Spoofing : la banque doit rembourser malgré l’authentification forte Sécur’Pass (TJ Lyon, 23 juin 2026, n° RG 23/02724)

Tribunal judiciaire de Lyon, pôle de la proximité et de la protection, 23 juin 2026, n° RG 23/02724

Que s’est-il passé dans cette affaire de faux conseiller bancaire ?

Les faits sont d’une banalité désarmante — et c’est précisément ce qui rend ce jugement si utile, tant le scénario se répète chaque jour en France. Le 23 décembre 2022, un client de la Caisse d’Épargne Rhône-Alpes reçoit un appel téléphonique d’un individu se présentant comme appartenant au service anti-fraude de sa banque. L’interlocuteur prétend avoir décelé une fraude sur son compte bancaire et lui propose, pour y remédier, de procéder au renouvellement de sa carte bancaire et au remplacement de ses identifiants.

Détail décisif : le numéro qui s’affiche sur le téléphone du client est le 04.27.84.13.02, c’est-à-dire très exactement le numéro de son agence bancaire de Meyzieu, tel qu’il figure sur ses relevés de compte. Mis en confiance par cet affichage, le client communique à son interlocuteur les différents codes qu’il reçoit par SMS sur son téléphone. Ce qu’il ignore, c’est que ces codes permettent en réalité au fraudeur de transférer l’application Sécur’Pass — le dispositif d’authentification forte de la Caisse d’Épargne — depuis son iPhone vers un téléphone Android qui ne lui appartient pas.

Les 27 et 28 décembre 2022, soit quatre jours après ce transfert, sept opérations par carte bancaire sont réalisées à son insu : deux paiements vers la plateforme Binance (295 € et 2 200 €), un paiement Apple de 2 129 €, un premier paiement de 1 019 €, deux opérations qualifiées de « non-marché » (176,24 € et 205,47 €) et un achat Darty.com de 1 019 €. Total : 7 043,71 €.

Le 28 décembre 2022, la banque adresse elle-même à son client un message faisant part d’une suspicion de fraude. Le client constate alors quatre opérations débitées pour 5 643 € et fait opposition sur sa carte le jour même. Le lendemain, il découvre trois opérations supplémentaires pour 1 400,71 € et procède aussitôt à un signalement en ligne auprès de la gendarmerie nationale.

La suite est tout aussi classique : par courriel du 29 décembre 2022, la banque rejette la demande d’indemnisation au motif que les opérations ont été authentifiées via le service Sécur’Pass et qu’il appartenait au client de préserver la sécurité de ses données. Mise en demeure par lettre recommandée du 9 janvier 2023, relancée le 6 mars 2023, la banque réitère son refus le 8 mars 2023 : elle admet que son client a été victime d’une escroquerie, mais lui reproche d’avoir « manqué de vigilance » en révélant les codes confidentiels reçus par SMS. Le client l’assigne alors, le 4 mai 2023, devant le pôle de la proximité et de la protection du tribunal judiciaire de Lyon.

Que dit le code monétaire et financier en cas d’opération non autorisée ?

Le régime applicable est d’ordre public et il est remarquablement protecteur pour l’utilisateur de services de paiement. Il repose sur une architecture précise que le jugement rappelle méthodiquement.

Quel est le principe posé par les articles L. 133-18 et L. 133-19 ?

En cas d’opération de paiement non autorisée, signalée dans les conditions de l’article L. 133-24 du code monétaire et financier, le prestataire de services de paiement rembourse immédiatement au payeur le montant de l’opération (article L. 133-18). Ce principe ne connaît qu’une exception : la responsabilité du payeur est engagée s’il a agi frauduleusement ou s’il n’a pas satisfait, intentionnellement ou par négligence grave, à ses obligations de préserver la sécurité de ses données de sécurité personnalisées (article L. 133-16) et de signaler sans tarder toute utilisation non autorisée (article L. 133-17).

L’article L. 133-19, II, du même code précise en outre que la responsabilité du payeur n’est pas engagée si l’opération non autorisée a été effectuée en détournant, à son insu, l’instrument de paiement ou les données qui lui sont liées — ce qui correspond très exactement au scénario de la fraude au faux conseiller.

