Fraude au faux coursier : la banque doit-elle rembourser ? (CA Paris, 15 avr. 2026 n° 24/16467 et 7 mai 2026 n° 25/08993)

Cadre juridique : articles L. 133-18, L. 133-19 (IV et V), L. 133-23 et L. 133-24 du Code monétaire et financier — illustré par CA Paris, 15 avril 2026, n° 24/16467 et CA Paris, 7 mai 2026, n° 25/08993 (négligence grave retenue), et par plusieurs décisions du fond condamnant la banque faute de preuve de l’authentification.

En quoi consiste exactement la fraude au faux coursier ?

Les techniques d’escroquerie bancaire évoluent au rythme des dispositifs de sécurité mis en place pour les contrer. Pendant plusieurs années, la fraude reposait sur le phishing (hameçonnage) : un courriel non sollicité incitait la victime à communiquer ses données bancaires, que l’escroc exploitait ensuite à distance. Depuis l’entrée en vigueur, le 14 septembre 2019, de l’obligation d’authentification forte, la simple connaissance des données de la carte ne suffit plus à détourner des fonds. Les fraudeurs ont donc imaginé des scénarios plus élaborés : d’abord le spoofing (usurpation du numéro d’appel de la banque), puis cette fraude « physique » qu’est le faux coursier.

La particularité de cette fraude est qu’elle ne repose pas seulement sur la captation de données : elle aboutit à la remise matérielle de l’instrument de paiement lui-même. C’est ce qui la rend redoutable — et juridiquement spécifique.

Quelles sont les étapes du scénario ?

La fraude se déroule en une succession d’étapes soigneusement orchestrées, chacune destinée à renforcer la confiance de la victime et à neutraliser sa vigilance.

Pourquoi le faux coursier demande-t-il de couper la carte en deux ?

C’est l’astuce psychologique centrale du scénario. Couper sa carte est, dans l’esprit du public, le geste de sécurité par excellence : on « détruit » l’instrument compromis. La victime a donc le sentiment de se protéger. En réalité, le faux coursier veille à ce que la coupe n’endommage pas la puce. Or, tant que la puce reste intacte et que l’escroc dispose du numéro, de la date d’expiration et du cryptogramme à trois chiffres, la carte demeure utilisable. Le geste rassurant devient l’instrument même de la fraude.

Quel régime juridique s’applique aux opérations frauduleuses ?

La question juridique déterminante est celle de la qualification des opérations passées par le fraudeur. De cette qualification dépend tout le régime applicable — et donc les chances de remboursement de la victime.

Les opérations sont-elles « autorisées » ou « non autorisées » ?

Le droit des services de paiement distingue radicalement deux situations. Lorsqu’une opération est non autorisée, seul s’applique le régime spécial, protecteur, des articles L. 133-18 et suivants du Code monétaire et financier. Lorsqu’elle est autorisée par le payeur (même sous l’effet d’une manipulation), ce régime spécial est écarté : la victime ne peut plus invoquer que le droit commun, notamment le devoir de vigilance de la banque face à une anomalie apparente.

Pour la fraude au faux coursier, les juridictions du fond retiennent, de façon constante jusqu’ici, que les opérations sont non autorisées. La solution est juridiquement solide : une opération ne peut être réputée autorisée que si le payeur a consenti à la fois au montant et au bénéficiaire. Or la victime n’a jamais consenti à ce qu’un escroc vide son compte. Le fait qu’elle ait imprudemment remis sa carte ne transforme pas les retraits du fraudeur en opérations qu’elle aurait validées.

Quelle conséquence pour le remboursement ?

La conséquence est capitale. En qualifiant les opérations de non autorisées, les juges placent la victime sous le régime le plus protecteur : celui qui impose en principe à la banque de rembourser, sauf à ce qu’elle démontre une négligence grave. C’est exactement l’inverse de la logique du droit commun, où ce serait à la victime de prouver une faute de la banque. La bataille se joue donc, presque toujours, sur le terrain de la négligence grave.

Dans quels cas la banque doit-elle rembourser ?

Le principe est posé par l’article L. 133-18 du Code monétaire et financier : en cas d’opération non autorisée signalée par l’utilisateur dans le délai de treize mois (article L. 133-24), la banque doit rembourser immédiatement le montant débité et rétablir le compte dans l’état où il se serait trouvé sans l’opération frauduleuse. À défaut de remboursement immédiat, une indemnité supplémentaire est due.

