Fraude bancaire et changement de numéro de téléphone : quand la banque doit rembourser – Cour d’appel de Paris, Pôle 5 chambre 6, 18 février 2026, n° 24/13029

Cour d’appel de Paris, Pôle 5 chambre 6, 18 février 2026, n° 24/13029

Les faits : une fraude à distance pendant des vacances

L’affaire concerne Monsieur K., titulaire d’une carte bancaire Visa Classic délivrée par BNP Paribas. En juillet 2022, alors qu’il se trouvait à l’étranger en vacances, il a été victime d’une fraude bancaire particulièrement sophistiquée. Trois opérations frauduleuses ont été effectuées les 8, 9 et 11 juillet 2022, pour des montants respectifs de 2.908,94 euros, 2.079,85 euros et 5.342,54 euros, soit un préjudice total de 10.331,33 euros.

La particularité de cette fraude réside dans sa technique : le fraudeur a d’abord modifié le numéro de téléphone enregistré dans l’espace client de M. K., puis a réalisé les opérations de paiement en utilisant les données complètes de sa carte bancaire (numéro, date d’expiration, cryptogramme). Cette méthode, de plus en plus répandue, permet aux escrocs de contourner les systèmes de validation par SMS.

Face au refus de remboursement de BNP Paribas, M. K. a assigné la banque devant le tribunal judiciaire de Paris le 11 août 2023. En première instance, le tribunal l’a débouté de toutes ses demandes, estimant qu’il avait commis une négligence grave. Non satisfait de cette décision, M. K. a interjeté appel le 15 juillet 2024.

Le principe : la banque doit rembourser les opérations non autorisées

Le régime légal des opérations non autorisées

Le Code monétaire et financier instaure un principe de protection du consommateur face aux opérations bancaires frauduleuses. L’article L. 133-6 du Code monétaire et financier définit clairement qu’une opération de paiement n’est autorisée que si le payeur a donné son consentement à son exécution. À l’inverse, toute opération effectuée sans ce consentement est considérée comme non autorisée.

L’article L. 133-18, alinéa 1, du même code établit le principe fondamental du remboursement :

En l’espèce, plusieurs éléments essentiels étaient établis et non contestés entre les parties : les trois opérations avaient bien été exécutées avec les données de la carte bancaire de M. K., sans que celui-ci en soit l’auteur. La banque n’a d’ailleurs jamais contesté le caractère frauduleux de ces opérations. M. K. avait également respecté le délai de contestation puisqu’il avait signalé les opérations frauduleuses quatre jours seulement après la première, bien en deçà du délai légal de treize mois prévu par l’article L. 133-24.

La charge de la preuve pèse sur la banque

L’article L. 133-23 du Code monétaire et financier opère un renversement de la charge de la preuve particulièrement favorable au client. Dès lors qu’un utilisateur conteste une opération de paiement, c’est à la banque de démontrer que cette opération a été authentifiée, dûment enregistrée et comptabilisée, et qu’elle n’a pas été affectée par une déficience technique.

Mais surtout, le texte ajoute une précision capitale qui a joué un rôle décisif dans cette affaire : « L’utilisation de l’instrument de paiement telle qu’enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l’opération a été autorisée par le payeur ou que celui-ci n’a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant en la matière. »

Autrement dit, le simple fait que les systèmes informatiques de la banque aient enregistré une opération ne prouve rien en soi. La banque doit aller plus loin et démontrer soit que le client a autorisé l’opération, soit qu’il a commis une faute suffisamment grave pour justifier le refus de remboursement.

L’exception : la négligence grave du client

Qu’est-ce qu’une négligence grave ?

L’article L. 133-19 IV du Code monétaire et financier prévoit une exception au principe de remboursement : le client supporte les pertes si elles résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations qui lui incombent.

Ces obligations sont définies à l’article L. 133-16 du Code monétaire et financier : le client doit prendre toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées et utiliser son instrument de paiement conformément aux conditions régissant sa délivrance et son utilisation.

La notion de « négligence grave » n’est pas définie précisément par la loi, mais la jurisprudence l’interprète strictement. Il ne s’agit pas d’une simple imprudence ou d’un manque de vigilance ordinaire. La négligence grave suppose un comportement caractérisé par une légèreté, une insouciance ou une imprudence telle qu’elle révèle une indifférence totale aux conséquences de ses actes.

