Fraude au faux conseiller bancaire : le Tribunal judiciaire de Paris durcit l’appréciation de la négligence grave
Description de l'article de blog :
7/30/202613 min temps de lecture
Tribunal judiciaire de Paris, pôle civil de proximité, 3 juillet 2026, RG n° 25/01766
Une opération bancaire peut être techniquement authentifiée sans avoir été autorisée par le client. Celui-ci peut néanmoins être privé de remboursement lorsque son comportement constitue une négligence grave. Dans un jugement du 3 juillet 2026, le Tribunal judiciaire de Paris retient une appréciation particulièrement sévère de la vigilance attendue de la victime d’un faux conseiller bancaire. L’absence de véritable spoofing, les anomalies du SMS initial, le délai laissé sans réaction et les appels reçus en pleine nuit ont conduit au rejet de la demande de remboursement.
Le 29 juillet 2024, un particulier reçoit un SMS l’invitant à régler une prétendue amende.
Le message contient un lien vers un site présentant l’apparence d’un site officiel. Le destinataire clique sur ce lien et y saisit des coordonnées bancaires.
Quelques jours plus tard, il est contacté par un interlocuteur se présentant comme un conseiller bancaire. Celui-ci affirme pouvoir bloquer les transactions frauduleuses affectant ses comptes.
Dans la nuit du 1er au 2 août 2024, un paiement de 2 877,51 euros est réalisé auprès de la société Carjet. L’opération est précédée d’une connexion à l’espace personnel du client et validée au moyen de codes à usage unique adressés sur son téléphone.
BNP Paribas Personal Finance, exerçant sous l’enseigne Cetelem, refuse de rembourser le paiement. Elle considère que l’opération a été authentifiée et que son client a commis une négligence grave en communiquant ses données confidentielles au fraudeur.
Saisi par le titulaire du compte, le Tribunal judiciaire de Paris reconnaît que l’opération n’avait pas été autorisée. Il rejette néanmoins la demande de remboursement en raison du comportement de la victime.
Ce jugement, rendu en premier ressort, est particulièrement intéressant : il distingue avec rigueur l’authentification de l’opération, le consentement du client et la négligence grave susceptible de faire obstacle au remboursement.
Une fraude amorcée par un faux avis d’amende
L’escroquerie ne commence pas par l’appel du prétendu conseiller bancaire.
Elle débute plusieurs jours auparavant, par la réception d’un SMS invitant le client à régler une amende.
Le message provient d’un numéro de téléphone mobile. Il comporte un lien conduisant vers un site frauduleux imitant un site officiel. La victime y renseigne des informations bancaires relatives, selon ses déclarations, à son compte ouvert au Crédit agricole.
Elle constate ensuite que plusieurs opérations ont été effectuées, non seulement sur ce compte, mais également sur son compte Cetelem.
Le 2 août 2024, elle dépose plainte pour escroquerie. Elle explique avoir été contactée à plusieurs reprises par une personne se présentant comme un conseiller bancaire. Un complément de plainte est déposé quelques jours plus tard après la découverte d’autres débits.
Cetelem refuse néanmoins le remboursement. La banque indique que les transactions ont été validées au moyen de codes de sécurité communiqués dans le cadre d’une procédure d’authentification forte.
Après l’intervention de son assureur de protection juridique et une saisine infructueuse du médiateur de l’Association française des sociétés financières, le client assigne BNP Paribas Personal Finance devant le pôle civil de proximité du Tribunal judiciaire de Paris.
Il réclame :
2 877,51 euros au titre des opérations contestées ;
3 000 euros en réparation de son préjudice moral ;
3 000 euros au titre des frais de procédure.
La banque demande, pour sa part, le rejet intégral des demandes.
La plainte pénale n’est pas un préalable au recours contre la banque
BNP Paribas Personal Finance sollicitait d’abord un sursis à statuer dans l’attente des suites de la plainte pénale.
Le tribunal rejette cette demande.
Il relève que la plainte avait été classée sans suite. Surtout, il rappelle que la responsabilité du prestataire de services de paiement peut être examinée indépendamment de l’identification et de la condamnation pénale de l’escroc.
L’action engagée contre la banque ne vise pas directement à obtenir réparation du dommage causé par l’auteur de l’escroquerie. Elle tend à faire appliquer le régime spécifique des opérations de paiement non autorisées prévu par les articles L. 133-18 à L. 133-24 du Code monétaire et financier.
La victime n’a donc pas à attendre l’issue d’une enquête pénale pour agir contre son établissement bancaire.
Cette précision est importante en pratique. Les plaintes pour fraude bancaire sont fréquemment classées sans suite faute d’identification de l’auteur. Ce classement ne détermine pas le droit du client au remboursement.