Sur qui pèse la charge de la preuve ?

C’est le point cardinal du contentieux, et le jugement lyonnais le rappelle avec force en citant intégralement l’article L. 133-23 du code monétaire et financier : lorsqu’un utilisateur nie avoir autorisé une opération, il incombe à la banque de prouver que l’opération a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre. Surtout, le texte ajoute que l’utilisation de l’instrument de paiement telle qu’enregistrée par la banque ne suffit pas nécessairement à prouver que l’opération a été autorisée par le payeur, ni que celui-ci a commis une négligence grave. C’est à la banque — et à elle seule — de fournir les éléments prouvant la fraude ou la négligence grave de son client.

Pourquoi le tribunal a-t-il jugé que le client n’avait pas consenti aux opérations ?

La banque soutenait que les opérations avaient été « validées par authentification forte au moyen d’un Sécur’Pass » et qu’elles devaient, de ce seul fait, être tenues pour autorisées. Le tribunal balaie l’argument en trois temps, avec un raisonnement dont la simplicité fait la force.

Premier temps : la banque ne contestait pas l’escroquerie elle-même, qu’elle qualifiait d’ailleurs d’« usurpation ». Or cette escroquerie a précisément conduit à ce que les opérations soient réalisées au moyen d’un Sécur’Pass enregistré sur un téléphone qui n’appartenait pas au client. On ne peut pas, d’un côté, admettre que le dispositif d’authentification a été transféré frauduleusement sur l’appareil d’un tiers et, de l’autre, soutenir que son utilisation vaut consentement du titulaire du compte.

Deuxième temps : le tribunal retourne contre la banque ses propres explications techniques. La Caisse d’Épargne affirmait elle-même que tout transfert de Sécur’Pass sur un nouveau téléphone déclenche un délai de sécurité de trois jours (J+3) pendant lequel aucune opération ne peut être réalisée avec cet outil. Or les opérations litigieuses datent des 27 et 28 décembre 2022, soit quatre jours après le transfert intervenu le 23 décembre : les fraudeurs ont simplement attendu l’expiration du délai de sécurité. Loin de disculper la banque, ce mécanisme confirme que les opérations ont bien été passées depuis le téléphone du tiers.

Troisième temps : la réactivité du client. Celui-ci a fait opposition dès qu’il a découvert les débits — lesquels ne pouvaient s’afficher sur son compte que les 28 et 29 décembre en raison du délai d’inscription comptable des paiements par carte. Cette promptitude à réagir, souligne le tribunal, « démontre encore davantage » l’absence de consentement. Le jugement en conclut que les opérations ont été effectuées « en détournant, à son insu, les données liées à sa carte bancaire », au sens de l’article L. 133-19, II, du code monétaire et financier.

L’authentification forte Sécur’Pass suffit-elle à prouver le consentement ?

Non — et c’est l’un des enseignements majeurs du jugement. Il faut bien distinguer deux questions que les banques entretiennent volontiers dans la confusion.

Première question : les opérations ont-elles été authentifiées, enregistrées et comptabilisées sans déficience technique ? Sur ce terrain, le tribunal donne acte à la banque : les relevés informatiques produits montrent que les opérations ont été authentifiées au moyen du Sécur’Pass et régulièrement comptabilisées, ce que le client ne contestait d’ailleurs pas.

Seconde question, radicalement distincte : cette authentification prouve-t-elle que le titulaire du compte a consenti aux opérations ? Réponse négative. L’article L. 133-23, alinéa 2, du code monétaire et financier l’énonce expressément : l’utilisation de l’instrument de paiement telle qu’enregistrée « ne suffit pas nécessairement en tant que telle » à prouver l’autorisation. Lorsque le dispositif d’authentification a été transféré sur le téléphone d’un fraudeur grâce à des codes soutirés par manipulation, chaque validation « forte » émane du fraudeur, pas du client. L’authentification forte déplace la question ; elle ne la résout pas.

