Virements frauduleux après phishing : la banque condamnée faute de preuve technique (CA Douai, 3e ch., 11 juin 2026, n° 25/02773)

Cour d’appel de Douai, 3e chambre, 11 juin 2026, n° 25/02773

Que s’est-il passé dans cette affaire ?

Les faits sont malheureusement d’une grande banalité, ce qui fait précisément l’intérêt de cette décision pour toutes les victimes d’hameçonnage. Le titulaire de plusieurs comptes ouverts dans les livres du Crédit du Nord — banque aux droits de laquelle vient désormais la Société générale, à la suite de la fusion-absorption devenue définitive le 1^er janvier 2023 — a reçu le 16 décembre 2020 un courriel donnant l’apparence de provenir de sa banque. Ce message l’invitait à se connecter à son espace personnel de banque en ligne pour consulter un message présenté comme important. Le lien hypertexte dirigeait vers une page internet ressemblant au portail de la banque, sur laquelle la victime a saisi ses codes personnels d’authentification.

Les 16 et 17 décembre 2020, deux virements de 2 400 euros chacun — soit 4 800 euros au total — ont été exécutés depuis son compte au profit d’un bénéficiaire inconnu. La victime a déposé plainte pour escroquerie dès le 22 décembre 2020. La banque ayant refusé de rembourser et n’ayant pas accepté la proposition d’accord amiable du médiateur de la consommation, le client l’a assignée le 21 septembre 2022 pour obtenir réparation.

Premier épisode défavorable : par jugement du 25 février 2025, le tribunal judiciaire de Lille a débouté la victime de l’ensemble de ses demandes. C’est ce jugement que la Cour d’appel de Douai a infirmé, opérant un complet renversement de situation au profit du client.

Pourquoi les virements sont-ils « non autorisés » ?

La qualification de l’opération est la première étape, car c’est elle qui détermine le régime juridique applicable. Aux termes de l’article L. 133-3, I du code monétaire et financier, une opération de paiement est l’action de verser, transférer ou retirer des fonds. En application des articles L. 133-6 et L. 133-7 du même code, cette opération est autorisée uniquement si le payeur a donné son consentement à son exécution, sous la forme convenue avec le prestataire de services de paiement. Ce consentement doit porter à la fois sur l’identité du bénéficiaire et sur le montant de l’opération.

Sur ce point, la Société générale avait elle-même désamorcé le débat. Elle indiquait dans ses écritures n’avoir « jamais soutenu que les deux opérations de virement au centre des débats seraient le résultat d’opérations consenties/ordonnées » par son client. L’absence de consentement n’étant pas contestée, la cour en a tiré la conséquence logique : ces virements sont des opérations non autorisées au sens de l’article L. 133-6. La machine du remboursement pouvait donc se mettre en marche.

Qui doit prouver quoi : la banque ou le client ?

C’est le cœur de la décision, et la raison pour laquelle cet arrêt mérite d’être lu attentivement par toute victime. Le régime applicable n’est pas le droit commun de la responsabilité, mais un régime spécial et d’harmonisation totale, issu de la transposition des directives européennes sur les services de paiement. La cour le rappelle : le régime des articles L. 133-18 et suivants du code monétaire et financier s’applique « à l’exclusion de tout régime alternatif de responsabilité résultant du droit national ».

Ce régime obéit à une logique protectrice. L’article L. 133-18 prescrit le remboursement du payeur par la banque dans un bref délai, en rétablissant le compte débité dans l’état où il se serait trouvé si l’opération n’avait pas eu lieu. La banque ne peut échapper à cette obligation que dans un cas, défini à l’article L. 133-19, IV : si les pertes résultent d’un agissement frauduleux du payeur ou s’il n’a pas satisfait, intentionnellement ou par négligence grave, à ses obligations de sécurité.

Mais — et c’est l’apport majeur — avant même de pouvoir invoquer la négligence grave du client, la banque doit franchir un préalable probatoire. L’article L. 133-23, alinéa 1^er, dispose que lorsqu’un utilisateur nie avoir autorisé une opération exécutée, il incombe à la banque de prouver que l’opération a été authentifiée, dûment enregistrée et comptabilisée, et qu’elle n’a pas été affectée par une déficience technique ou autre. L’alinéa 2 ajoute une précaution essentielle : la seule utilisation de l’instrument de paiement, telle qu’enregistrée par la banque, ne suffit pas nécessairement à prouver que l’opération a été autorisée ou que le client a commis une négligence grave.

L’authentification forte avait-elle été mise en œuvre ?

La directive DSP2 (directive (UE) 2015/2366 du 25 novembre 2015), transposée à l’article L. 133-44 du code monétaire et financier, a introduit l’exigence d’authentification forte. Selon le f) de l’article L. 133-4, celle-ci repose sur l’utilisation d’au moins deux éléments indépendants appartenant aux catégories « connaissance » (ce que seul l’utilisateur connaît), « possession » (ce que seul l’utilisateur possède) et « inhérence » (ce que l’utilisateur est).