Ce principe connaît toutefois une limite majeure, prévue par l’article L. 133-19, IV : le payeur supporte les pertes lorsqu’elles résultent d’un agissement frauduleux de sa part, ou d’un manquement, intentionnel ou par négligence grave, à ses obligations de sécurité (préserver ses données personnalisées de sécurité — article L. 133-16 — et signaler sans tarder toute utilisation non autorisée — article L. 133-17).

Qu’est-ce que la « négligence grave » et qui doit la prouver ?

Faute, à ce jour, de tout arrêt de la Cour de cassation sur la fraude au faux coursier, ce sont les juridictions du fond qui balisent le terrain. Deux arrêts récents de la Cour d’appel de Paris méritent une analyse détaillée, car ils illustrent la sévérité dont certaines juridictions peuvent faire preuve à l’égard des victimes.

CA Paris, 15 avril 2026, n° 24/16467 : la négligence grave par accumulation d’imprudences

Les faits. Un client avait reçu un faux SMS « Chronopost » contenant un lien, sur lequel il avait cliqué. Il avait ensuite renseigné sur un site frauduleux ses données personnelles (nom, prénom, date de naissance, adresse), suivi les instructions d’un inconnu au téléphone, désinstallé son application bancaire à la demande de celui-ci, puis remis à un coursier sa carte bancaire coupée en deux. Cette coupe avait laissé la puce intacte ; le fraudeur disposait par ailleurs du numéro de la carte, de sa date de fin de validité et du cryptogramme à trois chiffres.

La solution. La cour retient la négligence grave du client. Le point notable est que celui-ci n’avait pas communiqué ses identifiants de connexion : ce n’est donc pas la divulgation d’un code qui fonde la décision, mais l’accumulation d’actes imprudents ayant, ensemble, permis la fraude. La banque est dès lors déchargée de son obligation de remboursement.

La portée — et sa critique. Cet arrêt illustre une logique du « tout ou rien » défavorable à la victime : une succession de comportements, dont aucun n’est en soi un manquement caractérisé aux obligations de sécurité, est agrégée pour conclure à la faute « bien marquée ». Or la remise d’une carte coupée en deux procède précisément de la croyance — induite par l’escroc — qu’il s’agit d’un geste de sécurité. On peut donc s’interroger : peut-on reprocher une « négligence grave » à celui qui croit, de bonne foi, neutraliser sa carte ? La réponse mérite d’être discutée au cas par cas, et ne saurait être systématiquement positive.

CA Paris, 7 mai 2026, n° 25/08993 : la vigilance attendue d’un client « disposant de toutes ses capacités »

Les faits. Une cliente avait suivi les instructions d’un faux conseiller portant sur ses moyens de paiement, sans s’interroger sur le caractère inhabituel des demandes, ni vérifier l’identité de son interlocuteur puis du coursier venu récupérer sa carte.

La solution. La cour retient là encore la négligence grave, estimant que « les circonstances de fait démontrent à elles seules le caractère frauduleux de la démarche et auraient dû entraîner [chez elle] un minimum de suspicion ». Elle relève que l’intéressée n’avait pris « aucune précaution minimale » ni effectué « les vérifications élémentaires » sur l’identité de son interlocuteur.

La portée — et sa critique. La motivation appelle une réserve sérieuse : pour caractériser la négligence, la cour souligne que la cliente, âgée de 64 ans, « disposait de toutes ses capacités intellectuelles ». Faire de l’âge et de l’état mental un critère d’appréciation de la faute est délicat : cela revient à moduler la protection légale selon le profil de la victime, alors que le standard de l’article L. 133-19, IV, est censé s’apprécier objectivement, au regard des circonstances de la fraude, et non des caractéristiques personnelles de celui qui la subit. Ce raisonnement, par ailleurs, n’aborde pas la question — distincte et cumulative — de la preuve de l’authentification forte des opérations litigieuses.

Que disent les autres décisions du fond sur le faux coursier ?

Ces deux arrêts ne sont pas isolés. Le contentieux du faux coursier s’est multiplié devant les juridictions du fond au premier semestre 2026, et l’examen des décisions disponibles révèle une tendance préoccupante pour les victimes : dans les affaires de remise physique de la carte, les juges retiennent quasi systématiquement la négligence grave et refusent le remboursement. Tour d’horizon de cinq décisions récentes.

