Fraude au faux technicien : la négligence grave prive la fondation de tout remboursement (CA Lyon, 26 févr. 2026, n° 23/02736)

CA Lyon, 3e ch. A, 26 février 2026, n° RG 23/02736

Que s’est-il passé entre le faux technicien et la fondation ?

La victime est une fondation reconnue d’utilité publique, dédiée à la prise en charge d’enfants, d’adolescents et d’adultes atteints de maladies contagieuses, de déficiences sensorielles profondes ou de déficits intellectuels profonds. Elle est cliente du Crédit Coopératif et utilise le service de banque en ligne de cet établissement, qui repose sur une authentification forte : chaque collaborateur habilité dispose d’une carte personnelle et d’un lecteur générant un code à usage unique.

Le décor est planté dès le printemps 2020. En avril, un collaborateur habilité de la fondation rencontre des difficultés de connexion à l’espace de banque en ligne. Fin mai et début juin, les courriels internes produits aux débats montrent que son accès au compte est bloqué ; la responsable financière de la fondation signale l’anomalie à deux interlocuteurs de la banque le 8 juin 2020, puis relance le 12 juin. Le collaborateur attend donc, très concrètement, un appel du service technique de la banque pour résoudre son problème.

C’est précisément ce moment que choisit le fraudeur. Les 17 et 18 juin 2020, une personne se présentant comme un technicien de la banque contacte le collaborateur et lui fait procéder à plusieurs manipulations avec son boîtier d’identification, puis avec celui d’une autre collaboratrice également habilitée. Le 23 juin, la fondation constate l’existence de huit virements sans rapport avec son activité, réalisés les 17 et 18 juin pour un montant total de 353 677,01 euros. Elle signale les opérations à la banque, dépose plainte contre X pour escroquerie le 24 juin, et se heurte dès le 25 juin au refus de remboursement de l’établissement : pour la banque, les opérations ont été rendues possibles par la coopération du service comptable avec le tiers fraudeur.

Le tribunal de commerce de Lyon, par jugement du 31 janvier 2023, avait retenu une solution intermédiaire en condamnant la banque à payer 150 000 euros, soit un remboursement partiel des huit opérations. Chacune des parties a fait appel : la fondation réclamait la totalité des sommes détournées, la banque demandait le rejet de toute demande. La cour d’appel de Lyon, dans son arrêt du 26 février 2026, donne entièrement raison à la banque.

Pourquoi les huit virements sont-ils des opérations non autorisées ?

C’est le premier apport de l’arrêt, et il est favorable aux victimes. La banque soutenait que les opérations étaient autorisées : elles avaient été passées depuis les profils des deux utilisateurs habilités, selon le parcours d’authentification forte prévu au contrat, et la force probante des relevés télématiques était contractuellement reconnue. Selon elle, dès lors que la forme convenue avait été respectée, le consentement était acquis et la contestation ultérieure ne pouvait pas remettre en cause cette qualification.

La cour d’appel écarte ce raisonnement en rappelant la définition du consentement en matière de services de paiement. Sur le fondement des articles L. 133-3 et L. 133-6 du code monétaire et financier, elle juge qu’une opération de paiement initiée par le payeur est réputée autorisée uniquement si celui-ci a consenti non seulement à l’opération, mais également à son bénéficiaire et à son montant. Or, les huit virements ont été réalisés par l’intermédiaire d’un salarié qui croyait répondre aux demandes d’un technicien de la banque : la fondation n’a jamais consenti ni aux bénéficiaires, ni aux montants. Les virements constituent donc des opérations de paiement non autorisées.

Cette grille d’analyse s’inscrit dans la ligne de la jurisprudence récente de la Cour de cassation sur les fraudes par manipulation, qui distingue le cas où la victime exécute elle-même un virement vers un compte qu’elle croit légitime de celui où elle est dépossédée de son instrument de paiement par un stratagème. La validation technique d’une opération via l’authentification forte ne vaut pas, à elle seule, consentement juridique : ce que le payeur n’a pas voulu, il ne l’a pas autorisé.

Si la qualification d’opération non autorisée avait été écartée, le débat se serait déplacé sur le terrain, beaucoup plus défavorable, des opérations autorisées sous l’empire d’une manipulation. La bataille de qualification est donc décisive : elle conditionne le régime applicable, la charge de la preuve et l’étendue du droit à remboursement.

Quelle est la méthode en deux temps imposée par l’article L. 133-23 ?

