Preuve de l’authentification forte insuffisante : la BRED condamnée à rembourser 5 500 euros – CA Paris, Pôle 5 ch. 6, 1er avril 2026, n° RG 24/15478 (infirmant TJ Paris, 9e ch. 2e sect., 3 juillet 2024, n° RG 23/08046)

Cour d’appel de Paris, Pôle 5 – Chambre 6, 1er avril 2026, n° RG 24/15478 (infirmant Tribunal judiciaire de Paris, 9e chambre 2e section, 3 juillet 2024, n° RG 23/08046)

Les faits : un virement de 5 500 euros passé à l’insu du client

Une fraude nocturne et une contestation immédiate

Tout commence le soir du 16 mars 2021. À 22 heures et 48 minutes, un virement de 5 500 euros est exécuté depuis l’espace bancaire en ligne d’un particulier, client de la BRED Banque Populaire, au profit d’un tiers qu’il affirme ne pas connaître. L’opération a lieu en pleine nuit, à une heure inhabituelle pour ce type d’opération, et s’inscrit dans une séquence particulièrement troublante : le relevé de traces informatiques produit par la banque révèle que quatre opérations distinctes ont été réalisées en moins d’une minute, dont ce virement serait la première, à 22h48 et 28 secondes.

Dès le 18 mars 2021, soit deux jours après les faits, le client réagit. Il se rend au commissariat de son lieu de résidence pour déposer plainte du chef d’usage frauduleux d’un numéro de compte bancaire. Il conteste formellement avoir autorisé ce virement et déclare ne pas connaître le bénéficiaire. Parallèlement, il sollicite sa banque en vue d’obtenir le remboursement des sommes débitées à son insu.

Mais la BRED Banque Populaire refuse. Sa position est ferme : l’opération aurait été réalisée après une authentification forte depuis l’espace en ligne du client, protégé par deux codes d’identification personnels. Pour la banque, si quelqu’un a pu se connecter, c’est nécessairement parce que le client a divulgué ses identifiants — ce qui constituerait une négligence grave l’empêchant d’obtenir remboursement.

La première instance : le client débouté à tort

N’obtenant aucune satisfaction de sa banque, le client assigne la BRED Banque Populaire devant le Tribunal judiciaire de Paris en juin 2023. Par jugement du 3 juillet 2024, le tribunal le déboute de l’ensemble de ses demandes et le condamne en prime à payer 1 500 euros à la banque au titre des frais de procédure. C’est une double peine pour la victime.

Le client relève appel de cette décision dès le 24 août 2024. Dans ses conclusions, il reproche notamment au tribunal de s’être fondé sur des éléments qui n’avaient pas été soumis au débat contradictoire — en particulier le fait que le service BRED Secure n’aurait pas été préalablement activé sur son téléphone et que son numéro n’y figurait pas — ce qu’il conteste par ailleurs formellement. Il soutient également que le jugement procède par affirmations et extrapolations, sans que la banque n’ait véritablement prouvé l’authentification forte de l’opération.

Quel est le cadre légal protégeant les victimes de virements frauduleux ?

Qu’est-ce qu’une opération de paiement non autorisée ?

Le Code monétaire et financier pose une définition simple mais fondamentale à son article L. 133-6 : une opération de paiement n’est autorisée que si le payeur a donné son consentement à son exécution. En l’absence de consentement, l’opération est réputée non autorisée, quelle que soit la technique employée pour la réaliser.

Cette notion est centrale car elle conditionne l’ensemble du régime de protection du client : si l’opération est non autorisée, c’est la banque qui en supporte le risque financier, sauf exceptions strictement encadrées par la loi.

Le principe de remboursement immédiat (article L. 133-18 CMF)

L’article L. 133-18 alinéa 1 du Code monétaire et financier est l’un des textes les plus protecteurs pour les consommateurs en matière bancaire. Il impose à la banque de rembourser au payeur le montant de toute opération non autorisée immédiatement après avoir eu connaissance de l’opération, et au plus tard à la fin du premier jour ouvrable suivant sa notification. La banque ne peut s’y soustraire que si elle a de bonnes raisons de soupçonner une fraude de l’utilisateur lui-même — et dans ce cas, elle doit en informer la Banque de France par écrit.

La charge de la preuve : une règle favorable au client (article L. 133-23 CMF)

L’article L. 133-23 du Code monétaire et financier est l’autre pilier de la protection du consommateur en matière de fraude bancaire. Il énonce avec clarté que lorsqu’un client nie avoir autorisé une opération, il incombe à son prestataire de services de paiement de prouver que l’opération en question a été authentifiée, dûment enregistrée et comptabilisée, et qu’elle n’a pas été affectée par une déficience technique ou autre.

Le texte va plus loin encore en précisant expressément que la seule utilisation de l’instrument de paiement telle qu’elle est enregistrée par la banque ne suffit pas, à elle seule, à prouver que l’opération a été autorisée par le payeur ou que celui-ci n’a pas fait preuve de négligence grave. C’est une règle de bon sens : le fait qu’une connexion ait eu lieu techniquement ne prouve pas que c’est bien le titulaire du compte qui en est à l’origine.

