Appareil de confiance frauduleusement enrôlé : la Caisse d’Épargne condamnée à rembourser 44 990 € (CA Paris, 28 octobre 2026, n° 25/17260)

CA Paris, pôle 5, chambre 6, 28 octobre 2026, n° RG 25/17260

Que s’est-il passé dans cette affaire de virements frauduleux ?

Comment la fraude s’est-elle déroulée ?

Le titulaire d’un compte à la Caisse d’Épargne et de Prévoyance Île-de-France utilisait le service de banque à distance « Direct Ecureuil » et avait téléchargé l’application mobile intégrant le dispositif d’authentification forte Sécur’Pass.

Le 1er décembre 2022, un nouvel « appareil de confiance » a été enregistré sur son espace bancaire. Un SMS a été envoyé le jour même à 17h51 au numéro du client, annonçant que son Sécur’Pass serait actif dans 71 heures sur un mobile. Puis tout s’enchaîne, de nuit :

Au total, 44 990 euros ont quitté le compte en un peu plus de 48 heures, au profit d’un compte ouvert dans une autre banque française au nom d’un tiers. Par lettre du 28 décembre 2022, la banque a refusé tout remboursement, au motif que les trois virements avaient été validés au moyen du dispositif Sécur’Pass. Après une mise en demeure adressée par son conseil le 31 mars 2023, restée vaine, le client a assigné la banque le 12 mai 2023 devant le tribunal judiciaire de Paris.

Qu’avaient décidé les premiers juges ?

Par jugement du 8 juillet 2025, le tribunal judiciaire de Paris a condamné la banque à payer au client la somme de 44 990 euros, avec intérêts au taux légal à compter du 3 avril 2023, outre 2 500 euros au titre de l’article 700 du code de procédure civile, tout en rejetant la demande de dommages et intérêts pour préjudice moral.

C’est la banque qui a fait appel, demandant à la cour de débouter le client de l’ensemble de ses demandes. Le client sollicitait la confirmation du jugement et, y ajoutant, 25 000 euros au titre de son préjudice moral. L’arrêt du 28 octobre 2026 confirme le jugement en toutes ses dispositions et condamne la banque aux dépens d’appel ainsi qu’à 3 000 euros supplémentaires au titre de l’article 700.

Que doit prouver la banque en cas de virement contesté ?

La cour rappelle le socle légal, issu de la transposition de la directive sur les services de paiement (DSP2) : une opération de paiement n’est autorisée que si le payeur a donné son consentement, dans la forme convenue avec sa banque (articles L. 133-6 et L. 133-7 du code monétaire et financier). À défaut d’un tel consentement, l’opération est réputée non autorisée.

Et lorsque l’utilisateur nie avoir autorisé une opération, l’article L. 133-23 du même code fait peser la charge de la preuve sur la banque : il lui incombe de prouver que l’opération a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre. Le même texte précise que l’utilisation de l’instrument de paiement telle qu’enregistrée par la banque « ne suffit pas nécessairement en tant que telle » à prouver que l’opération a été autorisée par le payeur ou qu’il a commis une négligence grave. Sur ce principe, désormais bien ancré, on relira notre analyse d’une décision parisienne retenant que la charge de la preuve du virement non autorisé pèse intégralement sur la banque.

Qu’est-ce que l’authentification forte ?

L’article L. 133-44 du code impose à la banque d’appliquer cette authentification forte lorsque le payeur accède à son compte en ligne, initie une opération de paiement électronique ou exécute une opération à distance comportant un risque de fraude. Les conditions générales du service Direct Ecureuil reprenaient d’ailleurs fidèlement cette architecture à trois facteurs, ce que la cour prend soin de souligner : la banque était donc contractuellement et légalement tenue à ce standard pour les virements et l’ajout de bénéficiaires.

En l’espèce, la banque décrivait un processus d’installation du Sécur’Pass en apparence robuste : identifiant et mot de passe, chiffres aléatoires de la carte bancaire, code à 6 chiffres reçu par SMS, puis choix d’un code confidentiel à 4 chiffres. Les relevés télématiques établissaient que le client avait activé ce dispositif sur son téléphone Android, ce qu’il ne contestait pas. Mais c’est la suite qui fait toute la différence.

