Virements frauduleux : sans preuve d’authentification forte, la banque doit rembourser (CA Paris, 24 sept. 2025, n° 23/12487)

Cour d’appel de Paris, Pôle 5 chambre 6, 24 septembre 2025, n° RG 23/12487

Que s’est-il passé dans cette affaire ?

Une cliente de la BRED Banque Populaire conteste neuf virements débités de son compte entre le 30 novembre et le 7 décembre 2020, pour un montant total de 13 210 euros, au bénéfice de quatre nouveaux destinataires qui lui étaient inconnus.

L’origine de la fraude est un courriel frauduleux reçu le 30 novembre 2020, prétendant émaner de la banque et invitant à « l’activation BREDSecure ». La cliente clique sur le lien, pensant qu’il s’agit bien de sa banque, et saisit ses identifiants pour accéder à son espace. On l’informe alors qu’un « courrier important » l’attend dans son espace personnel — ce qui se révèle faux — et elle se déconnecte. Les jours suivants, lorsqu’elle tente de se reconnecter avec ses identifiants, l’accès ne fonctionne plus. Elle ne s’en inquiète pas immédiatement, pensant à un nouveau système mis en place par la banque.

Elle porte plainte le 8 décembre 2020 et alerte sa conseillère. La BRED lui rembourse 2 500 euros (correspondant au dernier virement) le 21 décembre 2020, mais refuse le surplus. Après des démarches infructueuses, la cliente assigne la banque. Le tribunal judiciaire de Paris la déboute le 6 juin 2023, estimant qu’elle a commis une « négligence fautive » en cliquant sur le lien, en saisissant ses identifiants, puis en ne réagissant pas lorsque ses tentatives de connexion sont devenues impossibles. La cliente fait appel. La Cour d’appel de Paris infirme intégralement ce jugement.

Comment prouver que les virements n’étaient pas autorisés ?

La banque soutenait que les virements revêtaient un caractère autorisé, en s’appuyant notamment sur l’article 9 de ses conditions générales. La cour écarte cet argument : on ne peut déroger par convention aux définitions légales de l’opération autorisée. La question n’est donc pas ce que prévoient les conditions générales, mais ce que prouvent les faits.

Et les faits, ici, parlent en faveur de la cliente. La cour s’appuie sur deux sources convergentes : la plainte pénale circonstanciée de la cliente, qui décrit clairement le déroulement de l’escroquerie, et — c’est remarquable — les relevés informatiques produits par la banque elle-même.

Pourquoi les sessions de connexion sont-elles décisives ?

Les relevés de connexion versés par la BRED révèlent que les virements litigieux, vers des destinataires inconnus de la cliente, ont été ordonnés à partir de sessions de connexion (Session-ID) qui ne correspondent pas à celle de la cliente. Autrement dit, la banque a elle-même fourni la preuve que les ordres ne provenaient pas de l’espace de sa cliente.

La cour ajoute un détail qui se retourne contre la banque : la BRED ne conteste pas que la cliente était dans l’impossibilité d’accéder à son compte en ligne pendant la période, puisqu’elle lui reproche précisément de ne pas s’en être inquiétée. En invoquant ce reproche, la banque admet implicitement que la cliente n’avait plus la main sur son compte. Le caractère non autorisé des virements est donc « établi à suffisance ».

Pourquoi l’absence d’authentification forte fait-elle gagner la victime ?

Une fois le caractère non autorisé établi, la banque est en principe tenue de rembourser (article L. 133-18). Pour s’en exonérer, elle doit prouver une fraude ou une négligence grave de la cliente. Mais l’arrêt déploie ici un argument supplémentaire, particulièrement puissant.

La cliente se plaignait précisément de ne pas avoir été alertée de l’ajout des bénéficiaires ni des virements. Or, relève la cour, « la BRED n’allègue ni ne démontre avoir mis en œuvre un moyen d’authentification forte au sens de l’article L. 133-4 f) du code monétaire et financier ». C’est un constat sévère : la banque ne prétend même pas avoir appliqué l’authentification forte.

Les conséquences sont radicales. L’article L. 133-19, V, du code monétaire et financier prévoit que, sauf agissement frauduleux de sa part, le payeur ne supporte aucune conséquence financière si l’opération non autorisée a été effectuée sans que la banque n’exige une authentification forte. Lorsque la banque n’a pas mis en place l’authentification forte, la question même de la négligence grave de la cliente devient sans objet : la banque doit rembourser, point.

Que dit la réglementation européenne (RTS / DSP2) ?

L’arrêt prend soin d’ancrer cette exigence dans le droit européen. Depuis le 14 septembre 2019 — dix-huit mois après l’entrée en vigueur du règlement délégué (UE) 2018/389 du 27 novembre 2017, qui complète la directive DSP2 (UE) 2015/2366 par des normes techniques de réglementation relatives à l’authentification forte —, l’obligation pèse pleinement sur les banques.

