Virements frauduleux après vol de téléphone : la banque doit prouver l’authentification forte – CA Grenoble, ch. com., 26 févr. 2026, n° 24/02381

Cour d’appel de Grenoble, Chambre commerciale, 26 février 2026, n° 24/02381

Les faits : un vol de téléphone au Maroc et des virements suspects dans la nuit

L’affaire débute au Maroc, le 30 mai 2022, lorsque le président de la société RGE 38 se fait voler son téléphone portable à l’arraché. Sur cet appareil était installée l’application bancaire de la Société Générale, permettant d’accéder au compte professionnel de l’entreprise. Conscient de la gravité de la situation, le dirigeant réagit rapidement : il effectue une déclaration auprès du fabricant Apple pour faire bloquer l’appareil et active le mode « perdu » à 9h20 GMT, ce qui désactive notamment l’application Apple Pay.

Malgré ces précautions, les événements vont prendre une tournure dramatique. Dans la nuit du 30 au 31 mai 2022, entre 00h10 et 04h18, douze virements frauduleux sont effectués depuis le compte professionnel de la société RGE 38, pour un montant total de 12 375 euros. Ces opérations se déroulent alors que le dirigeant a déjà quitté le Maroc et se trouve en vol de retour vers la France.

Le lendemain matin, 31 mai 2022, la société RGE 38 se rend immédiatement au guichet de la Société Générale pour signaler les opérations frauduleuses et remplit un formulaire de contestation. Le même jour, à 16h20, le dirigeant dépose plainte auprès de la gendarmerie. Mais l’histoire ne s’arrête pas là : le 24 juin 2022, la Société Générale autorise un nouveau virement de 3 000 euros, pourtant précédemment bloqué par la banque elle-même. Le préjudice total s’élève désormais à 15 375 euros.

Face au refus de la banque de rembourser ces sommes, la société RGE 38 décide de saisir le médiateur bancaire, puis, devant l’échec de cette médiation, assigne la Société Générale devant le Tribunal de commerce de Vienne le 17 janvier 2023.

Le cadre juridique de l’authentification forte et du remboursement des opérations non autorisées

Pour comprendre les enjeux de ce litige, il est essentiel de maîtriser le cadre juridique applicable aux opérations de paiement non autorisées. Ce cadre repose principalement sur le Code monétaire et financier, qui transpose en droit français la directive européenne sur les services de paiement, dite « DSP2 » (Directive 2015/2366/UE).

Les obligations du prestataire de services de paiement

Le législateur a établi un principe fondamental en faveur de l’utilisateur de services bancaires : en cas d’opération de paiement non autorisée, c’est la banque qui doit rembourser le client, et ce remboursement doit intervenir rapidement. L’article L. 133-18 du Code monétaire et financier énonce clairement cette règle : le prestataire de services de paiement doit rembourser au payeur le montant de l’opération non autorisée « immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant ».

Cette obligation de remboursement ne connaît qu’une exception limitée : la banque peut refuser de rembourser si elle dispose de « bonnes raisons de soupçonner une fraude de l’utilisateur », et dans ce cas, elle doit communiquer ces raisons par écrit à la Banque de France. Autrement dit, la simple suspicion ne suffit pas : la banque doit avoir des éléments concrets et probants.

Plus encore, l’article L. 133-23 du même code opère un renversement crucial de la charge de la preuve : lorsqu’un client conteste une opération, « il incombe à son prestataire de services de paiement de prouver que l’opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre ». Ce renversement est d’une importance capitale : c’est à la banque de démontrer que tout s’est déroulé normalement, et non au client de prouver qu’il a été victime d’une fraude.

Les obligations de l’utilisateur et la notion de négligence grave

Si la réglementation protège fortement les clients, elle leur impose également des obligations. L’article L. 133-16 du Code monétaire et financier prévoit que « dès qu’il reçoit un instrument de paiement, l’utilisateur de services de paiement prend toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées ».

De même, l’article L. 133-17 impose à l’utilisateur d’informer « sans tarder » son prestataire de services en cas de perte, vol, détournement ou utilisation non autorisée de son instrument de paiement, « aux fins de blocage de l’instrument ». Cette obligation de signalement rapide vise à limiter les conséquences d’une compromission des données bancaires.

