Fraude à l’identité bancaire et remboursement : l’authentification forte ne suffit pas à prouver le consentement du client – Cour d’appel de Paris, Pôle 4 Chambre 9 A, 2 avril 2026, n° RG 25/00442

Cour d’appel de Paris, Pôle 4 – Chambre 9 A, arrêt du 2 avril 2026, n° RG 25/00442 (décision de première instance : juge des contentieux de la protection du tribunal judiciaire de Paris, 20 novembre 2024, n° RG 24/01047)

Quel est le contexte de cette affaire : que s’est-il passé ?

Cette affaire illustre, avec une précision presque pédagogique, le déroulement classique d’une fraude par ingénierie sociale ciblant les clients bancaires. Elle met aux prises une cliente de BNP Paribas, titulaire d’un compte joint avec son époux et d’un compte professionnel, avec sa banque qui lui a refusé tout remboursement après qu’elle a été victime d’une arnaque sophistiquée.

La chronologie du piège : SMS, appel téléphonique et validation frauduleuse

Tout commence le 15 février 2023, dans l’après-midi. La cliente reçoit un SMS rédigé au nom de Chronopost l’informant qu’une erreur est survenue lors de l’acheminement de son colis et qu’il lui manque 1,46 euros pour en finaliser la livraison. Le message contient un lien vers le site « colis-suivis.info ». Détail important : elle attendait effectivement un colis pour son fils. Le SMS ne comporte aucune faute d’orthographe, aucune anomalie apparente. Elle clique sur le lien et renseigne son numéro de carte bancaire.

Le soir même, elle reçoit un appel téléphonique d’un interlocuteur se présentant comme un conseiller de BNP Paribas. Cet interlocuteur lui indique que son compte a été piraté, que des virements frauduleux ont été effectués, et lui propose de l’aider à y « faire opposition ». Pour ce faire, il lui demande simplement de valider, via sa clé digitale installée sur son téléphone, plusieurs notifications qui lui sont envoyées — en lui expliquant qu’il s’agit de demandes d’opposition aux prélèvements frauduleux. Elle s’exécute, convaincue d’agir dans son intérêt.

En réalité, elle vient d’autoriser trois paiements frauduleux : 3 500 euros, puis 3 170,77 euros depuis son compte professionnel, et enfin 1 371,37 euros depuis son compte joint. Total du préjudice : 8 042,14 euros.

Le refus de remboursement de la banque et le recours judiciaire

Dès le 20 février 2023, soit cinq jours après les faits, la cliente conteste les opérations auprès de sa banque. BNP Paribas refuse une première fois le 20 février, puis confirme son refus le 1er mars 2023, invoquant la négligence grave de la cliente. Face à ce double refus, la cliente assigne la banque en justice en janvier 2024. Le juge des contentieux de la protection du tribunal judiciaire de Paris lui donne raison en novembre 2024 et condamne BNP Paribas à lui rembourser 8 042,14 euros, assortis d’une condamnation de 500 euros pour préjudice moral. La banque interjette appel. La Cour d’appel de Paris rend son arrêt le 2 avril 2026 : elle confirme le remboursement mais infirme la condamnation pour préjudice moral.

Quel est le cadre juridique applicable aux paiements frauduleux ?

Pour comprendre pourquoi la banque a perdu, il faut saisir la logique du régime légal qui gouverne les paiements non autorisés. Ce régime, issu du Code monétaire et financier, organise de façon précise la répartition des responsabilités entre la banque et son client.

Les obligations de la banque : authentification et remboursement

Les articles L. 133-16 à L. 133-23 du Code monétaire et financier imposent un cadre exigeant à la banque. Elle doit d’abord s’assurer que les données de sécurité personnalisées de ses clients ne sont pas accessibles à des tiers. Elle doit mettre en place des moyens gratuits permettant au client de bloquer son instrument de paiement. Et surtout, en cas de contestation d’une opération par le client, la loi fait peser sur la banque une charge probatoire particulièrement lourde.

L’article L. 133-23 est ici fondamental : lorsqu’un client nie avoir autorisé une opération, c’est au prestataire de services de paiement de prouver que l’opération a été authentifiée, dûment enregistrée, comptabilisée, et qu’elle n’a pas été affectée par une déficience technique. Mais la loi va plus loin : même si la banque prouve l’authentification, cela ne suffit pas à démontrer que le client a autorisé l’opération, ni qu’il a commis une fraude ou une négligence grave. La banque doit fournir des éléments supplémentaires pour établir l’un ou l’autre.

En cas d’opération non autorisée dûment signalée, l’article L. 133-18 du Code monétaire et financier oblige la banque à rembourser le client immédiatement, et au plus tard à la fin du premier jour ouvrable suivant la contestation. À noter que la décision source cite également les articles L. 133-19 pour les conditions d’exonération de la banque en cas de négligence grave du client.

Les obligations du client : vigilance raisonnable et signalement rapide

Le client n’est pas exempt d’obligations. L’article L. 133-16 lui impose de prendre toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées. L’article L. 133-17 lui impose d’avertir sa banque sans délai dès qu’il a connaissance d’une utilisation non autorisée de son instrument de paiement.

