Virements frauduleux : l’authentification forte ne dispense pas la banque de prouver l’absence de défaillance technique
Description de l'article de blog :
7/15/202616 min temps de lecture
Cour d’appel de Douai, 3e chambre, 11 juin 2026, n° 25/02773
Meta-description
La cour d’appel de Douai condamne la Société Générale à rembourser deux virements frauduleux. La mise en œuvre d’une authentification forte ne suffit pas lorsque la banque ne prouve pas l’absence de défaillance technique.
La banque ne peut pas opposer immédiatement la négligence grave à son client victime d’une fraude.
Elle doit auparavant démontrer que les opérations litigieuses ont été authentifiées, enregistrées et comptabilisées, mais également qu’elles n’ont été affectées par aucune déficience technique ou autre.
Par un arrêt du 11 juin 2026, la cour d’appel de Douai applique cette succession probatoire avec une particulière rigueur. Elle infirme un jugement du tribunal judiciaire de Lille qui avait entièrement débouté la victime d’un hameçonnage et condamne la Société Générale, venant aux droits du Crédit du Nord, à lui restituer 4 800 euros.
La banque établissait pourtant qu’un dispositif d’authentification forte avait été sollicité lors de l’ajout du bénéficiaire frauduleux.
Cela ne suffisait pas.
Les documents techniques produits ne permettaient ni de prouver que le client avait effectivement reçu et utilisé le code de sécurité, ni d’exclure l’exploitation d’une faille par les fraudeurs.
La cour n’a donc même pas eu à examiner la négligence grave reprochée au client.
Un faux courriel imitant le site du Crédit du Nord
Le 16 décembre 2020, un client du Crédit du Nord avait reçu un courriel qui semblait provenir de son établissement bancaire.
Le message l’invitait à se connecter à son espace personnel afin de consulter une information présentée comme importante.
En cliquant sur le lien, le client avait été redirigé vers une page Internet imitant le portail de la banque. Il y avait renseigné ses identifiants personnels de connexion.
Deux virements de 2 400 euros avaient ensuite été exécutés, les 16 et 17 décembre 2020, au profit d’un bénéficiaire inconnu.
Le client avait déposé plainte le 22 décembre 2020 et réclamé le remboursement des 4 800 euros détournés.
Le Crédit du Nord avait rejeté sa demande, tout comme il avait refusé la proposition d’accord formulée par le médiateur de la consommation.
Par un jugement du 25 février 2025, le tribunal judiciaire de Lille avait débouté le client de l’ensemble de ses demandes et l’avait condamné aux dépens.
La cour d’appel de Douai adopte la solution inverse.
Des virements non autorisés malgré l’utilisation des identifiants du client
La Société Générale ne prétendait pas que les deux virements avaient réellement été voulus ou ordonnés par le titulaire du compte.
L’absence de consentement n’était donc pas contestée.
La cour qualifie logiquement les virements d’opérations de paiement non autorisées.
Cette qualification est importante. Une opération n’est pas juridiquement autorisée par le seul fait qu’elle a été exécutée à l’aide des identifiants ou des dispositifs de sécurité du client.
Le consentement doit porter à la fois sur :
le montant de l’opération ;
et l’identité de son bénéficiaire.
Le client n’ayant jamais entendu transférer 4 800 euros vers le compte utilisé par les fraudeurs, les opérations relevaient du régime protecteur prévu par les articles L. 133-18 et suivants du Code monétaire et financier.
Le principe était donc celui de la restitution immédiate des sommes débitées.
La négligence grave n’est pas la première question à examiner
La banque soutenait que le client avait gravement manqué à ses obligations en renseignant ses identifiants sur une page frauduleuse.
Elle invoquait également l’envoi d’un code de sécurité par SMS, que le client aurait nécessairement transmis aux escrocs afin de permettre l’ajout de leur compte parmi les bénéficiaires de confiance.
Mais la cour rappelle que la négligence grave ne peut être examinée qu’après une première étape.
