Un client reçoit un appel du numéro exact de sa banque. Quelques jours plus tard, des milliers d’euros ont disparu. La Cour de cassation a tranché : ce n’est plus au client de prouver sa prudence, mais à la banque de démontrer sa négligence.
« Je pensais que le vrai numéro de mon agence prouvait que c’était bien ma banque » : au guichet, on m’a expliqué ce que l’appel avait déclenché
Par
Le numéro affiché sur l'écran du téléphone était bien celui de l'agence, celui-là même enregistré dans le répertoire depuis des années. Ce détail a suffi à convaincre ce client qu'il avait bien sa banque au bout du fil. Au guichet, quelques semaines plus tard, un conseiller lui a expliqué ce que cet appel avait réellement déclenché : une fraude par usurpation de numéro, techniquement intraçable pour un particulier.
À retenir
- Un appel affichant le vrai numéro de l'agence suffit à tromper un client avisé
- La Cour de cassation renverse la charge de la preuve en faveur des victimes
- Les fraudeurs s'adaptent déjà à d'autres canaux moins sécurisés
Un scénario qui rassure avant de ruiner
Le mécanisme est toujours le même, rodé comme une chorégraphie. Le téléphone sonne, l'écran affiche le numéro exact de la banque, et un "conseiller" courtois alerte sur une attaque informatique en cours.
Le client valide quelques manipulations, en confiance, et quelques minutes plus tard des milliers d'euros ont disparu. Cette technique porte un nom : le spoofing téléphonique.
Ce que le guichet révèle sur le spoofing
Au comptoir, l'explication technique tombe souvent comme une évidence tardive. Le spoofing consiste à falsifier l'identifiant de l'appelant pour que l'appel apparaisse comme provenant du numéro officiel de la banque, celui-là même enregistré dans le téléphone du client.
Aucun logiciel espion, aucune intrusion dans le compte n'est nécessaire en amont. La faille se situe dans les réseaux de télécommunication, pas dans la vigilance du client.
La Cour de cassation tranche en faveur des victimes
Le 23 octobre 2024, la chambre commerciale de la Cour de cassation a rendu une décision qui change la donne pour des milliers de clients piégés. Un client trompé par un fraudeur utilisant le numéro de téléphone de sa banque pour se faire passer pour son conseiller ne peut se voir reprocher une négligence grave.
L'affaire jugée concernait un client de BNP Paribas. Il s'était fait soutirer 54 500 euros par un faux conseiller dont le numéro affiché était celui de sa véritable agence.
Les juges ont estimé que le stratagème était trop sophistiqué pour être imputé au client. Se faire piéger par un stratagème aussi sophistiqué ne constitue pas une négligence grave, car le numéro affiché était authentique.
Pourquoi ce numéro authentique change tout juridiquement
La Cour insiste sur un point souvent négligé : un appel se traite différemment d'un mail. La vigilance d'une personne face à un appel téléphonique émanant prétendument de sa banque est inférieure à celle d'une personne réceptionnant un courriel, laquelle dispose de davantage de temps pour repérer des anomalies.
Autre élément déterminant : l'absence d'urgence artificielle dans le scénario jugé. L'opération ne présentait pas de caractère d'urgence puisqu'il était indiqué au client qu'il n'aurait plus accès à son compte en ligne pendant plusieurs jours et recevrait de nouveaux identifiants par voie postale.
Malgré cette absence d'urgence, les juges n'ont pas retenu de faute. Les circonstances de l'appel jouaient en faveur du client, pas contre lui.
La charge de la preuve bascule du côté de la banque
C'est sans doute l'apport le plus concret de cet arrêt pour les clients ordinaires. Il revient à la banque d'apporter la preuve d'une négligence grave de son client afin de lever son obligation de remboursement.
Ce n'est donc plus au client de prouver sa prudence, mais à l'établissement de démontrer sa faute. Un renversement qui change concrètement l'issue des contestations, comme le confirme le principe selon lequel ce n'est pas à la victime de prouver qu'elle a été prudente, mais à la banque de démontrer qu'elle a été négligente.
Le texte de référence reste l'article L.133-19 du Code monétaire et financier, celui qui encadre la notion de négligence grave. Sans preuve solide de cette négligence, le remboursement s'impose selon l'article L.133-18 du même code, qui oblige la banque à rembourser toute opération non autorisée.
Une jurisprudence qui s'installe dans les tribunaux
Cette position n'est pas restée isolée. La Cour d'appel de Paris a confirmé cette logique en mai 2025, dans une affaire où l'appel provenait d'un numéro qui était celui de l'agence de la banque de la victime.
Les juges parisiens ont même précisé pourquoi ce détail pesait autant dans la balance. Le fait que le numéro affiché soit celui de son agence a été un facteur majeur excluant la négligence grave, la Cour estimant que cela était "de nature à la mettre en confiance".
Un tribunal judiciaire a même étendu ce raisonnement à des cas où l'authentification forte avait été détournée sans validation directe du client, preuve que cette jurisprudence continue de gagner du terrain deux ans après le premier arrêt fondateur.
Un risque appelé à se raréfier, sans disparaître
Techniquement, ce type de fraude devrait devenir plus rare à l'avenir. Depuis le 1er octobre 2024, une sécurisation des réseaux de services de télécommunications devrait empêcher l'usurpation des numéros de téléphone des établissements bancaires.
Les fraudeurs, eux, s'adaptent déjà à d'autres canaux moins verrouillés, comme le SMS ou les messageries chiffrées. Le réflexe qui protège vraiment reste le même, quel que soit le numéro affiché : raccrocher et rappeler soi-même l'agence via le numéro inscrit sur sa carte bancaire ou son contrat, jamais celui reçu par l'appel entrant.
Sources : economie.gouv.fr | pierre-avocat-droit-bancaire.fr | assemblee-nationale.fr