Spoofing : la banque doit rembourser, ses logs ne prouvent rien (CA Montpellier, 4 juin 2026, n° 25/03261)

CA Montpellier, 4e ch. civ., 4 juin 2026, n° RG 25/03261

Que s’est-il passé : un faux service antifraude au bout du fil ?

Les faits sont d’une banalité désarmante, et c’est précisément ce qui les rend dangereux. Un couple de clients de la Banque Populaire du Sud (exploitant l’enseigne Banque Dupuy de Parseval) reçoit, en septembre 2023, l’appel d’une personne se présentant comme le service des fraudes de leur banque. Détail décisif : le nom de la banque s’affiche sur le téléphone du mari. Techniquement, l’escroc a usurpé l’identité téléphonique de l’établissement, un procédé connu sous le nom de spoofing.

Convaincu d’échanger avec son banquier, le client suit les instructions de son interlocuteur et valide, sur son terminal habituel, une opération par carte bancaire au profit d’un marchand en ligne (un achat de 1 590,52 euros auprès d’E-Dreams, contesté par la suite). Ayant compris la supercherie, les époux se rendent sans tarder à leur agence pour contester l’opération et demandent le remboursement. La banque refuse. Aucune solution amiable n’est trouvée, et les époux déposent plainte pour escroquerie.

Par acte du 22 mai 2024, ils assignent la Banque Populaire du Sud devant le tribunal judiciaire de Montpellier. Le 29 avril 2025, le juge des contentieux de la protection leur donne raison : la banque est condamnée à rembourser 1 590,52 euros, avec intérêts au taux légal majorés de 15 points à compter du 13 octobre 2023, à verser 500 euros de dommages et intérêts pour préjudice moral et 1 800 euros au titre de l’article 700 du code de procédure civile.

La banque fait appel. Mal lui en prend : par son arrêt du 4 juin 2026, la cour d’appel de Montpellier confirme le jugement en toutes ses dispositions et y ajoute 2 500 euros au titre des frais de procédure d’appel.

Pourquoi une opération validée par le client reste-t-elle non autorisée ?

C’est le point juridique central de l’arrêt. En apparence, le client a « validé » l’opération sur son application : la banque en déduisait qu’il l’avait autorisée. Le raisonnement est trop court. En droit des services de paiement, une opération n’est autorisée que si le payeur a donné son consentement à son exécution, dans la forme convenue avec son prestataire (articles L. 133-6 et L. 133-7 du code monétaire et financier). Or un consentement extorqué par un stratagème n’est pas un consentement.

La cour d’appel de Montpellier reprend expressément la distinction désormais posée par la Cour de cassation entre deux situations qu’il ne faut jamais confondre :

l’opération non autorisée, lorsque l’utilisateur n’a pas consenti au paiement, soit parce qu’il n’en a jamais eu l’intention, soit parce qu’il a été victime d’un stratagème, tel le spoofing ou la fraude au faux conseiller ;

et l’opération autorisée, lorsque l’utilisateur a expressément ordonné le paiement vers un compte qu’il pensait légitime, parfois à la suite d’une manipulation, comme dans certaines fraudes dites « au président ».

En l’espèce, les époux n’ont jamais eu l’intention d’effectuer le moindre paiement par carte au profit du marchand en ligne. Le premier juge avait donc correctement identifié le régime applicable : celui des opérations non autorisées. La cour confirme ce cadre d’analyse, qui commande toute la suite du raisonnement.

Que dit la Cour de cassation sur le spoofing depuis le 12 juin 2025 ?

Par un arrêt publié du 12 juin 2025 (Com., 12 juin 2025, n° 24-13.777), la chambre commerciale a jugé que le client victime d’un stratagème de type spoofing, qui valide une opération en croyant parler à sa banque, n’a pas donné son consentement : l’opération relève du régime des opérations non autorisées. Cette qualification est tout sauf théorique. Elle déclenche un régime probatoire très favorable à la victime, que nous avons déjà détaillé dans notre article sur le spoofing et l’authentification forte Secur’Pass et dans notre commentaire sur le remboursement malgré l’authentification en cas de faux conseiller. L’arrêt montpelliérain du 4 juin 2026 s’inscrit exactement dans cette ligne.

Qui doit prouver la négligence grave du client ?

Une fois l’opération qualifiée de non autorisée, le code monétaire et financier organise un mécanisme en deux temps. Premier temps : la banque rembourse. L’article L. 133-18 lui impose de recréditer le compte au plus tard à la fin du premier jour ouvrable suivant le signalement. Second temps : la banque ne peut échapper à cette obligation que dans des cas limitativement énumérés par l’article L. 133-19, essentiellement l’agissement frauduleux du client ou son manquement intentionnel ou gravement négligent aux obligations des articles L. 133-16 et L. 133-17 (préserver la sécurité de ses données personnalisées, signaler sans tarder tout détournement).

Et c’est là que la charge de la preuve devient déterminante : c’est au prestataire de services de paiement de rapporter la preuve de cette négligence grave. À défaut, l’article L. 133-7 du même code prend le relais : l’autorisation est réputée ne pas avoir été donnée, et le remboursement s’impose.