Lorsqu’elle veut faire supporter au client les pertes causées par une opération non autorisée, la banque doit préalablement prouver que l’opération :
a été authentifiée ;
a été dûment enregistrée et comptabilisée ;
n’a été affectée par aucune déficience technique ou autre.
Cette chronologie est déterminante.
Une banque ne peut donc pas se contenter d’affirmer que le comportement du client a été imprudent. Elle doit d’abord établir la régularité et la fiabilité du processus ayant conduit à l’exécution des paiements.
Une authentification forte lors de l’ajout du bénéficiaire
La Société Générale produisait deux courriels comportant des données et des captures d’écran issues du système informatique du Crédit du Nord.
Le premier faisait état d’une procédure dite « OTP SMS ». Cette technique repose sur l’envoi, sur le téléphone du client, d’un mot de passe à usage unique destiné à vérifier qu’il possède bien le terminal enregistré auprès de la banque.
Le second document permettait d’établir que le numéro de téléphone utilisé correspondait à celui du titulaire du compte.
Le client reconnaissait par ailleurs avoir renseigné ses identifiants personnels sur la page Internet frauduleuse.
Les fraudeurs disposaient donc du premier facteur de l’authentification forte : celui relevant de la « connaissance », c’est-à-dire d’une information que seul le client est supposé connaître.
Le système bancaire avait également sollicité le facteur de « possession », au moyen d’un SMS envoyé au téléphone déclaré par le client.
La cour accepte donc de considérer que le Crédit du Nord avait bien mis en œuvre une procédure d’authentification forte lors de l’ajout du nouveau bénéficiaire.
Cette constatation ne donne pourtant pas gain de cause à la banque.
L’absence de nouvelle authentification des virements n’était pas fautive en elle-même
Le client soutenait que l’authentification forte n’avait concerné que l’ajout du bénéficiaire et non les deux virements litigieux.
La cour écarte cet argument.
La réglementation européenne autorise la banque à ne pas renouveler l’authentification forte lorsque l’opération est effectuée au profit d’un bénéficiaire figurant déjà sur une liste de bénéficiaires de confiance préalablement constituée par le payeur.
Une fois le compte frauduleux inscrit sur cette liste, le Crédit du Nord pouvait donc exécuter les virements sans appliquer une nouvelle procédure complète d’authentification forte.
Mais encore fallait-il démontrer que l’inscription initiale du bénéficiaire s’était déroulée sans faille.
C’est sur ce terrain que la preuve bancaire devient insuffisante.
La mention « délivré » ne prouve pas la réception effective du SMS
Le récapitulatif informatique produit par la Société Générale indiquait que le SMS contenant le code à usage unique avait été « délivré ».
Pour la cour, cette mention ne permettait pas de prouver que le message était effectivement parvenu sur le téléphone du client.
La banque ne fournissait aucune explication sur le protocole de communication électronique utilisé ni sur la signification technique exacte du statut « délivré ».
Il faut en effet distinguer :
l’émission du message par le système bancaire ;
son acheminement par l’opérateur ;
sa réception effective par le terminal ;
sa consultation par le client ;
et l’utilisation du code qu’il contenait.
La seule trace de l’envoi ou de la délivrance informatique d’un SMS ne démontre pas nécessairement que le client l’a personnellement reçu, lu puis utilisé.
Cette précision est particulièrement importante dans les litiges bancaires. Les établissements produisent fréquemment des tableaux internes mentionnant qu’une notification ou un SMS a été « envoyé », « remis » ou « délivré », sans expliquer la portée réelle de ces indications.
Le client niait avoir lu ou transmis le code
Le client reconnaissait avoir commis une première erreur en renseignant ses identifiants sur un faux site.
Il niait cependant avoir lu le SMS de sécurité, utilisé son code ou communiqué celui-ci aux fraudeurs.
La cour juge ses déclarations crédibles.
Elle relève qu’il avait spontanément reconnu avoir été trompé et avoir divulgué ses identifiants de connexion.
Il paraissait donc peu cohérent qu’il admette cette première manipulation, tout en dissimulant volontairement une seconde erreur de nature comparable.
