Virement frauduleux : la banque qui ne prouve pas l’authentification forte doit rembourser (CA Pau, 17 sept. 2026, n° 25/00267)

Cour d’appel de Pau, 2e chambre, section 1, 17 septembre 2026, n° RG 25/00267

Quels sont les faits de l’affaire ?

Le 13 janvier 2023, à 12 h 27, Mme W. reçoit un SMS de sa banque. Ce message l’informe de la création d’un nouveau bénéficiaire de virements vers la France, puis de l’exécution d’un virement instantané de 5 950 euros, réalisé à 12 h 28 vers le compte d’un tiers. Un second virement, de 2 900 euros, vers le même bénéficiaire, est rejeté par la banque à 12 h 32.

La cliente contacte aussitôt son agence pour contester ces opérations. Entre-temps, à 13 h 18, un conseiller lui laisse un message vocal l’invitant à rappeler au sujet de « l’ajout d’un IBAN qui nous paraît suspect ». La procédure de recall, qui vise à récupérer les fonds auprès de la banque bénéficiaire, n’aboutit pas pour le virement de 5 950 euros. La cliente dépose plainte pour escroquerie et demande le remboursement de la somme, qu’elle affirme n’avoir jamais autorisée.

La banque refuse. Elle soutient que les opérations ont fait l’objet d’une authentification forte, ce qui, selon elle, la décharge de toute responsabilité et fait peser sur la cliente la charge des pertes.

La procédure suit son cours en trois temps. Assignée le 19 mars 2024 devant le tribunal judiciaire de Pau, la banque est condamnée par un jugement du 9 janvier 2025 à restituer 5 950 euros, assortis des intérêts légaux majorés de 15 points à compter du 14 février 2023, et à verser 1 500 euros au titre de l’article 700 du code de procédure civile. Le premier juge retient que la banque ne prouve pas la négligence grave ou la fraude de la cliente. La banque interjette appel le 31 janvier 2025. Après la clôture de l’instruction, l’audience se tient le 21 mai 2026 et l’arrêt est rendu le 17 septembre 2026.

Quelle question la cour devait-elle trancher ?

Le litige porte sur deux niveaux de responsabilité, qui s’enchaînent dans le régime des opérations de paiement non autorisées.

Le premier niveau concerne la banque. Avant d’imputer une perte au client, le prestataire de services de paiement doit démontrer que l’opération a été authentifiée, dûment enregistrée et comptabilisée, et qu’elle n’a pas été affectée par une déficience technique ou autre. C’est seulement une fois cette preuve rapportée que la question de la faute du client se pose.

Le second niveau concerne le client. Le payeur supporte toutes les pertes si elles résultent d’un agissement frauduleux de sa part, ou s’il n’a pas satisfait intentionnellement ou par négligence grave à ses obligations de préserver la sécurité de ses dispositifs de sécurité personnalisés (article L. 133-19 IV du code monétaire et financier).

La banque avait construit son argumentation dans l’ordre inverse. Selon elle, les fraudeurs s’étaient connectés au compte le 10 janvier 2023, à 12 h 22, avec une authentification forte. Ils ne pouvaient donc disposer que de l’identifiant et du mot de passe de la cliente. Elle relevait que la cliente avait été informée de l’enrôlement d’un nouveau dispositif par un courriel envoyé le 10 janvier 2023 à 13 h 03, sans réagir. Elle en déduisait que la cliente, « manifestement victime de phishing ou de smishing », avait nécessairement communiqué ses codes secrets à des tiers, et qu’elle devait supporter seule l’intégralité des pertes.

Pourquoi la banque ne prouve-t-elle pas l’authentification forte ?

La cour commence par rappeler le texte applicable. L’article L. 133-23, alinéa 1, du code monétaire et financier prévoit que, lorsqu’un utilisateur nie avoir autorisé une opération de paiement qui a été exécutée, « il incombe à son prestataire de services de paiement de prouver que l’opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre ».

L’alinéa 2 du même article ajoute que l’utilisation de l’instrument de paiement, telle qu’enregistrée par la banque, « ne suffit pas nécessairement en tant que telle à prouver que l’opération a été autorisée par le payeur », ni que celui-ci a commis une négligence grave. Enregistrer qu’une connexion a eu lieu ne prouve donc pas que le client l’a permise.

La cour en tire une articulation claire : pour faire supporter au client les pertes d’une opération non autorisée, la banque doit « au préalable » prouver que l’opération a été authentifiée, dûment enregistrée et comptabilisée. Elle se réfère à sa propre jurisprudence réitérée, en citant la Cour de cassation (Com., 30 avril 2025, pourvoi n° 24-10.149, telle que citée dans l’arrêt).

