Virements frauduleux : la Banque Populaire du Sud condamnée faute de logs (TJ Montpellier, 18 juin 2026, n° RG 23/03161)

Tribunal judiciaire de Montpellier, pôle civil section 2, 18 juin 2026, n° RG 23/03161

Que s’est-il passé dans cette affaire de virements frauduleux ?

L’affaire jugée le 18 juin 2026 par le pôle civil du tribunal judiciaire de Montpellier présente un scénario devenu tristement classique : des virements réalisés à l’insu du titulaire du compte, une banque qui oppose son dispositif de sécurité, et une victime contrainte de saisir la justice pour obtenir ce que la loi lui garantit pourtant depuis longtemps.

Comment la fraude s’est-elle déroulée ?

La cliente, née en 1959, était titulaire de deux comptes ouverts de longue date dans les livres de la Banque Populaire du Sud : un compte de dépôt ouvert en janvier 1992 et un livret ouvert en janvier 2009. Entre le 10 et le 11 juin 2022, une série de virements est opérée sur ses comptes selon un schéma bien connu des fraudeurs : d’abord des transferts internes destinés à « rapatrier » l’épargne vers le compte courant, puis des virements externes vers des comptes tiers.

Concrètement, le 10 juin 2022, un virement de 4 000 euros est passé du livret vers le compte de dépôt, immédiatement suivi d’un virement de 5 500 euros du compte de dépôt vers un compte tiers. Le 11 juin 2022, deux nouveaux transferts internes de 8 000 euros et 5 200 euros vident le livret vers le compte de dépôt, avant deux virements externes de 1 500 euros et 5 000 euros au profit de deux bénéficiaires distincts. Au total, trois virements externes pour 12 000 euros, à destination de comptes détenus dans un établissement d’un autre pays européen — une banque italienne, précisera la suite de la procédure.

Le 11 juin 2022 au matin, la cliente reçoit sur son téléphone un courriel l’alertant d’un « avis de non-exécution du virement instantané » d’un montant de 2 995 euros, l’invitant à contacter sa banque si elle n’était pas à l’origine de l’opération. Le jugement ne détaille pas le mode opératoire exact des fraudeurs — il ne dit ni comment les identifiants ont été captés, ni qui a manipulé l’espace en ligne — et c’est précisément cette zone d’ombre technique qui va se retourner contre la banque, faute pour elle d’avoir produit le moindre élément de traçabilité.

Comment la cliente a-t-elle réagi ?

La réactivité de la victime est un élément que le tribunal prend soin de souligner. Dès le 11 juin 2022, elle informe sa conseillère de la Banque Populaire du Sud qu’elle n’est pas à l’origine du virement signalé par le courriel. Le même jour, après avoir consulté ses comptes en ligne et constaté les opérations litigieuses, elle dépose plainte auprès de la gendarmerie pour escroquerie. Le 13 juin 2022, elle signale formellement à sa conseillère les trois virements effectués au profit des comptes tiers pour un montant total de 12 000 euros.

Le tribunal relève expressément que la cliente « a réagi, malgré son âge, dans un laps de temps très court ». Ce signalement rapide satisfait pleinement à l’obligation posée par l’article L.133-24 du code monétaire et financier, qui impose de signaler « sans tarder » une opération non autorisée, et au plus tard dans les treize mois suivant la date de débit.

Pourquoi la banque a-t-elle refusé de rembourser ?

Le 13 juin 2022, la Banque Populaire du Sud engage une demande d’annulation d’euro-virement, dite procédure de « Recall », pour les trois virements litigieux. Par courriel du 30 juin 2022, elle informe sa cliente que la banque italienne détentrice des comptes destinataires n’a donné aucune suite à cette demande.

Sollicitée le même jour d’une demande de remboursement de 12 000 euros, la banque oppose un refus le 19 juillet 2022, au motif que les virements avaient été effectués depuis l’espace « Cyberplus » de la cliente avec le dispositif d’authentification forte. Autrement dit, la banque considérait que les opérations avaient été valablement autorisées — ou, à tout le moins, que la cliente avait commis une négligence grave dans la conservation de ses données de sécurité. Mise en demeure par courrier du 21 juillet 2022, la banque maintient sa position. La cliente l’assigne alors devant le tribunal judiciaire de Montpellier par acte du 7 juillet 2023, sur le fondement des articles L.133-4, L.133-6, L.133-15, L.133-17, L.133-19, L.133-23 et L.133-24 du code monétaire et financier.