La reconnaissance du phishing initial ne permettait pas, à elle seule, de reconstituer l’ensemble du processus technique ayant conduit à l’ajout du bénéficiaire.
La banque ne produisait pas le registre complet des connexions
La principale faiblesse du dossier de la Société Générale résidait toutefois dans l’absence de production du registre d’utilisation du dispositif d’accès.
Un tel document aurait pu permettre de déterminer précisément :
l’adresse IP utilisée ;
l’appareil depuis lequel le bénéficiaire avait été ajouté ;
l’heure de chaque connexion ;
le terminal ayant reçu ou utilisé le code ;
la chronologie entre l’ajout du bénéficiaire et les virements ;
ainsi que les éventuelles anomalies détectées par le système.
Or, la banque ne versait pas aux débats ce registre technique.
Elle produisait seulement deux courriels internes et des captures d’écran dont le contenu ne suffisait pas à confirmer avec certitude le scénario qu’elle avançait.
La cour considère donc que la Société Générale ne prouve pas que les opérations ont été réalisées sans l’exploitation d’une faille de sécurité.
Autrement dit, la mise en œuvre théorique de l’authentification forte ne prouve pas l’absence concrète de déficience technique.
La cour ne se prononce pas sur la négligence grave
La conséquence est radicale.
Puisque la banque n’établissait pas l’absence de défaillance technique, il devenait inutile de rechercher si le client avait commis une négligence grave.
La cour ne dit donc pas que le fait de renseigner ses identifiants sur un faux site serait anodin.
Elle considère seulement que cette imprudence ne peut exonérer la banque tant que celle-ci n’a pas rempli la charge probatoire préalable qui lui incombe.
La solution peut être résumée ainsi :
La négligence du client ne dispense jamais la banque de prouver la sécurité et la régularité de son propre dispositif.
Le tribunal judiciaire de Lille est donc infirmé et la Société Générale est condamnée à restituer l’intégralité des 4 800 euros.
La condamnation pénale de l’escroc ne libérait pas la banque
L’auteur de l’escroquerie avait par ailleurs été condamné par un tribunal correctionnel à verser au client 2 400 euros au titre de son préjudice matériel.
La banque soutenait que cette somme devait être déduite de son obligation de restitution afin d’éviter une double indemnisation.
La cour admet le principe.
Lorsqu’une juridiction pénale accorde définitivement à la victime une somme correspondant au montant détourné, cette indemnisation doit être prise en considération.
Mais la condamnation pénale avait fait l’objet d’un appel. Elle n’était donc pas définitive.
La Société Générale ne démontrait pas davantage que le client avait effectivement perçu les 2 400 euros.
Elle restait ainsi tenue de restituer la totalité des deux virements.
Le préjudice moral reste exclu
Le client réclamait également 6 000 euros au titre de son préjudice moral.
Cette demande est rejetée.
La cour rappelle que le régime des opérations de paiement non autorisées résulte d’une harmonisation européenne complète et s’applique, pour les mêmes faits générateurs, à l’exclusion d’un régime alternatif de responsabilité nationale.
Or, les articles L. 133-18 et suivants du Code monétaire et financier organisent la restitution du montant des paiements non autorisés, mais ne prévoient pas l’indemnisation automatique d’un préjudice moral.
En l’absence de faute distincte de la banque, le client ne pouvait donc obtenir une somme supplémentaire à ce titre.
La Société Générale est néanmoins condamnée aux dépens ainsi qu’à verser 2 000 euros au titre des frais de première instance et 2 000 euros pour ceux exposés en appel.
Les cours d’appel sont-elles réellement plus favorables aux victimes ?
À première vue, les décisions récemment examinées pourraient le laisser penser.
Parmi les cinq arrêts d’appel transmis et directement comparables, quatre ont maintenu ou accordé le remboursement des sommes frauduleusement détournées :
cour d’appel de Riom, 28 mai 2025 ;
cour d’appel de Paris, 2 avril 2026 ;
cour d’appel de Bordeaux, 9 juin 2026 ;
cour d’appel de Douai, 11 juin 2026.
