SMS « carte verrouillée » : pas de négligence grave, le Crédit Agricole doit rembourser 103 paiements frauduleux (CA Aix-en-Provence, 14 octobre 2026, n° 24/06840)

CA Aix-en-Provence, chambre 1-8, 14 octobre 2026, n° RG 24/06840

Que s’est-il passé dans cette affaire de fraude à la carte bancaire ?

Comment la fraude s’est-elle déroulée ?

Le titulaire d’un compte de dépôt ouvert depuis 2009 au Crédit Agricole Alpes Provence, client de la banque depuis plus de quinze ans, a subi entre le 16 et le 20 décembre 2022 une rafale de 103 opérations frauduleuses, pour un montant total de 7 356,42 euros.

Le détail est édifiant, car la banque avait détecté la fraude dès le premier jour :

Face au refus de remboursement de la banque, qui lui opposait sa prétendue négligence grave, le client l’a assignée le 19 juillet 2023 devant le pôle de proximité du tribunal judiciaire d’Aix-en-Provence.

Qu’avait décidé le premier juge ?

Par jugement du 14 mai 2024, le tribunal a condamné le Crédit Agricole Alpes Provence à rembourser 7 356,42 euros avec intérêts au taux légal à compter du 27 janvier 2023, à verser 1 000 euros de dommages et intérêts pour résistance abusive et 1 500 euros au titre de l’article 700 du code de procédure civile, et a ordonné la capitalisation des intérêts. Le premier juge a retenu qu’à défaut pour la banque d’avoir effectivement bloqué les paiements à compter du 16 décembre 2022, après sa propre alerte fraude annonçant le verrouillage des paiements à distance, aucune négligence grave ne pouvait être reprochée au client, qui pouvait penser que les paiements étaient bloqués.

La banque a fait appel le 29 mai 2024, demandant à la cour de constater la négligence grave du client, de le débouter de toutes ses demandes et même de le condamner à lui verser un euro symbolique en réparation d’une atteinte à sa réputation. L’arrêt du 14 octobre 2026, rendu en dernier ressort, confirme le jugement en toutes ses dispositions et y ajoute 2 000 euros au titre de l’article 700 en appel, outre les dépens.

Que dit le code monétaire et financier sur la fraude à la carte ?

La cour rappelle le socle légal applicable aux opérations de paiement non autorisées. L’article L. 133-18 du code monétaire et financier impose à la banque de rembourser au payeur le montant de l’opération non autorisée au plus tard à la fin du premier jour ouvrable suivant le signalement, et de rétablir le compte dans l’état où il se serait trouvé si l’opération n’avait pas eu lieu.

L’article L. 133-19 du même code organise la répartition des pertes : le payeur ne supporte aucune conséquence financière lorsque l’opération a été effectuée en détournant, à son insu, l’instrument de paiement ou les données qui lui sont liées ; il ne supporte les pertes que s’il a agi frauduleusement ou s’il a manqué intentionnellement ou par négligence grave à ses obligations de sécurité (préserver ses données personnalisées, article L. 133-16, et faire opposition sans tarder, article L. 133-17).

Qui doit prouver la négligence grave ?

C’est le pivot du régime : l’article L. 133-23 du code monétaire et financier précise que l’utilisation de l’instrument de paiement telle qu’enregistrée par la banque « ne suffit pas nécessairement en tant que telle » à prouver que l’opération a été autorisée ou que le payeur a commis une négligence grave, et que c’est à la banque de fournir des éléments prouvant la fraude ou la négligence grave de l’utilisateur.

La cour d’appel le reformule nettement : s’il appartient à l’utilisateur de préserver la sécurité de ses dispositifs personnalisés et d’informer sa banque sans tarder de toute utilisation non autorisée, c’est au prestataire de services de paiement qu’il incombe de prouver que l’utilisateur a agi frauduleusement ou a commis une négligence grave, et de prouver que l’opération a été authentifiée, dûment enregistrée et comptabilisée sans déficience technique. Cette double exigence probatoire est au cœur du contentieux actuel, comme nous l’expliquions à propos de la fraude par carte bancaire où la banque doit prouver l’authentification forte avant tout refus de remboursement.

Pourquoi la négligence grave a-t-elle été écartée ?

Les SMS de la banque créaient-ils une croyance légitime ?

