Communication des codes sous manipulation : victimes de fraude protégées – CA Rouen, ch. civ. et com., 19 février 2026, n° 25/01563

Cour d’appel de Rouen, Chambre civile et commerciale, 19 février 2026, n° 25/01563

Les faits : un scénario de fraude bien rodé

Le 25 octobre 2023, Madame [M], jeune cliente de 25 ans de la Société Générale, reçoit plusieurs appels insistants provenant d’un même numéro de téléphone. Inquiète face à cette répétition inhabituelle, elle finit par décrocher. Son interlocuteur se présente comme un conseiller du service opposition carte de sa banque, lui annonçant la détection d’un achat frauduleux sur son compte nécessitant un blocage immédiat pour protéger ses avoirs.

Le fraudeur, particulièrement habile, invite Madame [M] à vérifier elle-même sur Internet que le numéro d’où il appelle correspond bien à celui de la Société Générale. La vérification semble confirmer ses dires, ce qui achève de mettre la cliente en confiance. Le prétendu conseiller lui demande alors de communiquer son code client pour accéder à son espace personnel en ligne, lui donnant ensuite un nouveau code. Il active le pass sécurité et guide sa cliente pas à pas dans les manipulations qu’elle doit effectuer, soi-disant pour bloquer une opération frauduleuse.

En réalité, le fraudeur parvient à effectuer deux opérations : d’abord un virement de 3 500 euros depuis le livret A de Madame [M] vers son compte courant, puis un paiement de 4 631,64 euros au profit d’une société mystérieuse, Grand Store LLC, domiciliée dans un pays étranger. Une troisième tentative de débit, d’un montant beaucoup plus élevé (17 997,50 euros), échouera.

Immédiatement après ces opérations, Madame [M] contacte le véritable service opposition de sa banque pour s’assurer que le blocage a bien été effectué. C’est à ce moment que l’opérateur lui révèle qu’elle vient d’être victime d’une escroquerie. Elle fait immédiatement opposition sur sa carte et dépose plainte le jour même auprès des services de police.

Malgré sa réaction rapide, la Société Générale refuse de rembourser les 4 631,64 euros débités, arguant d’une négligence grave de sa cliente. Madame [M] saisit alors le tribunal de proximité de Bernay qui, par jugement du 26 mars 2025, condamne la banque au remboursement intégral, assorti d’intérêts et de dommages-intérêts.

La Société Générale décide de faire appel de cette décision. L’affaire est portée devant la Cour d’appel de Rouen qui rend son arrêt le 19 février 2026.

Le cadre juridique : la protection du client de banque face aux opérations non autorisées

Le principe du remboursement immédiat

Le droit bancaire français, à travers le code monétaire et financier, instaure une protection forte du client victime d’opérations de paiement non autorisées. Cette protection découle notamment de la transposition de directives européennes visant à harmoniser les règles dans l’ensemble de l’Union.

L’article L133-18 du code monétaire et financier pose le principe fondamental : en cas d’opération de paiement non autorisée signalée par le client, la banque doit le rembourser immédiatement, au plus tard à la fin du premier jour ouvrable suivant la prise de connaissance de l’opération frauduleuse. Le compte doit être rétabli dans l’état où il se serait trouvé si l’opération litigieuse n’avait jamais eu lieu.

Ce remboursement rapide et automatique constitue la règle. Il appartient ensuite à la banque, si elle estime que son client a commis une faute, de prouver cette faute pour échapper à sa responsabilité.

L’exception : la négligence grave du client

L’article L133-19 du même code prévoit une exception à ce principe de remboursement : le client supporte les pertes si elles résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave à ses obligations de sécurité.

Ces obligations sont définies aux articles L133-16 et L133-17 et consistent essentiellement à prendre toute mesure raisonnable pour préserver la sécurité des données de sécurité personnalisées (codes, identifiants, etc.) et à informer sans tarder la banque en cas de perte, vol ou utilisation non autorisée de l’instrument de paiement.

La charge de la preuve pèse sur la banque

L’article L133-23 du code monétaire et financier précise un point essentiel : l’utilisation de l’instrument de paiement telle qu’enregistrée par la banque ne suffit pas, en tant que telle, à prouver que l’opération a été autorisée par le client ou que celui-ci a commis une négligence grave.

Autrement dit, même si les systèmes informatiques de la banque montrent que les codes corrects ont été utilisés et que l’authentification forte a été respectée, cela ne dispense pas l’établissement bancaire de rapporter la preuve positive que le client a agi frauduleusement ou a commis une négligence grave.

Cette règle est protectrice pour le consommateur car elle évite que la banque se contente de constater l’utilisation effective des codes pour rejeter toute responsabilité. La jurisprudence récente de la Cour de cassation (notamment l’arrêt du 5 mars 2025, n° 23-22.687) a confirmé que cette règle s’applique même en présence d’un système d’authentification forte.

L’analyse de la cour : pas de négligence grave en cas de manipulation psychologique

Une mise en confiance par usurpation d’identité

La Cour d’appel de Rouen examine attentivement les circonstances dans lesquelles Madame [M] a été amenée à communiquer ses codes personnels. Elle relève plusieurs éléments déterminants qui excluent la caractérisation d’une négligence grave.

Premier élément : le numéro d’appel du fraudeur était quasiment identique (à un chiffre près) au numéro officiel du service opposition de la Société Générale. Madame [M] avait d’ailleurs pris la précaution de vérifier sur Internet que le numéro correspondait bien à celui de sa banque, ce qui a renforcé sa conviction d’être en contact avec un véritable conseiller.