Que dit la loi sur les opérations de paiement non autorisées ?

Le litige se noue autour d’un corpus de textes issus de la transposition des directives européennes sur les services de paiement, aujourd’hui codifié aux articles L.133-1 et suivants du code monétaire et financier. Ce régime est d’une redoutable efficacité pour les victimes — à condition d’en connaître les rouages.

Qui doit prouver quoi ? Le mécanisme de l’article L.133-23

C’est le cœur du jugement. L’article L.133-23 du code monétaire et financier dispose que lorsqu’un utilisateur de services de paiement nie avoir autorisé une opération qui a été exécutée, « il incombe à son prestataire de services de paiement de prouver que l’opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre ».

Le texte ajoute une précision capitale, que les banques préfèrent souvent oublier : « l’utilisation de l’instrument de paiement telle qu’enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l’opération a été autorisée par le payeur ou que celui-ci n’a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant en la matière ».

Quand la banque doit-elle rembourser ?

L’article L.133-18 du code monétaire et financier impose au prestataire de services de paiement de rembourser au payeur le montant de l’opération non autorisée « immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant ». La seule échappatoire : de « bonnes raisons de soupçonner une fraude de l’utilisateur », communiquées par écrit à la Banque de France. Le remboursement doit rétablir le compte « dans l’état où il se serait trouvé si l’opération de paiement non autorisée n’avait pas eu lieu ».

Ce texte est d’une clarté remarquable, et l’on mesure l’écart entre l’exigence légale — un remboursement sous un jour ouvrable — et la réalité vécue par la victime dans cette affaire : quatre années de procédure pour obtenir ce que la loi commandait de restituer en vingt-quatre heures.

Qu’est-ce que la négligence grave et qui doit la prouver ?

L’article L.133-19 IV du code monétaire et financier permet à la banque d’échapper au remboursement si les pertes résultent « d’un agissement frauduleux » du payeur ou si celui-ci n’a pas satisfait « intentionnellement ou par négligence grave » à ses obligations de préservation de la sécurité de ses données personnalisées (articles L.133-16 et L.133-17). Le II du même article précise à l’inverse que la responsabilité du payeur n’est pas engagée si l’opération « a été effectuée en détournant, à l’insu du payeur, l’instrument de paiement ou les données qui lui sont liées ».

Dans cette affaire, la Banque Populaire du Sud soutenait précisément que sa cliente avait commis des « négligences graves ». Encore fallait-il le démontrer — et c’est là que l’édifice de la défense bancaire s’est effondré.

Comment le tribunal de Montpellier a-t-il raisonné ?

Le tribunal déroule un raisonnement en plusieurs temps, d’une grande orthodoxie juridique, qui mérite d’être détaillé tant il constitue un mode d’emploi pour les victimes et leurs conseils.

Pourquoi l’invocation de Secur’Pass et de la DSP2 n’a-t-elle pas suffi ?

La banque faisait valoir que les virements avaient été passés depuis l’espace personnel « Cyberplus » de la cliente, sécurisé par un dispositif d’authentification dénommé « Secur’Pass », présenté comme conforme à la deuxième directive européenne sur les services de paiement (DSP2). Le tribunal répond par une formule qui fera date dans les dossiers du cabinet :

« La simple affirmation de la Banque Populaire du Sud qu’elle s’est doté d’un instrument informatique dénommé SECUR PASS conforme à la deuxième directive européenne sur le service de paiement (DSP2) incluant l’authentification par un identifiant et la saisine d’un mot de passe est insuffisant pour démontrer que Mme [Z] a donné son consentement aux opérations litigieuses. »

Autrement dit : décrire son architecture de sécurité n’est pas prouver son fonctionnement dans l’espèce. Ce que la loi exige de la banque, ce n’est pas la démonstration abstraite qu’elle dispose d’un système d’authentification forte, c’est la preuve concrète que ces opérations-là ont été authentifiées, dûment enregistrées et comptabilisées, et qu’elles n’ont été affectées d’aucune déficience technique. La nuance est fondamentale, et elle est trop souvent perdue de vue dans les courriers de refus adressés aux victimes.

Pourquoi l’absence de logs a-t-elle été décisive ?