Deuxième apport, méthodologique celui-là. La cour énonce avec une netteté remarquable l’ordre dans lequel le juge doit raisonner lorsqu’une banque entend faire supporter au client les pertes d’une opération non autorisée.

Elle rappelle que, selon l’article L. 133-23 du code monétaire et financier, lorsqu’un utilisateur nie avoir autorisé une opération, il incombe à son prestataire de services de paiement de prouver que l’opération a été authentifiée, dûment enregistrée et comptabilisée, et qu’elle n’a pas été affectée par une déficience technique ou autre. Le même texte précise que l’utilisation de l’instrument de paiement, telle qu’enregistrée par la banque, ne suffit pas nécessairement en tant que telle à prouver que l’opération a été autorisée ou que le payeur a commis une négligence grave. La cour en déduit que le prestataire qui invoque la négligence grave de son client doit, au préalable, rapporter cette preuve technique complète. En d’autres termes : pas de débat sur la faute du client tant que la banque n’a pas démontré la fiabilité technique des opérations contestées.

En l’espèce, la banque franchit le premier obstacle. Les relevés de connexion produits montrent que les 17 et 18 juin 2020, les deux utilisateurs habilités se sont authentifiés, que des comptes externes ont été ajoutés après ces authentifications, puis que les huit virements ont été passés dans la foulée, à des horaires qui coïncident très exactement avec ces connexions. Ces éléments techniques sont corroborés par la plainte de la fondation elle-même, selon laquelle le salarié a saisi les codes fournis par les boîtiers à la demande de son interlocuteur. La cour en conclut que les opérations ont été authentifiées, enregistrées et comptabilisées, et qu’aucune déficience technique n’est établie.

On notera le rôle joué, une fois encore, par les propres déclarations de la victime : c’est sa plainte pénale qui vient corroborer les enregistrements techniques de la banque. Les écrits déposés dans les heures qui suivent la découverte d’une fraude se retrouvent systématiquement au centre des débats civils, et rarement au bénéfice de leur auteur.

Qu’est-ce qui a fait basculer le dossier du côté de la négligence grave ?

Le second temps de la méthode est fatal à la fondation. La cour commence pourtant par une concession importante : le salarié était dans l’attente d’un appel téléphonique du service technique de la banque pour résoudre son blocage d’accès, signalé et relancé par courriels, et cette circonstance est jugée « de nature à avoir diminué sa vigilance ». Le contexte rendait donc la manipulation singulièrement crédible : le fraudeur appelait la bonne personne, au bon moment, au sujet du bon problème.

Mais la cour relève, dans les courriels mêmes de la victime, une série d’éléments qui auraient dû arrêter le salarié. Son interlocuteur, peu aimable depuis le début de l’intervention, ne se présentait pas ou à peine ; il a fini par donner un nom, mais sans numéro d’intervention ; le numéro de téléphone qui s’affichait était anormalement long ; le ton est monté, et le salarié, se disant sceptique, a fini par raccrocher. La cour retient alors le passage décisif : bien qu’il ait été dans l’attente d’un appel du service technique, « plusieurs éléments l’ont alerté sur l’identité de son interlocuteur. Or, en dépit de ses doutes, il a transmis à celui-ci les codes ayant permis l’ajout des bénéficiaires et la réalisation des virements litigieux ».

S’y ajoute un second manquement, propre aux fraudes en entreprise : à la demande de son interlocuteur, le salarié a fait usage de la carte d’authentification de sa collègue, alors que le dispositif de banque en ligne prévoit une authentification forte strictement personnelle, chaque utilisateur devant faire un usage individuel de sa carte et de son code confidentiel. Cet usage croisé du matériel d’authentification a permis l’ajout de deux bénéficiaires et la réalisation de plusieurs virements frauduleux.

Doutes exprimés puis surmontés, codes communiqués malgré tout, matériel d’authentification partagé entre collègues : pour la cour, la négligence grave au sens de l’article L. 133-19, IV du code monétaire et financier est caractérisée. La sanction est totale : le payeur supporte l’intégralité des pertes, sans partage possible. Le jugement qui avait alloué 150 000 euros est infirmé et toutes les demandes de la fondation sont rejetées, avec 3 000 euros à payer au titre de l’article 700 du code de procédure civile.

Pourquoi le devoir de vigilance n’a-t-il même pas été examiné ?