Deuxième élément : l’interlocuteur se présentait expressément comme un employé du service opposition carte de la banque, invoquant la détection d’un achat frauduleux nécessitant un blocage immédiat. Cette mise en scène créait une situation d’urgence propice à la manipulation psychologique.

Troisième élément : le mode opératoire reposait sur l’usurpation d’identité, technique sophistiquée qui a diminué la vigilance de la victime. La cour observe que Madame [M] pensait sincèrement opérer un blocage de paiement frauduleux en suivant les instructions d’un employé de sa banque.

Une réaction rapide de la victime

La cour souligne également la réactivité de Madame [M] dès qu’elle a pris conscience de la fraude. Immédiatement après les opérations litigieuses, elle a contacté le véritable service opposition pour s’assurer de l’effectivité du blocage. C’est à ce moment qu’elle a découvert qu’elle avait été piégée.

Sans attendre, elle a demandé le blocage de toute opération sur sa carte, ce qui a permis d’empêcher une troisième tentative de débit d’un montant beaucoup plus élevé (près de 18 000 euros). Le jour même, elle a déposé plainte auprès des services de police pour escroquerie.

Cette diligence démontre que Madame [M] n’a pas agi avec inconscience ou insouciance, mais qu’elle a été victime d’une manipulation intervenue dans un laps de temps très court, propice à l’état de panique recherché par les fraudeurs.

L’insuffisance de la preuve apportée par la banque

La Société Générale tentait de faire valoir plusieurs arguments pour démontrer la négligence grave de sa cliente. Elle soulignait notamment que Madame [M] avait communiqué son code client et son code d’accès à son espace personnel, permettant ainsi la validation de l’opération frauduleuse. La banque insistait également sur le fait que l’opération avait été dûment authentifiée par le système d’authentification forte (Securipass), avec envoi d’un code par SMS sur le téléphone sécurisé de la cliente.

Selon la banque, Madame [M] aurait dû se douter de la supercherie et comprendre que son interlocuteur n’était pas un véritable conseiller. Elle aurait dû savoir qu’il n’était pas nécessaire de bloquer tout le compte pour une seule opération suspecte, et qu’elle pouvait effectuer ces démarches directement via son application mobile sans communiquer ses données personnelles.

La cour rejette ces arguments. Elle considère que le fait d’avoir communiqué les codes personnels, dans un contexte où la cliente pensait être en relation avec un employé de sa banque et suivait ses instructions pour bloquer une fraude, ne caractérise pas une négligence grave.

L’existence d’une authentification forte et l’utilisation effective des codes corrects ne suffisent pas, à elles seules, à démontrer la négligence grave du client. La cour applique ainsi strictement l’article L133-23 du code monétaire et financier, qui précise que l’utilisation de l’instrument de paiement telle qu’enregistrée par la banque ne suffit pas à prouver que le client a commis une faute.

Les conséquences pratiques : condamnation de la banque

Constatant que la Société Générale ne rapporte pas la preuve de la négligence grave de sa cliente, la Cour d’appel de Rouen confirme intégralement le jugement de première instance. La banque est condamnée à rembourser à Madame [M] la somme de 4 631,64 euros, avec intérêts au taux légal à compter du 26 octobre 2023, soit le lendemain de la fraude.

La cour confirme également l’allocation de 150 euros de dommages-intérêts au titre du préjudice moral subi par la victime. Ce préjudice moral résulte du stress, de l’inquiétude et du sentiment de violation de la sécurité personnelle qu’engendre une telle escroquerie.

Sur le plan des frais de justice, la Société Générale est condamnée à verser 1 000 euros au titre de l’article 700 du code de procédure civile pour la première instance, et 2 500 euros supplémentaires pour la procédure d’appel. Ces sommes correspondent à une participation aux honoraires d’avocat exposés par Madame [M] pour faire valoir ses droits.

Enfin, la banque est condamnée aux dépens, c’est-à-dire aux frais de procédure (frais de greffe, d’huissier, etc.) des deux instances.

Au total, cette décision aura coûté à la Société Générale plus de 8 000 euros, sans compter ses propres frais d’avocat et les intérêts qui continuent à courir depuis octobre 2023.

Conclusion

L’arrêt de la Cour d’appel de Rouen du 19 février 2026 s’inscrit dans une jurisprudence de plus en plus protectrice des victimes de fraudes bancaires sophistiquées. Il rappelle que la charge de la preuve de la négligence grave pèse entièrement sur la banque et que cette preuve ne peut résulter de la simple constatation que les codes personnels ont été utilisés.

La décision reconnaît que les techniques d’ingénierie sociale (manipulation psychologique, usurpation d’identité, création d’un sentiment d’urgence) constituent des circonstances atténuantes qui peuvent exclure la caractérisation d’une négligence grave, même lorsque le client a effectivement communiqué ses codes personnels.

Cette position jurisprudentielle est importante car elle évite que les banques se réfugient systématiquement derrière l’argument de la négligence du client pour échapper à leur obligation de remboursement. Elle rappelle que le système d’authentification forte, bien que nécessaire, n’est pas une protection absolue face aux fraudes de plus en plus élaborées.

Pour les victimes de fraudes bancaires, cet arrêt confirme l’importance de plusieurs réflexes : réagir immédiatement dès la découverte de la fraude, contacter sans délai le service opposition de la banque, déposer plainte rapidement, et ne pas hésiter à contester le refus de remboursement de la banque en saisissant les tribunaux si nécessaire.

Si vous êtes victime d’une fraude bancaire et que votre établissement refuse de vous rembourser en invoquant une prétendue négligence de votre part, n’hésitez pas à consulter un avocat spécialisé. Les chances d’obtenir gain de cause sont réelles, comme le prouve cette décision de la Cour d’appel de Rouen.

FAQ