Dans cette affaire, BNP Paribas reprochait à M. K. plusieurs négligences supposées. La banque soutenait que les opérations n’avaient pu être réalisées que parce que M. K. avait nécessairement :

– Validé le changement de numéro de téléphone en cliquant sur un lien reçu par SMS le 7 juillet 2022 à 23h52
– Communiqué son identifiant et son mot de passe permettant l’accès à son espace client en ligne
– Divulgué les données complètes de sa carte bancaire (numéro, cryptogramme, date d’expiration)
– Tardé à signaler les opérations frauduleuses (quatre jours après la première)

Les simples affirmations ne suffisent pas

La Cour d’appel de Paris balaie l’argumentation de la banque avec une fermeté remarquable. Elle estime que « ce simple raisonnement ne constitue en rien une preuve qu'[M. K.] ait commis la moindre négligence ».

Les juges relèvent que la banque « ne démontre l’existence d’aucun acte positif pouvant être attribué de manière certaine à [M. K.] et qui serait constitutif d’une négligence de sa part ». La cour poursuit : « Elle se borne à lui attribuer des agissements qu’elle ne prouve pas et qu’il conteste, ainsi qu’à affirmer qu’il a reçu des SMS et des courriels dont elle ne prouve pas même l’envoi, et moins encore la réception. »

Cette position est conforme à la jurisprudence constante de la Cour de cassation qui exige des preuves tangibles et objectives. Les déductions logiques ou les scénarios reconstitués par la banque ne suffisent pas. Il faut des éléments matériels : captures d’écran, logs informatiques détaillés, preuves d’envoi et de réception de messages, démonstration d’une action volontaire et identifiable du client.

En l’espèce, la banque n’a produit que des tableaux qu’elle avait elle-même établis, sans aucun élément probant externe ou objective. Aucun SMS n’a été produit, aucune preuve de son envoi ou de sa réception n’a été apportée, aucune trace d’un clic de validation de la part de M. K. n’a été démontrée.

La cour rappelle également un élément contextuel important : M. K. se trouvait à l’étranger en vacances au moment des faits. Il n’avait pas nécessairement accès quotidien à ses relevés de compte en ligne et sa réaction dans un délai de quatre jours apparaît, dans ce contexte, tout à fait diligente et raisonnable.

La solution retenue : condamnation de la banque

Le remboursement intégral

La Cour d’appel de Paris infirme donc le jugement de première instance et condamne BNP Paribas à rembourser à M. K. la somme totale de 10.331,33 euros, correspondant au montant exact des trois opérations frauduleuses.

Cette condamnation repose sur une application stricte de l’article L. 133-18 du Code monétaire et financier : dès lors qu’aucune négligence grave n’est prouvée et que les opérations sont manifestement non autorisées, la banque doit rembourser intégralement le client. Il n’y a pas de place pour une quelconque réduction proportionnelle ou pour un partage de responsabilité.

Les intérêts et la capitalisation

Au-delà du remboursement du capital, la cour accorde à M. K. les intérêts au taux légal à compter du 11 août 2023, date de l’assignation en justice. Ce point de départ n’est pas anodin : il correspond au moment où la banque a été formellement mise en demeure par voie judiciaire de procéder au remboursement.

M. K. avait sollicité l’application de pénalités de retard majorées prévues par une modification législative entrée en vigueur le 18 août 2022. Toutefois, la cour refuse cette demande au motif que les opérations litigieuses datent de juillet 2022, soit avant l’entrée en vigueur du nouveau régime. Le principe de non-rétroactivité des lois impose cette solution.

En revanche, la cour fait droit à la demande de capitalisation des intérêts sur le fondement de l’article 1343-2 du Code civil. Ce mécanisme permet aux intérêts échus depuis au moins un an de produire eux-mêmes des intérêts, augmentant ainsi le montant dû au créancier. Cette décision est conforme à la jurisprudence récente de la Cour de cassation (3ᵉ Civ., 20 mars 2025, n° 23-16.765).

La cour condamne également BNP Paribas à verser à M. K. la somme de 2.000 euros au titre des frais irrépétibles (article 700 du Code de procédure civile), ainsi qu’aux entiers dépens de l’instance. Ces sommes viennent compenser les frais d’avocat et les autres frais de procédure engagés par le client pour obtenir gain de cause.

