Virement frauduleux et faux conseiller : la banque doit rembourser malgré l’authentification forte (CA Montpellier, 21 mai 2026, n° 25/02512)

Cour d’appel de Montpellier, 4e chambre civile, 21 mai 2026, n° RG 25/02512

Que s’est-il passé dans cette affaire ?

Le 10 octobre 2022, un couple titulaire de comptes à la Caisse d’épargne est contacté par téléphone par une personne se présentant comme le service des fraudes de la banque. L’interlocuteur est convaincant : il décrit précisément les opérations passées sur leurs comptes, connaît leur solde, et instaure un climat d’urgence et de confiance. Sous cette pression, les époux réalisent deux virements : 9 530 euros depuis leur compte joint, puis 6 720 euros depuis le compte personnel du mari.

Dès le lendemain, 11 octobre 2022, ils comprennent qu’ils ont été escroqués. Ils font opposition, alertent la banque — qui tente sans succès une opération de « recall » pour rappeler les fonds — et déposent plainte pour escroquerie auprès de la gendarmerie. En mars 2023, ils mettent la banque en demeure de les rembourser. Refus. Ils saisissent alors le tribunal judiciaire de Montpellier, qui leur donne raison le 10 avril 2025 et condamne la Caisse d’épargne à recréditer les deux comptes. La banque fait appel. Le 21 mai 2026, la cour d’appel de Montpellier confirme intégralement le jugement.

Opération autorisée ou non autorisée : pourquoi est-ce décisif ?

Tout le litige se joue sur une qualification juridique. Le code monétaire et financier, tel qu’interprété par la Cour de cassation, distingue deux situations radicalement différentes.

La cour rappelle la grille de lecture posée par la Cour de cassation. D’un côté, l’opération non autorisée : l’utilisateur n’a jamais voulu payer, comme dans le « spoofing » ou la fraude au faux conseiller (Com., 12 juin 2025, pourvoi n° 24-13.777, publié). De l’autre, l’opération autorisée : l’utilisateur a bien ordonné le paiement vers un compte qu’il croyait légitime, parfois après manipulation, comme dans la « fraude au président » (Com., 30 avril 2025, pourvoi n° 24-11.255).

Cette distinction n’est pas un détail de vocabulaire : elle commande tout le régime de responsabilité. Dans l’opération non autorisée, la protection du client est forte, car le code monétaire et financier fait peser sur la banque une obligation de remboursement de principe. Dans l’opération autorisée, le terrain est plus difficile pour la victime, car elle a elle-même donné un ordre valide. Ici, la cour confirme l’analyse du premier juge : les époux n’ont jamais eu l’intention d’opérer le moindre virement, ils ont été les jouets d’un stratagème. Le régime applicable est donc celui des opérations non autorisées.

Qu’est-ce que le « spoofing » ou fraude au faux conseiller ?

Le « spoofing » désigne l’usurpation d’une identité numérique : l’escroc fait apparaître, sur le téléphone de sa cible, le numéro réel de la banque, et se présente comme un conseiller ou un agent du service anti-fraude. Souvent, il dispose déjà de données personnelles (nom, opérations récentes, solde) obtenues par hameçonnage ou fuite de données, ce qui rend son discours d’autant plus crédible. Le but est d’amener la victime à communiquer ses codes ou à valider elle-même des virements « pour sécuriser son compte ». C’est l’une des fraudes les plus redoutables, parce qu’elle s’appuie sur la confiance que le client place naturellement dans sa banque.

Qui doit prouver la négligence grave ?

Une fois la qualification d’opération non autorisée retenue, la charge de la preuve devient l’enjeu central — et elle ne pèse pas sur le client. La cour énonce la règle avec netteté : il appartient à la banque, en application de l’article L. 133-19 du code monétaire et financier, de rapporter la preuve que les clients ont manqué, intentionnellement ou par négligence grave, aux obligations posées par les articles L. 133-16 et L. 133-17. À défaut pour la banque de rapporter cette preuve, l’autorisation est réputée ne pas avoir été donnée, en application de l’article L. 133-7.

Pourquoi le couple n’a-t-il pas commis de négligence grave ?

La banque ne s’avoue pas vaincue : elle reproche aux clients une triple négligence grave. D’abord, avoir consenti aux virements sous l’égide d’un discours invraisemblable, sans même appeler la banque pour vérifier. Ensuite, avoir ignoré les courriels d’alerte de l’établissement avertissant que des escrocs pouvaient usurper son numéro de téléphone. Enfin, avoir saisi à deux reprises des coordonnées bancaires (RIB) montrant que les fonds partaient vers un autre établissement, sans que cela n’éveille la moindre méfiance.