Trois enseignements transversaux se dégagent de ces décisions, et chacun mérite l’attention des victimes.

Premier enseignement — la remise de la carte est traitée comme une négligence grave quasi automatique. Le motif revient, presque mot pour mot, dans chaque décision : « aucune banque ne demande de remettre sa carte bancaire à un coursier ». Les juges en déduisent que la victime ne pouvait ignorer le caractère frauduleux du procédé. C’est précisément le glissement que nous critiquons : ériger en faute « bien marquée » un comportement obtenu par une mise en scène professionnelle, sans toujours apprécier in concreto la sophistication de la manipulation subie.

Deuxième enseignement — la distinction, étroite, avec la jurisprudence protectrice de la Cour de cassation. Plusieurs victimes ont invoqué l’arrêt de la chambre commerciale du 23 octobre 2024 (n° 23-16.267), qui écarte la négligence grave lorsque le fraudeur appelle depuis le numéro réellement affiché de la banque. Les juges du fond distinguent toutefois cet arrêt avec constance : dès lors que les appels émanaient de numéros de mobile (« 06 ») ou d’une entité au nom approchant (« BNP Développement »), la mise en confiance n’est pas jugée légitime. La leçon stratégique est claire : l’usurpation effective du numéro de l’agence est un élément déterminant à documenter.

Troisième enseignement — le terrain de l’authentification reste le plus solide. Dans ces affaires de carte remise physiquement, les juges considèrent que l’opération est authentifiée par la puce et le code, et écartent l’argument de l’authentification forte (réservée aux opérations à distance). Le levier de l’article L. 133-19, V, conserve en revanche toute sa portée pour les opérations à distance frauduleuses, et l’exigence de preuve de l’article L. 133-23 demeure un point de contrôle systématique : la victime a intérêt à exiger de la banque la production des traces techniques complètes.

De cet ensemble se dégage un constat : sur le scénario du faux coursier avec remise physique de la carte, la jurisprudence du fond est, à ce stade, majoritairement défavorable aux victimes. Tout — ou presque — dépend de la manière dont la victime construit son dossier et conteste, point par point, les griefs de négligence que la banque lui oppose. C’est dire l’importance d’une défense rigoureuse et précoce.

La sévérité des juges envers les victimes est-elle justifiée ?

Du point de vue des personnes que notre cabinet défend, la tendance de certaines juridictions à retenir « assez aisément » la négligence grave appelle plusieurs réserves.

Première réserve — le glissement vers une négligence quasi automatique. On observe l’idée, parfois assumée, que la communication des banques, de la Banque de France et de la Fédération bancaire française sur les fraudes rendrait la négligence grave « quasi automatique » : tout citoyen « saurait » désormais qu’il ne doit jamais remettre sa carte. Ce raisonnement est juridiquement contestable. La négligence grave doit s’apprécier in concreto, au regard des circonstances précises de chaque espèce et de la sophistication du scénario subi — et non par une présomption générale tirée de campagnes de prévention. Transformer un standard de comportement en présomption de faute revient à vider de sa substance la protection voulue par le législateur européen.

Deuxième réserve — l’asymétrie ignorée. Le faux coursier repose sur une ingénierie sociale qui exploite précisément les ressorts de la confiance et de l’urgence. Apprécier la « particulière négligence » d’une victime sans tenir compte de l’état de sidération provoqué par un scénario professionnel — usurpation du nom de la banque, faux service fraude, pression temporelle — revient à faire peser sur le particulier le coût d’une fraude que l’industrie bancaire est, structurellement, mieux placée pour détecter et bloquer.

Troisième réserve — une condition de preuve trop souvent oubliée. Même lorsque la banque parvient à démontrer une négligence grave, elle n’est pas pour autant dispensée de toute obligation. Pour une jurisprudence bien établie, elle doit aussi prouver, sur le fondement de l’article L. 133-23 du Code monétaire et financier, que l’opération a été authentifiée, dûment enregistrée et comptabilisée, et qu’elle n’a pas été affectée par une déficience technique ou autre. Cette seconde exigence, cumulative, est régulièrement négligée dans les débats — alors qu’elle constitue souvent la faille décisive du dossier de la banque.

Le levier décisif : l’authentification forte a-t-elle été exigée ?

