Virements frauduleux après un faux conseiller : la banque condamnée à rembourser 32 580 € faute de preuve de l’authentification (CA Paris, 23 sept. 2026, n° 25/14752)

Cour d’appel de Paris, pôle 5 chambre 6, 23 septembre 2026, n° 25/14752 (appel d’un jugement du tribunal judiciaire de Paris du 3 juillet 2025, RG n° 24/02552)

Comment une fraude au faux conseiller conduit-elle à 32 580 € de virements ?

L’arrêt commence par une chronologie qui montre le mécanisme classique de la fraude par phishing suivi d’un appel de « faux conseiller ». Il est utile de la reprendre en détail, car chaque étape sert ensuite de point d’appui à l’analyse de la preuve.

Le 21 mars 2023, le client reçoit un SMS provenant d’un numéro inconnu. Ce message renvoie vers une page imitant le site de l’administration des amendes et l’informe d’un retard de paiement d’une amende routière de 35 euros. Deux jours plus tard, le 23 mars 2023, il saisit sur ce faux site les données de sa carte bancaire : numéro, cryptogramme et date d’expiration.

Le 27 mars 2023, les fraudeurs utilisent ces données pour lancer un achat de 1 209,90 euros. Une notification est envoyée sur le téléphone du client, qui refuse la confirmation. C’est le réflexe de vigilance qu’il met en avant devant la cour. Quelques instants plus tard, il reçoit un appel d’une personne au numéro masqué qui se présente comme un conseiller BNP Paribas. Ce faux conseiller l’informe que des opérations frauduleuses ont été réalisées sur son compte et qu’il est possible d’y remédier.

Le 27 mars 2023, entre 14 h 16 et 17 h 11, sept virements sont exécutés vers des relevés d’identité bancaire ajoutés à la liste des bénéficiaires. Le client ne découvre la fraude que le 28 mars 2023, lorsqu’il constate un solde débiteur sur son compte professionnel : 32 580 euros ont été détournés. Le jour même, il conteste les opérations auprès de sa banque, dépose plainte au commissariat et demande le remboursement. La banque lui répond le 31 mars 2023 qu’aucune défaillance ne peut lui être imputée, puis confirme son refus le 17 avril 2023.

Le client assigne la banque devant le tribunal judiciaire de Paris le 7 février 2024. Le tribunal le déboute en juillet 2025. Il interjette appel le 22 août 2025, et la cour rend son arrêt le 23 septembre 2026, après une audience du 4 juin 2026.

Sur qui pèse la charge de la preuve de l’authentification ?

Le fondement du litige est le régime des opérations de paiement non autorisées, tel qu’il résulte du Code monétaire et financier. Le client soutient qu’il n’a jamais donné son accord aux virements, ni communiqué son identifiant et son mot de passe, ni validé la moindre demande d’authentification. La banque ne conteste pas vraiment que le client n’a pas donné son consentement aux opérations. Elle soutient en revanche que les pertes résultent d’un manquement grave de sa part.

La cour pose alors le principe qui commande toute la solution. Selon l’article L. 133-23 du Code monétaire et financier, lorsqu’un utilisateur de services de paiement nie avoir autorisé une opération exécutée, il incombe à son prestataire de prouver que l’opération a été authentifiée, dûment enregistrée et comptabilisée, et qu’elle n’a pas été affectée par une déficience technique ou autre. Le même texte précise que l’utilisation de l’instrument de paiement telle qu’enregistrée par le prestataire ne suffit pas nécessairement à prouver que l’opération a été autorisée ou que le payeur a commis une négligence grave.

Cette règle a une conséquence décisive : la banque ne peut pas commencer par démontrer que le client a commis une négligence grave. Elle doit d’abord établir la régularité technique de l’opération. Le juge ne passe à l’examen de la faute du client que si cette première étape est franchie. La cour l’exprime ainsi : puisque la banque ne rapporte pas la preuve que les opérations ont été authentifiées, il n’y a pas lieu d’apprécier l’existence d’une éventuelle négligence grave du client.

Cette architecture de la preuve est l’un des points les plus importants pour les victimes. Une banque qui se contente de produire une trace informatique générique n’a pas, à elle seule, gagné son procès, même si elle affirme que le système d’authentification forte a fonctionné.

Pourquoi le relevé de la banque n’a-t-il pas suffi à la cour ?

La banque avait produit deux pièces : la pièce n° 10, intitulée « Traces informatiques sur l’ajout puis la validation des bénéficiaires de virement à l’aide de la clé digitale », et la pièce n° 12, « Traces informatiques sur les virements ». Chacune comporte une rubrique « moyen d’authentification » renseignée par le code « MOBILE-MBE », censé indiquer que la connexion et l’authentification ont été réalisées depuis un appareil mobile au moyen d’une clé digitale.