Restait la demande subsidiaire de la fondation, construite sur le terrain du droit commun : en qualité de dépositaire des fonds, la banque aurait manqué à son devoir de vigilance en laissant passer huit virements totalisant 353 677,01 euros, aux montants inhabituels, vers des bénéficiaires atypiques, à une fréquence inhabituelle, le tout dans un contexte de dysfonctionnement signalé des moyens d’authentification. La fondation soulignait aussi que la banque n’avait pas déployé la temporisation de l’activation des nouveaux bénéficiaires que d’autres établissements pratiquaient déjà, dispositif qui aurait laissé à la cliente le temps de bloquer les opérations.

La cour ne discute aucun de ces arguments, et c’est précisément le troisième enseignement de l’arrêt. Citant la jurisprudence la plus récente de la chambre commerciale, elle rappelle que dès lors que la responsabilité d’un prestataire de services de paiement est recherchée en raison d’une opération non autorisée ou mal exécutée, seul est applicable le régime de responsabilité défini aux articles L. 133-18 à L. 133-24 du code monétaire et financier, transposition des articles 58, 59 et 60 de la directive 2007/64/CE, à l’exclusion de tout régime alternatif de responsabilité résultant du droit national. La demande fondée sur le devoir de vigilance est donc rejetée en son principe même, sans examen des anomalies alléguées.

Ce régime exclusif est une arme à double tranchant. Invoqué par les victimes, il neutralise les moyens de défense que les banques tirent du droit commun : nous l’avions vu dans l’arrêt de la cour d’appel de Toulouse sur les virements CyberPlus, où le régime exclusif a conduit à la condamnation de la banque. Invoqué par les banques, il ferme aux victimes la voie de la responsabilité contractuelle de droit commun, y compris lorsque des anomalies criantes auraient pu être discutées sur le terrain de la vigilance. Le plaideur doit donc gagner sur le terrain du code monétaire et financier ou ne pas gagner du tout : c’est la logique du tout ou rien, qui explique l’anéantissement du partage de responsabilité imaginé par le tribunal de commerce.

Cette décision est-elle à l’abri de la critique ?

L’arrêt est rigoureux dans sa méthode, mais son appréciation de la négligence grave appelle plusieurs réserves.

D’abord, la cour reconnaît elle-même que le contexte diminuait la vigilance du salarié : panne signalée de longue date, relances écrites, attente d’un appel du service technique. Le fraudeur connaissait la personne concernée par le dysfonctionnement, sa ligne directe et la nature exacte du problème ; la fondation évoquait d’ailleurs, courriels à l’appui, un possible accès du fraudeur à des informations internes, et s’étonnait du rétablissement inexpliqué de moyens d’authentification défaillants au moment précis de la fraude. La cour constate cette étrangeté sans en tirer de conséquence probatoire, alors même que l’article L. 133-23 fait peser sur la banque la preuve de l’absence de déficience « technique ou autre ». Une lecture plus exigeante de ce texte aurait pu conduire à interroger la banque sur l’origine de la fuite d’informations et sur les conditions de ce rétablissement.

Ensuite, le standard de comportement appliqué au salarié est celui d’un professionnel aguerri de la sécurité bancaire, alors qu’il s’agissait d’un comptable d’une fondation sanitaire et sociale, placé dans un scénario que la cour qualifie elle-même de crédible. Juger que des doutes exprimés puis surmontés caractérisent la négligence grave revient à sanctionner précisément ceux qui ont eu la lucidité de douter : c’est une incitation paradoxale, car la manipulation réussie se reconnaît justement à ce qu’elle fait taire les doutes qu’elle suscite. D’autres juridictions se montrent plus attentives au caractère sophistiqué du stratagème pour écarter la négligence grave, à l’image de la jurisprudence qui refuse de retenir la négligence grave de l’entreprise victime d’une fraude au président par télécopie.

Enfin, le régime exclusif prive le débat judiciaire de toute discussion sur l’architecture de sécurité de la banque : l’absence de temporisation de l’activation des nouveaux bénéficiaires, déployée ailleurs et depuis généralisée dans l’esprit des textes européens sur la vérification du bénéficiaire, ne peut même plus être examinée. Le résultat est déséquilibré : les choix de sécurité de l’établissement échappent à tout contrôle dans l’instance où ils seraient les plus pertinents. La solution inverse, qui aboutit à la restitution intégrale lorsque la banque échoue dans la démonstration qui lui incombe, montre que le même régime peut produire des résultats opposés : nous l’avions commentée à propos d’une banque condamnée à restituer 100 % des fonds détournés, soit 329 255 euros avec intérêts.

