiaire correspondant à cet identifiant. Si des informations supplémentaires sont fournies, la banque ne répond en principe que de l’exécution conforme à cet identifiant.
Au jour de la fraude, le 11 mars 2025, la banque n’était pas encore soumise à l’obligation européenne généralisée de vérifier la concordance entre le nom du bénéficiaire et son IBAN.
Cette obligation résulte du règlement (UE) 2024/886. Pour les prestataires établis dans un État dont la monnaie est l’euro, le service de vérification du bénéficiaire devait être mis en œuvre au plus tard le 9 octobre 2025.
Le tribunal de Vannes a donc appliqué à des faits de mars 2025 une logique qui ne deviendrait contraignante que plusieurs mois plus tard.
La décision est favorable au client, mais sa motivation apparaît fragile au regard :
de l’article L. 133-21 ;
du principe de non-ingérence ;
et de la date d’entrée en application de la vérification du bénéficiaire.
Son maintien en cas de recours aurait été incertain — étant toutefois rappelé que le jugement est rendu en dernier ressort.
Pour les virements initiés depuis le 9 octobre 2025, l’analyse évolue : la banque doit désormais proposer le service de vérification de concordance avant que le client autorise le virement.
Le faux coursier : la remise de la carte est particulièrement dangereuse
Une autre variante consiste à demander à la victime de découper sa carte bancaire avant de la remettre à un prétendu coursier envoyé par la banque.
Une banque ne procède pas ainsi. Surtout, une carte découpée demeure utilisable lorsque sa puce est intacte.
L’article L. 133-19, I, prévoit qu’en cas de perte ou de vol de l’instrument, les pertes antérieures à l’opposition sont en principe supportées par le client dans la limite de 50 euros. Mais ce plafond ne s’applique pas lorsque la banque démontre une fraude ou une négligence grave au sens du IV.
Dans une fraude au faux coursier, le débat porte donc fréquemment sur la remise volontaire de la carte à un inconnu. Si cette remise est qualifiée de négligence grave, le client supporte l’intégralité des pertes et non seulement 50 euros.
Le plafond ne constitue donc pas une garantie automatique pour la victime.
Le signalement doit être fait sans tarder
Le client doit signaler l’opération non autorisée ou mal exécutée dès qu’il en a connaissance et, au plus tard, dans les treize mois suivant le débit, sous peine de forclusion.
Ce délai de treize mois concerne le signalement à la banque, non nécessairement l’assignation en justice.
Par un arrêt du 2 juillet 2025, n° 24-16.590, la Cour de cassation a jugé qu’un client ayant signalé l’opération dans le délai pouvait ensuite engager son action en paiement dans le délai de droit commun. La juridiction ne pouvait donc déclarer l’action irrecevable au seul motif que l’assignation avait été délivrée plus de treize mois après l’opération.
Il ne faut cependant pas attendre : le texte exige un signalement « sans tarder », en plus du délai maximal de treize mois.
Quelles preuves conserver ?
La victime doit immédiatement sauvegarder :
la capture du numéro affiché et l’historique des appels ;
les SMS, courriels et messages vocaux ;
le texte complet de chaque notification bancaire ;
le montant et le bénéficiaire mentionnés lors de la validation ;
les messages relatifs à l’ajout d’un bénéficiaire ou à une augmentation de plafond ;
la plainte et le formulaire de contestation ;
les échanges avec le service antifraude ;
la preuve de l’opposition et de la demande de rappel des fonds.
Il est également utile de demander à la banque :
les journaux de connexion ;
les adresses IP ;
les appareils utilisés ;
la chronologie des authentifications ;
les modifications de bénéficiaires ;
les relèvements de plafonds ;
le contenu précis des alertes envoyées ;
la méthode d’authentification appliquée à chaque opération.
Une mention générale selon laquelle l’opération aurait été validée par « Sécur’Pass », « Certicode » ou une clé digitale ne suffit pas nécessairement.
Les pénalités de retard
Lorsque la banque était tenue au remboursement mais ne l’a pas effectué dans le délai légal, l’article L. 133-18 prévoit :
le taux légal majoré de cinq points ;
une majoration de dix points au-delà de sept jours ;
une majoration de quinze points au-delà de trente jours.
Ces pénalités supposent néanmoins que l’opération soit non autorisée et que l’obligation de remboursement soit caractérisée. Elles ne s’appliquent pas automatiquement lorsqu’une condamnation repose seulement sur la responsabilité contractuelle de droit commun.
Notre analyse
Le jugement de Montpellier est sévère, mais sa solution repose sur un scénario factuel défavorable à la cliente : phishing préalable, communication des données de carte, absence de preuve du numéro usurpé, interlocuteur non identifié et validations successives.
Il ne remet pas en cause la jurisprudence favorable aux véritables victimes de spoofing. Il considère seulement que l’usurpation du numéro de la BRED n’était pas démontrée et que le comportement de la cliente dépassait la simple imprudence.
Sa motivation demeure toutefois incomplète sur un point essentiel. Après avoir reconnu que les opérations n’étaient pas autorisées, le tribunal aurait dû exposer plus précisément les éléments par lesquels la BRED établissait leur authentification, leur enregistrement, leur comptabilisation et l’absence de déficience technique.
L’étude de la jurisprudence récente conduit ainsi à retenir quatre questions, dans cet ordre :
l’opération était-elle autorisée ?
la banque prouve-t-elle sa régularité technique ?
la banque démontre-t-elle une négligence grave ?
le contenu des notifications permettait-il objectivement au client de comprendre ce qu’il validait ?
Le numéro usurpé demeure important, mais il ne décide plus à lui seul de l’issue du procès.
Questions fréquentes
L’affichage du numéro de ma banque oblige-t-il celle-ci à me rembourser ?
Non. Il constitue un élément favorable à la victime, mais le juge examine également le contenu des notifications, les codes communiqués et les manipulations effectuées.
Une opération authentifiée est-elle nécessairement autorisée ?
Non. Une authentification technique ne démontre pas que le client a consenti au véritable paiement, à son montant et à son bénéficiaire.
La banque doit-elle prouver ma négligence grave ?
Oui. Elle doit produire des éléments précis. La négligence grave ne peut résulter du seul fait que l’instrument ou les données du client ont été utilisés.
La banque doit-elle aussi prouver l’absence de panne ou de défaillance ?
Oui. Elle doit établir que l’opération a été authentifiée, enregistrée et comptabilisée et qu’elle n’a été affectée par aucune déficience technique.
Combien de temps ai-je pour contester ?
L’opération doit être signalée sans tarder et au plus tard dans les treize mois suivant son débit. Une fois ce signalement effectué dans le délai, l’action judiciaire relève en principe du délai de droit commun.
Puis-je remettre ma carte à un coursier de la banque ?
Non. Une banque n’envoie pas de coursier récupérer une carte. Il faut faire immédiatement opposition et conserver la carte après avoir détruit sa puce.
Cabinet KTORZA
27 cours Honoré Estienne d'Orves
13001 Marseille
Nous contacter
06 10 16 70 92
ronny.ktorza@gmail.com