Secur’Pass ne prouve pas l’authentification forte : la Caisse d’Épargne condamnée à rembourser 9 000 € (CA Paris, 29 octobre 2026, n° 25/16092)

CA Paris, pôle 4, chambre 9-A, 29 octobre 2026, n° RG 25/16092

Que s’est-il passé dans cette affaire de paiements contestés ?

Quels étaient les paiements contestés ?

Le titulaire d’un compte ouvert à la Caisse d’Épargne et de Prévoyance Île-de-France disposait d’une carte bancaire à débit différé. Le 29 juin 2023, un paiement par carte de 5 000 euros a été enregistré sur son compte au profit de « Admiralmarkets.com ». Le 13 juillet 2023, un second paiement de 4 000 euros a été enregistré au profit du même bénéficiaire.

Le 2 août 2023, en constatant que l’encours de sa carte était anormalement élevé, le client a découvert ces deux règlements dont il contestait être l’auteur, sans pour autant avoir été dépossédé de sa carte bancaire. Il a adressé le jour même une réclamation à sa banque par l’application en ligne, puis a déposé plainte le lendemain, 3 août 2023.

La banque a refusé tout remboursement en invoquant la validation des opérations au moyen des données de sécurité personnalisées de son client, plus précisément via le dispositif d’authentification forte Secur’Pass associé, selon elle, à son iPhone enregistré comme appareil de confiance. Une mise en demeure est restée vaine le 28 décembre 2023, et le client a assigné la banque le 23 mai 2024 devant le pôle civil de proximité du tribunal judiciaire de Paris.

Qu’avait décidé le juge de première instance ?

Par jugement du 3 juillet 2025, le pôle civil de proximité du tribunal judiciaire de Paris avait débouté le client de l’ensemble de ses demandes. Le premier juge avait considéré que la banque démontrait que les paiements litigieux avaient été validés au moyen du dispositif d’authentification forte, de sorte que le client « ne justifiait pas de leur caractère frauduleux ». Il l’avait en outre condamné aux dépens et à verser 1 000 euros à la banque au titre de l’article 700 du code de procédure civile.

Cette motivation portait en germe un renversement de la charge de la preuve : ce n’est jamais au payeur de démontrer la fraude, c’est à la banque d’établir la régularité technique de l’opération puis, le cas échéant, la faute de son client. C’est précisément ce que l’appelant soutenait devant la cour, et c’est sur ce terrain que le jugement a été infirmé.

Que dit le code monétaire et financier sur les opérations non autorisées ?

Le régime applicable est d’ordre public et résulte de la transposition de la directive sur les services de paiement (DSP2). La cour d’appel en rappelle méthodiquement l’architecture, des articles L. 133-3, L. 133-6 et L. 133-7 du code monétaire et financier (le caractère autorisé d’une opération dépend du consentement du payeur, donné dans la forme convenue) jusqu’aux articles L. 133-18 et L. 133-19 (remboursement des opérations non autorisées) et L. 133-23 (charge de la preuve).

Qu’est-ce que l’authentification forte ?

L’article L. 133-44 du code monétaire et financier impose à la banque d’appliquer l’authentification forte lorsque le payeur accède à son compte en ligne, initie une opération de paiement électronique ou exécute une opération par un moyen de communication à distance susceptible de comporter un risque de fraude.

Le dispositif Secur’Pass de la Caisse d’Épargne s’inscrit dans ce cadre : la banque exposait qu’il ne peut être associé qu’à un seul appareil de confiance, en l’occurrence l’iPhone du client, et que chaque opération sensible est validée par la saisie d’un code à 4 chiffres sur cet appareil. Sur le papier, l’architecture combine donc bien la connaissance (le code) et la possession (le téléphone enregistré). Toute la question était de savoir si la banque prouvait que ce schéma avait réellement fonctionné pour les deux opérations contestées.

Qui doit prouver quoi en cas de contestation ?

L’article L. 133-23 du code monétaire et financier organise un double verrou probatoire, que la cour restitue en deux temps :

Ce mécanisme n’a rien de théorique : il est au cœur d’un contentieux nourri, dans lequel les juridictions du fond exigent de plus en plus souvent des banques une preuve technique complète, comme nous l’analysions déjà à propos de la fraude par carte bancaire où la banque doit prouver l’authentification forte avant tout refus de remboursement ou encore de l’arrêt de la cour d’appel de Besançon jugeant que la banque ne peut pas refuser le remboursement par de simples présomptions.

Pourquoi la preuve de la banque a-t-elle été jugée insuffisante ?

Que manquait-il dans le journal des connexions ?

La banque versait aux débats le listing des connexions à l’espace de banque à distance. La cour en fait une lecture minutieuse, et le constat est sévère. Lorsque l’opération est réalisée au moyen du dispositif Secur’Pass, le listing ne comprend que très peu de mentions : les colonnes habituellement renseignées (identifiant abonné, type de connexion, système d’exploitation, mode d’exploitation, « information Device » désignant le matériel, adresse IP, port source, fournisseur d’accès, pays) sont vierges.