Ce point est stratégiquement essentiel. La cour ne se contente pas de constater l’absence de preuve d’autorisation : elle relève l’absence de mise en œuvre d’une obligation technique pesant sur la banque. Pour les victimes, c’est un levier encore sous-exploité. Exiger de la banque qu’elle démontre avoir réellement déployé l’authentification forte et les dispositifs de surveillance prévus par le RTS, plutôt que de s’en tenir à des affirmations générales, déplace le débat sur un terrain où la banque est souvent en difficulté.

Cliquer sur un faux lien est-il une négligence grave ?

Le tribunal avait estimé que cliquer sur le lien du faux courriel, puis saisir ses identifiants, constituait une négligence fautive. La cour d’appel renverse cette analyse de façon très nette. Recevoir un courriel incitant seulement à se connecter en utilisant ses identifiants — sans les livrer à quiconque — ne constitue pas une négligence grave.

La distinction est capitale : « une telle connexion à partir d’un lien vers son interface bancaire n’équivalant pas à leur révélation volontaire à un tiers ». La cliente n’a jamais communiqué ses codes à un fraudeur : elle s’est elle-même connectée sur une interface qu’elle croyait légitime. Se connecter n’est pas divulguer. C’est une nuance que les banques s’efforcent souvent de gommer, et que la cour rétablit avec clarté.

Un délai de réaction d’une semaine est-il fautif ?

La banque reprochait aussi à la cliente de ne pas s’être inquiétée de l’impossibilité de se connecter dans les jours suivants. La cour écarte ce grief : la constatation momentanée d’une impossibilité de connexion, suivie d’une dénonciation des virements frauduleux dès le 8 décembre 2020 — soit au terme d’une semaine — ne caractérise pas une négligence grave. Le délai de réaction, apprécié dans son contexte, reste raisonnable, d’autant que la cliente pouvait légitimement penser à un changement de système bancaire.

Un remboursement partiel vaut-il reconnaissance de responsabilité ?

La question se posait, car la BRED avait remboursé 2 500 euros avant de refuser le surplus. La banque soutenait qu’un tel versement amiable n’emportait pas reconnaissance de sa responsabilité. La cour ne tranche pas par une présomption tirée de ce remboursement, mais fonde sa décision sur les éléments objectifs du dossier (sessions de connexion, absence d’authentification forte). En pratique, le remboursement partiel n’a pas nui à la banque sur le plan probatoire — mais il n’a pas davantage suffi à éteindre le litige. La leçon pour les victimes : un remboursement partiel proposé par la banque ne doit jamais être interprété comme la limite de vos droits. Le solde reste pleinement réclamable.

Que retenir si vous êtes victime de virements frauduleux ?

Cet arrêt s’inscrit dans une jurisprudence de plus en plus protectrice et offre plusieurs enseignements concrets.

D’abord, exigez de votre banque la preuve qu’elle a mis en œuvre l’authentification forte. C’est souvent son point faible. Si elle ne démontre pas avoir réellement déployé ce dispositif pour les opérations litigieuses — en particulier pour l’ajout de nouveaux bénéficiaires —, l’article L. 133-19, V, joue en votre faveur : vous ne supportez aucune perte. Ne vous laissez pas opposer ses conditions générales : on ne peut y déroger aux définitions légales.

Ensuite, réclamez les relevés techniques de connexion. Dans cette affaire, ce sont les propres données de la banque (les Session-ID) qui ont prouvé que les virements ne provenaient pas de la cliente. Ces éléments objectifs valent bien mieux que de longs développements.

Insistez sur la distinction entre se connecter et divulguer. Cliquer sur un lien et saisir ses identifiants sur une interface que l’on croit légitime n’est pas livrer ses codes à un tiers. Cette nuance suffit, à elle seule, à écarter la négligence grave dans de nombreux dossiers de phishing.

Enfin, gardez à l’esprit que les obligations techniques issues du règlement RTS (authentification forte effective, surveillance des transactions, détection des schémas anormaux comme l’ajout soudain de quatre bénéficiaires inconnus) constituent un angle d’attaque puissant et encore sous-utilisé. Déposer plainte reste utile pour documenter la fraude, mais souvenez-vous que la plainte pénale n’est pas, en elle-même, un fondement civil de remboursement : c’est sur le terrain du droit des paiements que se gagne le remboursement.

En infirmant un jugement défavorable et en condamnant la banque à rembourser la quasi-totalité des sommes, cet arrêt confirme que la charge de la preuve pèse lourdement sur les établissements — et que l’absence de démonstration d’une authentification forte peut, à elle seule, sceller leur condamnation.

FAQ — Questions fréquentes