La cour rejette en revanche la demande de dommages et intérêts pour préjudice moral. Elle rappelle à cette occasion un principe jurisprudentiel constant : lorsque la responsabilité d’un prestataire de service de paiement est recherchée pour une opération non autorisée ou mal exécutée, seul le régime de responsabilité spécifique du Code monétaire et financier (articles L. 133-18 à L. 133-24) s’applique, à l’exclusion de tout autre régime de droit commun. Cette règle, affirmée par plusieurs arrêts de la Chambre commerciale de la Cour de cassation (27 mars 2024, n° 22-21.200 ; 2 mai 2024, n° 22-18.074 ; 15 janvier 2025, n° 23-13.579), empêche les victimes de cumuler le remboursement prévu par le Code monétaire et financier avec des dommages et intérêts fondés sur la responsabilité civile de droit commun.

Une position critiquable sur le préjudice moral

Si l’on ne peut que saluer la fermeté avec laquelle la Cour d’appel de Paris a défendu les droits du client victime de fraude, le rejet systématique de toute indemnisation au titre du préjudice moral appelle néanmoins certaines réserves critiques.

En s’abritant derrière le caractère exclusif du régime spécial du Code monétaire et financier, la jurisprudence méconnaît la réalité des souffrances vécues par les victimes de fraude bancaire. Il ne s’agit pas seulement d’une perte financière momentanée qui sera remboursée : être victime d’une fraude bancaire génère un stress intense, un sentiment de violation de sa vie privée, une perte de confiance dans les institutions bancaires et, bien souvent, une charge mentale considérable liée aux démarches de contestation et au contentieux qui s’ensuit.

Dans l’affaire commentée, M. K. s’est retrouvé privé de plus de 10.000 euros pendant des vacances à l’étranger, a dû engager des démarches complexes auprès de sa banque, déposer plainte, puis mener un contentieux judiciaire de plus de deux ans et demi avant d’obtenir gain de cause en appel. Ces désagréments, cette anxiété et ce temps perdu constituent indéniablement un préjudice moral distinct du simple préjudice financier.

L’argument tiré du caractère exclusif du régime spécial est juridiquement fondé mais discutable sur le plan de l’équité. Le Code monétaire et financier organise certes un régime protecteur en matière de remboursement des opérations non autorisées, mais rien dans ce texte n’indique expressément que cette protection doive être exclusive et empêcher toute réparation complémentaire. L’exclusivité résulte d’une construction jurisprudentielle qui, si elle peut se justifier par un souci de cohérence et de prévisibilité, prive en pratique les victimes d’une réparation intégrale de leurs préjudices.

On pourrait d’ailleurs soutenir que lorsque la banque refuse de manière injustifiée et sans preuve tangible de rembourser un client victime de fraude, l’obligeant ainsi à engager une procédure judiciaire longue et coûteuse, il y a là une faute distincte qui pourrait fonder une responsabilité de droit commun. Cette faute ne résiderait pas dans l’opération de paiement elle-même, mais dans la mauvaise foi ou la légèreté manifeste avec laquelle l’établissement bancaire a traité la réclamation de son client.

Une évolution jurisprudentielle ou législative permettant d’indemniser le préjudice moral des victimes de fraude bancaire, au moins dans les cas où la banque a refusé de manière manifestement abusive de procéder au remboursement, serait souhaitable. Elle enverrait un signal fort aux établissements bancaires les incitant à traiter avec plus de diligence et de bienveillance les réclamations de leurs clients, plutôt que de les contraindre systématiquement à saisir la justice pour faire valoir leurs droits.

Les enseignements pratiques de cette décision

Cet arrêt de la Cour d’appel de Paris du 18 février 2026 constitue une décision pédagogique qui rappelle plusieurs principes essentiels en matière de fraude bancaire.

**Premier enseignement : la protection du consommateur demeure la règle.** Le régime du Code monétaire et financier a été conçu pour protéger les utilisateurs de services de paiement face aux risques inhérents aux moyens de paiement dématérialisés. Cette protection n’est pas théorique : elle impose à la banque de rembourser par principe, sauf à démontrer une faute caractérisée du client.

**Deuxième enseignement : la charge de la preuve pèse lourdement sur la banque.** Il ne suffit pas d’invoquer des négligences hypothétiques ou de reconstituer un scénario logique. La banque doit produire des preuves concrètes, objectives et vérifiables d’actes positifs commis par le client. Les tableaux internes, les affirmations générales ou les déductions logiques ne constituent pas des preuves suffisantes.