La cour examine chacun de ces griefs et les écarte, en s’appuyant sur le déroulé concret des faits. Loin d’avoir été passifs ou imprudents, les époux ont au contraire multiplié les vérifications :

De ce faisceau d’éléments, la cour tire une conclusion sans ambiguïté : l’enchaînement des événements démontre que les clients ont été normalement diligents pour signaler rapidement la fraude. Aucune négligence grave, et a fortiori aucune faute intentionnelle, ne sont établies au regard des articles L. 133-16 et L. 133-17 du code monétaire et financier. C’est donc à bon droit que le tribunal a condamné la banque à rembourser. Le jugement est confirmé.

Ce raisonnement est important pour les victimes. Il consacre une idée de bon sens trop souvent oubliée dans les courriers de refus des banques : être trompé par un escroc habile n’est pas une faute. Au contraire, le fait d’avoir cherché à vérifier (en consultant son compte, en rappelant le service fraude) plaide en faveur de la diligence du client, même si ces vérifications ont été déjouées par le caractère sophistiqué du stratagème.

L’authentification forte protège-t-elle la banque ?

C’était l’argument central de la banque. Elle invoquait l’article L. 133-19 V du code monétaire et financier, dont il résulte, a contrario, que lorsque l’opération a été réalisée avec une authentification forte (article L. 133-44), le payeur supporte les conséquences financières de l’opération non autorisée. La Caisse d’épargne soutenait avoir mis en place cette authentification forte en exigeant l’identifiant et le mot de passe de connexion, qu’elle ne communique qu’à ses clients.

L’arrêt n’entérine pas pour autant l’argument de la banque. La cour tranche le litige sur le terrain de la négligence grave, qu’elle juge non caractérisée, et confirme à ce titre le remboursement. Autrement dit, l’invocation de l’authentification forte ne suffit pas, à elle seule, à transférer la charge financière sur le client lorsque la banque échoue à démontrer un manquement grave de sa part. C’est un signal utile : les établissements ne peuvent pas se retrancher derrière la formule magique de l’« authentification forte » pour refuser systématiquement tout remboursement.

Sur ce point, un terrain mérite d’être systématiquement creusé par les victimes et leurs conseils. Au-delà de la seule négligence grave, la réglementation européenne des paiements impose aux banques des standards techniques précis — les normes techniques de réglementation (RTS) complétant la DSP2 : authentification réellement forte, surveillance continue des opérations, détection des schémas de transaction anormaux. Lorsqu’un virement inhabituel par son montant, son bénéficiaire ou sa rapidité échappe à ces dispositifs de détection, la responsabilité de la banque peut être discutée sur ce fondement, encore trop peu mobilisé. Chaque dossier mérite une analyse précise des mesures de sécurité effectivement déployées par l’établissement.

Que retenir si vous êtes victime d’un virement frauduleux ?

Cet arrêt est une décision encourageante pour les victimes de fraude au faux conseiller. Il confirme une ligne jurisprudentielle protectrice : lorsque la fraude relève du spoofing et que le client n’a jamais eu l’intention de payer, on se trouve dans le régime de l’opération non autorisée, où la banque doit rembourser sauf à prouver une négligence grave. Et cette preuve, la cour le montre, n’est pas facile à rapporter : avoir été trompé par un stratagème élaboré, avoir cherché à vérifier, avoir réagi vite, ce sont des marques de diligence, non de négligence.

Pour autant, il faut rester précis. Chaque affaire dépend de ses faits, et la qualification est déterminante. Une fraude où la victime communique volontairement son code de validation après un message d’alerte explicite de sa banque pourra être appréciée plus sévèrement ; une fraude au président, qualifiée d’opération autorisée, relève d’un régime différent et plus exigeant. C’est dire l’importance de faire analyser sa situation : la frontière entre opération autorisée et non autorisée, l’appréciation de la négligence grave et l’examen des dispositifs de sécurité de la banque sont autant de leviers qui se jouent dans le détail.

En pratique, quelques réflexes augmentent nettement les chances d’obtenir un remboursement : faire opposition immédiatement, déposer plainte sans attendre, conserver toutes les traces (relevés, courriels, journaux d’appel), et mettre la banque en demeure par écrit. Si elle refuse, un recours est souvent possible. Le cabinet LE BOT Avocat accompagne les victimes de fraudes bancaires pour contester les refus de remboursement et engager la responsabilité de l’établissement lorsque les conditions sont réunies.

FAQ — Questions fréquentes