Toutefois, même en cas de manquement à ces obligations, le client bénéficie d’une protection importante. L’article L. 133-19 du Code monétaire et financier établit une distinction essentielle :

• Si l’opération non autorisée a été effectuée « en détournant, à l’insu du payeur, l’instrument de paiement ou les données qui lui sont liées », la responsabilité du payeur n’est pas engagée, même s’il a commis des imprudences.
• Le payeur ne supporte des pertes que s’il a commis une « négligence grave » ou un « agissement frauduleux ».
• Et surtout, selon le paragraphe V de cet article, « sauf agissement frauduleux de sa part, le payeur ne supporte aucune conséquence financière si l’opération de paiement non autorisée a été effectuée sans que le prestataire de services de paiement du payeur n’exige une authentification forte du payeur ».

Cette dernière disposition est fondamentale : si la banque n’a pas mis en place une authentification forte conforme aux exigences réglementaires, le client ne peut être tenu pour responsable, quelle que soit sa négligence éventuelle. C’est précisément ce point qui sera déterminant dans l’affaire RGE 38.

L’authentification forte : définition et exigences de la directive DSP2

La notion d’authentification forte est au cœur du dispositif de protection des paiements électroniques. L’article L. 133-4 du Code monétaire et financier en donne une définition précise : il s’agit d’une authentification reposant sur l’utilisation de « deux éléments ou plus » appartenant aux trois catégories suivantes :

Cette exigence d’authentification forte découle de la directive DSP2, qui vise à renforcer la sécurité des paiements électroniques face à l’augmentation de la fraude en ligne. L’idée sous-jacente est simple : pour qu’un fraudeur puisse effectuer une opération, il ne suffit plus qu’il ait accès à un seul élément (par exemple, le téléphone de la victime), il doit également disposer d’au moins un autre élément indépendant (par exemple, un code secret que la victime n’aurait pas enregistré sur son téléphone).

Dans le cadre des services bancaires à distance, les banques ont développé divers systèmes pour répondre à cette exigence. Par exemple, le système « Pass Sécurité Pro » de la Société Générale, au cœur de cette affaire, est présenté comme un dispositif d’authentification forte. Mais encore faut-il que ce système ait effectivement été utilisé et que la banque puisse le prouver.

La décision de première instance : la négligence du client retenue

Le 13 juin 2024, le Tribunal de commerce de Vienne rend un jugement défavorable à la société RGE 38. Pour les juges de première instance, la banque a rempli ses obligations en mettant en place un système d’authentification forte conforme à la directive DSP2. Selon le tribunal, le dispositif « Pass Sécurité Pro » répond aux exigences de double authentification, et la société RGE 38 en bénéficiait pour toutes ses opérations en ligne.

Le tribunal estime ensuite que la société RGE 38 a commis une « négligence grave » ayant permis la fraude. Plusieurs éléments sont retenus à l’encontre du client :

Le retard dans le signalement du vol. Le tribunal relève que le téléphone a été volé le 30 mai 2022 entre 9h30 et 10h30, mais que le dirigeant n’a déclaré le vol à la Société Générale que le 31 mai dans la matinée, soit plus de 24 heures après les faits. Selon le tribunal, la désactivation de l’application Apple Pay, intervenue tardivement, n’a pas eu d’effet sur le service de banque à distance de la Société Générale.

L’absence de recours au service d’urgence de la banque. Les juges constatent que la Société Générale offre à ses clients la possibilité de faire opposition sur leurs instruments de paiement 24 heures sur 24, 7 jours sur 7, par téléphone ou via l’application bancaire. La société RGE 38 n’a pas utilisé ce service d’urgence pour bloquer immédiatement son accès à la banque en ligne.

Le délai écoulé avant les virements frauduleux. Le tribunal note que le dirigeant est revenu en France le 30 mai à 13h35, et que les virements frauduleux n’ont été effectués que dans la nuit du 30 au 31 mai, entre 01h21 et 04h53. Selon le tribunal, la société RGE 38 « a bénéficié de tout le temps nécessaire pour activer le blocage du service de banque à distance ».

L’insuffisance des mesures de protection du téléphone. Pour le tribunal, le fait que le fraudeur ait pu utiliser le téléphone démontre que l’appareil n’était pas protégé par un code d’utilisation suffisant, ce qui constitue également une négligence.

En conséquence, le tribunal déboute la société RGE 38 de l’ensemble de ses demandes et la condamne même à verser 3 000 euros à la Société Générale au titre de l’article 700 du Code de procédure civile, ainsi qu’aux dépens.