Oui, et c’est le premier apport de l’arrêt. La banque reprochait au client une triple négligence : avoir communiqué des données confidentielles en amont de la fraude, s’être dépossédé de sa carte sans s’en apercevoir, et surtout ne pas avoir fait opposition sur-le-champ par le numéro dédié, alors que les SMS d’alerte l’invitaient à le faire.

La cour balaie l’argument en s’appuyant sur le contenu même des messages de la banque. Après chaque réponse du client confirmant la fraude, la banque lui écrivait que « suite à votre confirmation, votre carte est désormais verrouillée par sécurité ». Le client, qui n’a plus reçu de SMS après le 18 décembre, « pouvait légitimement penser, eu égard aux messages de la banque, qu’il avait été fait opposition à sa carte », avant de décider lui-même de procéder à cette opposition le 19 décembre.

Autrement dit, c’est la banque qui, par ses propres messages rassurants, a créé la situation qu’elle reproche ensuite à son client. On ne peut pas annoncer un verrouillage de sécurité et tirer argument, ensuite, de ce que le client s’y est fié.

La communication de données confidentielles suffit-elle à perdre le droit au remboursement ?

Non, et c’est le second apport, sans doute le plus remarquable. La cour juge qu’« il ne peut être retenu une négligence grave de sa part, quand bien même il aurait communiqué des données confidentielles en amont de la fraude et il aurait été flou dans ses déclarations concernant la détention de sa carte bancaire ».

Le raisonnement repose sur la causalité : les opérations litigieuses ont prospéré parce que l’opposition n’a pas été faite tout de suite, et cette absence d’opposition s’explique par la croyance légitime, entretenue par les SMS de la banque, que le blocage était déjà effectif. La faute éventuelle commise en amont (la communication de données) n’est donc pas la cause déterminante des pertes : c’est la défaillance du blocage annoncé qui l’est.

Cette approche causale rejoint un courant jurisprudentiel protecteur : les juges refusent de plus en plus de déduire mécaniquement la négligence grave d’un élément isolé, qu’il s’agisse de la trace informatique du code confidentiel, comme dans l’affaire du vol de carte bancaire à l’étranger où la trace informatique du code ne suffisait pas à établir une négligence grave, ou d’une réponse à un faux questionnaire de sécurité jugé non constitutif d’une négligence grave.

La cour neutralise au passage un autre angle d’attaque classique des banques : les variations du client dans ses déclarations (en possession de sa carte dans sa réclamation, carte volée dans sa plainte, détournement de données dans son assignation). Ces flottements, souvent exploités pour discréditer la victime, n’ont pas suffi à caractériser la négligence grave, car ils ne changent rien à la chaîne causale des pertes.

Que doit faire une banque alertée d’une fraude en cours ?

L’arrêt contient une formule qui fera date dans les dossiers de fraude à la carte : « Il est indéniable que dès le 16 décembre, la CAISSE REGIONALE DE CREDIT AGRICOLE MUTUEL ALPES PROVENCE était alertée et aurait dû se montrer particulièrement vigilante. »

La banque avait elle-même détecté l’anomalie : alerte fraude émise, opération annulée, paiements à distance annoncés comme verrouillés, deux confirmations de fraude par le client. Et pourtant, 103 opérations ont continué à être honorées pendant cinq jours. La cour en tire une exigence de vigilance renforcée à la charge de l’établissement une fois l’alerte donnée : le dispositif de sécurité ne peut pas se réduire à des SMS d’affichage sans blocage effectif derrière.

Ce standard de vigilance renforcée après alerte s’ajoute aux obligations techniques générales des banques issues des normes techniques de réglementation (RTS) complétant la DSP2 (authentification forte, surveillance des opérations, détection des schémas anormaux), un levier encore sous-utilisé que nous avons présenté dans notre analyse de l’argument tiré des RTS et de la DSP2 pour obtenir un remboursement. Une rafale de 103 opérations en cinq jours sur un compte aux habitudes paisibles est précisément le type de schéma que ces systèmes sont censés détecter.

Que gagne la victime en plus du remboursement ?

L’arrêt confirme l’intégralité des condamnations accessoires, et elles méritent l’attention :

D’abord, 1 000 euros de dommages et intérêts pour résistance abusive. La banque qui refuse de rembourser alors que sa propre alerte fraude et ses propres SMS documentaient la fraude ne défend pas une position juridique sérieuse : elle résiste abusivement. Les victimes peuvent donc, dans les cas les plus nets, obtenir une indemnisation complémentaire du préjudice causé par le refus lui-même.