Le passage le plus instructif du jugement tient en une phrase : « s’agissant du processus, la banque ne fournit pas les logs ni aucun autre élément ou trace technique permettant de voir comment les opérations ont été passées ». La banque affirmait que les virements avaient été validés par un code à usage unique envoyé par SMS au numéro de téléphone de la cliente ; le tribunal relève qu’elle ne l’établit pas, notant qu’elle « l’affirme péremptoirement ».

Il faut mesurer la portée pratique de ce constat. Les banques détiennent seules ces éléments techniques ; la victime n’y a jamais accès. Si la production de simples affirmations suffisait, le renversement de la charge de la preuve voulu par le législateur européen serait vidé de sa substance. En exigeant les logs — ou tout autre élément technique équivalent —, le tribunal de Montpellier donne au texte son plein effet utile : la banque qui veut retenir 12 000 euros doit ouvrir sa boîte noire.

L’utilisation de l’espace personnel prouve-t-elle le consentement ?

Il était établi, à la lecture des relevés de compte, que les virements litigieux avaient été émis depuis l’espace personnel de la cliente, et celle-ci concédait dans sa plainte avoir accès à ses comptes par cet espace. Le tribunal en déduit que les virements réalisés à partir de cet espace « sont donc les instruments de paiement » — mais refuse d’aller plus loin.

Reprenant le principe désormais bien ancré, il rappelle que la preuve de l’autorisation ou de la négligence grave « ne peut se déduire du seul fait que l’instrument de paiement ou les données personnelles qui lui sont liées ont été effectivement utilisés ». Et d’ajouter : « l’utilisation effective de l’instrument de paiement et des données personnelles qui lui sont liées ne suffit pas à elle seule à rapporter la preuve d’une négligence grave de la part de Mme [Z], la Banque Populaire du Sud n’apportant aucun élément de nature à l’établir ».

La banque échoue donc sur les deux tableaux : elle ne prouve ni que la cliente a consenti aux opérations, ni qu’elle aurait commis une négligence grave dans la garde de ses identifiants. Le dossier ne contenait, au fond, rien d’autre que le constat — non contesté — que l’espace en ligne avait servi de canal à la fraude. Or ce constat est neutre : c’est le propre des fraudes par détournement d’identifiants que d’emprunter les canaux légitimes.

Que penser de l’absence des conventions de compte au dossier ?

Le jugement contient une observation procédurale savoureuse : « il est regrettable qu’aucune des parties ne produisent les conventions des comptes ouverts par Mme [Z] ». La banque affirmait que sa cliente avait souscrit un contrat d’abonnement au service « Cyberplus », mais ne produisait que les conditions particulières des conventions de comptes et du service, « sans établir que Mme [Z] y avait souscrit ni qu’elle en avait connaissance et donc qu’elles lui étaient opposables ».

L’enseignement est précieux pour les praticiens : même le socle contractuel de la relation — l’existence et l’opposabilité de l’abonnement au service de banque en ligne — doit être prouvé par la banque qui s’en prévaut. Dans cette affaire, la cliente ne contestait pas ce point, ce qui a permis au tribunal de passer outre ; mais l’observation vaut avertissement pour les établissements qui plaident l’authentification forte sans produire le contrat qui la stipule.

L’échec du « Recall » change-t-il quelque chose ?

La banque avait engagé, dès le signalement, une procédure de demande de retour des fonds. Le tribunal juge cette circonstance « sans incidence » : la procédure de Recall dépend « de l’accord du bénéficiaire des virements et de sa banque, accord qui au demeurant n’a pas été obtenu ».

La précision est importante car les banques présentent volontiers le Recall comme la preuve de leur diligence, voire comme un solde de tout compte : « nous avons fait le nécessaire, la banque étrangère n’a pas répondu ». Le tribunal remet les choses à leur place : la tentative de récupération des fonds est une chose, l’obligation de rembourser l’opération non autorisée en est une autre, et la première n’éteint pas la seconde.

Que retenir pour les victimes de virements frauduleux ?

Quels enseignements pratiques tirer de ce jugement ?

Ce jugement s’inscrit dans un courant jurisprudentiel de plus en plus ferme, que le cabinet observe devant les juridictions du fond comme devant la Cour de cassation : les juges n’acceptent plus que les banques se retranchent derrière l’existence théorique de leurs dispositifs de sécurité. Trois enseignements pratiques s’en dégagent.