Cette décision illustre une approche stricte des obligations du client en matière de sécurité bancaire. Mais elle sera remise en cause en appel, sur un fondement juridique différent.

L’appel et les arguments de la société RGE 38

La société RGE 38 interjette appel du jugement le 24 juin 2024. Devant la Cour d’appel de Grenoble, elle développe une stratégie argumentative centrée sur deux axes principaux : d’une part, elle conteste avoir commis une négligence grave ; d’autre part, et surtout, elle soutient que la banque n’a pas prouvé que les virements litigieux ont été authentifiés par un dispositif d’authentification forte conforme aux exigences réglementaires.

La contestation de la négligence grave

L’appelante commence par déconstruire le raisonnement du tribunal concernant sa prétendue négligence. Elle fait valoir plusieurs éléments factuels que le tribunal aurait, selon elle, « dénaturés » :

La rapidité des réactions après le vol. La société RGE 38 insiste sur le fait que son dirigeant a réagi très rapidement après le vol de son téléphone. Dès 9h20 GMT, soit moins d’une heure après le vol survenu à 8h30 GMT, il a activé le mode « perdu » de son téléphone, ce qui a automatiquement désactivé l’application Apple Pay. Cette réactivité démontre, selon elle, qu’aucune négligence n’a été commise.

L’impossibilité matérielle de faire davantage au Maroc. L’appelante souligne que le vol a eu lieu à 8h30, alors que son dirigeant devait embarquer dans un avion à 11h45 pour rentrer en France. Compte tenu de l’obligation d’être présent à l’embarquement à 11h15, il ne disposait pas du temps nécessaire pour se présenter aux autorités marocaines locales et effectuer toutes les démarches administratives.

La déclaration rapide en France. Dès le 31 mai au matin, soit immédiatement après avoir constaté les virements frauduleux, la société RGE 38 s’est rendue au guichet de la banque pour signaler les opérations non autorisées et remplir le formulaire de contestation. Le même jour, à 16h20, une plainte a été déposée auprès de la gendarmerie.

L’absence d’obligation légale de signaler le vol du téléphone lui-même. L’appelante invoque un argument juridique important : selon l’article L. 133-17 du Code monétaire et financier, l’utilisateur doit signaler la perte de « l’instrument de paiement ou des données qui lui sont liées ». Or, un téléphone portable, en tant que tel, ne constitue pas un « instrument de paiement », même si une application bancaire y est installée. L’obligation de signalement ne porte donc que sur la compromission des données bancaires elles-mêmes, ce qui a été fait dès le lendemain matin.

L’argument central : l’absence de preuve d’authentification forte

Mais l’argument le plus décisif de l’appelante porte sur la question de l’authentification forte. La société RGE 38 soutient que la banque ne rapporte pas la preuve que les virements litigieux ont été validés par un dispositif d’authentification forte conforme à l’article L. 133-4 du Code monétaire et financier.

Plusieurs éléments sont mis en avant pour étayer cette thèse :

Le caractère non-conforme de l’envoi d’un code par SMS. La société RGE 38 rappelle que si la Société Générale affirme proposer une authentification par l’envoi d’un code unique par SMS à défaut du dispositif Pass Sécurité Pro, ce dispositif ne constitue pas une authentification forte selon l’Autorité bancaire européenne, l’Autorité de contrôle prudentiel et de résolution, et la Banque de France. En effet, l’envoi d’un SMS ne met en œuvre qu’un seul facteur supplémentaire (la possession du téléphone), sans second facteur réellement indépendant, puisque le fraudeur qui possède le téléphone reçoit également le SMS.

L’absence de preuve que le téléphone volé était enregistré dans le Pass Sécurité Pro. L’appelante fait valoir que la copie d’écran produite par la banque concernant les appareils enregistrés ne démontre pas que le téléphone iPhone 12 de son dirigeant figurait parmi les appareils dotés du service d’authentification forte. Cette absence de preuve est cruciale : si l’appareil dérobé n’était pas enregistré dans le système Pass Sécurité Pro, alors les virements n’ont pas pu être validés par ce système d’authentification forte.

La défaillance de sécurité de l’application de la banque. La société RGE 38 souligne une anomalie révélatrice : sur les quatre applications installées sur le téléphone volé, seule celle de la Société Générale a été piratée. Selon elle, cela indique un défaut de sécurisation de l’application bancaire, qui permet l’enregistrement préalable de l’identifiant du compte et utilise le même code à six chiffres pour valider une opération et pour accéder à l’application. Cette faiblesse structurelle compromet la sécurité du dispositif.