Pourquoi la preuve de la banque a-t-elle échoué ?

Un SMS envoyé prouve-t-il un SMS reçu ?

Non, et c’est l’enseignement central de l’arrêt. La banque produisait l’historique des SMS envoyés au numéro du client : annonce de l’activation du Sécur’Pass le 1er décembre, information sur l’ajout d’un bénéficiaire le 4 décembre. Mais la cour relève que « aucun élément de ces extractions ne permet d’attester que ces SMS ont été reçus par le téléphone » du client, réception qui constitue le « premier élément de possession requis pour la mise en oeuvre de l’authentification forte ».

La nuance est décisive : l’envoi d’un SMS vers un numéro prouve une émission, pas une réception par l’appareil légitime. Entre les deux peuvent s’intercaler tous les scénarios de détournement de ligne ou de terminal, dont le SIM swapping est l’exemple le plus connu. C’est exactement le raisonnement qui avait conduit la cour d’appel d’Amiens à condamner une banque dans une affaire de SIM swapping où la banque a dû rembourser les virements frauduleux.

Que révélait l’« information device » des extractions ?

Pire pour la banque : ses propres extractions informatiques la contredisaient. La cour observe qu’à la période des opérations critiquées, le champ « information device » des journaux portait un numéro d’identification correspondant non pas à l’appareil du client, mais à l’appareil frauduleusement enrôlé le 1er décembre 2022.

Autrement dit, les documents produits pour démontrer la régularité des opérations établissaient en réalité que les validations provenaient d’un terminal tiers. L’élément de possession, loin d’être simplement non démontré, était positivement rattaché à un appareil étranger au client. On retrouve ici une constante du contentieux : les journaux techniques de la banque, lus attentivement, se retournent souvent contre elle, comme dans l’affaire où l’utilisation des codes et du token ne prouvait pas le consentement du client.

La conclusion de la cour est sans appel : si la banque établit que les opérations ont été effectuées via son service sécurisé de banque à distance, il n’en ressort pas pour autant que cette utilisation suffise à prouver que les opérations ont été autorisées. Faute de rapporter la preuve que les trois virements ont été authentifiés, dûment enregistrés et comptabilisés sans déficience technique, la banque est tenue à remboursement.

Pourquoi la banque ne pouvait-elle pas invoquer la négligence grave ?

La banque soutenait que le client avait commis une négligence grave en permettant au fraudeur de substituer son appareil de confiance au sien, en lui communiquant son code, et rappelait que la jurisprudence retient la négligence grave de l’utilisateur qui communique ses codes secrets à son interlocuteur.

L’argument n’a pas prospéré, pour une raison de méthode que l’arrêt exprime nettement : faute de rapporter la preuve de l’authentification régulière des opérations, « la banque n’est pas fondée à invoquer une négligence grave ». L’ordre des preuves de l’article L. 133-23 est séquentiel : la banque doit d’abord franchir l’étape de la preuve technique (authentification, enregistrement, comptabilisation, absence de déficience) avant de pouvoir débattre d’une éventuelle faute du client. Échouer à la première étape ferme la seconde.

Cette hiérarchie protège les victimes contre un raccourci que les banques empruntent volontiers : déduire la négligence grave du seul fait que « les codes ont été utilisés ». Or supposer que le client a communiqué ses codes, c’est précisément supposer ce qui doit être prouvé. La cour d’appel de Paris s’inscrit ici dans la ligne des décisions rendues à propos du même dispositif, comme celle où la banque a dû rembourser malgré la validation Sécur’Pass, et de la jurisprudence de la Cour de cassation sur la charge de cette double preuve.

Pourquoi le préjudice moral a-t-il été rejeté ?

Le client demandait, en plus du remboursement, 25 000 euros de dommages et intérêts pour préjudice moral, exposant que le comportement de la banque l’avait privé d’une somme importante, contraint à saisir la justice et exposé à beaucoup de stress.

La cour confirme le rejet de cette demande : le client ne justifiait pas d’un préjudice distinct du préjudice financier remboursé et des frais irrépétibles indemnisés par l’article 700. La solution est classique et mérite d’être connue des victimes : le stress et les démarches liés au refus de remboursement ne suffisent pas, à eux seuls, à caractériser un préjudice moral indemnisable. Pour obtenir une indemnisation complémentaire, il faut documenter un préjudice réellement autonome (conséquences financières en cascade, atteinte à la santé attestée, situation de blocage ayant causé un dommage propre), la simple nécessité d’agir en justice étant compensée par les frais irrépétibles.