Un seul arrêt, rendu par la cour d’appel de Riom le 19 novembre 2025, est défavorable au client.
Ce résultat brut doit toutefois être relativisé.
Dans trois des quatre arrêts favorables, la cour d’appel confirme une décision de première instance qui avait déjà donné raison à la victime.
Seule la cour d’appel de Douai infirme un jugement défavorable pour ordonner le remboursement.
À l’inverse, dans l’arrêt défavorable du 19 novembre 2025, la cour d’appel de Riom infirme précisément un jugement du tribunal judiciaire de Clermont-Ferrand qui avait condamné la banque.
L’appel ne fonctionne donc pas dans un sens unique.
La cour d’appel de Paris confirme une décision favorable du JCP
Le 2 avril 2026, la cour d’appel de Paris a confirmé la condamnation de BNP Paribas à rembourser 8 042,14 euros à une cliente victime d’un faux conseiller bancaire.
La cliente avait répondu à un faux SMS Chronopost, puis validé trois paiements au moyen de sa clé digitale, croyant confirmer des oppositions à des opérations frauduleuses.
Le jugement favorable n’avait cependant pas été rendu par une juridiction extérieure à Paris : il émanait du juge des contentieux de la protection du tribunal judiciaire de Paris, le 20 novembre 2024.
Le JCP avait déjà considéré que le spoofing avait placé la cliente en confiance et diminué sa vigilance.
La cour d’appel confirme cette analyse, en dépit de l’authentification forte des trois paiements. Elle refuse notamment de reprocher à la cliente de ne plus pouvoir fournir la preuve technique de l’usurpation du numéro de la banque et souligne les anomalies liées aux adresses IP utilisées.
Cette affaire ne démontre donc pas que la cour d’appel serait plus favorable que le tribunal judiciaire. Elle montre au contraire une continuité entre le premier juge et le juge d’appel.
La cour d’appel de Bordeaux confirme également le premier juge
La même observation vaut pour l’arrêt de la cour d’appel de Bordeaux du 9 juin 2026.
La victime avait communiqué un nouveau mot de passe à un faux conseiller qui connaissait le nom de son véritable conseiller bancaire et l’avait appelée depuis un numéro apparaissant comme celui de la banque.
La cour considère que la Caisse d’Épargne ne démontre ni l’utilisation régulière de l’authentification forte ni l’absence de déficience technique. Elle confirme le remboursement de 6 000 euros.
Mais cette solution avait déjà été prononcée par le tribunal judiciaire d’Angoulême le 31 octobre 2023.
L’arrêt de Bordeaux est donc favorable, mais il ne corrige pas une première instance hostile au client.
La cour d’appel de Riom confirme une autre décision favorable
Le 28 mai 2025, la cour d’appel de Riom confirme à son tour une condamnation prononcée par le tribunal judiciaire d’Aurillac.
Dans cette affaire, un fraudeur avait intercepté les données de connexion de la cliente et enregistré son propre téléphone comme appareil de confiance sur l’application bancaire.
Les opérations avaient bien été exécutées selon la procédure d’authentification forte.
La cour relève néanmoins que la validation technique ne démontrait pas le consentement de la cliente. Elle tient également compte de l’absence de vérification opérée lors de l’enregistrement d’un nouvel appareil de confiance.
Le remboursement de 4 745 euros est donc maintenu.
Là encore, la juridiction de première instance avait déjà adopté une solution protectrice.
La cour d’appel de Riom peut aussi se montrer plus sévère que le tribunal
L’arrêt rendu par la même cour le 19 novembre 2025 interdit toute généralisation.
Le tribunal judiciaire de Clermont-Ferrand avait condamné la Caisse d’Épargne à rembourser 3 963,15 euros à un client victime d’un faux conseiller.
La cour d’appel infirme cette condamnation.
Elle retient que la banque produisait des éléments suffisamment précis pour établir l’utilisation de Sécur’Pass, l’ajout du bénéficiaire et la validation des opérations.