Appliquant ce cadre, la cour constate que la banque ne rapporte la preuve ni de l’authentification forte de la connexion litigieuse, ni de celle du virement lui-même. Le raisonnement se fait en deux étapes distinctes :

L’article L. 133-44 du code monétaire et financier, que la cour cite, impose au prestataire d’appliquer l’authentification forte lorsque le payeur accède à son compte de paiement en ligne, initie une opération de paiement électronique, ou exécute une opération à distance susceptible de comporter un risque de fraude. C’est bien cette exigence que la banque devait établir pour la connexion comme pour le virement.

Un relevé technique interne peut-il suffire ?

Le point le plus instructif de l’arrêt tient aux pièces. Pour démontrer l’authentification de la connexion frauduleuse, la banque invoquait un document appelé DIOS, relatif aux connexions de la cliente, produit en pièce 8. Selon elle, ce fichier montrait que la connexion du 10 janvier 2023 à 12 h 22 avait été authentifiée.

La cour examine la pièce et constate qu’elle « consiste en une nomenclature technique relative aux dénominations des interventions et opérations bancaires et de leurs abréviations codifiées à usage interne ». En d’autres termes, il s’agit d’une légende des codes utilisés par la banque, et non d’un journal qui enregistre un événement précis. Elle ne documente ni l’heure, ni le mode d’authentification, ni l’opération concernée.

La leçon est importante pour la pratique. Une banque qui invoque l’authentification forte doit produire des éléments qui la démontrent pour l’opération litigieuse elle-même : journal d’authentification horodaté, trace de la validation, relevé des connexions avec leur mode de validation, et, le cas échéant, éléments sur l’enrôlement d’un nouveau dispositif. Une notice, une nomenclature ou une attestation générale d’un fonctionnement « sécurisé » ne suffisent pas à remplir cette exigence.

L’arrêt de la cour d’appel de Pau rejoint ainsi une ligne jurisprudentielle désormais bien installée dans les contentieux de fraude : la banque ne peut pas se contenter de traces générales de l’utilisation de l’instrument de paiement. Elle doit établir le fait précis de l’authentification. Sur ce point, les décisions rendues en 2026 par plusieurs cours d’appel vont dans le même sens, comme le montre l’analyse d’un arrêt de la cour d’appel de Besançon sur le refus fondé sur de simples présomptions.

La cour relève aussi que la preuve manquait pour le virement de 5 950 euros lui-même. La banque ne pouvait donc pas s’appuyer sur la connexion frauduleuse pour établir l’authentification de l’ordre de paiement litigieux : chaque opération doit être prouvée pour elle-même.

Pourquoi la cour n’examine-t-elle pas la négligence grave ?

Le premier juge avait retenu que la banque ne prouvait pas le manquement intentionnel ou la négligence grave de la cliente. La cour d’appel ne reprend pas ce raisonnement. Elle déclare que, « sans qu’il soit nécessaire même d’examiner la négligence grave imputée à Mme [W] », le jugement doit être confirmé sur la condamnation de la banque à restituer 5 950 euros, avec les intérêts majorés.

La formule est précise, et elle mérite d’être lue avec attention. Le dispositif confirme le jugement « en toutes ses dispositions, abstraction faite de celle jugeant que la banque ne rapportait pas la preuve du manquement intentionnel ou de la négligence grave de Mme [W] ». La cour écarte donc expressément la motivation du premier juge sur ce point, sans trancher à son tour la question.

Cela signifie concrètement que l’arrêt ne décide pas que la cliente n’a commis aucune faute. Il décide que la banque, qui devait prouver l’authentification, ne l’a pas fait, ce qui rend inutile tout examen de la faute de la cliente. Les arguments de la banque sur le phishing ou le smishing, sur le courriel de 13 h 03 resté sans réponse, ou sur la « négligence » supposée de la cliente, ne sont ni admis ni rejetés. Ils restent sans objet dans le raisonnement retenu.

Cette économie de motivation a une conséquence pratique. Si, dans une autre instance, une banque parvient à prouver l’authentification forte et l’enregistrement de l’opération, la question de la négligence grave devra être examinée au fond, avec toutes ses composantes. La présente décision ne fixe donc pas un seuil de négligence grave, et elle ne dispense pas le client de répondre aux arguments de faute lorsqu’ils sont correctement étayés.

