Fraude au faux conseiller : la banque condamnée malgré la validation Secur’Pass (TJ Toulon, 28 mai 2026, n° 25/05033)

Tribunal judiciaire de Toulon, 2e chambre, 28 mai 2026, n° RG 25/05033

Que s’est-il passé dans cette affaire de faux conseiller bancaire ?

Le scénario est désormais tristement classique. Le 8 juillet 2024, une cliente de la Caisse d’Épargne et de Prévoyance Côte d’Azur, retraitée âgée de 88 ans, reçoit un appel téléphonique d’un individu se présentant comme un agent de sa banque. L’interlocuteur est crédible : il dispose d’informations précises sur son identité, son adresse et sa date de naissance. Il lui annonce que des opérations frauduleuses sont en cours sur son compte bancaire et qu’il faut d’urgence « sécuriser » celui-ci ainsi que sa carte bancaire.

Sous l’emprise de cette mise en scène, plusieurs opérations de paiement sont réalisées entre le 8 et le 10 juillet 2024, pour un montant total de 11 661,82 euros. Leur nature interpelle : il s’agit de réservations aériennes et hôtelières auprès d’Air France, Air Maroc, Opodo, Transavia et Booking. Des billets d’avion et des nuits d’hôtel, achetés en rafale sur trois jours, depuis le compte d’une retraitée de 88 ans.

Le 19 juillet 2024, la cliente conteste ces opérations auprès de sa banque. La réponse tombe le 22 juillet 2024 : refus de remboursement. L’argument de l’établissement est celui que toutes les victimes connaissent par cœur — les opérations ont été validées au moyen du dispositif d’authentification forte « Secur’Pass », par saisie du code personnel ou utilisation des fonctions biométriques du téléphone, sans qu’aucune déficience technique ne soit constatée. La cliente dépose plainte le jour même auprès du commissariat. Après le rejet de sa réclamation, elle fait assigner la banque devant le tribunal judiciaire de Toulon par acte du 6 août 2025, afin d’obtenir le remboursement des opérations et des dommages-intérêts.

Devant le tribunal, elle sollicite 11 661,82 € en réparation de son préjudice financier, 3 000 € au titre d’un préjudice moral pour résistance abusive, outre les frais de procédure. La banque, de son côté, conclut à l’irrecevabilité de ses demandes, subsidiairement à leur rejet, et réclame même — audace remarquable face à une cliente octogénaire sous aide juridictionnelle totale — 3 000 € de dommages-intérêts à son encontre.

Pourquoi les paiements validés sous manipulation restent-ils des opérations « autorisées » ?

Le point de départ du raisonnement mérite qu’on s’y arrête, car il conditionne toute la stratégie contentieuse des victimes de fraude au faux conseiller. Dans son assignation initiale, la demanderesse soutenait que les opérations litigieuses étaient des opérations « non autorisées » au sens du code monétaire et financier — le terrain habituel, celui des articles L.133-18 et suivants, qui imposent à la banque un remboursement immédiat sauf à prouver la fraude ou la négligence grave du payeur.

Mais en cours de procédure, les éléments communiqués par la banque ont confirmé que les opérations avaient bien été validées via le dispositif Secur’Pass, après une augmentation du plafond de la carte bancaire de la cliente. Dans ses dernières écritures, la demanderesse a donc pris acte de cette réalité : elle a reconnu être matériellement intervenue dans le processus de validation des paiements — même si cette validation est intervenue sous l’effet d’une manœuvre frauduleuse — et a réorienté son action sur le terrain de la responsabilité contractuelle de droit commun, prévue aux articles 1217 et suivants du code civil, en reprochant à la banque un manquement à son obligation de vigilance.

Le tribunal valide cette analyse : dès lors que la cliente ne conteste plus être intervenue dans la validation, les opérations ne peuvent être qualifiées d’opérations non autorisées, ni d’opérations mal exécutées. Le régime spécial des articles L.133-18 et suivants « n’a pas vocation à s’appliquer ». En revanche — et c’est tout l’apport du jugement — la responsabilité de la banque « peut en revanche être recherchée sur le fondement de la responsabilité contractuelle de droit commun, au regard de son obligation de vigilance dans l’exécution des opérations de paiement ».