Premier enseignement : contester, c’est déclencher le mécanisme probatoire. Dès lors que le titulaire du compte nie avoir autorisé les opérations, la banque supporte l’intégralité de la charge de la preuve. La victime n’a pas à s’expliquer sur la manière dont ses identifiants ont pu être captés ; c’est à la banque de reconstituer techniquement le parcours des opérations. Encore faut-il contester vite, par écrit, et sans se laisser piéger par les questions orientées de sa banque : sur ce point, nous renvoyons à notre guide pratique Fraude bancaire : que dire et ne pas dire à sa banque et dans sa plainte.

Deuxième enseignement : exiger les logs. Dans tout contentieux de virement contesté, la production des journaux techniques — logs de connexion, traces d’authentification, justificatifs d’envoi des SMS ou notifications — doit être au centre des débats. La banque qui ne les produit pas s’expose à une condamnation quasi mécanique, comme dans cette affaire. La réactivité de la victime, qui a signalé les faits et déposé plainte en quarante-huit heures, a par ailleurs neutralisé tout débat sur la forclusion de l’article L.133-24.

Troisième enseignement : les standards techniques jouent pour la victime. Les normes techniques de réglementation (RTS) qui complètent la DSP2 imposent aux banques des obligations précises en matière d’authentification forte et de surveillance des opérations. Loin d’être un bouclier pour les banques, ces standards sont un levier pour les victimes : une banque qui revendique leur respect doit pouvoir en justifier opération par opération, et leur méconnaissance peut engager sa responsabilité. Ce terrain reste sous-exploité dans les contentieux de fraude aux virements.

Pourquoi la résistance abusive n’a-t-elle pas été retenue ?

La cliente sollicitait 10 000 euros de dommages-intérêts pour résistance abusive dans le remboursement. Le tribunal rejette cette demande en rappelant la grille classique : « la défense à une action en justice constitue un droit et ne dégénère en faute pouvant donner naissance à dommages-intérêts qu’en cas de malice, de mauvaise foi ou d’erreur grossière équipollente au dol ». En l’espèce, la mauvaise foi de la banque n’était pas démontrée, et la cliente ne justifiait pas d’un préjudice distinct de celui réparé par les intérêts moratoires.

On peut s’interroger sur la sévérité de cette appréciation. L’article L.133-18 impose un remboursement au plus tard à la fin du premier jour ouvrable suivant le signalement ; la banque a résisté quatre ans, sans jamais produire le moindre élément technique au soutien de son refus. Refuser de rembourser en invoquant une authentification forte dont on ne rapportera jamais la preuve, n’est-ce pas précisément une résistance dont le caractère abusif pouvait se discuter ? Certaines juridictions du fond admettent d’ailleurs, dans des configurations voisines, d’indemniser le préjudice résultant du retard de remboursement. La question mérite d’être systématiquement plaidée, car tant que la résistance ne coûte que les intérêts au taux légal, les banques n’ont guère d’incitation à respecter le délai légal de remboursement.

La victime obtient néanmoins, outre le principal de 12 000 euros avec intérêts au taux légal à compter de la mise en demeure du 21 juillet 2022, la somme de 3 000 euros au titre de l’article 700 du code de procédure civile ainsi que la condamnation de la banque aux entiers dépens — le tout assorti de l’exécution provisoire de droit.

Que faut-il retenir de ce jugement ?

Le jugement du tribunal judiciaire de Montpellier du 18 juin 2026 est une application rigoureuse et bienvenue du régime des opérations de paiement non autorisées. Il rappelle aux banques que l’article L.133-23 du code monétaire et financier n’est pas une formalité : la preuve de l’authentification s’administre par des éléments techniques concrets — logs, traces, justificatifs d’envoi des codes de validation — et jamais par la simple invocation d’un dispositif de sécurité, fût-il baptisé « Secur’Pass » et présenté comme conforme à la DSP2.

Pour les victimes de virements frauduleux, ce jugement confirme une stratégie éprouvée : nier le consentement, signaler sans tarder, et placer la banque face à son obligation probatoire. Pour les banques, il sonne comme un avertissement : à défaut de traçabilité produite aux débats, le remboursement est inéluctable. Le cabinet LE BOT Avocat, qui défend exclusivement les clients contre les banques, accompagne les victimes de fraudes aux virements à chaque étape de cette démarche, de la contestation initiale jusqu’à l’audience.

FAQ — Questions fréquentes