La portée de l’arrêt doit donc être relativisée : c’est une décision d’espèce, construite sur deux circonstances singulières, les doutes exprimés par écrit puis surmontés, et l’usage du matériel d’authentification d’une collègue. Sans ces deux éléments, le scénario du faux technicien appelé de ses vœux par la victime plaide au contraire contre la négligence grave, dans la droite ligne de la jurisprudence de la Cour de cassation sur le spoofing, qui refuse de qualifier de gravement négligent le client dont la confiance a été captée par un stratagème crédible.

Quelles leçons pratiques pour les entreprises et associations ?

Pour les structures dotées de plusieurs utilisateurs habilités sur la banque en ligne, l’arrêt dessine en creux un référentiel de précautions dont la violation pourra être qualifiée de négligence grave :

Premièrement, aucun code, aucune manipulation de boîtier ou de carte ne doit jamais être effectué à la demande d’un interlocuteur téléphonique, quel qu’il soit : un technicien bancaire authentique n’a besoin ni des codes du client, ni de la validation d’opérations pour réaliser une maintenance. Deuxièmement, le matériel d’authentification est strictement personnel : l’usage de la carte d’un collègue, même pour rendre service, même sous la pression d’un prétendu technicien, constitue en soi un manquement aux conditions d’utilisation de l’instrument de paiement. Troisièmement, tout appel entrant se vérifie par un rappel au numéro officiel de l’agence ou du service, jamais au numéro affiché ni à celui communiqué par l’interlocuteur. Quatrièmement, le signalement à la banque doit intervenir sans tarder dès la découverte des opérations, conformément à l’article L. 133-17 ; la fondation l’avait fait dans les cinq jours, et ce point n’a pas été discuté.

Sur le terrain contentieux, l’affaire confirme une règle d’or : les écrits spontanés des premiers jours, courriels internes et plainte pénale, deviennent les pièces maîtresses du procès civil. Ici, la plainte a servi à corroborer la preuve technique de la banque, et les courriels du salarié ont fourni la matière de la négligence grave. Avant de rédiger le moindre récit des faits, la victime a tout intérêt à relire notre article sur la fraude bancaire et la plainte : la plainte n’est pas une condition du remboursement, et chaque mot doit y être pesé, en se limitant aux faits strictement nécessaires, sans auto-évaluation de sa propre vigilance.

Enfin, la qualification d’opération non autorisée retenue par l’arrêt reste un acquis précieux pour les victimes de fraudes au faux support : elle place le débat sur le terrain du remboursement de plein droit de l’article L. 133-18, où la banque supporte l’intégralité de la charge probatoire, comme le rappellent régulièrement les décisions favorables aux victimes de faux conseillers, telle la condamnation d’une banque à rembourser 32 580 euros de virements frauduleux initiés par un faux conseiller. Et lorsque la banque oppose un refus, le droit européen encadre strictement les justifications qu’elle peut avancer, comme l’a rappelé la Cour de justice de l’Union européenne dans son arrêt du 15 octobre 2026 sur les refus de remboursement.

Que retenir de l’arrêt du 26 février 2026 ?

Près de six ans après les faits, la fondation repart sans rien, alors même que les juges reconnaissent qu’elle n’a jamais autorisé les huit virements et que le contexte avait affaibli la vigilance de son salarié. L’arrêt de la cour d’appel de Lyon illustre jusqu’à la caricature la mécanique du contentieux des opérations non autorisées : une qualification protectrice, une méthode probatoire en deux temps favorable au client, mais une appréciation de la négligence grave qui peut tout emporter, et un régime exclusif qui interdit toute solution intermédiaire. Pour les entreprises, associations et fondations, la prévention interne n’est donc pas un luxe : c’est elle qui, le jour du procès, fera la différence entre un remboursement intégral et un rejet total. Et pour les victimes déjà confrontées à un refus de la banque, chaque dossier mérite un examen précis : la frontière entre la négligence grave et la prudence normale se joue dans les détails du stratagème, des écrits produits et de la preuve technique que la banque est, ou non, en mesure de rapporter.

Le cabinet LE BOT, avocat en droit bancaire à Paris, assiste les particuliers, entreprises, associations et fondations victimes de fraudes aux moyens de paiement dans leurs démarches de remboursement et leurs contentieux contre les banques.

FAQ — Fraude au faux technicien et remboursement bancaire