Un régime spécial qui exclut le droit commun de la responsabilité
Le tribunal rappelle que la responsabilité de la banque à raison d’une opération non autorisée est soumise au régime particulier du Code monétaire et financier.
Il se réfère à l’arrêt rendu par la chambre commerciale de la Cour de cassation le 2 mai 2024, n° 22-18.074, selon lequel les articles L. 133-18 à L. 133-24 constituent le régime exclusif applicable.
Le client ne peut donc pas contourner les conditions de ce régime en invoquant librement une faute générale de la banque sur le fondement du Code civil.
L’analyse doit être conduite dans un ordre précis :
l’opération a-t-elle été authentifiée et correctement enregistrée ?
le client l’a-t-il juridiquement autorisée ?
à défaut d’autorisation, la banque démontre-t-elle une fraude ou une négligence grave du client ?
Le jugement du 3 juillet 2026 respecte scrupuleusement cette succession.
L’authentification doit être examinée avant la négligence grave
L’article L. 133-23 du Code monétaire et financier organise la charge de la preuve lorsque le client conteste une opération.
Il appartient à la banque de démontrer que celle-ci a été :
authentifiée ;
dûment enregistrée et comptabilisée ;
et qu’elle n’a pas été affectée par une déficience technique ou autre.
Le tribunal souligne expressément que cette question doit être examinée avant de rechercher une éventuelle négligence grave du client.
Cette chronologie est essentielle.
Une banque ne peut pas se contenter d’accuser immédiatement la victime d’avoir communiqué ses codes. Elle doit d’abord produire les éléments techniques expliquant comment l’opération a été réalisée.
Dans cette affaire, BNP Paribas Personal Finance communiquait des copies d’écran issues de son système informatique.
Ces documents faisaient apparaître :
un accès à l’espace client à 00 h 13, au moyen d’un code OTP envoyé sur le téléphone personnel du client ;
un achat sur le site Carjet à 00 h 19 ;
une authentification au moyen d’un mot de passe d’enrôlement et d’un nouveau code OTP adressé au même numéro.
Le numéro destinataire des codes correspondait bien au numéro personnel déclaré par le client dans sa plainte.
Son téléphone était demeuré en sa possession.
Le tribunal en déduit que le paiement avait fait l’objet d’une authentification forte, qu’il avait été correctement enregistré et comptabilisé et qu’aucune déficience technique n’était démontrée.
L’authentification forte ne prouve pourtant pas le consentement
Cette constatation ne suffit pas à établir que le client a autorisé le paiement.
Le Tribunal judiciaire de Paris le rappelle avec netteté :
Il ne peut être déduit du seul fait que l’instrument de paiement et les données personnelles qui lui sont liées ont été utilisés que le client a autorisé l’opération.
L’article L. 133-6 du Code monétaire et financier prévoit qu’une opération est autorisée lorsque le payeur a donné son consentement à son exécution.
Ce consentement ne peut pas être réduit à l’utilisation technique d’un code.
Le tribunal se réfère aux arrêts de la Cour de cassation du 1er juin 2023, n° 21-19.289 et n° 21-21.831 : le client doit avoir consenti non seulement au principe du paiement, mais également à son montant et au compte du bénéficiaire.
Or BNP Paribas Personal Finance ne contestait pas que son client avait été victime d’une escroquerie. Celui-ci n’avait voulu ni effectuer un paiement de 2 877,51 euros ni transférer cette somme au bénéficiaire réel de l’opération.
Le tribunal qualifie donc le paiement d’opération non autorisée.
Cette partie du jugement est protectrice pour les victimes :
Une authentification forte démontre que la procédure technique de validation a été utilisée. Elle ne démontre pas nécessairement que la victime savait quel paiement elle validait.
Une opération non autorisée doit en principe être remboursée
En application de l’article L. 133-18 du Code monétaire et financier, une opération non autorisée doit, en principe, être remboursée immédiatement par la banque.
L’article L. 133-19 prévoit néanmoins une exception importante.
Le client supporte les pertes lorsque celles-ci résultent :
d’un comportement frauduleux de sa part ;
ou d’un manquement intentionnel ou gravement négligent à ses obligations de sécurité.
Ces obligations consistent notamment à prendre toute mesure raisonnable afin de préserver ses données personnelles de sécurité et à informer sans tarder la banque en cas d’utilisation non autorisée.
La négligence grave ne se présume pas.
La banque doit en rapporter la preuve.
Le simple fait que les codes du client aient été utilisés ne suffit pas. Le juge doit examiner son comportement concret et déterminer si les circonstances auraient dû alerter un utilisateur normalement attentif.
C’est sur ce terrain que le jugement devient nettement plus sévère.
Le tribunal refuse de reconnaître un véritable spoofing
Le client se prévalait d’une fraude commise par un faux conseiller bancaire.
