Fraude bancaire et Secur’Pass : l’authentification forte ne prouve pas le consentement du client – TJ Nice, 4e chambre civile, 10 février 2026, n° 24/00689

Tribunal Judiciaire de Nice, 4e chambre civile, 10 février 2026, n° 24/00689

Les faits : une fraude orchestrée via l’enrôlement frauduleux du Secur’Pass

Madame [N] [L], cliente de la Caisse d’Épargne Côte d’Azur, a été victime d’une fraude bancaire sophistiquée en juin 2023. Le scénario débute par la réception d’un premier courriel le 20 juin 2023, l’informant de l’inscription de son système d’authentification forte « Secur Pass » sur un nouveau téléphone portable. Alertée, elle contacte son conseiller bancaire le lendemain.

Trois jours plus tard, le 23 juin 2023, deux nouveaux courriels lui parviennent : le premier, à 16h43, confirme le transfert effectif du système Secur Pass sur un autre appareil ; le second, à 16h52, l’informe d’une augmentation temporaire du plafond de sa carte bancaire. Madame [N] [L] réagit immédiatement en adressant un courriel à son conseiller à 17h51 pour signaler qu’elle n’est pas à l’origine de ces demandes. Malheureusement, il est déjà trop tard : entre 16h49 et 16h51, trois paiements frauduleux ont été effectués pour un montant total de 9 150,99 euros.

Malgré le dépôt d’une plainte pour escroquerie le 19 juillet 2023, la Caisse d’Épargne refuse de rembourser les sommes prélevées, estimant que les paiements ont été dûment autorisés par le système d’authentification forte Secur Pass. Face à ce refus, Madame [N] [L] saisit le tribunal judiciaire de Nice en février 2024.

Le cadre juridique applicable : la protection du titulaire en cas de paiement non autorisé

Le principe de remboursement en cas d’opération non autorisée

Le Code monétaire et financier instaure un régime protecteur pour les utilisateurs de services de paiement victimes d’opérations frauduleuses. L’article L. 133-18 du Code monétaire et financier pose le principe selon lequel le prestataire de services de paiement doit rembourser immédiatement le montant de l’opération non autorisée et, le cas échéant, remettre le compte débité dans l’état où il se serait trouvé si l’opération n’avait pas eu lieu.

Ce remboursement doit intervenir au plus tard à la fin du premier jour ouvrable suivant la constatation ou la notification de l’opération. À défaut, les sommes sont assorties d’intérêts au taux légal majoré, ce qui constitue une véritable sanction du retard de la banque.

La charge de la preuve repose sur la banque

L’article L. 133-23 du Code monétaire et financier organise la répartition de la charge de la preuve de manière très favorable au client. Lorsqu’un utilisateur nie avoir autorisé une opération de paiement, il incombe à son prestataire de services de paiement de prouver que l’opération en question a été authentifiée, dûment enregistrée et comptabilisée, et qu’elle n’a pas été affectée par une déficience technique ou autre.

Concrètement, le client victime peut se contenter de contester l’opération portée au débit de son compte. Il n’a pas à démontrer comment la fraude s’est produite ni à prouver sa propre diligence. C’est à la banque qu’il revient d’établir la régularité de l’opération.

L’authentification forte ne suffit pas à prouver le consentement

Point crucial de ce jugement : l’article L. 133-23 du Code monétaire et financier précise que « l’utilisation de l’instrument de paiement telle qu’enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l’opération a été autorisée par le payeur ou que celui-ci n’a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant en la matière ».

Autrement dit, même si la banque peut démontrer que son système d’authentification forte a été utilisé, cela ne constitue pas en soi une preuve suffisante du consentement du titulaire. La banque doit aller plus loin et établir soit que le client a agi frauduleusement, soit qu’il a commis une négligence grave.

Cette jurisprudence s’inscrit dans la lignée d’un arrêt important de la Cour de cassation du 5 mars 2025 (n° 23-22.687), qui a jugé que la négligence grave de l’utilisateur ne peut être déduite de l’enrôlement par un fraudeur d’une clé digitale d’authentification forte sur un nouvel appareil, même si cet enrôlement n’a pu avoir lieu qu’après divulgation par le titulaire du compte d’un code porté à sa seule connaissance.