La banque pouvait-elle invoquer l’« estoppel » pour faire échouer l’action ?

La banque a tenté de transformer ce changement de fondement en piège procédural. Elle soutenait que la demanderesse était irrecevable, par application du principe selon lequel nul ne peut se contredire au détriment d’autrui (parfois appelé « estoppel »), à revenir sur la qualification d’opérations « non autorisées » donnée dans son assignation.

Le tribunal écarte le moyen à double titre. D’abord, sur le terrain procédural : la demanderesse objectait que cette fin de non-recevoir, soulevée devant la formation de jugement, relevait de la compétence exclusive du juge de la mise en état (article 789 du code de procédure civile). Le tribunal répond que le principe invoqué « ne constitue pas une fin de non-recevoir autonome au sens de l’article 122 du code de procédure civile » : il relève de l’exigence de loyauté procédurale et tend seulement à discuter la portée des prétentions successives d’une partie. Le moyen ne relevait donc pas de la compétence exclusive du juge de la mise en état.

Peut-on changer de fondement juridique en cours de procédure ?

Ensuite et surtout, le tribunal juge qu’« une partie demeure recevable à modifier le fondement juridique de ses prétentions au cours de l’instance dès lors qu’elle ne modifie ni l’objet du litige ni les faits matériels invoqués au soutien de ses demandes ». En l’espèce, les faits sont restés strictement identiques du début à la fin : seule l’analyse juridique a évolué, à la lumière des éléments communiqués en cours de procédure, dont il résultait que les opérations avaient effectivement été validées via Secur’Pass.

Une telle évolution de l’argumentation « ne caractérise pas, à elle seule, une contradiction procédurale fautive causant un préjudice à l’adversaire ». La banque, qui avait d’ailleurs longuement conclu au fond sur le régime de responsabilité applicable et sur l’obligation de vigilance, ne justifiait d’aucune atteinte concrète à ses droits de la défense. La fin de non-recevoir est rejetée.

La leçon pratique est importante pour les victimes : découvrir en cours de procédure que les opérations ont été techniquement validées par ses soins n’est pas fatal à l’action. Le passage du terrain de l’opération non autorisée à celui de la responsabilité de droit commun est procéduralement possible, dès lors que les faits invoqués demeurent les mêmes.

Comment l’obligation de vigilance a-t-elle permis de condamner la banque ?

Voici le cœur du jugement. Le tribunal rappelle que « le prestataire de services de paiement est tenu, dans le cadre de son obligation de vigilance, de détecter les anomalies apparentes, matérielles ou intellectuelles, affectant les opérations qui lui sont soumises ». Cette obligation doit certes se concilier avec le principe de non-immixtion du banquier dans les affaires de son client ; il appartient donc au juge « d’apprécier concrètement si les opérations litigieuses présentaient des caractéristiques suffisamment atypiques pour imposer à l’établissement bancaire des vérifications complémentaires ».

Quelles anomalies apparentes le tribunal a-t-il retenues ?

Le tribunal relève « plusieurs éléments cumulés » caractérisant l’existence d’anomalies intellectuelles apparentes. D’une part, la cliente était âgée de 88 ans au moment des faits. D’autre part, les opérations litigieuses, concentrées sur une période extrêmement brève — du 8 au 10 juillet 2024 —, représentaient un montant total particulièrement élevé de 11 661,82 euros, exclusivement consacré à des dépenses de voyages et d’hébergement. Enfin, les relevés bancaires produits démontraient que ces opérations étaient « radicalement inhabituelles au regard du fonctionnement habituel du compte » : un niveau de vie modeste, des dépenses récurrentes de la vie quotidienne dépassant rarement la centaine d’euros.

La conclusion s’imposait : « l’importance du montant des paiements effectués et leur singularité au regard du fonctionnement du compte » auraient dû attirer l’attention de l’établissement bancaire. On notera la méthode, très concrète : le tribunal croise le profil de la cliente (âge, habitudes de consommation), la nature des dépenses (voyages en rafale), leur concentration temporelle (trois jours) et leur montant (plus de cent fois la dépense quotidienne habituelle). C’est exactement le type de détection de schéma atypique que les systèmes de monitoring des banques sont censés opérer.

