Virements frauduleux et bénéficiaire de confiance : la contestation de l’authentification forte doit être tranchée par le juge – Cass. com., 4 février 2026, n° 24-20.003

Cour de cassation, chambre commerciale, financière et économique, 4 février 2026, pourvoi n° 24-20.003 (F-D)

Quel est le contexte de l’arrêt du 4 février 2026 ?

La fraude par ajout de bénéficiaire reste, en 2026, l’une des modalités les plus efficaces de captation de fonds depuis les comptes professionnels. Le procédé est connu : un tiers, par hameçonnage, prise de contrôle d’un appareil mobile ou faux ordre adressé au dirigeant, parvient à introduire dans la liste des bénéficiaires autorisés du compte un destinataire qu’il contrôle. Une fois ce bénéficiaire enregistré, les virements ultérieurs vers ce compte ne déclenchent plus, dans la plupart des architectures bancaires, de demande supplémentaire d’authentification forte. Plusieurs ordres peuvent alors être exécutés en cascade, parfois en quelques minutes, avant toute détection.

Sur le terrain juridique, la banque oppose presque toujours le même raisonnement aux victimes : l’ajout du bénéficiaire ayant été validé par une authentification forte sur l’appareil mobile « de confiance » du titulaire, les virements vers ce bénéficiaire constituent des opérations autorisées au sens du code monétaire et financier. La discussion sur la responsabilité de la banque est ainsi close avant même d’avoir été ouverte.

L’arrêt du 4 février 2026 de la chambre commerciale rouvre cette discussion, par un angle apparemment procédural mais aux conséquences pratiques significatives. Lorsque la victime conteste, dans ses conclusions devant la cour d’appel, l’authentification forte invoquée par la banque, le juge ne peut pas affirmer le contraire pour rejeter la demande sans modifier les termes du litige et, par là même, violer l’article 4 du code de procédure civile.

Quels étaient les faits soumis à la chambre commerciale ?

Une société en pharmacie disposait d’un compte ouvert dans les livres d’une grande banque française. Le 30 octobre 2021, un compte domicilié au Royaume-Uni est ajouté à la liste des bénéficiaires de virements pouvant être effectués à partir de ce compte. Selon les informations recueillies par la banque, cette opération aurait été réalisée par l’intermédiaire du téléphone mobile « de confiance » du dirigeant de la société, en utilisant ses identifiant et mot de passe.

Entre le 3 et le 8 novembre 2021, quatre virements sont successivement exécutés depuis le compte de la société vers ce nouveau compte bénéficiaire. La société conteste être à l’origine de ces virements et assigne la banque en paiement de la somme correspondant à leur montant.

La cour d’appel de Versailles, par arrêt du 21 mai 2024, rejette la demande de la société. Elle retient, en s’appuyant sur l’article 13 du règlement délégué (UE) 2018/389 et sur les conditions générales du contrat, que l’authentification forte exigée pour l’ajout du bénéficiaire avait été accomplie sur l’appareil de confiance du dirigeant, ce qui n’aurait pas été contesté. Les virements ultérieurs, vers un bénéficiaire de confiance déjà enregistré, étaient ainsi dispensés d’authentification forte supplémentaire et constituaient des opérations autorisées.

La société se pourvoit en cassation, faisant grief à l’arrêt d’avoir affirmé que l’authentification forte n’était pas contestée, alors qu’elle l’était explicitement dans ses conclusions d’appel.

Quelle question était posée à la Cour ?

La question soumise à la chambre commerciale était la suivante : la cour d’appel peut-elle, pour rejeter la demande de la société, retenir que l’authentification forte de l’ajout du bénéficiaire n’est pas contestée, alors que la société soutenait expressément le contraire dans ses conclusions ?

Derrière cette question procédurale se profile une question de fond plus large : qu’est-ce qu’une authentification forte valable pour l’ajout d’un bénéficiaire de virement ? Le simple fait que l’opération ait été effectuée à partir de l’appareil de confiance et avec les identifiants du titulaire suffit-il à caractériser cette authentification, ou faut-il y voir un terrain de discussion ouvert dont les juges du fond doivent, à tout le moins, examiner la consistance ?