Quelle est la portée pratique de cet arrêt pour les victimes ?

Trois enseignements concrets se dégagent de cette décision :

D’abord, l’exigence d’une preuve de la réception des SMS par l’appareil légitime du client, et pas seulement de leur envoi, offre un angle d’attaque puissant dans tous les dossiers d’enrôlement frauduleux, de SIM swapping ou de vol de ligne : la banque qui ne produit que des historiques d’émission n’établit pas l’élément de possession. Dans le même sens, la cour d’appel de Douai avait condamné une banque dans une affaire de SIM swapping faute de preuve de l’authentification forte.

Ensuite, le champ « information device » des journaux techniques est une mine d’or probatoire : quand il désigne un appareil différent de celui du client, la démonstration de la banque s’effondre d’elle-même. Les victimes et leurs conseils doivent systématiquement exiger la production de ces extractions complètes et les examiner ligne à ligne.

Enfin, sur le terrain des obligations techniques, les normes techniques de réglementation (RTS) complétant la DSP2 imposent aux banques des standards précis d’authentification forte et de surveillance des opérations : un levier encore sous-utilisé, que nous avons présenté dans notre analyse de l’argument tiré des RTS et de la DSP2 pour obtenir un remboursement. On peut d’ailleurs s’étonner qu’un enchaînement aussi caractéristique (enrôlement d’un nouvel appareil, ajout d’un bénéficiaire à 23h18, premier virement trois minutes plus tard, relèvement des plafonds à 23h59, virements nocturnes en rafale) n’ait déclenché aucune réaction du système de la banque ; l’arrêt n’avait pas à trancher ce point, mais il nourrira utilement les dossiers où la question de la détection des anomalies est posée.

Comment contester efficacement un virement frauduleux ?

La marche à suivre illustrée par cette affaire est la bonne : signaler les opérations à la banque sans tarder et par écrit dès leur découverte (ici, le jour même du dernier virement), demander le retour des fonds, puis adresser une mise en demeure circonstanciée qui fera courir les intérêts. Le signalement doit intervenir au plus tard dans les treize mois suivant la date de débit (article L. 133-24 du code monétaire et financier).

Le dépôt d’une plainte pénale n’est pas une condition du remboursement : le régime des articles L. 133-18 et suivants du code monétaire et financier s’applique indépendamment de toute procédure pénale, et la banque ne peut pas exiger une plainte pour instruire la contestation. Si la victime choisit de porter plainte, comme l’a fait le client dans cette affaire, elle doit s’en tenir aux faits bruts (dates, montants, opérations contestées), sans hypothèses sur le mode opératoire ni commentaires sur son propre comportement, que la banque pourrait ensuite exploiter. Nous détaillons ces précautions dans notre article Fraude bancaire : que dire et ne pas dire à sa banque et dans sa plainte.

Que retenir de l’arrêt du 28 octobre 2026 ?

Cet arrêt consolide une grille d’analyse très protectrice des utilisateurs de services de paiement : la banque qui enregistre l’utilisation de son service sécurisé ne prouve encore rien ; elle doit démontrer, extractions à l’appui, que chaque facteur de l’authentification forte a été réuni sur l’appareil légitime du client, et que ses systèmes n’ont souffert d’aucune déficience. L’envoi de SMS ne vaut pas réception, l’« information device » doit correspondre au terminal du client, et l’échec de cette preuve technique interdit à la banque de se replier sur la négligence grave.

Pour les victimes d’enrôlements frauduleux et de virements nocturnes en rafale, souvent culpabilisées par leur banque, le message est clair : la charge de la preuve est du côté de l’établissement, et ses propres journaux techniques sont fréquemment la meilleure pièce du dossier de la victime.

Le cabinet LE BOT Avocat, avocat en droit bancaire à Paris, accompagne les particuliers et les entreprises victimes de virements frauduleux dans leurs démarches contre les banques, de la contestation écrite à la procédure judiciaire.

FAQ — Questions fréquentes