L’analyse du tribunal : double échec de la banque dans la charge de la preuve

L’absence de preuve de l’autorisation par le titulaire

Le tribunal constate que des tiers ont procédé à l’enrôlement du Secur Pass sur un nouveau téléphone mobile, supprimant l’accès de Madame [N] [L] à son propre dispositif. C’est ce nouveau téléphone qui a reçu les codes de validation des opérations de paiement litigieuses dans le cadre du processus d’authentification forte.

Le tribunal en déduit logiquement que Madame [N] [L] n’a pas autorisé les opérations de paiement contestées, puisque le code renforcé de validation a été reçu sur un autre appareil que le sien. Elle n’est donc pas l’auteur de la dernière étape du processus d’authentification forte, qui impliquait la saisie d’un code reçu par SMS.

La Caisse d’Épargne tentait de déduire le consentement de sa cliente du fait que l’enrôlement du Secur Pass sur un nouvel appareil n’avait été possible que par la divulgation de ses codes d’accès et identifiants à un tiers, après réception d’un mail frauduleux au nom du site marchand Amazon. Mais le tribunal rejette cet argument : cette divulgation présumée ne prouve pas que Madame [N] [L] a effectivement autorisé les paiements.

L’insuffisance des logs informatiques pour prouver le consentement

La Caisse d’Épargne s’appuyait sur ses logs informatiques pour tenter de démontrer que les opérations contestées avaient été régulièrement autorisées par Madame [N] [L]. Le tribunal procède à une analyse détaillée de ces éléments techniques et conclut à leur insuffisance probante.

Les logs produits par la banque établissent que le système d’authentification forte Secur Pass a bien été utilisé lors des opérations litigieuses. Ils révèlent également que le dispositif avait été préalablement enrôlé sur un nouveau téléphone portable le 23 juin 2023 à 16h43, et que c’est ce nouvel appareil qui a reçu les codes de validation nécessaires à l’authentification des paiements effectués entre 16h49 et 16h51.

Le tribunal relève toutefois que ces logs informatiques ne permettent pas d’identifier avec certitude la personne qui a procédé à l’enrôlement du Secur Pass sur le nouvel appareil, ni celle qui a ensuite saisi les codes de validation pour autoriser les paiements. Les logs attestent uniquement de l’utilisation technique du dispositif, mais ne prouvent nullement que cette utilisation émane de Madame [N] [L] elle-même.

Le tribunal souligne que la Caisse d’Épargne ne peut se contenter de produire des logs démontrant l’utilisation technique de son dispositif de sécurité. Conformément à l’article L. 133-23 du Code monétaire et financier, cette utilisation enregistrée « ne suffit pas nécessairement en tant que telle » à établir que l’opération a été autorisée par le titulaire du compte.

En d’autres termes, même si les logs attestent du bon fonctionnement du système d’authentification forte et de son utilisation conforme aux procédures techniques, ils ne constituent pas une preuve suffisante du consentement de Madame [N] [L]. La banque devait aller au-delà de cette simple preuve technique pour démontrer que c’est bien la cliente qui a volontairement procédé aux opérations contestées.

Le tribunal insiste sur le fait que les logs révèlent au contraire un élément déterminant : l’enrôlement du Secur Pass sur un appareil distinct de celui de Madame [N] [L], ce qui corrobore les déclarations de la cliente selon lesquelles elle n’est pas à l’origine de cet enrôlement ni des opérations qui ont suivi. Les données informatiques de la banque confirment donc que les codes de validation ont été reçus et saisis sur un téléphone qui n’était pas celui de la titulaire du compte.

L’absence de preuve de la négligence grave de la cliente

Le tribunal rappelle qu’en application de l’article L. 133-19 du Code monétaire et financier, le payeur ne supporte les pertes résultant d’opérations non autorisées que si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations de l’article L. 133-16 (obligation de prendre toute mesure raisonnable pour préserver la sécurité du dispositif de sécurité personnalisé).