Que juge précisément la chambre commerciale ?

Au visa de l’article 4 du code de procédure civile, la chambre commerciale rappelle que l’objet du litige est déterminé par les prétentions respectives des parties. Elle constate ensuite, à la lecture des conclusions déposées devant la cour d’appel, que la société contestait précisément l’application de l’authentification forte pour valider l’ajout du bénéficiaire des virements litigieux. En jugeant néanmoins que ce point n’était pas contesté pour en déduire l’autorisation des paiements et écarter la responsabilité de la banque, la cour d’appel a modifié l’objet du litige et violé le texte susvisé.

L’arrêt est cassé en toutes ses dispositions. L’affaire est renvoyée devant la cour d’appel de Versailles, autrement composée, qui devra cette fois trancher la contestation au lieu d’affirmer son inexistence. La banque est condamnée aux dépens et au paiement d’une indemnité au titre de l’article 700 du code de procédure civile.

Pourquoi le visa de l’article 4 du code de procédure civile ?

L’article 4 du code de procédure civile dispose que l’objet du litige est déterminé par les prétentions respectives des parties, telles qu’elles sont fixées par l’acte introductif d’instance et par les conclusions en défense. Cette règle, qui consacre le principe dispositif, est l’un des piliers du procès civil : c’est aux parties qu’il appartient de circonscrire le débat, et au juge de trancher ce débat tel qu’il lui est soumis.

Le contentieux de la modification de l’objet du litige est nourri et la chambre commerciale n’innove pas, sur le principe, en sanctionnant la cour d’appel de Versailles. Ce qui retient l’attention, c’est l’application concrète de ce principe au contentieux des virements frauduleux. La banque avait tout intérêt à présenter l’authentification forte de l’ajout du bénéficiaire comme un fait acquis, non débattu, pour clore d’emblée la discussion. La cour d’appel a accepté cette présentation. La chambre commerciale rétablit, sur ce point, la réalité du débat tel qu’il lui était soumis par la société.

Comment fonctionnent les bénéficiaires de confiance et l’authentification forte ?

Comprendre la portée de l’arrêt suppose de revenir au mécanisme technique sous-jacent, qui structure l’essentiel du contentieux des virements frauduleux depuis l’entrée en vigueur de la directive (UE) 2015/2366 (DSP2).

Que dit l’article 13 du règlement délégué (UE) 2018/389 ?

Le règlement délégué (UE) 2018/389 du 27 novembre 2017, qui adopte les normes techniques de réglementation – ou RTS – complétant la DSP2, prévoit plusieurs exceptions à l’application systématique de l’authentification forte. Son article 13 autorise expressément le prestataire de services de paiement à ne pas appliquer l’authentification forte lorsque le payeur initie une opération de paiement à destination d’un bénéficiaire figurant sur une liste de bénéficiaires de confiance préalablement créée par le payeur lui-même.

La logique de cette exception est cohérente : si le payeur a déclaré, en amont, qu’un bénéficiaire pouvait recevoir ses paiements sans contrôle renforcé, il est légitime de ne pas réimposer une authentification forte à chaque transaction vers ce bénéficiaire. Mais cette logique repose sur une condition implicite, et décisive : l’inscription initiale du bénéficiaire sur la liste de confiance doit, elle, avoir été couverte par une authentification forte conforme à la loi. À défaut, l’exception se retourne contre le payeur, puisqu’elle dispense de contrôler ce qui doit pourtant l’être en premier.

L’appareil mobile « de confiance » suffit-il à constituer une authentification forte ?

L’arrêt du 4 février 2026 n’a pas tranché cette question, puisqu’il casse pour violation de l’article 4 du code de procédure civile. Mais elle est centrale et la cour de renvoi aura à s’y confronter. La banque, en l’espèce, soutenait que l’ajout du bénéficiaire avait été effectué « par l’intermédiaire du téléphone mobile de confiance » du dirigeant, en utilisant ses « identifiant et mot de passe ». Elle en déduisait qu’une authentification forte avait été exigée et accomplie.