C’est sur ces obligations que la banque a tenté de construire sa défense, en soutenant que sa cliente avait commis une « négligence grave » à deux reprises : en communiquant ses données bancaires sur un site frauduleux, puis en validant des opérations qu’elle savait ne pas avoir initiées.

Qu’est-ce que la négligence grave et comment la cour l’a-t-elle appréciée ?

C’est le cœur du litige et le point sur lequel la décision est la plus instructive. La notion de négligence grave, au sens de l’article L. 133-19 du Code monétaire et financier, est décisive : si elle est caractérisée, le client supporte l’intégralité des pertes liées aux paiements non autorisés. Si elle ne l’est pas, c’est la banque qui rembourse.

La cour s’appuie notamment sur un arrêt de la Cour de cassation du 23 octobre 2024, cité par les deux parties, qui retient qu’aucune négligence grave ne peut être imputée au titulaire d’un compte qui, contacté téléphoniquement par une personne se faisant passer pour un préposé de sa banque dont le numéro s’affichait, utilise à sa demande le dispositif de sécurité personnalisé pour réaliser des opérations dans le but d’éviter des actes malveillants. Cette jurisprudence est directement transposable aux faits de l’espèce.

Le SMS Chronopost : pouvait-on raisonnablement le détecter comme frauduleux ?

La banque soutenait que les risques d’hameçonnage (phishing) sont connus du grand public et que la cliente aurait dû se méfier. La cour balaie cet argument avec une analyse concrète du SMS reçu. Ce dernier, libellé « Chronopost : une erreur est survenue lors l’acheminement de votre colis suivez les instructions afin d’achever la livraison : https://.colis-suivis.info/ », ne comporte aucune faute d’orthographe. La cliente attendait effectivement un colis pour son fils. Dans ces conditions, la cour conclut que cette réponse au SMS « fait preuve d’un comportement correspondant à un utilisateur normalement attentif » et qu’elle « n’a donc commis aucune négligence grave » à ce stade. La preuve du caractère frauduleux du SMS n’est d’ailleurs confirmée qu’après coup : aucun débit de 1,46 euro n’apparaît sur ses comptes.

L’appel de spoofing : la mise en confiance comme facteur d’exonération

Le raisonnement de la cour sur l’appel téléphonique frauduleux est particulièrement finement articulé. Elle relève que l’interlocuteur a rappelé à la cliente ses coordonnées personnelles (ce qui instaurait un sentiment de légitimité), l’a alertée sur un piratage en cours (ce qui a créé un contexte d’urgence), et ne lui a fait aucune demande inhabituellement suspecte : il lui a simplement demandé de confirmer par sa clé digitale des « oppositions à des prélèvements frauduleux ». La cour prend soin de noter que, contrairement à ce que soutenait la banque, il n’a jamais été demandé à la cliente de communiquer ses données confidentielles (numéros de carte, codes secrets) : elle a simplement utilisé son outil habituel d’authentification, en croyant protéger son compte.

C’est un point d’une importance capitale : la fraude était conçue de façon à ne jamais éveiller les soupçons d’un utilisateur ordinaire. L’escroc n’a pas agi comme les représentations stéréotypées des fraudeurs ; il a mimé exactement le comportement d’un conseiller bancaire légitime, face à une cliente qui venait d’être « piratée ». Dans ce contexte, la cour juge que « sa vigilance a été amenuisée, ne lui permettant pas de douter de la sincérité de son interlocuteur ».

La clé digitale : un outil d’authentification forte qui ne prouve pas la faute

BNP Paribas mettait en avant le fait que la cliente avait validé les trois opérations via sa clé digitale — un système d’authentification forte installé uniquement sur son téléphone personnel — et que ces validations rendaient les opérations « irrévocables ». La cour réfute catégoriquement cette argumentation. Elle rappelle que la loi elle-même, à l’article L. 133-23 du Code monétaire et financier, précise que « la seule utilisation de l’instrument de paiement telle qu’enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l’opération a été autorisée par le payeur ou que celui-ci n’a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant ».

Autrement dit : ce n’est pas parce que la cliente a physiquement appuyé sur « valider » dans son application que la banque peut en déduire qu’elle a librement et consciemment autorisé un paiement. Le consentement vicié par la manipulation d’un tiers n’est pas un consentement juridiquement valable.

Les campagnes de sensibilisation de la banque : insuffisantes et non prouvées

La banque avait produit des courriels d’alerte qu’elle prétendait avoir envoyés à sa cliente, pour démontrer que celle-ci avait été informée des risques de phishing. La cour démonte ce raisonnement en deux temps. D’abord, elle constate que ces courriels étaient adressés à un destinataire dont le nom avait été masqué, et que les adresses email utilisées (Gmail et Orange) ne correspondaient pas à l’adresse Hotmail utilisée par la cliente dans ses échanges avec la banque. Il n’est donc pas démontré que ces alertes lui ont bien été transmises. Ensuite, la cour rappelle que des « campagnes de sensibilisation à visée générale » ne sauraient suffire à établir la négligence grave d’un client particulier. La banque aurait dû démontrer une mise en garde personnalisée et effective.