Le tribunal commence par définir le spoofing comme un procédé consistant à contacter le client en usurpant l’identité de la banque, notamment par téléphone, SMS ou courrier électronique, afin de gagner sa confiance et de lui faire communiquer ses données de sécurité.
Il rappelle ensuite l’arrêt rendu par la chambre commerciale de la Cour de cassation le 23 octobre 2024, n° 23-16.267.
Dans cette affaire, le numéro affiché sur le téléphone du client correspondait à celui de son agence bancaire. La Cour de cassation avait admis que cette usurpation réduisait la vigilance de la victime et pouvait empêcher de qualifier son comportement de gravement négligent.
Le Tribunal judiciaire de Paris refuse toutefois de transposer cette solution à l’affaire Cetelem.
Le client ne démontrait pas que le numéro depuis lequel le faux conseiller l’avait appelé était celui de sa banque.
Sa plainte mentionnait au contraire un numéro distinct.
Le tribunal considère donc que le client ne se trouvait pas dans un contexte de spoofing caractérisé.
Cette distinction est fondamentale.
Un interlocuteur qui prétend travailler pour une banque n’usurpe pas nécessairement son numéro de téléphone. La seule présentation comme « conseiller bancaire » ne suffit donc pas à bénéficier de la jurisprudence favorable du 23 octobre 2024.
Un SMS qui comportait plusieurs indices de fraude
Le tribunal examine ensuite le message à l’origine de l’escroquerie.
Il relève plusieurs anomalies :
le SMS provenait d’un numéro de téléphone mobile ;
ce numéro ne présentait aucun caractère professionnel ou institutionnel ;
le lien contenu dans le message comportait une faute d’orthographe ;
la victime reconnaissait elle-même s’être posé des questions après avoir renseigné ses données.
Pour le juge, ces circonstances auraient dû susciter une vérification.
Le jugement adopte ici une appréciation rigoureuse de la vigilance attendue du client. Il ne suffit pas que le site ait présenté l’apparence générale d’un service officiel. Le destinataire devait également examiner le numéro d’envoi, l’adresse du lien et les éventuelles anomalies rédactionnelles.
Plusieurs jours laissés sans réaction
Le délai écoulé entre le premier SMS et le paiement joue également un rôle déterminant.
Le message frauduleux avait été reçu le 29 juillet 2024.
Le paiement n’était intervenu que dans la nuit du 1er au 2 août.
Le tribunal reproche au client de ne pas avoir mis à profit ces quelques jours pour vérifier la validité du site, contacter son établissement bancaire ou sécuriser ses moyens de paiement.
Il ne se trouvait donc pas, au moment du premier message, dans une situation d’urgence immédiate qui l’aurait empêché de réfléchir.
Cette appréciation montre que la négligence grave peut être construite à partir de l’ensemble de la chronologie, et non du seul instant où le code a été communiqué.
Des appels reçus en pleine nuit
Les horaires des appels constituent l’un des éléments les plus défavorables au client.
Le faux conseiller l’avait contacté à 23 h 57, puis à 00 h 32.
Le paiement avait été validé à 00 h 19.
Pour le tribunal, il était particulièrement improbable qu’un véritable conseiller bancaire appelle un client à de tels horaires afin de sécuriser ses comptes.
Ces appels nocturnes auraient dû provoquer une rupture de confiance immédiate.
Le juge ne se limite donc pas à rechercher si l’interlocuteur semblait connaître le dossier bancaire. Il examine si son comportement correspondait aux pratiques normales d’un établissement financier.
La communication des codes déduite de la chronologie
Le client ne reconnaissait pas expressément avoir transmis les codes confidentiels reçus sur son téléphone.
Le tribunal considère pourtant cette transmission comme établie.
Il rapproche les différents horaires :
premier appel à 23 h 57 ;
code permettant la connexion utilisé à 00 h 13 ;
second code permettant le paiement utilisé à 00 h 19 ;
nouvel appel à 00 h 32.
Le téléphone étant demeuré entre les mains du client, les codes ne pouvaient, selon le jugement, avoir été utilisés par le fraudeur qu’après avoir été communiqués pendant la conversation.
Cette déduction est importante sur le terrain de la preuve.
La banque ne disposait pas d’un enregistrement dans lequel le client reconnaissait avoir dicté les codes. Le tribunal a néanmoins considéré que la concordance des horaires constituait un faisceau d’indices suffisant.
Une négligence grave caractérisée par l’accumulation des anomalies
Aucun élément n’est présenté, pris isolément, comme automatiquement constitutif d’une négligence grave.
Le tribunal raisonne par accumulation :
réponse à un SMS provenant d’un numéro mobile ;
clic sur un lien comportant une faute ;
saisie de données sur un site suspect ;
doute initial reconnu par la victime ;
absence de vérification pendant plusieurs jours ;
appel provenant d’un numéro qui n’était pas celui de la banque ;
appels reçus à des horaires manifestement anormaux ;
communication de plusieurs codes confidentiels.