Enfin, l’article L. 133-19 IV du même code prévoit que le client ne supporte les pertes que s’il a lui-même agi frauduleusement, ou s’il n’a pas satisfait intentionnellement ou par négligence grave à ses obligations de sécurité. Et l’article L. 133-19 V ajoute que, faute pour la banque d’avoir exigé une authentification forte, le payeur ne supporte aucune conséquence financière de l’opération non autorisée — sauf agissements frauduleux de sa propre part.

Comment la Cour d’appel a-t-elle raisonné pour condamner la BRED ?

Un quasi-aveu de la banque dans ses propres écritures

L’un des éléments les plus saisissants de cet arrêt tient dans la façon dont la Cour a utilisé les propres arguments de la BRED contre elle. En effet, la banque avait elle-même écrit dans ses conclusions que « le fraudeur n’a pu accéder à l’espace personnel de M. [P] ». En utilisant expressément le terme « fraudeur », la banque reconnaissait implicitement que l’opération n’avait pas été initiée par le titulaire du compte lui-même. La Cour d’appel n’a pas manqué de relever ce quasi-aveu : si c’est bien un fraudeur qui a agi, alors le client n’a pas lui-même autorisé les opérations effectuées depuis son espace personnel.

Cet élément, combiné au fait constant que l’opération avait été réalisée depuis un autre téléphone que celui du client — enregistré sur le compte dans les minutes précédant le virement — a permis à la Cour de conclure sans ambiguïté que le virement de 5 500 euros était une opération non autorisée au sens des dispositions légales.

Un relevé de traces informatiques insuffisant pour prouver l’authentification forte

La BRED avait produit un relevé de traces informatiques censé démontrer que l’ordre de virement avait été passé dans le respect de la procédure d’authentification forte. La Cour d’appel a soumis ce document à un examen rigoureux — et il n’a pas résisté à cet examen.

Il ressort de ce relevé que l’ordre de virement litigieux a été passé le 16 mars 2021 à 22 heures et 48 minutes depuis l’espace en ligne du client^*. Cependant, bien que la banque ait affirmé que cet ordre avait été passé selon la procédure de l’authentification forte associant l’identifiant et le mot de passe du payeur, le relevé présentait plusieurs lacunes décisives identifiées par les magistrats :

La Cour a donc conclu que la banque ne rapportait pas la preuve que le virement litigieux était une opération authentifiée, dûment enregistrée et comptabilisée, et non affectée d’une déficience technique ou d’une autre nature. La conséquence est directe et imparable : par application de l’article L. 133-18 du Code monétaire et financier, la BRED était tenue de rembourser les 5 500 euros.

Et la Cour ajoute un point crucial : ce remboursement est dû sans qu’il y ait lieu de rechercher la fraude ou la négligence du client. Autrement dit, dès lors que la banque n’a pas satisfait à son obligation de preuve sur l’authentification, la question de la faute du client ne se pose même plus. C’est l’étape préalable à franchir, et la BRED l’avait manquée.

La négligence grave du client : un argument rejeté faute de preuve

La BRED avait également tenté de se dégager de sa responsabilité en invoquant la négligence grave du client, arguant qu’il avait nécessairement communiqué ses données confidentielles à un tiers, ce qui aurait permis l’exécution du virement frauduleux. Cet argument, fréquemment utilisé par les banques dans ce type de litige, n’a pas non plus convaincu la Cour.

La Cour rappelle ici la hiérarchie logique imposée par les textes : c’est à la banque de fournir des éléments afin de prouver la fraude ou la négligence grave commise par l’utilisateur (article L. 133-23 alinéa 3 CMF). Affirmer péremptoirement que le client a forcément communiqué ses codes ne constitue pas une preuve. La BRED n’avait produit aucun élément concret démontrant que le client avait, par exemple, répondu à un message de phishing, communiqué ses identifiants lors d’un appel téléphonique frauduleux, ou encore cédé à un chantage. Simple affirmation ne valant pas preuve, cet argument a été écarté.

Les clauses contractuelles de la banque peuvent-elles faire obstacle au remboursement ?

L’inopposabilité des conditions générales aux particuliers

La BRED s’était également retranchée derrière ses conditions générales de contrat, qui stipulaient que les enregistrements informatiques générés et conservés par la banque constituaient la preuve que les opérations avaient été effectuées par l’abonné et lui étaient imputables. Sur cette base, elle soutenait que la preuve du consentement du client était rapportée par les seuls enregistrements de ses serveurs.

La Cour d’appel a écarté cet argument avec clarté et fermeté, en s’appuyant sur l’article L. 133-2 du Code monétaire et financier. Ce texte prévoit que lorsque l’utilisateur des services de paiement est une personne physique agissant pour des besoins non professionnels — c’est-à-dire un consommateur ordinaire —, les dispositions protectrices du Code monétaire et financier ne peuvent pas être contournées par voie contractuelle. Les articles L. 133-23 et L. 133-18, notamment, sont d’ordre public à l’égard des consommateurs.