Elle rejette également l’argument tiré du délai de cinq jours pour signaler la fraude, estimant qu’un tel délai est compatible avec le temps nécessaire pour consulter ses relevés de compte et réaliser que des opérations frauduleuses ont eu lieu.

Pourquoi les dommages et intérêts pour préjudice moral ont-ils été refusés ?

Si la cour d’appel confirme le remboursement des sommes frauduleuses, elle infirme en revanche la condamnation de la banque à 500 euros de dommages et intérêts pour préjudice moral, prononcée en première instance.

Le raisonnement est ici différent. La cour rappelle d’abord que le régime de responsabilité des prestataires de services de paiement (articles L. 133-18 à L. 133-24 du CMF) est le cadre de référence pour les litiges liés aux paiements non autorisés. Pour obtenir des dommages et intérêts supplémentaires sur le fondement de la responsabilité contractuelle de droit commun, il faut démontrer une faute distincte de la banque, qui dépasse le simple cadre du remboursement du paiement frauduleux.

Or, la cliente invoquait le comportement « particulièrement désagréable » des employés de la banque, qui l’auraient traitée comme une « fraudeuse volontaire ». Mais la cour relève qu’elle-même produit un courriel de sa conseillère bancaire qui prenait sa défense auprès de sa hiérarchie et insistait pour qu’elle soit remboursée. Le comportement fautif de la banque n’est donc pas établi. De même, le préjudice moral allégué — le traumatisme subi, l’impossibilité de partir en vacances avec ses enfants — n’est pas considéré comme suffisamment caractérisé et prouvé pour justifier une indemnisation supplémentaire.

Ce point illustre une limite importante de la jurisprudence actuelle : si le remboursement des sommes détournées est bien protégé, obtenir une réparation du préjudice moral supposé par l’attitude de la banque reste un exercice difficile, qui requiert la démonstration d’une faute distincte et d’un préjudice concret et établi.

Quelle est la portée de cette décision pour les victimes de fraude bancaire ?

Cet arrêt s’inscrit dans un mouvement jurisprudentiel cohérent et protecteur des clients bancaires victimes d’ingénierie sociale. Il vient confirmer et préciser plusieurs principes essentiels.

En premier lieu, la sophistication de la fraude est un élément central d’appréciation. Plus le mode opératoire est élaboré — SMS sans faute, numéro de banque affiché, discours rassurant, absence de demandes inhabituelles — moins il est raisonnable d’attendre d’un utilisateur ordinaire qu’il le détecte. La négligence grave ne peut pas être caractérisée par le simple fait d’avoir été dupé par une fraude que même les professionnels peinent à identifier.

En deuxième lieu, la charge de la preuve est un bouclier pour le client. C’est à la banque de prouver la négligence grave, pas au client de prouver son innocence. Et cette preuve ne peut pas se réduire à l’enregistrement technique d’une authentification : il faut aller au-delà.

En troisième lieu, les connexions IP constituent un indice précieux. La cour note l’existence de connexions IP étrangères (Maroc, Émirats Arabes Unis) au moment de la fraude, alors que la cliente se trouvait en France — élément que la conseillère bancaire elle-même avait confirmé par écrit. Cette anomalie géographique, que les systèmes de détection de fraude de la banque auraient dû identifier, renforce la conviction que le compte a bien été utilisé par des tiers malveillants.

Enfin, cet arrêt rappelle aux banques qu’elles ne peuvent pas se décharger de leur responsabilité en invoquant des campagnes de sensibilisation génériques, si elles ne sont pas en mesure de prouver que des alertes personnalisées ont bien été adressées au client concerné, à la bonne adresse.

Conclusion

L’arrêt rendu le 2 avril 2026 par la Cour d’appel de Paris constitue une décision de référence pour toute personne victime d’une fraude bancaire par spoofing. Il rappelle avec clarté que la responsabilité de la banque est engagée dès lors qu’elle ne parvient pas à démontrer la négligence grave de son client — et que cette démonstration ne peut pas se contenter de l’enregistrement technique d’une authentification forte.

Face à des fraudes de plus en plus sophistiquées, qui exploitent non pas les failles de sécurité informatique mais les réflexes de confiance des êtres humains, le droit bancaire français pose un principe protecteur : c’est à la banque, professionnelle de la sécurité des paiements, d’assumer le risque lié aux fraudes qu’elle ne parvient pas à prévenir ni à détecter. La présence de connexions IP étrangères au moment de la fraude, que le service fraude de BNP Paribas avait lui-même identifiées, illustre parfaitement l’asymétrie d’information entre le client et l’établissement : la banque savait, ou aurait dû savoir.

Si vous êtes dans une situation similaire — fraude par spoofing, refus de remboursement de votre banque — cette décision vous offre des arguments solides pour agir. L’accompagnement d’un avocat spécialisé en droit bancaire vous permettra d’évaluer vos chances et de construire un dossier robuste, notamment en reconstituant la chronologie des faits, en documentant les anomalies de connexion et en démontrant l’absence de négligence grave de votre part.

FAQ — Questions fréquentes