La Caisse d’Épargne soutenait que Madame [N] [L] avait « nécessairement été actrice, bien involontaire, de la fraude » en communiquant ses données confidentielles, ce qui constituerait une négligence grave. Le tribunal balaie cet argument : la banque n’apporte aucune preuve concrète de cette divulgation, et celle-ci ne peut se déduire du simple fait que l’instrument de paiement et les données personnelles qui lui sont associées ont été effectivement utilisés.

Le tribunal souligne que Madame [N] [L] conteste « vivement » avoir communiqué ses données personnelles, et qu’elle affirme seulement avoir fourni son numéro de carte bancaire pour procéder à un achat en ligne sur Amazon, mais pas ses identifiants. En l’absence de preuve contraire apportée par la banque, le tribunal donne raison à la cliente.

Les conséquences pratiques : remboursement intégral et réparation du préjudice moral

En application de l’article L. 133-18 du Code monétaire et financier, le tribunal condamne la Caisse d’Épargne à rembourser à Madame [N] [L] la somme de 9 150,99 euros, avec les intérêts au taux légal majoré de quinze points. Cette majoration constitue une véritable sanction du retard de remboursement, qui devait normalement intervenir dès le premier jour ouvrable suivant la notification de l’opération contestée.

Au-delà du remboursement des sommes frauduleusement débitées, le tribunal accorde également à Madame [N] [L] la somme de 1 000 euros en réparation de son préjudice moral. Ce préjudice résulte des tracas générés par le défaut de remboursement immédiat, alors que la cliente avait signalé rapidement les opérations contestées à sa banque.

Le tribunal relève que Madame [N] [L] a été contrainte d’adresser plusieurs lettres à la Caisse d’Épargne, qui lui a répondu le 25 juillet 2023 qu’elle avait « certainement fait preuve de négligence en communiquant des données personnelles et sensibles sans quoi ces opérations n’auraient pas été possible » et qu’elle avait « nécessairement été actrice, bien involontaire, de la fraude ». Ces accusations, non fondées selon le tribunal, ont causé à Madame [N] [L] un préjudice moral distinct de celui résultant du simple retard de remboursement.

Le tribunal note également le préjudice matériel subi par la cliente : alors qu’elle gérait correctement ses comptes et ne disposait que d’un découvert autorisé de 1 000 euros, le débit de près de 10 000 euros l’a mise dans une situation de grande précarité, avec rejet de tous ses prélèvements.

Enfin, la Caisse d’Épargne est condamnée aux dépens ainsi qu’à verser à Madame [N] [L] la somme de 2 000 euros au titre de l’article 700 du Code de procédure civile, pour compenser les frais irrépétibles exposés par la cliente.

Conclusion

Ce jugement du Tribunal judiciaire de Nice illustre la rigueur du cadre protecteur instauré par le Code monétaire et financier en faveur des clients victimes d’opérations de paiement non autorisées. Il rappelle que l’utilisation d’un système d’authentification forte, même sophistiqué, ne suffit pas à prouver le consentement du titulaire du compte ni à établir sa négligence grave.

La décision met en lumière un enseignement particulièrement important concernant la valeur probante des logs informatiques : ces données techniques peuvent établir l’utilisation d’un dispositif de sécurité, mais elles ne prouvent pas l’identité de la personne qui l’a utilisé ni son consentement. Les banques ne peuvent donc se retrancher derrière leurs traces informatiques pour refuser le remboursement : elles doivent apporter la preuve concrète, et non présumée, soit de l’autorisation effective par le client, soit de sa négligence grave.

Pour les clients victimes de fraude, cette jurisprudence est rassurante : elle confirme qu’ils bénéficient d’une protection solide, même lorsque les fraudeurs parviennent à détourner des dispositifs d’authentification forte et que les logs bancaires attestent de l’utilisation technique de ces dispositifs. Pour les banques, elle rappelle l’importance de documenter précisément les manquements éventuels de leurs clients au-delà de la simple production de leurs enregistrements informatiques, sous peine de devoir assumer intégralement les conséquences des opérations frauduleuses.

Si vous êtes victime d’une fraude bancaire et que votre banque refuse de vous rembourser, n’hésitez pas à faire valoir vos droits. Le cabinet Lebot-Avocat est spécialisé en droit bancaire et accompagne les particuliers dans leurs démarches contre leur établissement bancaire.

FAQ