En appel, la Banque Populaire du Sud invoquait aussi l’article L. 133-19 V, qui fait supporter au payeur les conséquences d’une opération non autorisée lorsque celle-ci a été exécutée sans que la banque n’exige l’authentification forte prévue à l’article L. 133-44… à rebours : la banque soutenait avoir mis en place cette authentification forte (identifiant de connexion, mot de passe communiqué au seul client) et reprochait au client de l’avoir lui-même actionnée.

Pourquoi les « logs » de la banque ne suffisent-ils pas ?

C’est l’enseignement le plus concret de l’arrêt. Pour établir la négligence grave, la banque produisait un « tableau des logs », c’est-à-dire l’extraction de ses journaux informatiques. La cour relève deux lacunes fatales. D’une part, le message précisément adressé au client au moment du paiement n’est pas versé aux débats : il ne figure pas dans le tableau produit. D’autre part, la preuve de l’authentification de l’opération et de l’absence de déficience technique n’est pas davantage rapportée, les documents versés étant, selon les termes mêmes de la cour, « lacunaires ».

Autrement dit, les journaux internes de la banque, établis par elle et pour elle, ne valent pas preuve s’ils ne permettent pas de reconstituer précisément ce que le client a vu et validé. L’article L. 133-23 du code monétaire et financier exige de la banque qu’elle prouve que l’opération a été authentifiée, dûment enregistrée et comptabilisée, et qu’elle n’a été affectée d’aucune déficience technique ; la jurisprudence ajoute que l’utilisation de l’instrument de paiement telle qu’enregistrée ne suffit pas, en soi, à établir la négligence grave. Nous avions déjà souligné cette exigence probatoire à propos d’une banque condamnée à rembourser 32 580 euros de virements frauduleux après un appel d’un faux conseiller.

Le message de confirmation change-t-il la donne (Com., 4 mars 2026) ?

La cour de Montpellier prend soin d’écarter un argument devenu classique côté banques. Par un arrêt publié du 4 mars 2026 (Com., 4 mars 2026, n° 24-19.588), la Cour de cassation a jugé que les juges du fond doivent rechercher, lorsqu’ils y sont invités, si le message de confirmation adressé par la banque, mentionnant que l’opération litigieuse était une validation de paiement et non une annulation, ne permettait pas au client de suspecter la fraude.

Mais encore faut-il que ce message existe au dossier. À Montpellier, la banque n’a précisément pas produit le message adressé au client. La règle posée en mars 2026 est donc inapplicable : on ne peut pas reprocher au client de ne pas avoir décelé une incohérence dans un message dont le contenu exact demeure inconnu. Pour les banques, le signal est clair : sans production du message exact, l’argument tombe. Pour les victimes, c’est un point de contrôle à vérifier systématiquement dans les pièces adverses.

Quels éléments ont convaincu la cour d’écarter la négligence grave ?

La banque dressait du client le portrait d’un payeur imprudent : il aurait validé l’opération sur son terminal de confiance en réponse à un simple appel téléphonique, sans vérifier la qualité de son interlocuteur ; il aurait dû raccrocher et rappeler son agence pour déjouer la supercherie. La cour ne suit pas ce raisonnement et s’appuie sur un faisceau de circonstances précises :

le nom de la Banque Populaire du Sud apparaissait sur le téléphone du client, ce qui rendait le stratagème particulièrement crédible ;

le client s’est borné à suivre les instructions de son interlocuteur, comme l’aurait fait tout client persuadé d’échanger avec sa banque ;

il n’est pas démontré que des messages d’alerte sur ce type d’escroquerie lui auraient été adressés auparavant par la banque ;

le message adressé au moment du paiement n’est pas produit aux débats.

La cour ajoute que le client s’est rendu sans tarder à son agence pour signaler la situation : l’enchaînement des événements démontre, selon elle, qu’il a été « normalement diligent » pour signaler rapidement la fraude. Ni négligence grave, ni a fortiori faute intentionnelle : aucune des exceptions de l’article L. 133-19 n’est caractérisée.

Que peut obtenir la victime, au-delà du remboursement ?

L’arrêt confirme une palette d’indemnisation plus large que le seul remboursement du montant détourné, et c’est un aspect à ne pas négliger lors de la réclamation.

D’abord, les intérêts légaux majorés. L’article L. 133-18 du code monétaire et financier prévoit des pénalités lorsque la banque tarde à rembourser : les sommes dues produisent intérêt au taux légal majoré de cinq points, puis de dix points au-delà de sept jours de retard, et de quinze points au-delà de trente jours. En l’espèce, la banque ayant opposé un refus persistant, la condamnation porte intérêts au taux légal majoré de 15 points à compter du 13 octobre 2023, soit un mois après l’opération contestée du 13 septembre 2023. Sur plusieurs années de procédure, ce poste devient tout sauf symbolique.