Elle considère également que le client avait communiqué ses données confidentielles et personnellement accompli plusieurs démarches ayant permis les virements.
La négligence grave est donc retenue et la demande de remboursement rejetée.
Le contraste est particulièrement révélateur puisque les deux arrêts de Riom ont été rendus à six mois d’intervalle par la même chambre commerciale.
La différence de solution ne résulte donc pas du degré de juridiction ni d’une orientation générale de la cour. Elle tient principalement :
au scénario frauduleux ;
aux manipulations accomplies par la victime ;
et à la qualité des preuves techniques produites par la banque.
Les tribunaux judiciaires ne sont pas uniformément défavorables
Les nouvelles décisions examinées montrent également que la première instance n’est pas systématiquement hostile aux clients.
Le tribunal judiciaire de Metz a ainsi condamné la Caisse d’Épargne, le 20 février 2025, à rembourser 7 300 euros correspondant à deux virements frauduleux.
Le tribunal judiciaire de Paris avait, dès le 31 mai 2024, condamné BNP Paribas à restituer 14 753 euros. Il avait expressément jugé que la preuve d’une authentification forte ne suffisait pas à caractériser la négligence grave du client.
Le JCP du tribunal judiciaire de Paris avait également donné raison à la victime dans l’affaire ensuite confirmée par la cour d’appel de Paris.
Le tribunal judiciaire d’Angoulême et celui d’Aurillac avaient, eux aussi, rendu les décisions favorables ultérieurement confirmées à Bordeaux et à Riom.
Même le tribunal judiciaire de Clermont-Ferrand avait initialement condamné la banque, avant que sa décision ne soit infirmée.
Le pôle civil de proximité du tribunal judiciaire de Paris a encore condamné La Banque Postale, le 20 février 2026, lorsque les pièces techniques produites ne permettaient pas de démontrer régulièrement l’authentification des opérations.
Enfin, le 5 juin 2026, le même pôle civil de proximité a accordé le remboursement de 5 492,21 euros dans une autre affaire où le contexte de la fraude rendait le scénario présenté à la cliente particulièrement crédible.
Il serait donc inexact d’affirmer que les tribunaux judiciaires rejetteraient majoritairement les demandes tandis que les cours d’appel les accueilleraient.
Une sévérité néanmoins croissante dans certaines formations parisiennes
La première instance demeure toutefois beaucoup plus éclatée, notamment à Paris.
La 9e chambre du tribunal judiciaire de Paris avait adopté une solution favorable le 31 mai 2024.
Mais sa 2e section s’est ensuite montrée beaucoup plus sévère à l’égard des victimes de fraudes au faux coursier.
Le 11 avril 2025, elle a rejeté la demande d’un client qui avait remis sa carte préalablement découpée et communiqué ses identifiants après un faux message relatif à une vignette Crit’Air. La négligence grave a été retenue et le remboursement de 12 344 euros refusé.
Le 24 juin 2026, la même formation a débouté un client ayant remis sa carte intacte et son code confidentiel à un coursier. Elle a estimé que l’envoi d’un coursier au domicile ne pouvait correspondre à une procédure bancaire normale et que cette remise avait directement rendu possibles le retrait et le paiement frauduleux.
Le pôle civil de proximité a lui-même rendu, le 5 juin 2026, trois décisions dans des sens différents.
Une cliente a obtenu le remboursement de 5 492,21 euros.
Une autre a été déboutée de sa demande portant sur 6 690 euros après avoir validé plusieurs opérations dans le contexte d’un faux conseiller.
Un troisième client s’est vu refuser le remboursement de 9 480 euros après avoir remis une carte découpée et augmenté ses plafonds conformément aux instructions des fraudeurs.
Il existe donc moins une opposition entre les tribunaux judiciaires et les cours d’appel qu’une grande diversité des solutions rendues en première instance, parfois au sein d’une même juridiction et à la même date.
La véritable ligne de partage : la preuve technique
L’étude de ces décisions fait apparaître un critère beaucoup plus pertinent que le niveau de juridiction.