Le renversement de la charge de la preuve. L’appelante insiste sur un point juridique fondamental : il n’appartient pas au client d’expliquer comment un tiers a pu accéder à son espace en ligne sans qu’elle lui ait communiqué ses données bancaires. Exiger une telle preuve reviendrait à lui demander de prouver un fait négatif, ce qui constitue une « inversion de la charge de la preuve » contraire à l’article L. 133-23 du Code monétaire et financier. C’est à la banque de prouver que les opérations ont été authentifiées correctement, et non au client de prouver le contraire.

Les défenses de la Société Générale

Face à ces arguments, la Société Générale maintient sa position et demande la confirmation du jugement de première instance. Ses moyens de défense s’articulent autour de trois axes principaux.

La conformité du dispositif Pass Sécurité Pro

La banque affirme que le dispositif Pass Sécurité Pro qu’elle a mis en place répond parfaitement aux exigences de la directive DSP2 en matière d’authentification forte. Selon elle, ce système combine plusieurs facteurs d’authentification :

• Un élément de connaissance : l’identifiant et le code secret à six chiffres permettant d’accéder à l’espace personnel Progeliance Net.
• Un élément de possession : le téléphone mobile enregistré, sur lequel est installée l’application Pass Sécurité Pro.
• Éventuellement, un élément biométrique : la validation de l’opération peut se faire par reconnaissance faciale ou empreinte digitale.

La Société Générale produit des logs informatiques qui, selon elle, prouvent que les virements litigieux ont été validés par le système Pass Sécurité Pro. Ces logs retracent l’historique des connexions et des événements, et démontrent que l’authentification forte a bien été utilisée.

La négligence caractérisée du client

La banque développe longuement l’argument de la négligence grave de la société RGE 38. Elle insiste sur plusieurs manquements :

L’absence de protection suffisante du téléphone. Selon la Société Générale, si le fraudeur a pu utiliser le téléphone après le vol, c’est que l’appareil n’était pas protégé par un code d’utilisation suffisant. Elle en déduit que le client n’avait pas pris « toute mesure raisonnable » pour préserver la sécurité de ses données, comme l’exige l’article L. 133-16 du Code monétaire et financier.

Le retard dans la déclaration du vol. La banque relève qu’entre le vol survenu le 30 mai à 8h30 et la réalisation des virements frauduleux dans la nuit du 30 au 31 mai à partir de 1h20, plus de 18 heures se sont écoulées. Selon elle, la société RGE 38 disposait largement du temps nécessaire pour contacter le service d’urgence de la banque, notamment après de la police de l’aéroport.

L’absence de démarches pour bloquer l’accès à distance. La Société Générale reproche au client de ne pas avoir effectué de démarches pour bloquer le service d’accès de banque à distance en contactant le service dédié de la banque, ou en se connectant sur son espace personnel pour modifier son code d’accès, ou encore en bloquant lui-même l’application en composant trois fois un code erroné, ce qui déclenche automatiquement le blocage de l’accès.

La confusion des codes. La banque relève que si le client soutient que le code de connexion à son espace personnel et le code associé au Pass Sécurité sont les mêmes, il lui appartenait de les modifier à sa convenance. Les conditions générales du contrat Progeliance Net indiquent d’ailleurs expressément que, par mesure de sécurité, le code secret doit être changé par l’utilisateur dès la première connexion au service.

La nécessité d’accéder à l’espace en ligne

La Société Générale conteste l’argument selon lequel seule son application aurait été piratée. Elle fait valoir que les virements litigieux n’ont pas été réalisés uniquement depuis l’application mobile, mais nécessitaient également un accès à l’espace en ligne Progeliance Net via un navigateur internet. Or, cet accès suppose la saisie de codes de connexion connus du seul utilisateur du compte, puis la composition d’un code secret à six chiffres pour accéder à l’espace personnel.

Selon la banque, le seul vol du téléphone ne pouvait donc pas permettre une connexion sur l’espace personnel du client. Le fait que le fraudeur y soit parvenu démontre que les codes secrets n’étaient pas suffisamment protégés, ce qui engage la responsabilité du client pour négligence grave.

L’analyse de la Cour d’appel : l’insuffisance de la preuve d’authentification

Le 26 février 2026, la Cour d’appel de Grenoble infirme le jugement de première instance en toutes ses dispositions. L’analyse de la Cour repose sur une application rigoureuse des règles de preuve établies par le Code monétaire et financier.