Ensuite, le préjudice moral. La cour confirme l’allocation de 500 euros de dommages et intérêts au titre des « tracasseries » engendrées par le refus de remboursement. Le principe est précieux : le refus injustifié de la banque constitue en lui-même une source de préjudice indemnisable, distinct du montant détourné.

Enfin, les frais de procédure : 1 800 euros en première instance et 2 500 euros en appel au titre de l’article 700 du code de procédure civile, outre les dépens. Au total, la résistance de la banque sur une opération de 1 590,52 euros lui coûte près du quadruple.

Pourquoi le virement de 1 427 euros n’a-t-il pas été remboursé ?

L’arrêt comporte un second enseignement, moins favorable aux clients, qu’il serait malhonnête de passer sous silence. Les époux demandaient également le remboursement d’un virement de 1 427,05 euros opéré depuis un livret A vers leur compte courant joint. Sur ce point, ils sont déboutés, en première instance comme en appel : ils reconnaissaient avoir autorisé ce virement, et aucun manquement de la banque à un devoir de conseil n’était caractérisé.

La ligne de partage est donc nette. L’opération non autorisée (la validation extorquée par le faux conseiller) est remboursée de plein droit, sauf négligence grave prouvée. L’opération autorisée (le virement sciemment ordonné par le client, même sous l’influence de l’escroc) relève d’un tout autre régime : celui de la responsabilité contractuelle de droit commun, qui suppose de démontrer une faute de la banque, par exemple un manquement à son obligation de vigilance face à une anomalie apparente. C’est toute la différence avec les dossiers de virements ordonnés par la victime elle-même, où le combat probatoire change de nature.

Que faire si vous êtes victime d’un faux conseiller bancaire ?

Cet arrêt dessine une feuille de route précise pour les victimes de spoofing et, plus largement, de fraude au faux conseiller.

1. Coupez court et reprenez la main. Raccrochez, puis rappelez vous-même votre agence à son numéro habituel. Un numéro affiché, même exact, ne prouve rien : c’est précisément le principe du spoofing.

2. Signalez l’opération sans tarder. Faites bloquer l’instrument de paiement concerné (article L. 133-17 du code monétaire et financier) et contestez l’opération auprès de votre banque. Le signalement doit intervenir sans tarder et, au plus tard, dans les treize mois suivant le débit (article L. 133-24). En l’espèce, le client s’est rendu en agence dès la découverte des faits : cette réactivité a pesé dans l’appréciation de sa diligence.

3. Demandez le remboursement par écrit. Rappelez à la banque que l’article L. 133-18 lui impose de recréditer le compte au plus tard à la fin du premier jour ouvrable suivant le signalement, et que tout retard déclenche les intérêts majorés (5, 10 puis 15 points au-delà de trente jours).

4. La plainte pénale : utile, jamais obligatoire. Le remboursement relève du régime civil des opérations non autorisées, qui s’applique indépendamment de toute procédure pénale. Une banque ne peut pas subordonner le remboursement à un dépôt de plainte. Si vous décidez néanmoins de porter plainte, comme l’ont fait les époux de cette affaire, tenez-vous-en aux faits strictement nécessaires (dates, montants, mode de contact, opérations contestées), sans hypothèses ni commentaires sur votre propre attitude : nous détaillons cette stratégie dans notre article sur la fraude bancaire et la plainte.

5. En cas de refus, exigez les preuves. Demandez à la banque de produire le message exact qui vous a été adressé au moment de l’opération et les éléments d’authentification complets. Les obligations d’authentification forte et de surveillance des opérations issues de la DSP2 et de ses normes techniques réglementaires (RTS) offrent par ailleurs un angle d’analyse encore sous-utilisé du dispositif de sécurité de la banque. Un refus fondé sur de simples captures internes ou des journaux incomplets ne résiste pas à l’examen judiciaire, comme le montre cet arrêt. En cas de blocage persistant, le juge peut même être saisi en urgence : la Cour de justice de l’Union européenne a récemment conforté les voies rapides de remboursement, comme nous l’expliquions à propos de l’arrêt CJUE du 15 octobre 2026 sur le remboursement en référé.

Ce contentieux reste technique : qualification de l’opération, charge de la preuve, exploitation des pièces techniques adverses. L’assistance d’un avocat en droit bancaire permet de structurer la contestation dès la première réclamation, au moment où le dossier se gagne ou se perd. Pour un panorama du procédé, voyez aussi notre commentaire d’un jugement ayant condamné la Société Générale à rembourser 6 661 euros après une fraude au faux conseiller.

En définitive, l’arrêt du 4 juin 2026 confirme une jurisprudence désormais bien établie et protectrice : face à un client piégé par un faux conseiller, la banque ne peut refuser le remboursement qu’en prouvant, pièces techniques complètes à l’appui, une négligence grave caractérisée. Ses journaux internes lacunaires ne suffisent pas, et son refus injustifié l’expose à des intérêts lourdement majorés et à l’indemnisation du préjudice moral. Les victimes de spoofing disposent aujourd’hui d’un arsenal solide ; encore faut-il l’actionner avec méthode.

FAQ : vos questions sur le spoofing et le remboursement bancaire