Les clients obtiennent généralement le remboursement lorsque la banque ne parvient pas à établir précisément :
le terminal utilisé ;
la réception effective d’un SMS ;
l’enrôlement d’un nouvel appareil ;
la chronologie des connexions ;
l’utilisation personnelle du dispositif par le client ;
ou l’absence de faille technique.
C’est le cas dans l’arrêt de Douai.
C’est également le cas dans l’arrêt de Bordeaux, dans lequel l’authentification forte n’avait pas été démontrée pour l’ensemble des opérations.
C’est encore le cas dans plusieurs jugements de Metz et de Paris.
À l’inverse, lorsque la banque produit des journaux techniques suffisamment détaillés et que le client a personnellement validé une succession d’opérations clairement identifiables, les juridictions peuvent retenir la négligence grave.
L’arrêt défavorable de la cour d’appel de Riom du 19 novembre 2025 en fournit l’exemple le plus net.
Une tendance d’appel favorable, mais pas une règle
Le corpus étudié révèle donc une tendance, mais pas une opposition absolue.
Les arrêts d’appel récemment transmis sont, en proportion, souvent favorables aux victimes. Quatre des cinq décisions directement comparables maintiennent ou accordent le remboursement.
Cette proportion doit cependant être maniée avec précaution :
l’échantillon reste limité ;
trois de ces quatre arrêts confirment des jugements déjà favorables ;
la cour d’appel de Riom a aussi infirmé une décision favorable pour débouter le client ;
et plusieurs tribunaux judiciaires ont eux-mêmes adopté une lecture très protectrice du Code monétaire et financier.
La formulation la plus exacte est donc la suivante :
Les cours d’appel examinées paraissent appliquer de manière assez homogène la charge probatoire pesant sur les banques, mais elles ne sont pas systématiquement plus favorables aux victimes que les tribunaux judiciaires. La première instance demeure plus dispersée, tandis que l’issue du litige dépend surtout de la qualité des éléments techniques produits et des manipulations effectivement accomplies par le client.
Les banques ne peuvent se contenter de captures d’écran internes
L’arrêt de la cour d’appel de Douai rappelle enfin que les affirmations techniques d’un établissement bancaire doivent être démontrées.
Il ne suffit pas de produire :
un courriel interne ;
une capture d’écran ;
la mention de l’envoi d’un SMS ;
ou l’indication qu’une opération a été authentifiée.
La banque doit être en mesure de reconstituer le processus avec suffisamment de précision pour exclure une défaillance.
En pratique, les éléments suivants peuvent devenir décisifs :
les journaux bruts de connexion ;
les adresses IP ;
l’identification des appareils ;
les dates d’enrôlement des terminaux ;
le contenu exact des notifications ;
les accusés de réception techniques des SMS ;
l’historique de l’ajout du bénéficiaire ;
les alertes générées par le système antifraude ;
et le registre d’utilisation du dispositif d’accès.
En l’absence de ces éléments, la banque ne peut pas demander au juge de déduire, par simple hypothèse, que le client a nécessairement reçu puis transmis le code permettant l’opération.
Le remboursement reste le principe
L’arrêt du 11 juin 2026 constitue ainsi une décision importante pour les victimes de virements frauduleux.
Même lorsque le client reconnaît avoir renseigné ses identifiants sur un faux site et que la banque démontre qu’une authentification forte a été sollicitée, le remboursement ne peut être écarté sans preuve suffisante de l’absence de déficience technique.
La négligence grave demeure une exception au principe de restitution.
Elle ne peut être présumée à partir de la seule utilisation des données personnelles du client.
Dans l’affaire jugée à Douai, les documents produits par la Société Générale ne permettaient pas d’exclure une faille ni même de démontrer que le code de sécurité avait effectivement été reçu et utilisé par le titulaire du compte.
La banque devait donc supporter la perte et restituer les 4 800 euros détournés.
Cabinet KTORZA
27 cours Honoré Estienne d'Orves
13001 Marseille
Nous contacter
06 10 16 70 92
ronny.ktorza@gmail.com