Le renversement de la charge de la preuve

La Cour commence par rappeler le principe cardinal en la matière : « il appartient au fournisseur de services de paiement de rapporter la preuve de la mise à disposition de l’utilisation de moyens d’authentification forte, conformément aux articles L. 133-23 et suivants du code monétaire et financier ».

Ce renversement de la charge de la preuve signifie que la banque doit prouver positivement que les opérations contestées ont bien été authentifiées par un dispositif d’authentification forte conforme aux exigences légales. Ce n’est pas au client de prouver le contraire ou de démontrer qu’il n’a pas été négligent : c’est à la banque d’établir que son système de sécurité a fonctionné correctement.

Cette approche est conforme à la logique de la directive DSP2 et du Code monétaire et financier : face à la complexité technique des systèmes bancaires, le client est placé dans une position de faiblesse informationnelle. Lui seul peut accéder aux éléments techniques permettant de savoir si l’authentification forte a effectivement été mise en œuvre. Il est donc logique que la charge de la preuve pèse sur lui.

L’absence de preuve de l’enregistrement du téléphone volé

La Cour procède ensuite à un examen minutieux des éléments de preuve produits par la Société Générale. Elle constate que la banque a bien produit un relevé concernant les appareils enregistrés dans le système Pass Sécurité Pro, ainsi qu’un tableau concernant les virements litigieux. Mais ces documents ne permettent pas, selon la Cour, de démontrer que le téléphone dérobé à M. G., président de la société RGE 38, avait effectivement été enregistré dans le dispositif d’authentification forte.

La Cour relève plusieurs lacunes dans les preuves produites :

L’absence d’identification précise du téléphone volé. Le relevé produit par la banque ne comporte « aucun élément concernant la ligne téléphonique enregistrée ou un numéro de référence propre à cet appareil ». La Cour note que « les deux appareils enregistrés par M. [N] l’ont été sous les mêmes identifiants, avec le même numéro Pass Sécurité Pro, la même référence concernant le type de périphérique et de version de l’application, sans indication d’un numéro de ligne téléphonique ou d’une donnée propre à chacun de ces appareils ».

Cette absence de traçabilité individuelle des appareils est problématique : comment savoir avec certitude quel téléphone a été utilisé pour valider les opérations si les appareils ne sont pas identifiés de manière unique dans le système ?

L’absence de référence au téléphone mobile dans le tableau des virements. De même, le tableau concernant les virements litigieux « ne permet pas plus de constater que le téléphone dérobé a été enregistré dans l’application permettant une authentification forte ». Ce tableau « ne contient aucune référence au téléphone mobile à partir duquel les virements ont été réalisés ».

La Cour en tire une conclusion sans appel : « il n’est pas établi par l’intimée, sur laquelle repose la charge de la preuve, que l’appareil dérobé à M.[G] ait été enregistré dans le dispositif destiné à sécuriser les opérations de banque en ligne ».

La négligence du client devient inopérante

La Cour d’appel tire de ce constat une conséquence juridique majeure : « Il s’ensuit que le prestataire de services de paiement ne prouve pas que les virements litigieux ont été authentifiés, dûment enregistrés et comptabilisés et qu’ils ne résultent pas d’une déficience technique ou autre. »

À partir de là, la question de la négligence du client devient juridiquement inopérante. La Cour l’affirme expressément : « Au regard des articles L. 133-23 et suivants du code monétaire et financier, il en résulte que la Société Générale ne peut qu’être condamnée à restituer à l’appelante les sommes virées depuis son compte professionnel, sans qu’il y ait lieu de statuer sur une négligence éventuelle de son président, ce moyen étant inopérant. »

Cette formulation est essentielle : elle signifie que dès lors que la banque ne prouve pas que l’authentification forte a été correctement mise en œuvre, la question de savoir si le client a commis une négligence grave ou non n’a plus à être examinée. Le défaut d’authentification forte fait obstacle à tout examen de la responsabilité du client.

Cette solution découle directement de l’article L. 133-19, V du Code monétaire et financier, qui prévoit que « sauf agissement frauduleux de sa part, le payeur ne supporte aucune conséquence financière si l’opération de paiement non autorisée a été effectuée sans que le prestataire de services de paiement du payeur n’exige une authentification forte du payeur ». Autrement dit, l’absence d’authentification forte conforme à la réglementation exonère automatiquement le client de toute responsabilité, sauf s’il est prouvé qu’il a lui-même organisé la fraude.