Ensuite, la capitalisation des intérêts a été ordonnée : les intérêts au taux légal courant depuis le 27 janvier 2023 produisent eux-mêmes intérêts, ce qui compte sur une procédure de plus de trois ans.

Enfin, la banque supporte 1 500 euros d’article 700 en première instance, 2 000 euros en appel, et les dépens des deux instances. Sa demande reconventionnelle d’un euro symbolique pour atteinte à sa réputation, qui en dit long sur l’approche du dossier, a été rejetée.

Quelle est la portée pratique de cet arrêt pour les victimes ?

Trois enseignements concrets se dégagent :

D’abord, conservez tous les SMS et messages de votre banque. Dans cette affaire, ce sont les propres messages de l’établissement (« votre carte est désormais verrouillée par sécurité ») qui ont fondé la croyance légitime du client et fait tomber l’accusation de négligence grave. Captures d’écran et horodatages sont des pièces maîtresses.

Ensuite, la communication de données confidentielles en amont d’une fraude n’est pas une cause perdue : les juges examinent la cause réelle des pertes. Si la banque a annoncé un blocage qu’elle n’a pas exécuté, ou a laissé passer une rafale d’opérations anormales après avoir été alertée, sa propre défaillance prend le dessus dans l’analyse. Sur un terrain voisin, la jurisprudence rappelle que l’utilisation du code confidentiel ne prouve pas à elle seule que le titulaire a autorisé le paiement.

Enfin, ne vous laissez pas impressionner par l’argument des « déclarations contradictoires ». Les victimes de fraude, sous le choc, décrivent souvent les faits de manière approximative avant d’en comprendre le mécanisme. Cet arrêt montre que ces flottements ne condamnent pas le dossier ; mieux vaut toutefois les éviter en s’en tenant, dès le départ, aux faits bruts.

Comment réagir face à des paiements par carte frauduleux ?

Les bons réflexes : faire opposition vous-même, sans attendre et sans vous fier aux seuls messages automatiques de la banque, par le numéro dédié ou l’application, en conservant la preuve de l’appel ou de la démarche ; signaler par écrit les opérations contestées et demander le remboursement sur le fondement de l’article L. 133-18 du code monétaire et financier (le signalement doit intervenir au plus tard dans les treize mois suivant le débit, article L. 133-24) ; puis, en cas de refus, adresser une mise en demeure qui fera courir les intérêts.

Le dépôt d’une plainte pénale n’est pas une condition du remboursement : le régime des opérations non autorisées s’applique indépendamment de toute procédure pénale, et la banque ne peut pas exiger une plainte pour traiter la contestation. Si vous choisissez de porter plainte, tenez-vous-en aux faits strictement nécessaires (dates, montants, opérations contestées), sans hypothèses sur le mode opératoire ni commentaires sur votre propre comportement : cette affaire illustre combien la moindre variation de version est ensuite exploitée par la banque. Nous détaillons ces précautions dans notre article Fraude bancaire : que dire et ne pas dire à sa banque et dans sa plainte.

Que retenir de l’arrêt du 14 octobre 2026 ?

Cet arrêt consacre une double exigence de cohérence à la charge des banques. Cohérence des messages, d’abord : l’établissement qui annonce à son client que sa carte est verrouillée ne peut pas lui reprocher ensuite de ne pas avoir fait opposition sur-le-champ. Cohérence des actes, ensuite : une banque qui détecte une fraude, annule une opération et promet un blocage doit bloquer réellement, faute de quoi elle répond des 103 opérations qu’elle a laissées passer.

Pour les victimes, le message est encourageant : ni la communication de données confidentielles en amont, ni des déclarations maladroites pendant la crise ne suffisent à caractériser une négligence grave, dès lors que la cause déterminante des pertes réside dans la défaillance du dispositif de sécurité de la banque. Et lorsque le refus de rembourser confine à l’obstination, la résistance abusive se paie.

Le cabinet LE BOT Avocat, avocat en droit bancaire à Paris, accompagne les particuliers et les entreprises victimes de fraude à la carte bancaire et d’opérations non autorisées dans leurs démarches contre les banques, de la contestation écrite à la procédure judiciaire.

FAQ — Questions fréquentes