**Troisième enseignement : la négligence grave s’apprécie strictement.** Les juridictions n’admettent pas facilement l’existence d’une négligence grave. Le simple fait d’avoir été victime d’une fraude, même sophistiquée, ne signifie pas automatiquement que le client a été négligent. Les fraudeurs utilisent des techniques de plus en plus élaborées (phishing, ingénierie sociale, usurpation d’identité) qui peuvent tromper même des personnes prudentes et vigilantes.

**Quatrième enseignement : le délai de contestation est appréciable avec souplesse.** En l’espèce, un délai de quatre jours entre la première opération frauduleuse et la contestation a été jugé tout à fait raisonnable, compte tenu du fait que le client se trouvait à l’étranger en vacances. Les tribunaux tiennent compte des circonstances concrètes et ne sanctionnent pas le client qui agit avec une diligence normale eu égard à sa situation personnelle.

**Cinquième enseignement : le régime spécial du Code monétaire et financier est exclusif.** Les victimes de fraude ne peuvent pas cumuler le remboursement prévu par ce code avec des demandes de dommages et intérêts fondées sur d’autres bases juridiques (responsabilité contractuelle ou délictuelle de droit commun). Cette exclusivité constitue à la fois un avantage (procédure simplifiée, remboursement quasi-automatique) et une limite (impossibilité d’obtenir réparation pour les préjudices non financiers).

Pour les victimes de fraude bancaire, cette décision est particulièrement encourageante. Elle démontre que les juridictions d’appel peuvent corriger les décisions de première instance lorsque celles-ci ont été trop sévères à l’égard du client. Elle rappelle également l’importance de contester rapidement les opérations suspectes et de rassembler tous les éléments factuels permettant de démontrer sa bonne foi et l’absence de négligence.

Cette affaire illustre également l’évolution des techniques de fraude. Le changement frauduleux de numéro de téléphone constitue désormais une étape préalable classique permettant aux escrocs d’intercepter les SMS de validation et de contourner l’authentification forte. Les banques doivent adapter leurs systèmes de sécurité en conséquence, par exemple en exigeant une validation renforcée pour tout changement de coordonnées sensibles.

Enfin, cet arrêt s’inscrit dans une jurisprudence constante de la Cour de cassation qui impose aux banques de prouver rigoureusement la négligence grave du client. Cette exigence de preuve constitue un garde-fou essentiel pour éviter que les établissements bancaires ne se déchargent trop facilement de leur responsabilité sur leurs clients, alors même que les failles de sécurité ou les insuffisances des systèmes de surveillance peuvent être en cause.

Pour BNP Paribas et les autres établissements bancaires, cette décision rappelle la nécessité d’améliorer à la fois leurs systèmes de détection des fraudes en temps réel et leurs procédures de traitement des réclamations clients. Le coût d’un contentieux judiciaire (remboursement du capital, intérêts, capitalisation, frais de justice) est généralement supérieur au coût d’un remboursement amiable rapide. Une approche plus conciliante en phase amiable permettrait d’éviter de nombreux litiges.

—

## Conclusion

L’arrêt rendu par la Cour d’appel de Paris le 18 février 2026 constitue une application exemplaire du régime protecteur institué par le Code monétaire et financier en faveur des victimes de fraude bancaire. En infirmant le jugement de première instance, la cour rappelle avec fermeté que la simple affirmation d’une négligence ne suffit pas : la banque doit en apporter la preuve concrète et tangible.

Cette décision adresse un message clair aux établissements bancaires : ils ne peuvent pas se contenter de reconstituer un scénario théorique pour imputer la faute au client. La charge de la preuve leur incombe pleinement et cette preuve doit être rigoureuse, objective et incontestable. Les déductions logiques, même plausibles, ne remplacent pas les éléments probatoires matériels.

Pour les victimes de fraude bancaire, cet arrêt est une victoire importante qui leur rappelle qu’elles disposent de droits effectifs et que les juridictions sont prêtes à les faire respecter. Il ne faut pas hésiter à contester fermement les refus de remboursement et, si nécessaire, à saisir la justice avec l’assistance d’un avocat spécialisé en droit bancaire.

Au cabinet **Lebot Avocat**, nous accompagnons régulièrement des victimes de fraudes bancaires dans leurs démarches contre leur établissement bancaire. Notre expertise en droit bancaire et en contentieux de la fraude nous permet d’analyser votre situation, de constituer un dossier solide et de défendre efficacement vos intérêts devant les juridictions compétentes. N’attendez pas que les délais de contestation expirent : contactez-nous rapidement pour une première évaluation de votre situation.

—

FAQ