En conséquence, la Cour infirme le jugement de première instance en toutes ses dispositions et condamne la Société Générale à rembourser à la société RGE 38 la somme de 12 384,60 euros, ainsi qu’à lui verser 3 000 euros au titre de l’article 700 du Code de procédure civile, outre les dépens de première instance et d’appel.

La portée de la décision et ses enseignements pratiques

Cette décision de la Cour d’appel de Grenoble revêt une importance considérable pour l’ensemble des utilisateurs de services bancaires, qu’il s’agisse de particuliers ou d’entreprises. Elle rappelle avec force les obligations qui pèsent sur les banques en matière de sécurisation des paiements et de preuve de l’authentification.

Les obligations probatoires renforcées des banques

Premier enseignement de cet arrêt : les banques doivent non seulement mettre en place des systèmes d’authentification forte conformes à la directive DSP2, mais elles doivent également être en mesure de prouver, pour chaque opération contestée, que ces systèmes ont effectivement été utilisés.

Cette exigence de preuve implique plusieurs conséquences pratiques pour les établissements bancaires :

La nécessité d’une traçabilité technique précise. Les banques doivent conserver des logs détaillés permettant d’identifier avec certitude l’appareil à partir duquel une opération a été réalisée. Il ne suffit pas d’indiquer qu’un client a enregistré « un téléphone » dans le système d’authentification forte : il faut pouvoir identifier précisément quel téléphone a été utilisé pour valider chaque opération, par exemple par son numéro IMEI, son numéro de ligne téléphonique, ou tout autre identifiant unique.

L’obligation de produire des preuves lisibles et compréhensibles. Les documents produits par la banque doivent permettre au juge, et éventuellement au client lui-même, de vérifier que l’authentification forte a bien été mise en œuvre. Des logs cryptiques ou incomplets ne suffisent pas : la preuve doit être claire, précise et démonstrative.

Le risque d’une jurisprudence sévère en cas d’insuffisance probatoire. Comme le montre cet arrêt, si les éléments de preuve produits par la banque ne permettent pas d’établir avec certitude que l’authentification forte a été correctement utilisée, le juge en tirera les conséquences en condamnant la banque au remboursement, quelle que soit la négligence éventuelle du client.

Recommandations pour les entreprises victimes de fraude

Du côté des entreprises et des particuliers victimes d’opérations frauduleuses, cet arrêt apporte également des enseignements précieux sur la conduite à tenir et les arguments à faire valoir.

Réagir rapidement, mais sans paniquer. Même si la rapidité de réaction reste importante, cet arrêt montre que le client n’est pas tenu à l’impossible. Si les circonstances (voyage à l’étranger, absence de connexion internet, horaires de vol) rendent difficile le signalement immédiat, cela ne suffit pas à caractériser une négligence grave, dès lors que le signalement intervient dès que possible.

Contester systématiquement les opérations frauduleuses. Le simple fait de contester une opération déclenche le renversement de la charge de la preuve : c’est alors à la banque de prouver que l’opération a été correctement authentifiée. Il ne faut donc pas hésiter à contester formellement toutes les opérations suspectes, même si la banque indique initialement qu’elle refuse le remboursement.

Exiger des preuves techniques précises de la part de la banque. Comme le montre cet arrêt, les banques produisent souvent des documents techniques (logs, relevés d’appareils enregistrés) qui ne permettent pas réellement de prouver que l’appareil utilisé pour l’opération frauduleuse était bien enregistré dans le système d’authentification forte. Il est essentiel de contester la valeur probante de ces documents s’ils ne contiennent pas d’éléments d’identification précis (numéro de téléphone, IMEI, etc.).

Invoquer l’insuffisance d’authentification forte. Si la banque affirme avoir mis en place un système d’authentification forte, il faut exiger qu’elle démontre que ce système repose bien sur au moins deux facteurs réellement indépendants. Par exemple, l’envoi d’un simple code par SMS sur le téléphone qui sert également à se connecter à l’application bancaire ne constitue pas une authentification forte suffisante, puisque les deux facteurs (possession du téléphone et réception du SMS) sont compromis simultanément en cas de vol du téléphone.