Pourquoi le délai entre l’alerte et le débit a-t-il joué contre la banque ?

Le jugement ajoute un second étage au raisonnement, particulièrement intéressant. Il résultait des écritures que les opérations litigieuses n’avaient été effectivement débitées qu’au 5 août 2024, alors que la cliente avait alerté la banque dès le 19 juillet 2024 sur leur caractère frauduleux. Autrement dit : « la banque disposait ainsi, pendant plusieurs jours, d’une information explicite relative à une fraude dénoncée par sa cliente concernant des opérations encore non débitées définitivement ».

Et le tribunal de conclure, dans le motif décisif du jugement : « Dans ces circonstances particulières, la société CAISSE D’EPARGNE ET DE PREVOYANCE COTE D’AZUR ne pouvait se limiter à opposer à sa cliente l’utilisation du dispositif Secur’Pass sans procéder à des vérifications complémentaires ni prendre de mesures conservatoires. » Même en réitérant « le cadre strict du devoir de non-immixtion du banquier dans la gestion des comptes-client encore rappelé récemment par la Cour de cassation », le tribunal retient qu’au vu des faits particuliers de l’espèce — l’âge et le mode de vie de la cliente —, la banque a manqué à son obligation contractuelle de vigilance. Sa responsabilité est retenue.

Pourquoi la victime n’obtient-elle que 7 000 euros sur 11 661,82 euros ?

La condamnation n’est pas intégrale. Le tribunal relève qu’il ressort des éléments du dossier que la demanderesse « a validé elle-même les opérations litigieuses et communiqué les informations nécessaires au fraudeur », et que « cette faute de la victime a contribué à la réalisation de son propre dommage ».

Au regard « des circonstances de l’espèce, de l’âge de la demanderesse, du caractère particulièrement sophistiqué de la fraude, mais également du comportement fautif de cette dernière ayant permis l’exécution des opérations », le tribunal fixe le préjudice indemnisable à 7 000 euros — soit environ 60 % du montant détourné. On peut s’interroger sur cette réduction : lorsque le tribunal souligne lui-même le « caractère particulièrement sophistiqué » de la manœuvre et l’âge avancé de la victime, la « faute » de celle-ci ressemble davantage au résultat recherché par l’escroquerie qu’à une imprudence autonome. La logique du partage aurait pu, à tout le moins, pencher plus nettement en faveur de la cliente. Il reste que la solution est nettement plus favorable que le tout-ou-rien du régime CMF, où la négligence grave prive la victime de tout remboursement.

La demande au titre de la résistance abusive est en revanche rejetée : « le seul rejet d’une réclamation indemnitaire ne caractérise pas, en soi, une faute distincte ouvrant droit à réparation », et la demanderesse ne démontrait pas de préjudice autonome. La banque, partie principalement succombante, est condamnée aux dépens et à 2 500 euros au titre de l’article 700 du code de procédure civile (la cliente bénéficiait de l’aide juridictionnelle totale). Le jugement rappelle enfin qu’il est exécutoire de droit à titre provisoire : l’indemnité est due sans attendre l’issue d’un éventuel appel.

Quelle portée pour les victimes de spoofing bancaire ?

Ce jugement du tribunal judiciaire de Toulon s’inscrit dans un courant jurisprudentiel de plus en plus structuré, qui refuse de laisser les victimes de fraude au faux conseiller sans recours au seul motif qu’elles ont « validé » les opérations. Il apporte trois enseignements pratiques.

Premièrement, la qualification d’opération « autorisée » ne ferme pas la porte du prétoire. Elle déplace simplement le débat : du régime spécial du code monétaire et financier vers la responsabilité contractuelle de droit commun. Or sur ce terrain, la banque ne peut plus se contenter d’invoquer l’absence de « déficience technique » de son dispositif d’authentification : elle doit répondre de sa capacité à détecter des schémas de paiement manifestement atypiques.

Deuxièmement, le profil du client redevient central. L’âge de la victime, son niveau de vie, l’historique de son compte : autant d’éléments que la banque connaît parfaitement et qui rendent l’anomalie « apparente ». Une rafale de billets d’avion pour 11 661,82 € en trois jours sur le compte d’une retraitée de 88 ans aux dépenses quotidiennes inférieures à 100 € n’est pas une opération comme une autre, et les systèmes d’information bancaires sont précisément conçus pour repérer ce type de rupture de comportement.