Dans cette affaire, la cour a estimé que l’authentification forte avait bien été déclenchée. Le facteur « connaissance » résultait des codes confidentiels saisis par la victime sur la page factice. Le facteur « possession » résultait d’un message envoyé selon la procédure « OTP SMS » au numéro de téléphone du client, dans le cadre de l’ajout d’un bénéficiaire de confiance. La banque passait donc cette première barrière : l’authentification forte avait été techniquement sollicitée au moment des faits. Mais cette victoire intermédiaire n’a pas suffi, comme on va le voir.

Le « bénéficiaire de confiance » dispense-t-il la banque de toute preuve ?

La banque avait soulevé un argument technique. Selon le second paragraphe de l’article 13 du règlement (UE) 2018/389, le prestataire est autorisé à ne pas appliquer l’authentification forte lorsque le payeur initie une opération au profit d’un bénéficiaire figurant dans une liste de bénéficiaires de confiance préalablement créée par lui. La banque en déduisait que, les virements ayant été émis vers un compte préalablement enregistré comme bénéficiaire de confiance, elle n’était pas tenue d’appliquer l’authentification forte aux paiements eux-mêmes.

La cour reconnaît la pertinence de cet argument sur le seul terrain de l’authentification : oui, la dispense de l’article 13 joue pour les paiements vers un bénéficiaire de confiance. Le moyen est donc « indifférent ». Mais — et c’est capital — cette dispense ne porte que sur l’authentification forte. Elle ne dispense nullement la banque de prouver l’absence de déficience technique, qui est une exigence distincte. C’est sur ce second terrain que tout s’est joué.

Pourquoi la banque a-t-elle échoué à prouver l’absence de déficience technique ?

L’absence de déficience technique peut être présumée lorsque la banque démontre la validation matérielle, par le payeur lui-même, de l’ensemble des opérations ayant permis le paiement. Or, ici, il était constant que la victime n’avait pas personnellement validé l’ensemble de ces opérations. Aucune présomption ne pouvait donc jouer en faveur de la banque : il lui appartenait de démontrer positivement que le processus n’avait pas été affecté par une déficience.

La Société générale produisait pour cela deux courriels internes, intégrant des données et captures d’écran issues du système informatique : l’un détaillant l’authentification « OTP SMS » lors de l’ajout du bénéficiaire de confiance, l’autre établissant que le numéro de téléphone utilisé correspondait bien à celui du client. La cour a jugé ces éléments « amplement insuffisants », pour trois raisons cumulatives :

La conclusion de la cour est sans appel : la Société générale « n’établit pas un déroulement des événements permettant de conclure avec une certitude suffisante que les opérations ont été réalisées sans l’exploitation par les fraudeurs d’une faille de sécurité ». Elle échoue donc à apporter la preuve qui lui incombe que les opérations n’ont pas été affectées par une déficience technique. C’est cette défaillance probatoire — et non une appréciation du comportement du client — qui scelle la condamnation.

La négligence grave de la victime change-t-elle quelque chose ?

C’est l’enseignement le plus puissant de l’arrêt sur le plan stratégique. La banque avait construit l’essentiel de sa défense sur la négligence grave du client : selon elle, l’hameçonnage était déjà répandu en 2020, et un utilisateur normalement attentif pouvait déceler la fraude. Elle soutenait aussi que le client avait nécessairement reçu et transmis le code OTP aux fraudeurs.

La cour balaie tout ce débat d’un trait. Elle juge que, « sans qu’il soit nécessaire d’apprécier la réalité de la négligence grave reprochée », la victime a droit à la restitution. Autrement dit : puisque la banque a échoué dès le préalable probatoire, la question même de la négligence grave devient sans objet. Le comportement du client n’a pas à être discuté.

Cette hiérarchie des questions est une arme considérable pour les victimes. Trop souvent, le débat se cristallise immédiatement sur la « faute » du client — a-t-il été imprudent en cliquant, en saisissant ses codes ? L’arrêt de Douai remet les choses dans l’ordre voulu par le législateur européen : d’abord la banque prouve la fiabilité technique de son système, ensuite seulement on parle du client. Beaucoup de banques, faute de produire leurs registres de connexion, ne franchissent pas la première étape.

Que peut-on récupérer exactement ?

La restitution prévue par l’article L. 133-18 doit être intégrale, sans perte ni profit pour le payeur. La banque rétablit le compte dans l’état où il se serait trouvé sans l’opération frauduleuse. Ici, le montant de 4 800 euros (deux virements de 2 400 euros) n’était pas discuté dans son quantum ; la cour a écarté l’argument de la banque selon lequel il s’agirait d’un « préjudice indéterminé » : l’obligation de restitution porte sur un montant précis, par nature déterminé.

Un point mérite l’attention sur l’articulation avec le pénal. La banque invoquait une possible déduction : l’auteur de l’escroquerie avait été condamné par le tribunal correctionnel à verser 2 400 euros au titre du préjudice matériel. La cour rappelle, en se référant à un arrêt récent (Cass. 1re civ., 5 nov. 2025, n° 24-22.303), que la somme allouée par le juge pénal au titre d’un préjudice financier doit effectivement être déduite de la restitution civile, car elle produit le même effet. Mais — en application de l’article 1353 du code civil, c’est à la banque, qui se prétend partiellement libérée, de prouver le fait extinctif. Or la condamnation pénale n’était pas définitive : l’auteur avait interjeté appel et l’instruction était en cours. La banque n’établissant pas de condamnation définitive, aucune déduction n’a été admise. La restitution est donc restée intégrale : 4 800 euros.