Ne pas se laisser intimider par l’argument de la négligence. Les banques invoquent systématiquement la négligence du client pour refuser le remboursement. Mais comme le montre cet arrêt, dès lors que l’authentification forte n’a pas été correctement mise en œuvre, la question de la négligence devient juridiquement inopérante. Il ne faut donc pas se décourager face à ces arguments.

Se faire assister d’un avocat spécialisé. Les litiges relatifs aux opérations bancaires frauduleuses soulèvent des questions juridiques et techniques complexes. L’assistance d’un avocat spécialisé en droit bancaire est vivement recommandée pour analyser les preuves produites par la banque, identifier leurs failles éventuelles, et faire valoir efficacement les droits du client.

Les limites de la décision

Il convient toutefois de ne pas surinterpréter cette décision. La Cour d’appel de Grenoble ne dit pas que les banques ne peuvent jamais invoquer la négligence du client pour refuser un remboursement. Elle affirme simplement que lorsque la banque ne prouve pas que l’authentification forte a été correctement mise en œuvre, la question de la négligence n’a pas à être examinée.

Ainsi, dans une situation différente où la banque aurait effectivement prouvé que l’authentification forte avait été correctement utilisée, le juge aurait pu examiner la question de la négligence grave du client. Par exemple, si le client avait volontairement communiqué ses codes secrets à un tiers, ou s’il avait noté ses codes directement sur son téléphone de manière visible, une telle négligence grave pourrait justifier un refus de remboursement.

De même, la décision ne remet pas en cause le principe selon lequel le client a des obligations en matière de sécurité de ses instruments de paiement. Les articles L. 133-16 et L. 133-17 du Code monétaire et financier continuent de s’appliquer : l’utilisateur doit prendre « toute mesure raisonnable » pour préserver la sécurité de ses données et doit signaler « sans tarder » la perte ou le vol de son instrument de paiement.

Mais l’apport majeur de cet arrêt est de clarifier que ces obligations du client ne peuvent être invoquées par la banque que si celle-ci a elle-même rempli ses propres obligations, à savoir la mise en place d’une authentification forte et surtout la preuve que cette authentification a été utilisée pour les opérations contestées.

Conclusion

La décision de la Cour d’appel de Grenoble du 26 février 2026 marque une étape importante dans la protection des utilisateurs de services bancaires face aux opérations frauduleuses. En affirmant avec clarté que la charge de la preuve de l’authentification forte pèse sur la banque, et que cette preuve doit être précise et démonstrative, la Cour rappelle aux établissements bancaires l’étendue de leurs responsabilités.

Dans un contexte de multiplication des fraudes aux virements et de sophistication croissante des techniques utilisées par les cybercriminels, cette jurisprudence offre une protection bienvenue aux entreprises et aux particuliers victimes de ces agissements. Elle envoie également un signal clair aux banques : la mise en place de dispositifs de sécurité ne suffit pas ; encore faut-il être en mesure de prouver qu’ils ont effectivement été utilisés et qu’ils répondent aux exigences strictes de la réglementation.

Pour les victimes d’opérations frauduleuses, cette décision constitue un précédent encourageant. Elle montre qu’il est possible de contester efficacement le refus de remboursement opposé par une banque, dès lors que celle-ci ne peut apporter la preuve rigoureuse de l’authentification des opérations litigieuses. Elle illustre également l’importance de se faire assister par un professionnel du droit capable d’analyser les éléments techniques produits par la banque et d’en contester la valeur probante.

Au-delà du cas d’espèce, cette jurisprudence s’inscrit dans un mouvement plus large de renforcement de la protection des consommateurs et des entreprises dans leurs relations avec les établissements bancaires. Elle rappelle que le droit bancaire n’est pas un droit à sens unique, où seules les obligations du client seraient sanctionnées. Les banques ont elles aussi des obligations strictes, et leur manquement à ces obligations engage leur responsabilité, avec pour conséquence l’obligation de rembourser les sommes détournées.

Si vous êtes victime d’opérations bancaires frauduleuses et que votre banque refuse de vous rembourser, n’hésitez pas à contester cette décision et à vous faire assister par un avocat spécialisé. Comme le montre cet arrêt, la jurisprudence peut vous donner raison, même si la banque invoque votre prétendue négligence. L’essentiel est de vérifier si la banque peut réellement prouver que les opérations ont été authentifiées conformément à la réglementation. Dans de nombreux cas, cette preuve fait défaut, et la banque doit alors assumer les conséquences de cette insuffisance.

FAQ : Questions fréquentes