La cour ne se contente pas de ce code. Elle relève que la pièce n° 10 est à peine lisible et, surtout, qu’elle ne détaille pas les éléments qui permettraient de vérifier l’authentification. Elle liste ce qui manque :

• les fichiers journaux d’authentification complets ;
• les adresses IP source de chaque connexion et de chaque opération litigieuse ;
• l’identification technique complète du ou des terminaux utilisés pour valider les opérations (empreinte du terminal, modèle, système d’exploitation, version de l’application) ;
• les données de géolocalisation associées aux opérations ;
• l’historique complet de l’enrôlement de la clé digitale sur le terminal du client, avec la date d’activation, le terminal associé et les éventuels changements ou réinitialisations ;
• les éléments techniques des notifications « push » prétendument envoyées pour chaque ajout de bénéficiaire : identifiant unique, horodatage d’envoi, statut de remise et statut de lecture.

La banque ne justifie pas non plus que la clé digitale ait été enrôlée sur un terminal appartenant au client à une date antérieure à la fraude. Ce point est déterminant : une authentification forte n’a de valeur probante que si le dispositif était bien rattaché à la personne avant les faits.

L’absence de convention de compte, un angle mort du dossier de la banque

La cour relève enfin un élément qui aurait pu, à lui seul, faire pencher la balance. La banque ne produit aucun document contractuel liant les parties : ni convention d’ouverture de compte, ni conditions générales ou particulières. Or, pour vérifier le système d’authentification applicable au compte professionnel à l’époque des virements, la cour devait savoir s’il s’agissait d’un boîtier électronique associé à un ordinateur ou d’une clé digitale associée à un téléphone mobile.

À l’exception des deux listings produits, la banque ne versait que des plaquettes commerciales sur la clé digitale et sur la fonction d’ajout de bénéficiaire. Des documents de communication ne peuvent pas tenir lieu de convention. Pour un client qui conteste le dispositif annoncé, l’absence du contrat est donc un argument central, et il doit être systématiquement vérifié dans chaque dossier.

La conclusion est nette : la banque ne rapporte pas la preuve que les opérations de paiement litigieuses ont été authentifiées, dûment enregistrées et comptabilisées, et qu’elles n’ont pas été affectées par une déficience technique ou autre. La cour la condamne donc à rembourser 32 580 euros au client.

La négligence grave du client doit-elle encore être examinée ?

La banque plaidait que le client avait commis une négligence grave. Elle soulignait qu’il avait échangé avec un inconnu au téléphone, qu’il avait été informé des risques de spoofing par ses courriels et par son site internet depuis décembre 2022, qu’il avait reconnu devant les enquêteurs avoir été en communication avec l’escroc, et que sept notifications intitulées « Ajout de bénéficiaire » avaient été validées sur son téléphone. Elle invoquait aussi la jurisprudence selon laquelle le juge doit rechercher les négligences graves dès lors qu’elles sont alléguées.

Le client répondait qu’il avait été victime d’un phishing d’une grande sophistication, qu’il avait réagi avec vigilance en refusant le premier achat et qu’il avait signalé la fraude dès qu’il l’avait découverte. Il ajoutait que le libellé « ajout de bénéficiaire » était techniquement opaque pour un usager non averti.

La cour n’a pas eu à trancher ce débat. Dès lors que la banque ne prouve pas l’authentification, la question de la négligence grave devient sans objet. Cette économie de motifs a une portée pratique importante : elle évite au juge de se prononcer sur la faute d’une victime dont la banque n’a pas établi la preuve technique de l’opération.

Il faut toutefois se garder d’en tirer une règle générale selon laquelle la négligence grave ne se discute jamais. Dans les dossiers où la banque produit des journaux complets, cohérents et individualisés, le débat sur la faute du client reprend toute sa place. L’arrêt ne dit pas le contraire ; il rappelle seulement l’ordre dans lequel le juge doit raisonner.

Quelles pénalités de retard la banque doit-elle payer ?

Le client demandait également les pénalités de retard prévues à l’article L. 133-18 du Code monétaire et financier. Il soutenait que la banque, informée des opérations non autorisées le 28 mars 2023, devait rembourser au plus tard le premier jour ouvrable suivant, soit le 29 mars 2023. La banque répondait que ces pénalités ne sont dues qu’en cas de manquement de sa part à l’obligation de remboursement, et que la négligence grave du client pouvait justifier son refus.

La cour accueille la demande. Elle relève que la banque ne conteste pas avoir été informée des opérations litigieuses dès le 28 mars 2023, et applique le barème légal, qui prévoit trois paliers :

La cour ordonne également la capitalisation des intérêts dans les termes de l’article 1343-2 du Code civil, ce qui signifie que les intérêts échus produisent eux-mêmes des intérêts. Elle condamne la banque aux dépens de première instance et d’appel, et lui impose le paiement de 2 000 euros au titre de l’article 700 du Code de procédure civile.