Le jugement reproche au client de ne pas avoir questionné l’identité de son interlocuteur « à aucune étape de l’escroquerie ».
Il en déduit qu’il a manqué de manière grave à son obligation de préserver la sécurité de ses données.
Le client est donc débouté de sa demande de remboursement de 2 877,51 euros, malgré la reconnaissance du caractère non autorisé du paiement.
Un durcissement dans l’appréciation du comportement de la victime
Le jugement ne remet pas en cause les principes protecteurs du droit des services de paiement.
Il reconnaît successivement que :
la banque supporte la charge de la preuve de l’authentification ;
l’utilisation des codes ne suffit pas à prouver le consentement ;
l’opération litigieuse était non autorisée ;
la négligence grave devait être démontrée par la banque.
Le durcissement se manifeste dans l’application de ces principes.
Le Tribunal judiciaire de Paris adopte une analyse particulièrement exigeante de la vigilance attendue de la victime.
L’arrêt du 23 octobre 2024 n’est pas interprété comme consacrant une protection générale des victimes de faux conseillers. Il est cantonné aux situations dans lesquelles l’usurpation du numéro de la banque est démontrée et où les circonstances ne révèlent pas d’autres anomalies manifestes.
Le message adressé aux clients est clair :
Être victime d’un faux conseiller bancaire ne suffit pas. Il faut encore démontrer que le scénario frauduleux était suffisamment crédible pour tromper un utilisateur normalement attentif.
Le contenu du dossier devient décisif
Le jugement montre que ces litiges sont avant tout des contentieux de preuve.
Le client doit conserver :
le SMS initial dans son intégralité ;
le numéro exact de son expéditeur ;
l’adresse complète du site frauduleux ;
une capture du numéro affiché lors des appels ;
le journal des appels et leur durée ;
le contenu des notifications reçues de la banque ;
les messages mentionnant le montant et le bénéficiaire de l’opération ;
les courriels relatifs à une connexion ou à l’enrôlement d’un appareil ;
la preuve de ses démarches immédiates ;
une plainte décrivant précisément chaque étape de la fraude.
La rédaction de la plainte est particulièrement importante.
Dans cette affaire, le tribunal s’est fondé à plusieurs reprises sur les déclarations faites par le client aux gendarmes : le numéro des appels, les horaires, les doutes ressentis après la saisie des coordonnées et la présence du téléphone entre ses mains.
Un récit incomplet, imprécis ou différent des arguments développés devant le tribunal peut fragiliser le dossier.
Une décision sévère, mais étroitement liée aux faits
Le jugement du 3 juillet 2026 ne permet pas de conclure que toute victime ayant communiqué un code confidentiel perd automatiquement son droit au remboursement.
La négligence grave demeure une notion factuelle.
La solution aurait pu être différente si :
le véritable numéro de la banque s’était affiché ;
le client avait été appelé pendant les horaires habituels d’ouverture ;
les messages ne comportaient aucune anomalie ;
le fraudeur connaissait des informations bancaires précises impossibles à obtenir par le seul phishing ;
le paiement frauduleux avait commencé avant toute intervention de la victime ;
ou si la banque avait été incapable d’expliquer l’enrôlement du dispositif utilisé.
La décision doit donc être lue pour ce qu’elle est : non pas une présomption générale en faveur des banques, mais une appréciation très sévère d’un scénario comportant de nombreux signaux d’alerte.
Elle reste en outre rendue en premier ressort et peut faire l’objet d’un appel.
La protection contre le spoofing n’est plus automatique
Le Tribunal judiciaire de Paris distingue finalement trois propositions :
Le paiement a été techniquement authentifié.
Il n’a pourtant pas été juridiquement autorisé.
La négligence grave du client fait néanmoins obstacle à son remboursement.
Cette construction révèle toute la subtilité du contentieux des fraudes bancaires.
La banque ne peut pas se contenter d’affirmer que l’authentification forte établit le consentement. Mais, une fois l’opération qualifiée de non autorisée, elle peut encore échapper au remboursement si elle démontre concrètement une négligence grave.
Dans cette affaire, le client avait été exposé à une succession d’anomalies que le juge considère comme incompatibles avec le comportement d’un utilisateur normalement attentif.
Le jugement du 3 juillet 2026 confirme ainsi un durcissement : le faux conseiller bancaire n’efface pas les signaux d’alerte, et le spoofing ne protège réellement la victime que lorsqu’il est précisément démontré.
Cabinet KTORZA
27 cours Honoré Estienne d'Orves
13001 Marseille
Nous contacter
06 10 16 70 92
ronny.ktorza@gmail.com