En d’autres termes, une banque ne peut pas se fabriquer unilatéralement une preuve opposable au client en insérant dans ses conditions générales une clause selon laquelle ses propres enregistrements informatiques font foi. Une telle clause, pour séduisante qu’elle soit du point de vue de la banque, se heurte à un plafond légal infranchissable lorsque le cocontractant est un consommateur.

Quelles sont les limites de cette victoire judiciaire ?

Pas d’indemnisation pour préjudice moral : un régime exclusif

Si la Cour d’appel a accordé au client le remboursement des 5 500 euros frauduleusement débités, elle a en revanche rejeté sa demande d’indemnisation pour préjudice moral, évaluée à 4 000 euros. Ce rejet peut surprendre, mais il repose sur une jurisprudence désormais bien établie de la Cour de cassation.

En effet, lorsque la responsabilité d’un prestataire de services de paiement est mise en cause en raison d’une opération non autorisée ou mal exécutée, le régime applicable est exclusivement celui défini aux articles L. 133-18 à L. 133-24 du Code monétaire et financier — qui transposent la directive européenne 2007/64/CE — à l’exclusion de tout régime de responsabilité de droit commun. La Cour d’appel cite à cet égard plusieurs arrêts récents de la chambre commerciale de la Cour de cassation : 27 mars 2024 (n° 22-21.200), 2 mai 2024 (n° 22-18.074), 15 janvier 2025 (n° 23-13.579 et n° 23-15.437).

Le message est clair : on ne peut pas obtenir en plus, sur le fondement du droit commun de la responsabilité civile, des dommages-intérêts pour préjudice moral. Le régime spécial du CMF absorbe tout. La seule exception serait que les parties aient expressément prévu dans leur contrat une indemnité complémentaire — ce qui n’était pas le cas en l’espèce.

Les intérêts majorés inapplicables pour les faits antérieurs au 18 août 2022

Le client avait également sollicité l’application des intérêts majorés prévus par l’article L. 133-18 alinéa 3 du Code monétaire et financier, dans sa rédaction issue d’une réforme récente. La Cour a également rejeté cette demande, pour une raison purement chronologique : les dispositions sur les intérêts majorés ne sont entrées en vigueur que le 18 août 2022, soit postérieurement aux faits litigieux du 16 mars 2021. La loi pénale — ou en l’occurrence la loi plus favorable au consommateur — ne s’applique pas rétroactivement aux opérations antérieures à son entrée en vigueur.

Le client obtient donc les intérêts au taux légal, mais à compter de la date de l’assignation du 6 juin 2023 seulement — et non de la date du virement frauduleux. Un point à garder en tête pour tous ceux qui envisagent d’agir contre leur banque : agir vite permet de faire courir les intérêts plus tôt.

Que faire concrètement si vous êtes victime d’un virement frauduleux ?

Cette affaire illustre bien les étapes à suivre pour maximiser ses chances d’obtenir remboursement. L’issue favorable tient pour une bonne part à la réactivité du client et à la solidité de son dossier. Voici les réflexes à adopter sans attendre.

L’affaire commentée montre aussi l’importance de la persévérance : débouté en première instance, le client a eu raison de faire appel. La Cour d’appel a rectifié une analyse insuffisante du tribunal en appliquant rigoureusement les textes protecteurs. Ne pas se décourager face à un premier rejet, c’est parfois la condition du succès.

Conclusion

L’arrêt de la Cour d’appel de Paris du 1er avril 2026 s’inscrit dans un mouvement jurisprudentiel protecteur qui renforce constamment les droits des victimes de fraude bancaire. Sa portée est double. D’un côté, il rappelle avec netteté que la preuve de l’authentification forte n’est pas un simple formalisme : elle doit être complète, précise et réelle. Un relevé de traces incomplet, qui ne mentionne ni le téléphone utilisé, ni l’adresse IP, ni aucune procédure d’enrôlement d’un nouvel appareil, ne satisfait pas aux exigences légales. De l’autre, il confirme que les clauses contractuelles par lesquelles les banques tentent de faire peser sur le client la charge de la preuve sont inopposables aux consommateurs.

Pour les victimes de virements frauduleux, le message est encourageant : la loi est de leur côté, à condition de contester rapidement, de constituer un dossier solide et de ne pas hésiter à recourir à la voie judiciaire si la banque maintient abusivement son refus de remboursement. Pour les banques, l’arrêt constitue un avertissement clair : le simple fait d’invoquer une connexion réussie sur l’espace en ligne d’un client ne suffit plus à se dégager de toute responsabilité. Le standard de preuve est élevé, et il incombe entièrement à l’établissement bancaire.

Si vous vous trouvez dans une situation similaire — virement non autorisé, refus de remboursement de votre banque, ou réponse insatisfaisante —, les équipes de lebot-avocat.com, spécialisées en droit bancaire, sont à votre disposition pour analyser votre dossier et vous accompagner dans les démarches les plus adaptées à votre situation.

FAQ — Questions fréquentes