Le raisonnement sur les pénalités est intéressant car il découple les deux questions. La banque soutenait que sa résistance n’était pas fautive dès lors que le client avait pu commettre une négligence grave. La cour répond que, tant que la banque n’a pas prouvé l’authentification, elle n’a pas démontré de justification à son refus. Le retard lui est donc imputable.

Que retenir pour une victime de faux conseiller ?

Cet arrêt n’invente pas de nouvelle règle, mais il offre une grille de lecture utile pour les victimes, qui peut être résumée en quatre questions à poser à la banque avant toute discussion sur la faute.

Première question : la banque prouve-t-elle l’authentification ? Il faut demander les journaux complets, les adresses IP, l’identification des terminaux et l’historique d’enrôlement du dispositif. Sur la même logique, un arrêt de la cour d’appel de Paris du 1er avril 2026, rendu par la même chambre, a jugé insuffisante la preuve de l’authentification forte : voir l’analyse de cette décision. Un simple « MOBILE » ou « MOBILE-MBE » dans une colonne ne suffit pas, comme le montre la décision.

Deuxième question : le dispositif était-il bien celui qui est invoqué ? La banque doit démontrer quel système d’authentification s’appliquait au compte. Dans les comptes professionnels, le boîtier sécurisé et la clé digitale ne sont pas interchangeables. Le contrat, les conditions générales et les particulières sont donc des pièces à réclamer.

Troisième question : les notifications ont-elles réellement été émises et lues ? La cour attend des données techniques précises sur les notifications « push » : identifiant, horodatage d’envoi, statut de remise et de lecture. Pour un autre arrêt rendu dans un dossier de faux conseiller BNP Paribas, voir cette analyse.

Quatrième question : la banque a-t-elle réagi à temps ? La décision ne tranche pas ce point, mais il doit être examiné : la date de l’information de la banque fait courir les pénalités de retard, et la rapidité de la réaction (contestation, plainte, demande de rappel des fonds auprès des banques destinataires) reste un élément du dossier.

Sur le plan pratique, la victime doit agir sans tarder. Le signalement de l’opération non autorisée à la banque doit intervenir dans les treize mois suivant la date de débit, sous peine de forclusion, sauf si la banque n’a pas fourni les informations relatives à l’opération. Dans le dossier jugé, le client a agi le jour même de la découverte de la fraude, selon les écritures du client.

Enfin, les déclarations faites à la banque et à la police comptent. Pour la manière de présenter les faits à son établissement et dans une plainte, sans se nuire, l’article du cabinet Fraude bancaire : que dire et ne pas dire à sa banque et dans sa plainte détaille les pièges à éviter. Dans cet arrêt, la plainte déposée le jour même a été retenue par la cour comme preuve de l’escroquerie elle-même.

Quelles limites et quelle suite possible à cet arrêt ?

Trois précautions s’imposent avant de transposer cette décision à un autre dossier.

D’abord, l’arrêt est un arrêt d’espèce. Il applique un principe bien établi, celui de l’article L. 133-23, à des éléments de preuve précis. Il ne pose pas de règle nouvelle sur la notion de négligence grave, et il n’examine pas le fond de la faute du client. Sa valeur est surtout probatoire.

Ensuite, la nature du compte. Le compte concerné est, pour partie, un compte professionnel. La décision ne développe pas la question de savoir si le régime de protection des utilisateurs de services de paiement s’applique intégralement à ce type de compte, ni si les parties ont pu y déroger par contrat. La banque ne semble pas avoir soulevé d’exception contractuelle sur ce point, mais la question peut être soulevée dans d’autres dossiers, et doit être anticipée.

Enfin, la voie du pourvoi. Une décision de cour d’appel peut faire l’objet d’un pourvoi en cassation. Il convient donc de vérifier, dans les mois qui suivent, si la banque en forme un, avant de considérer la solution comme définitive.

Un angle reste sous-exploité dans ce type de dossier : les obligations de la banque au titre du règlement technique relatif à l’authentification forte (RTS), qui complètent la directive DSP2 et imposent un dispositif de sécurité et de suivi des opérations. L’arrêt ne s’appuie pas sur ce texte. Il peut néanmoins servir de cadre pour exiger des journaux précis, en complément de l’article L. 133-23.

Conclusion : la preuve technique comme condition préalable

L’arrêt du 23 septembre 2026 rappelle une évidence trop souvent perdue de vue : avant de faire peser une faute sur le client, la banque doit démontrer que l’opération a été correctement authentifiée. Pour une victime de faux conseiller, cette exigence change la nature du débat. Il ne s’agit plus seulement de savoir si elle s’est laissé berner, mais de savoir si la banque peut prouver, par des données techniques complètes et des documents contractuels, que les virements ont été validés selon le dispositif qu’elle invoque.

Dans une affaire où les opérations se déroulent en quelques heures, les journaux techniques sont la pièce centrale. Les banques les détiennent. C’est donc à elles qu’il revient de les produire, et la cour de Paris le rappelle avec fermeté.

FAQ — Questions fréquentes sur les virements frauduleux après un faux conseiller