Le développement des fraudes au « faux conseiller bancaire » via spoofing téléphonique – usurpation du numéro officiel de la banque – conduit à un renforcement net de la responsabilité des établissements de crédit. Le droit des services de paiement impose en effet un remboursement immédiat des opérations non autorisées, une charge de la preuve intégralement supportée par la banque et une conception exigeante de la « négligence grave » du client, particulièrement en présence de stratagèmes sophistiqués de spoofing.
Une opération de paiement n’est autorisée que si le payeur adonné son consentement à son exécution.
Or, la jurisprudence admet désormais qu’une opérationinitiée par le client sous l’emprise d’un mécanisme de spoofing –usurpation du numéro de la banque, mise en scène crédible, informations exactessur le compte – doit être qualifiée de non autorisée, faute de consentementvalablement donné.
Le client croit sécuriser son compte ou annuler une fraude,alors qu’il valide en réalité des virements ou paiements au profit des escrocs.
En cas d’opération non autorisée signalée dans lesconditions de l’article L. 133-24, le prestataire de services de paiement doitrembourser immédiatement le montant de l’opération et rétablir le comptedans l’état où il se serait trouvé si l’opération n’avait pas eu lieu.
Ce remboursement est de droit, sauf soupçon de fraude duclient dûment motivé auprès de la Banque de France.
En pratique, les juridictions condamnent les banques auremboursement intégral des virements ou paiements litigieux, assorti d’intérêtsmajorés en cas de retard.
Lorsque le client nie avoir autorisé une opération, ilincombe au prestataire de prouver que l’opération a été authentifiée, dûmentenregistrée et comptabilisée, sans déficience technique ou autre.
La Cour de cassation a clairement posé que cette preuvetechnique est un préalable indispensable avant d’imputer les pertes au payeur.
La seule utilisation de l’instrument de paiement ou d’uneauthentification forte ne suffit pas à établir ni l’autorisation del’opération, ni l’absence de négligence grave du client.
Il appartient à la banque de fournir des éléments positifsdémontrant soit un agissement frauduleux, soit un manquement intentionnel oupar négligence grave aux obligations de sécurité et de signalement.
La Cour de cassation rappelle régulièrement cette exigenceprobatoire, en censurant les raisonnements déduisant la faute du seul usage desdonnées de sécurité.
Le payeur supporte toutes les pertes des opérations nonautorisées uniquement s’il a agi frauduleusement ou n’a pas satisfaitintentionnellement ou par négligence grave à ses obligations de sécurité etd’alerte.
Ces obligations imposent de prendre toute mesureraisonnable pour préserver la sécurité des données personnalisées et d’informersans tarder la banque en cas d’utilisation non autorisée.
Dans un arrêt majeur du 23 octobre 2024, la Chambrecommerciale a jugé que le mode opératoire par spoofing – affichage du numéro dela conseillère, discours cohérent, validation via une application présentéecomme sécurisée – met le client en confiance et diminue sa vigilance, de sorteque la négligence grave n’est pas caractérisée.
La Cour valide ainsi l’analyse de la CA Versailles, quiavait déjà écarté la négligence grave dans un cas de validation de virementsvia « clé digitale » sous l’emprise d’un faux conseiller.
Cette ligne est confirmée par plusieurs décisions :
- La Cour d’appel de Douai considère qu’uneopération initiée sous spoofing est non autorisée et que la négligence grave nepeut être retenue dès lors que la mise en scène aurait trompé un « utilisateurnormalement attentif » ;
- La Cour d’appel de Paris admet qu’un appelprovenant du numéro de l’agence pouvait légitimement mettre le client enconfiance et exclut toute négligence grave.
Malgré cette protection renforcée, la négligence gravedemeure possible dans des hypothèses résiduelles, notamment lorsque le client :
· remet physiquement sa carte bancaire (mêmedécoupée) à un coursier se présentant comme mandaté par la banque, en dehors detout lien avec un numéro usurpé ou sans vérification minimale de l’identité ;
· ignore des indices d’alerte grossiers (messagestruffés de fautes, liens manifestement douteux, scénarios incohérents) quiauraient dû alerter un utilisateur normalement attentif;
· communique ses codes ou identifiants en réponseà un courriel ou appel ne présentant aucun élément de spoofing (numéro inconnu,absence de vérification, absence de contexte de sécurité crédible).
Les juridictions opèrent une appréciation in concreto,en tenant compte du degré de sophistication de la fraude, du comportementglobal du client et de la réactivité de ce dernier pour signaler les opérationslitigieuses.
La tendance jurisprudentielle est claire : en présenced’un spoofing téléphonique crédible, utilisant le numéro officiel de la banqueet un discours cohérent, la responsabilité des banques est désormais difficileà éluder, le principe restant celui du remboursement intégral des opérationsnon autorisées.
Le cabinet partage régulièrement des analyses et mises à jour pour vous aider à mieux comprendre vos droits et anticiper les risques.
Un premier appel de découverte gratuit. C'est l'occasion d'exposer votre situation et d'évaluer ensemble les pistes d'action.