Quelle portée pour les victimes de fraude ?

Cette décision doit être lue avec prudence. Elle est, à la date de sa publication, inédite, ce qui signifie qu’elle ne figure pas au Bulletin de la Cour de cassation et qu’elle n’a pas vocation à poser un principe nouveau. Elle applique au contraire des règles établies par les articles L. 133-19 et L. 133-23 du code monétaire et financier. Son intérêt pratique est donc d’illustrer, sur des pièces concrètes, comment ces règles s’appliquent.

Trois enseignements se dégagent.

Premièrement, la preuve de l’authentification est un préalable. Avant tout débat sur la négligence de la victime, la banque doit prouver que l’opération a été authentifiée, dûment enregistrée et comptabilisée. Si elle ne le fait pas, la victime n’a pas à démontrer sa bonne foi pour obtenir le remboursement.

Deuxièmement, la forme de la preuve compte. Une nomenclature interne, une notice de fonctionnement ou un relevé général de connexions ne suffisent pas à établir un événement précis. Le juge attend des éléments qui datent, identifient et qualifient l’opération litigieuse. C’est une exigence que les conseils des victimes doivent systématiquement vérifier dans les pièces produites par la banque.

Troisièmement, la question de la faute reste ouverte. L’arrêt ne dit rien de la négligence grave, et l’absence de réponse de la cliente au courriel de 13 h 03 n’y est pas qualifiée. Une victime qui obtient gain de cause sur la preuve doit donc garder à l’esprit que la banque peut, dans d’autres dossiers, retrouver une voie de défense si elle établit ses éléments techniques.

Le cas s’inscrit dans un contentieux où la question de la preuve est devenue centrale. On trouve des solutions voisines dans les décisions qui distinguent authentification forte et autorisation de l’opération, ainsi que dans les arrêts qui exigent de la banque la preuve de l’authentification plutôt que la seule preuve de l’usage des codes.

Il faut enfin rappeler que la banque, qui a succombé en appel, dispose encore de la voie du pourvoi en cassation. Le délai est de deux mois. Tant qu’il n’est pas expiré ou que le pourvoi n’a pas été jugé, la décision ne doit pas être considérée comme définitive.

Que faire si la banque refuse le remboursement ?

La situation décrite par l’arrêt est celle d’une victime qui a été prise dans une fraude, a contesté dès qu’elle a eu connaissance des opérations, et a déposé plainte. Ces réflexes sont utiles, car ils fixent les faits dans le temps. Le détail de ce qu’il convient de déclarer, et de ce qu’il vaut mieux taire, dans les échanges avec la banque et dans la plainte, est traité dans notre article sur la fraude bancaire et la plainte.

Dans la pratique, la démarche gagne à suivre quatre étapes :

• Contester par écrit auprès de la banque, en précisant les opérations, leur date et leur montant, et en demandant expressément la preuve de l’authentification forte de chaque opération.
• Demander les éléments techniques : journaux d’authentification, traces d’enrôlement d’un nouveau dispositif, historique des connexions avec leur mode de validation. C’est sur ce terrain que la banque doit convaincre.
• Agir en justice si le refus persiste. Le délai pour signaler l’opération à la banque est en principe de treize mois, et le délai pour agir en justice de cinq ans, selon l’article L. 133-24 du code monétaire et financier. Ces délais s’apprécient au cas par cas.

Une victime bien conseillée prépare donc son dossier autour de la question de la preuve, plutôt qu’autour de sa propre faute supposée, qui n’a pas à être démontrée par le client.

Que retenir de cette décision ?

L’arrêt de la cour d’appel de Pau du 17 septembre 2026 est un rappel utile. Dans un litige de virement frauduleux, la question n’est pas d’abord de savoir si la victime a été imprudente. Elle est de savoir si la banque peut prouver que l’opération a été authentifiée, enregistrée et comptabilisée, sans déficience technique. Tant qu’elle ne le démontre pas, elle ne peut pas faire peser les pertes sur son client.

Pour le justiciable, la décision a une double portée. Elle protège la victime contre un refus fondé sur des présomptions ou des documents génériques. Elle ne dispense pas, en revanche, d’une analyse précise des faits, car la question de la négligence grave reste entière si la banque parvient un jour à établir ses preuves techniques. La bonne stratégie consiste donc à exiger ces preuves dès le départ, à documenter chronologiquement la fraude, et à ne pas se laisser enfermer dans un débat sur la faute.

FAQ — Virements frauduleux et authentification forte