Troisièmement — et c’est peut-être l’apport le plus original —, la chronologie du débit compte. Lorsque le client signale la fraude avant que les opérations ne soient définitivement débitées, l’inertie de la banque devient une faute caractérisée : informée d’une fraude dénoncée, elle doit procéder à des vérifications complémentaires et prendre des mesures conservatoires, non opposer mécaniquement la validation Secur’Pass.

L’authentification forte protège-t-elle la banque de toute condamnation ?

Non, et ce jugement le démontre avec netteté. L’authentification forte — Secur’Pass, validation biométrique, code à usage unique — est un dispositif de sécurité imposé par la réglementation européenne des services de paiement ; elle n’est pas un certificat d’irresponsabilité. Elle permet à la banque d’établir que l’opération a été techniquement validée par le client, ce qui écarte le régime des opérations non autorisées. Mais elle ne dit rien de la vigilance dont l’établissement a fait preuve face à un schéma d’opérations manifestement anormal.

On relèvera d’ailleurs que les normes techniques de réglementation (RTS) complétant la DSP2 imposent aux prestataires de services de paiement, au-delà de l’authentification forte elle-même, des mécanismes de surveillance des transactions destinés à détecter les schémas de fraude. Ce fondement, encore sous-utilisé dans les contentieux, conforte l’idée qu’une banque dont les systèmes laissent passer sans réaction une rupture de comportement aussi flagrante que celle de l’espèce méconnaît ses propres obligations réglementaires — un levier complémentaire à l’obligation de vigilance de droit commun retenue par le tribunal.

Que faire si vous avez validé vous-même des paiements frauduleux ?

Si vous avez été victime d’un faux conseiller bancaire et que vous avez validé des opérations sous l’emprise du fraudeur, la première urgence est de signaler la fraude à votre banque, par écrit, sans attendre — ce jugement montre que la rapidité du signalement peut devenir un argument décisif si les opérations ne sont pas encore débitées définitivement. Faites opposition sur votre carte, déposez plainte, et conservez tous les éléments : relevés, captures d’écran, historique d’appels.

Attention toutefois : ce que vous écrivez à votre banque et ce que vous déclarez dans votre plainte peut être utilisé contre vous — la banque scrutera chacune de vos formulations pour caractériser une prétendue négligence grave ou minimiser sa propre défaillance. Avant toute déclaration, lisez notre guide : Fraude bancaire : que dire et ne pas dire à sa banque et dans sa plainte.

Enfin, ne vous laissez pas décourager par un refus de remboursement fondé sur la validation Secur’Pass : comme le montre ce jugement, ce refus n’est pas la fin de l’histoire, mais le début du débat judiciaire.

Que retenir de ce jugement ?

Le jugement du tribunal judiciaire de Toulon du 28 mai 2026 confirme qu’il existe une voie d’indemnisation solide pour les victimes de spoofing ayant elles-mêmes validé les opérations frauduleuses : la responsabilité contractuelle de droit commun de la banque, fondée sur son obligation de vigilance. Âge de la cliente, atypisme radical des dépenses, concentration des opérations, alerte donnée avant le débit définitif : autant d’éléments qui, cumulés, rendaient la fraude détectable et imposaient à la banque de réagir autrement qu’en brandissant son dispositif d’authentification forte.

Certes, le partage de responsabilité retenu ampute l’indemnisation — et l’on peut regretter que la sophistication même de l’escroquerie, pourtant soulignée par le tribunal, n’ait pas conduit à une appréciation plus clémente de la « faute » d’une victime de 88 ans. Mais l’essentiel est ailleurs : la banque qui rejette une réclamation en trois lignes au motif que « Secur’Pass a été utilisé » s’expose désormais à une condamnation, avec exécution provisoire de droit. Chaque dossier de fraude au faux conseiller mérite une analyse précise : chronologie des opérations, historique du compte, date du signalement, date du débit. Ce sont ces détails qui, comme ici, font basculer un dossier.

FAQ — Questions fréquentes