Cette présentation, qui revient régulièrement dans les écritures des établissements bancaires, est discutable. L’authentification forte au sens du règlement délégué (UE) 2018/389 suppose, on l’a rappelé, la combinaison d’au moins deux éléments indépendants relevant chacun d’une catégorie distincte. Or, dans la mécanique courante des applications bancaires mobiles, l’appareil « de confiance » est un élément de possession – ce que le titulaire détient – et le mot de passe est un élément de connaissance – ce que le titulaire sait. La combinaison apparente est, en théorie, conforme aux exigences des RTS.

Mais cette conformité de principe peut être mise en cause sur plusieurs terrains dans un contexte de fraude. Le caractère « de confiance » de l’appareil suppose une procédure de personnalisation initiale dont la robustesse peut être discutée, en particulier lorsque l’appareil a été compromis, partagé, ou détourné. L’indépendance des éléments d’authentification suppose que la compromission de l’un ne facilite pas celle de l’autre ; or, dans plusieurs schémas de fraude, l’attaquant qui contrôle l’appareil contrôle simultanément les notifications, les SMS et, par là même, les éléments censés constituer la « possession ». Enfin, la jurisprudence européenne et nationale tend à exiger une véritable analyse cas par cas, à l’opposé d’une présomption automatique tirée du simple usage de l’appareil mobile du titulaire.

Quelle est la portée pratique de la décision pour les victimes ?

L’arrêt du 4 février 2026 n’est pas, à proprement parler, une décision de fond sur la responsabilité de la banque en cas de fraude par ajout de bénéficiaire. C’est une décision procédurale qui rappelle un principe élémentaire du procès civil : le juge tranche ce qui est débattu, il ne peut pas affirmer qu’une question n’est pas posée pour s’en dispenser. Mais, précisément parce qu’elle remet en cause une pratique de fond – la tendance à présenter comme acquise l’authentification forte des ajouts de bénéficiaires –, elle constitue un levier pratique utile pour la défense des victimes.

Comment formuler la contestation devant les juges du fond ?

L’enseignement le plus immédiat de l’arrêt est qu’une contestation efficace de l’authentification forte exige une formulation explicite, précise et tracée dans les conclusions. Trois exigences en découlent.

L’arrêt du 4 février 2026 illustre cette dernière exigence en creux : c’est en se reportant aux conclusions déposées devant la cour d’appel que la chambre commerciale a pu constater la modification de l’objet du litige. La traçabilité de la contestation est, à ce stade, le premier outil de la victime.

Quelle stratégie pour les avocats des victimes ?

Au-delà de la stricte question procédurale, l’arrêt invite à structurer la défense des victimes de fraude par ajout de bénéficiaire autour de trois axes complémentaires.

Le premier axe est celui de la contestation de l’authentification forte de l’ajout : l’inscription du bénéficiaire litigieux sur la liste de confiance a-t-elle été effectivement validée par une procédure conforme aux exigences du règlement délégué (UE) 2018/389 ? La banque, qui supporte la charge de la preuve au titre de l’article L. 133-23 du code monétaire et financier, doit produire les éléments techniques permettant d’en juger. Le simple renvoi à un « appareil de confiance » et à un « identifiant et mot de passe » ne suffit pas : il faut documenter la combinaison effective d’au moins deux éléments d’authentification indépendants, leur indépendance dans le contexte technique précis de l’opération, et la robustesse de la personnalisation antérieure de l’appareil.

Le deuxième axe est celui de la contestation de l’application de l’exception de l’article 13 du règlement délégué (UE) 2018/389 : les conditions d’exemption étaient-elles précisément réunies au moment des virements litigieux ? La banque doit notamment démontrer que la liste de bénéficiaires de confiance avait été constituée par le payeur, conformément aux conditions générales du contrat, et que les paramètres techniques de l’opération entraient dans le champ de l’exemption.