Pour les deux opérations litigieuses au profit d’admiralmarkets.com (la validation du paiement de 5 000 euros le 29 juin 2023 à 00:23:28 et celle du paiement de 4 000 euros le 13 juillet 2023 à 13:34:43), le listing n’indique ni par quel appareil ni avec quelle adresse IP le Secur’Pass a été activé. Impossible, donc, de rattacher la validation au fameux iPhone de confiance dont la banque faisait pourtant un argument central.

Le code confidentiel suffit-il à prouver l’authentification forte ?

Non, et c’est l’apport le plus net de l’arrêt. Seule apparaissait dans le listing l’utilisation du code PIN personnel du client, « ce qui correspond à un élément de connaissance et rien qui puisse être rattaché à la possession ou à l’inhérence ». Autrement dit, la banque ne prouvait qu’un seul des deux facteurs minimum exigés par l’article L. 133-4, f du code monétaire et financier.

La cour souligne que « la seule mention de l’utilisation du Securpass », qui semblait suffire à la Caisse d’Épargne, « est insuffisante en cas de contestation ». Rien dans le listing ne permettait de considérer que le code et le Secur’Pass avaient bien été activés depuis le téléphone de confiance du client. Dès lors, rien ne permettait de considérer que l’opération avait été valablement enregistrée et validée. Cette exigence s’inscrit dans la droite ligne d’une jurisprudence constante selon laquelle l’utilisation du code confidentiel ne prouve pas, à elle seule, que le titulaire a autorisé le paiement.

Quelles anomalies ont fragilisé le dossier de la banque ?

Deux incohérences internes au propre listing de la banque ont achevé de ruiner sa démonstration, et la cour les relève avec un soin particulier :

Première anomalie : le listing fait apparaître, outre les deux opérations litigieuses, une troisième opération de 5 000 euros au profit d’admiralmarkets.com, le 12 juillet 2023 à 18:19:12, qui apparaît avoir été validée comme les autres mais « qui ne se retrouve curieusement pas sur les comptes » du client. Une opération validée mais introuvable en comptabilité : voilà qui interroge frontalement la fiabilité de l’enregistrement et de la comptabilisation, deux exigences expresses de l’article L. 133-23.

Seconde anomalie : le 3 juillet 2023 à 16:45:11, une opération a été validée par Secur’Pass depuis un téléphone Android, avec la mention OK, alors que le même listing ne mentionne aucun changement de téléphone de confiance et que la banque affirmait que le Secur’Pass ne peut être activé que depuis l’iPhone de confiance. La cour relève que c’est « pour le moins curieux » : soit le dispositif n’est pas aussi verrouillé que la banque le prétend, soit le journal est défaillant. Dans les deux cas, la possibilité d’une déficience technique ou d’une compromission ne pouvait pas être écartée.

La conclusion tombe logiquement : il n’apparaît pas possible de considérer que la banque démontre que ce sont bien les données d’authentification forte de l’utilisateur qui ont été utilisées et qu’il n’y a pas eu de défaillance technique. Le premier volet de la preuve n’étant pas rempli, le remboursement s’imposait. On retrouve ici le raisonnement déjà appliqué au même dispositif dans l’affaire où la banque a été condamnée à rembourser malgré la validation Secur’Pass.

La cohérence des habitudes du client remplace-t-elle la preuve technique ?

La banque avait construit un second axe de défense, plus contextuel : les opérations contestées s’inscriraient dans un comportement financier cohérent. Elle relevait que le compte avait été crédité de 8 000 euros le 29 juin 2023, mobilisés le jour même pour un paiement non contesté de 3 846 euros et pour la première opération litigieuse ; que le client avait relevé le plafond de sa carte à 12 000 euros le 12 juillet 2023, opération nécessitant une authentification forte ; qu’il avait ordonné le même jour un virement non contesté de 5 000 euros vers une plateforme d’investissement ; et qu’il avait poursuivi ensuite une activité bancaire normale.

Elle ajoutait que le bénéficiaire, Admiral Markets, est une société de trading en ligne réelle, exploitant le site admiralmarkets.com, à ne pas confondre avec un site homonyme présenté comme frauduleux. Le client objectait de son côté qu’il n’effectue pas de placements à risque, que ses débits mensuels par carte étaient habituellement très modestes au regard des montants litigieux, et que plusieurs mentions du listing étaient incohérentes avec ses équipements et son fournisseur d’accès.

La cour ne s’attarde pas sur ce débat contextuel, et c’est une leçon en soi : la vraisemblance économique d’une opération ne dispense pas la banque de la preuve technique exigée par l’article L. 133-23. Un faisceau d’indices comportementaux ne remplace ni l’identification de l’appareil, ni l’adresse IP, ni la démonstration de l’absence de déficience technique. Le texte ne connaît qu’une seule hiérarchie : d’abord la preuve de l’authentification régulière, ensuite, le cas échéant, celle de la fraude ou de la négligence grave.

Pourquoi aucune négligence grave n’a-t-elle été retenue ?

Le second volet de l’article L. 133-23 n’offrait pas davantage de secours à la banque : aucune fraude ou négligence grave du client n’était « établie ni même induite par les éléments produits ». Le client n’avait pas été dépossédé de sa carte, n’avait communiqué aucune donnée de sécurité et aucun scénario de manquement à ses obligations de prudence n’était documenté.