C’est, à notre sens, le terrain le plus prometteur — et le plus sous-exploité — pour les victimes. Depuis le 14 septembre 2019, les prestataires de services de paiement doivent appliquer l’authentification forte prévue par l’article L. 133-4, f, du Code monétaire et financier. Et l’article L. 133-19, V, prévoit une règle radicale : sauf agissement frauduleux de sa part, le payeur ne supporte aucune conséquence financière si l’opération non autorisée a été effectuée sans que la banque n’ait exigé cette authentification forte.

Au-delà du Code monétaire et financier, les obligations techniques de la banque au titre du règlement technique RTS (les standards techniques de l’Autorité bancaire européenne complétant la DSP2 : authentification forte, surveillance des transactions, détection des anomalies de schéma) constituent un angle encore peu mobilisé en pratique. Lorsqu’ils sont méconnus, ces standards peuvent fonder une responsabilité de l’établissement. Ce levier mérite d’être systématiquement examiné.

En revanche — et c’est une précision importante — la prétendue défaillance de la banque au titre de ses obligations de lutte contre le blanchiment et le financement du terrorisme (LCB-FT) ne constitue pas un fondement d’indemnisation pour la victime : ces obligations ont pour seule finalité la protection de l’ordre public, non celle des intérêts privés. De même, le dépôt de plainte pénale et la déclaration Tracfin sont utiles sur le plan factuel (soit-transmis, recouvrement), mais ne fondent pas, en eux-mêmes, une demande civile de dommages-intérêts.

Comment réagir si vous êtes victime ?

Le maître mot, en présence de ce scénario, est le silence et l’action immédiate. Un client sollicité ne doit rien communiquer à la personne qui le contacte ou se présente à son domicile : d’une part pour éviter le détournement de fonds, d’autre part parce que toute communication pourra ensuite lui être reprochée et compromettre son remboursement.

Que va changer le futur paquet DSP3 / RSP ?

Le cadre est appelé à évoluer. Le 17 avril 2026, le Conseil de l’Union européenne a rendu publique la version finale du projet de règlement sur les services de paiement (RSP), qui accompagne le projet de troisième directive sur les services de paiement (DSP3). Plusieurs mesures retiennent l’attention pour la lutte contre la fraude.

D’abord, le délai de signalement d’une opération autorisée mais mal exécutée serait allongé de treize à dix-huit mois. Ensuite, un régime spécial serait créé pour les fraudes par usurpation d’identité (spoofing), lorsqu’un consommateur est manipulé par un tiers se faisant passer pour son prestataire en utilisant les canaux de communication attribués à celui-ci. Enfin, la vérification de la concordance entre l’IBAN et le nom du bénéficiaire, un temps présentée comme une nouveauté, est déjà en vigueur depuis le 9 octobre 2025 au titre du règlement sur les virements instantanés.

Ces évolutions ne couvrent pas encore expressément le cas du faux coursier, qui repose sur une remise physique de la carte. Il est donc probable que la Cour de cassation soit prochainement amenée à fixer une ligne claire pour ce contentieux émergent — ce que les victimes ont tout intérêt à anticiper.

Conclusion

La fraude au faux coursier illustre une tension au cœur du droit des paiements : un régime conçu pour protéger l’utilisateur (remboursement de principe des opérations non autorisées) qui se heurte, en pratique, à une appréciation parfois trop sévère de la « négligence grave » de la victime. La qualification d’opération non autorisée, constante dans les décisions du fond, est une bonne nouvelle pour les clients. Mais elle ne suffit pas : tant que certaines cours d’appel admettent largement la négligence grave, le combat se joue sur la preuve.

Or, sur ce terrain, les victimes disposent d’arguments solides et trop rarement invoqués : la charge de la preuve qui pèse intégralement sur la banque, l’exigence cumulative de preuve de l’authentification (article L. 133-23), et surtout la règle protectrice de l’article L. 133-19, V, qui neutralise toute discussion sur le comportement du client lorsque l’authentification forte n’a pas été exigée. Face à un refus de remboursement, il est essentiel de ne pas se laisser opposer la seule imprudence du client, mais d’exiger de la banque qu’elle rapporte l’intégralité des preuves que la loi met à sa charge. Le cabinet LE BOT Avocat accompagne les victimes de fraudes bancaires dans la contestation de ces refus et la récupération des fonds détournés.

FAQ — Questions fréquentes