Le troisième axe est celui de l’examen des standards techniques imposés par le règlement délégué (UE) 2018/389 dans son ensemble : monitoring des transactions, détection des anomalies de schéma, protection des éléments d’authentification, indépendance effective des éléments combinés. Un virement vers un compte étranger ouvert quelques jours plus tôt, en rupture avec les habitudes du compte professionnel concerné, constitue typiquement une anomalie de schéma que les obligations RTS imposent à la banque de détecter et, le cas échéant, de bloquer. Cet angle, encore sous-utilisé en pratique, mérite d’être systématiquement exploré.

Quelles limites et nuances ?

La portée de l’arrêt doit néanmoins être appréciée avec mesure. Trois points méritent d’être soulignés.

Première nuance – la décision est rendue F-D, c’est-à-dire sans publication au Bulletin. Son rang formel est donc celui d’une décision d’espèce, dont la portée jurisprudentielle est limitée. Elle ne peut être invoquée avec la même autorité qu’une décision F-B ou F-P+B+I. Pour autant, elle traduit une attention concrète de la chambre commerciale au respect du contradictoire dans le contentieux des fraudes bancaires, et son raisonnement est utile au-delà du cas d’espèce.

Deuxième nuance – la cassation est prononcée sur un terrain procédural, non sur le fond. La cour de renvoi pourra parfaitement, après avoir examiné la contestation soulevée par la société, parvenir à la même conclusion que la première cour d’appel et débouter la victime, dès lors qu’elle aura cette fois véritablement tranché la question. Le résultat juridique au fond reste donc incertain.

Troisième nuance – l’arrêt ne dit rien, en l’état, sur la qualification précise de l’authentification forte à exiger pour l’ajout d’un bénéficiaire de virement. Il ouvre seulement le débat, là où la cour d’appel l’avait fermé prématurément. Les questions de fond – portée du concept d’« appareil de confiance », exigence d’indépendance des éléments d’authentification dans le contexte mobile, conséquences à tirer d’une compromission antérieure de l’appareil – restent à trancher, dossier après dossier. Au-delà du levier spécifique de l’article 4 du code de procédure civile, la méconnaissance des standards techniques imposés par le règlement délégué (UE) 2018/389 demeure un fondement civil sérieux d’engagement de la responsabilité de la banque, encore largement sous-mobilisé. La plainte pénale et la déclaration au procureur conservent leur utilité probatoire et de recouvrement, sans se confondre avec un fondement d’indemnisation civile.

Conclusion : un rappel salutaire au contradictoire

L’arrêt du 4 février 2026 ne réécrit pas le droit substantiel des fraudes bancaires par ajout de bénéficiaire. Il rappelle, avec rigueur, un principe procédural élémentaire : le juge ne peut pas affirmer qu’un point n’est pas contesté lorsqu’il l’est. En l’appliquant à la question sensible de l’authentification forte de l’ajout d’un bénéficiaire, la chambre commerciale empêche que la pratique des établissements bancaires – consistant à présenter cette authentification comme acquise et incontestée – ne ferme la porte à l’examen de fond.

Pour les victimes de fraude par virements vers un bénéficiaire frauduleusement ajouté, le message est double. D’une part, la contestation doit être explicite, précise et tracée à chaque étape : conclusions de première instance, conclusions d’appel, dernières conclusions. D’autre part, le débat de fond reste ouvert : il appartient aux avocats des victimes de mobiliser les exigences techniques du règlement délégué (UE) 2018/389, à commencer par la condition implicite d’authentification forte au moment de l’inscription du bénéficiaire sur la liste de confiance, et à exiger de la banque la production des éléments techniques correspondants au titre de l’article L. 133-23 du code monétaire et financier.

Au cabinet LE BOT Avocat, ce type de décision nourrit directement la défense des entreprises et des particuliers confrontés à des virements frauduleux à partir de comptes professionnels. La nouvelle architecture des conclusions intègre désormais, systématiquement, une contestation explicite et précise de l’authentification forte de l’ajout du bénéficiaire, accompagnée d’une demande de production des éléments techniques correspondants. L’arrêt du 4 février 2026 fournit, sur ce point, un soutien utile.

FAQ — Questions fréquentes