La banque faisait encore valoir que l’authentification forte « n’offre pas la possibilité à l’établissement bancaire de détecter les tromperies au cours desquelles un client autorise une opération commandée par un tiers malveillant ». L’argument est révélateur : il revient à reconnaître que le dispositif présenté au client comme une sécurité maximale est structurellement aveugle au scénario de fraude le plus répandu. On notera d’ailleurs que les obligations issues du règlement technique RTS complétant la DSP2 — authentification forte, mais aussi surveillance des opérations atypiques — constituent un angle d’attaque encore sous-utilisé dans ce contentieux : un transfert d’application de sécurité suivi, au lendemain de l’expiration du délai de sécurité, d’une rafale de sept paiements vers des cryptoplateformes et des enseignes d’électronique ne correspond en rien au profil habituel d’utilisation d’un compte de particulier.

Le spoofing exclut-il la négligence grave du client ?

Restait à la banque un dernier retranchement : la négligence grave. Le client n’avait-il pas, après tout, communiqué à un inconnu les codes reçus par SMS ? C’est ici que le jugement lyonnais déploie tout son intérêt, en faisant une application méthodique de la jurisprudence de la Cour de cassation.

Comment la Cour de cassation apprécie-t-elle la négligence grave en cas de spoofing ?

Par un arrêt publié au bulletin du 23 octobre 2024 (Cass. com., 23 octobre 2024, n° 23-16.267), la chambre commerciale de la Cour de cassation a jugé qu’aucune négligence grave au sens de l’article L. 133-19 du code monétaire et financier ne peut être imputée au titulaire d’un compte qui, contacté téléphoniquement par une personne se faisant passer pour un préposé de sa banque dont le numéro s’affichait, utilise à sa demande le dispositif de sécurité personnalisé. La Cour y relevait que le mode opératoire par « spoofing » avait mis le client en confiance et diminué sa vigilance, inférieure, face à un appel téléphonique, à celle d’une personne recevant un courriel, qui dispose de davantage de temps pour déceler les anomalies. Le tribunal judiciaire de Lyon reprend ce raisonnement presque mot pour mot.

Comment le tribunal a-t-il appliqué cette grille à l’espèce ?

Le client produisait des captures d’écran établissant qu’il avait reçu, le vendredi 23 décembre 2022, un appel du 04.27.84.13.02 — numéro strictement identique à celui de son agence de Meyzieu figurant sur ses relevés de compte. Le tribunal se livre même à une petite démonstration calendaire pour dater l’appel avec certitude à partir des appels plus anciens visibles sur la capture d’écran.

Dès lors que le numéro affiché correspondait à celui de son agence, juge le tribunal, le client « pensait légitimement être en relation avec un préposé de la banque et a donc vu sa vigilance diminuée ». Trois circonstances aggravent encore l’efficacité de la manipulation : il s’agissait d’un appel téléphonique, laissant peu de temps et de moyens pour déceler d’éventuelles anomalies ; le prétexte invoqué — une fraude en cours — plaçait nécessairement la victime dans une situation anxiogène accentuant son manque de vigilance ; et la divulgation des codes avait pour seul objectif, dans l’esprit du client, de remédier à cette prétendue fraude. La communication des codes confidentiels « ne peut être retenue à son encontre », conclut le jugement.

Les alertes générales de la banque suffisent-elles à caractériser la négligence ?

L’argument mérite qu’on s’y arrête, car toutes les banques le soulèvent. La Caisse d’Épargne faisait valoir qu’elle avait diffusé auprès des utilisateurs de son service Direct Écureuil des consignes de sécurité en matière de fraude, que le client aurait ignorées. Le tribunal répond par une distinction d’une grande netteté : ces consignes générales sont indifférentes, car le procédé mis en œuvre ici — l’usurpation de l’identité d’un agent de la banque, « quasiment indétectable pour un utilisateur normalement attentif » — est distinct des scénarios de fraude classiques visés par ces alertes. Et le tribunal de conclure : « à défaut de justifier d’alertes spécifiques en matière de spoofing, elle ne peut considérer que [le client] était informé de cette pratique ».