La cour prend soin de répondre à une objection implicite : le délai entre les opérations (29 juin et 13 juillet 2023) et le signalement (2 août 2023). Elle relève que le client a « rapidement prévenu sa banque », en observant que, du fait du caractère différé du débit de sa carte, le premier paiement contesté n’est apparu que sur le relevé édité le 26 juillet 2023. L’obligation d’information sans tarder de l’article L. 133-17 du code monétaire et financier court à compter de la connaissance effective de l’opération, pas de sa date d’enregistrement : le relevé mensuel étant le premier vecteur d’information du titulaire d’une carte à débit différé, le signalement intervenu dans la semaine suivant son édition était parfaitement diligent.

Sur ce point, l’arrêt complète utilement la jurisprudence qui refuse de déduire la négligence grave de la seule trace informatique d’utilisation du code, y compris lorsque la carte elle-même a été utilisée, comme l’avait déjà jugé la même cour d’appel à propos d’un vol de carte bancaire à l’étranger où la trace informatique du code confidentiel ne suffisait pas à établir une négligence grave.

Quelle est la portée pratique de cet arrêt pour les victimes ?

L’arrêt du 29 octobre 2026 est riche d’enseignements concrets pour toute personne confrontée à un refus de remboursement :

D’abord, il confirme que le juge doit examiner la qualité intrinsèque des journaux produits par la banque. Des colonnes vides, des horodatages orphelins, une opération validée qui ne se retrouve pas en comptabilité, un appareil inconnu : chacune de ces failles suffit à faire échouer la preuve de l’authentification. Les victimes et leurs conseils ont donc tout intérêt à disséquer ligne par ligne les listings de connexion, qui se révèlent souvent, comme ici, l’arme la plus efficace contre la banque qui les produit.

Ensuite, il rappelle que l’invocation d’un dispositif commercial (Secur’Pass, Certicode, 3D Secure ou autre) ne vaut pas preuve : ce qui compte, c’est la démonstration, pour chaque opération contestée, que deux facteurs indépendants ont été réunis depuis l’appareil enrôlé, sans déficience technique. À défaut, le remboursement est dû, quelle que soit la sophistication alléguée du système.

Enfin, au-delà du terrain probatoire, les obligations techniques des banques issues des normes techniques de réglementation (RTS) complétant la DSP2 (authentification forte, surveillance des opérations, détection des anomalies) constituent un levier encore sous-utilisé par les victimes, que nous avons détaillé dans notre analyse de l’intelligence artificielle des banques comme argument de remboursement fondé sur les RTS et la DSP2.

Comment contester efficacement une opération non autorisée ?

La première démarche consiste à signaler l’opération à sa banque sans tarder, dès sa découverte, par un canal laissant une trace écrite (messagerie sécurisée de l’application, lettre recommandée). Le signalement doit intervenir au plus tard dans les treize mois suivant le débit (article L. 133-24 du code monétaire et financier). En cas de refus, une mise en demeure circonstanciée fera courir les intérêts, comme en l’espèce où ils courent depuis le 28 décembre 2023.

Le dépôt d’une plainte pénale n’est en revanche pas du tout obligatoire pour obtenir le remboursement : le régime des articles L. 133-18 et suivants du code monétaire et financier s’applique indépendamment de toute procédure pénale, et une banque ne peut pas subordonner le remboursement à la production d’un dépôt de plainte. Si la victime choisit néanmoins de porter plainte, elle doit en dire le moins possible : relater les faits bruts (dates, montants, opérations contestées), sans hypothèses sur le mode opératoire ni commentaires sur sa propre attitude, qui pourraient être exploités contre elle. Nous détaillons ces précautions essentielles dans notre article Fraude bancaire : que dire et ne pas dire à sa banque et dans sa plainte.

Que retenir de l’arrêt du 29 octobre 2026 ?

Cet arrêt de la cour d’appel de Paris est une application exemplaire, et particulièrement pédagogique, du régime probatoire des opérations de paiement non autorisées. Il réaffirme que la banque qui refuse un remboursement doit produire une preuve technique complète : identification de l’appareil, adresse IP, démonstration de la réunion de deux facteurs indépendants, cohérence parfaite entre le journal d’authentification et la comptabilité du compte. La simple invocation d’un dispositif d’authentification forte maison, fût-il baptisé Secur’Pass, ne franchit pas ce seuil.

Il rappelle aussi qu’un jugement qui reproche au client de ne pas « justifier du caractère frauduleux » des opérations inverse la charge de la preuve, en contradiction frontale avec l’article L. 133-23 du code monétaire et financier. Les victimes déboutées en première instance sur ce fondement ont tout intérêt à faire examiner leur dossier en appel.

Le cabinet LE BOT Avocat, avocat en droit bancaire à Paris, accompagne les particuliers et les entreprises victimes d’opérations de paiement non autorisées dans leurs démarches contre les banques, de la contestation amiable à la procédure judiciaire.

FAQ — Questions fréquentes