S’y ajoutent la condamnation de la banque aux entiers dépens de première instance et d’appel, ainsi qu’à 2 000 euros au titre des frais irrépétibles de première instance et 2 000 euros au titre de l’appel (article 700 du code de procédure civile).

Pourquoi le préjudice moral a-t-il été refusé ?

Toute la décision n’est pas favorable, et l’honnêteté commande de le souligner. La victime réclamait 6 000 euros au titre de son préjudice moral, en faisant valoir notamment que d’autres victimes des mêmes escrocs avaient, elles, été remboursées par leur banque. La cour a rejeté cette demande, confirmant sur ce point le jugement.

Le raisonnement découle directement de l’exclusivité du régime spécial. Puisque les directives européennes ont opéré une harmonisation totale, le régime des articles L. 133-18 et suivants s’applique à l’exclusion de tout autre. La responsabilité contractuelle de droit commun ne peut donc pas recevoir application pour une action fondée sur les mêmes faits générateurs. Or ce régime spécial « n’envisage aucune réparation au titre d’un préjudice moral ». La demande est donc dépourvue de fondement juridique.

On touche ici à l’ambivalence du régime spécial des paiements : la même exclusivité qui protège le client en lui garantissant un remboursement quasi automatique des opérations non autorisées le prive, en sens inverse, de la possibilité de réclamer la réparation d’un préjudice moral pourtant réel — angoisse, sentiment d’injustice, temps perdu face au refus de la banque. C’est une limite structurelle qu’il faut connaître avant d’engager une action, pour calibrer ses demandes et ne pas fragiliser le dossier par une prétention vouée à l’échec.

Quels enseignements pratiques pour les victimes de fraude ?

Cet arrêt n’est pas une curiosité jurisprudentielle : c’est une feuille de route pour quiconque s’est fait dérober des fonds par hameçonnage et se heurte au refus de sa banque.

Premier réflexe : déplacer le débat sur la charge de la preuve. Plutôt que de se justifier sur sa prétendue imprudence, la victime doit exiger de la banque qu’elle produise la preuve complète prévue par l’article L. 133-23 : non seulement l’authentification, mais aussi et surtout l’absence de déficience technique. La pièce décisive est le registre d’utilisation du dispositif d’accès (article 2 du règlement (UE) 2018/389), c’est-à-dire l’historique horodaté des connexions. Beaucoup de banques se contentent de captures d’écran et de la mention « délivré » d’un SMS : l’arrêt de Douai démontre que cela ne suffit pas.

Deuxième réflexe : neutraliser l’argument du bénéficiaire de confiance. La banque tentera souvent d’invoquer la dispense d’authentification forte au profit d’un bénéficiaire de confiance. Il faut lui répondre, comme l’a fait la cour, que cette dispense ne la libère pas de son obligation distincte de prouver l’absence de déficience technique.

Troisième réflexe : sécuriser et documenter sa propre constance. La crédibilité de la victime tient ici à ce qu’elle a reconnu spontanément et de manière constante avoir été piégée. Le dépôt de plainte rapide pour escroquerie et des déclarations cohérentes renforcent le dossier — non comme fondement d’indemnisation, mais comme éléments de crédibilité.

Le dépôt de plainte pénale et, le cas échéant, le signalement aux autorités restent utiles pour le volet répressif et le recouvrement auprès de l’auteur de la fraude, mais ils ne se substituent pas à l’action civile fondée sur le régime des services de paiement, qui demeure la voie la plus directe et la plus efficace pour obtenir le remboursement.

Conclusion : une décision à mettre entre toutes les mains

L’arrêt de la Cour d’appel de Douai du 11 juin 2026 illustre, de manière particulièrement pédagogique, le mécanisme protecteur des opérations de paiement non autorisées. Sa portée pratique est considérable : il confirme que la banque ne peut pas se contenter d’invoquer l’imprudence du client ou la dispense liée au bénéficiaire de confiance. Elle doit, en amont de tout, prouver que son système a fonctionné sans faille — et notamment produire le registre de ses connexions. À défaut, le remboursement intégral s’impose, sans même que la négligence du client soit discutée.

La limite tient au préjudice moral, exclu par l’effet de l’harmonisation totale du régime spécial. Une décision n’épuise jamais le contentieux : chaque dossier appelle une stratégie sur mesure, qui sait sur quels terrains insister et lesquels éviter. Si vous êtes confronté au refus de votre banque de rembourser des virements frauduleux, ne tenez pas pour acquis que votre « négligence » fera obstacle à votre indemnisation : la première question à poser est celle de la preuve qui pèse sur la banque. Le cabinet LE BOT Avocat accompagne les victimes de fraude bancaire dans la constitution et la défense de ces dossiers.

FAQ — Questions fréquentes