Autrement dit, la banque qui veut opposer à son client sa prétendue information sur les risques doit démontrer l’avoir alerté sur la technique précise dont il a été victime, et ce antérieurement aux faits. Une page générique « conseils de sécurité » sur le site de la banque ne suffit pas.

Comment la fraude s’est-elle déroulée, étape par étape ?

Que faire si vous êtes victime d’un faux conseiller bancaire ?

Ce jugement confirme qu’une victime de spoofing dispose de solides arguments pour obtenir le remboursement intégral des opérations frauduleuses, même lorsqu’elle a elle-même communiqué des codes de sécurité. Encore faut-il construire le dossier dans le bon ordre.

La première urgence est le signalement sans tarder : faire opposition dès la découverte des opérations et notifier la contestation à la banque, comme l’exige l’article L. 133-17 du code monétaire et financier. Dans notre affaire, la réactivité du client — opposition le jour même de l’alerte, signalement en gendarmerie dès le lendemain — a été expressément retenue par le tribunal comme un indice de l’absence de consentement.

La deuxième étape est la préservation des preuves : captures d’écran du journal d’appels faisant apparaître le numéro usurpé (pièce décisive dans cette affaire, puisqu’elle a permis d’établir le spoofing), SMS reçus, relevés de compte mentionnant le numéro de l’agence, courriels de la banque. C’est ce faisceau qui permettra de démontrer que le numéro affiché était celui de l’agence et que la vigilance de la victime a été légitimement trompée.

Troisième étape : la demande de remboursement fondée sur les articles L. 133-18 et suivants du code monétaire et financier, puis, en cas de refus, la mise en demeure et l’action judiciaire. Attention toutefois : ce que vous écrivez à votre banque et dans votre plainte peut être déterminant pour la suite — une formulation maladroite (« j’ai validé l’opération », « j’ai donné mes codes ») sera systématiquement exploitée par la banque pour plaider la négligence grave. Avant toute déclaration, lisez notre guide complet : Fraude bancaire : que dire et ne pas dire à sa banque et dans sa plainte.

On relèvera enfin que le point de départ des intérêts au taux légal a été fixé au jour de l’assignation (4 mai 2023) et non à la mise en demeure du 9 janvier 2023 : la victime ne produisait pas l’accusé de réception permettant de dater la réception de sa lettre recommandée. Leçon pratique : conservez soigneusement l’avis de réception de votre mise en demeure, sous peine de perdre plusieurs mois — voire années — d’intérêts.

Quelle est la portée de ce jugement ?

Ce jugement du pôle de la proximité et de la protection du tribunal judiciaire de Lyon est une décision de première instance, inédite, rendue en premier ressort : elle est donc susceptible d’appel et n’a pas, en elle-même, valeur de précédent obligatoire. Sa valeur est ailleurs : elle montre comment les juges du fond se sont approprié la jurisprudence de la Cour de cassation du 23 octobre 2024 et l’appliquent désormais au-delà de son cas d’origine.

Car il faut le souligner : l’arrêt du 23 octobre 2024 concernait des virements validés par le client lui-même via son dispositif de sécurité, à la demande du fraudeur. L’affaire lyonnaise présente une physionomie différente — transfert de l’application d’authentification forte sur l’appareil du fraudeur, puis paiements par carte bancaire réalisés sans aucune intervention de la victime. Le tribunal transpose sans difficulté la grille d’analyse du spoofing à ce scénario, et y ajoute deux apports remarquables : l’exigence d’alertes spécifiques à la technique de fraude en cause, et la neutralisation de l’argument tiré de l’authentification forte lorsque le dispositif lui-même a été détourné.

Pour les victimes, le message est encourageant : ni la validation de codes SMS sous l’empire de la manipulation, ni le label « authentification forte » brandi par la banque ne font obstacle au remboursement, dès lors que le spoofing est établi. Pour les banques, l’addition est claire : à défaut de prouver une négligence grave — preuve dont elles supportent seules la charge —, elles doivent rembourser, et les campagnes d’information génériques ne les exonéreront pas.

FAQ — Vos questions sur la fraude au faux conseiller bancaire