J’ai donné mes codes à un conseiller qui appelait du vrai numéro de ma banque : personne ne m’avait prévenu de l’arrêt qui obligeait à me rembourser

Un homme reçoit un appel de sa banque. Le numéro affiché est le vrai, celui qu'il a en mémoire, celui qu'il rappelle d'habitude sans se poser de question.

Au bout du fil, une personne se présente comme l'assistante de sa conseillère bancaire. Elle évoque une attaque informatique en cours sur son compte, une urgence qui ne laisse pas le temps de réfléchir.

Ce client de BNP Paribas a fini par valider plusieurs opérations via son dispositif de sécurité personnel. Il s'est fait soutirer 54 500 euros via plusieurs virements frauduleux qu'il a lui-même validés sous l'influence trompeuse de l'escroc.

Un scénario minutieusement préparé

L'affaire remonte à mai 2019. En mai 2019, M. [J] a constaté des virements frauduleux pour un montant de 54 500 euros effectués depuis son compte bancaire.

La technique employée porte un nom : le spoofing téléphonique. Le spoofing téléphonique est une technique de fraude qui consiste à usurper l'identité d'une banque, en falsifiant le numéro de téléphone affiché sur le terminal de la victime.

Rien dans l'écran du téléphone ne trahissait l'arnaque. Rassuré par le numéro de sa banque s'affichant sur son portable et par le fait que la fausse salariée de la banque lui indiquait qu'il effectuait une opération sécurisée, celui-ci mis en confiance, a utilisé son dispositif sécurisé pour ajouter et supprimer des bénéficiaires de virement.

La question qui a tout fait basculer

La banque a d'abord refusé de rembourser. Son argument tenait en un mot : la négligence grave du client.

Ce concept juridique n'est pas anodin. Il implique un comportement anormalement imprudent de la part de la victime, ce qui n'est pas le cas en matière de spoofing puisque le procédé est très élaboré et crédible.

La loi encadre pourtant strictement les cas où une banque peut se dédouaner. La banque est de plein droit responsable en cas de virement non autorisé, sauf preuve d'une négligence grave ou d'un comportement frauduleux de la part du titulaire du compte, selon les articles L.133-18 et L.133-19 du Code monétaire et financier.

La banque estimait que l'échange comportait des signaux d'alerte évidents. Elle a refusé de rembourser les sommes concernées au motif que le titulaire du compte avait commis une négligence grave, dès lors que l'échange téléphonique comportait des indices qui auraient permis à un utilisateur normalement attentif de suspecter une fraude.

La Cour d'appel tranche, puis la Cassation confirme

La Cour d'appel de Versailles s'est prononcée en premier, le 28 mars 2023. Elle a condamné l'établissement bancaire à procéder au remboursement, ce qui a poussé la banque à se pourvoir en cassation.

BNP Paribas contestait cette décision devant la plus haute juridiction. La banque demandait à la Cour de cassation de statuer sur la question de la "négligence grave" du client.

Le 23 octobre 2024, la chambre commerciale a rendu son verdict. Elle a rejeté le pourvoi de BNP Paribas, confirmant la décision de la Cour d'appel, et a retenu que la victime n'avait pas commis de "négligence grave".

Cet arrêt a été publié au Bulletin, ce qui n'a rien d'anecdotique. Un tournant décisif est intervenu avec l'arrêt rendu par la Chambre commerciale de la Cour de cassation le 23 octobre 2024, publié au Bulletin.

Pourquoi ce type de fraude déjoue la vigilance ordinaire

Les juges ont identifié un mécanisme psychologique précis. Aucune négligence grave du client n'est caractérisée dès lors que l'auteur de la fraude utilise un numéro de téléphone identique à celui du conseiller bancaire et laisse croire au client que l'opération est sécurisée en suivant les consignes communiquées. Ce mode opératoire a mis la victime en confiance et abaissé sa vigilance.

La Cour a même comparé ce cas à celui d'une arnaque par courriel, où le client dispose de plus de temps pour repérer les incohérences. L'attention du client par téléphone est jugée "inférieure à celle d'une personne réceptionnant un courriel, qui dispose alors de davantage de temps pour s'apercevoir d'éventuelles anomalies révélatrices de son origine frauduleuse".

Le ministère de l'Économie a lui-même repris cette analyse dans une note officielle. Dans un arrêt daté du 23 octobre 2024, la Cour de cassation s'est intéressée au spoofing téléphonique, une escroquerie qui consiste à se faire passer pour un conseiller bancaire dans le but d'obtenir les données personnelles de sécurité du titulaire d'un compte.

Ce que cela change concrètement pour vous

La charge de la preuve pèse désormais clairement sur l'établissement bancaire. C'est à l'établissement bancaire de rapporter la preuve que son client a commis une négligence grave, alors que ce dernier a été victime du spoofing ou de l'appel d'un faux conseiller.

Attention toutefois à ne pas généraliser trop vite. Le présent arrêt ne constitue pas un revirement de jurisprudence mais rappelle uniquement qu'en cas de fraude complexe la négligence ne sera pas prise en compte et le remboursement de la victime sera effectif.

Chaque dossier reste examiné au cas par cas, en fonction des circonstances précises. Dans d'autres circonstances, la négligence grave de l'usager bancaire pourrait faire débat, notamment si le numéro de téléphone de l'appel reçu n'est pas celui de la banque. La matière demeure très casuistique.

Ce que révèle surtout cette affaire, c'est un décalage inquiétant entre la technologie et le droit : les opérateurs télécoms peinent encore à bloquer efficacement l'usurpation de numéros, alors même que la justice reconnaît désormais que personne, aussi vigilant soit-il, ne peut deviner qu'un appel affichant le vrai numéro de sa banque cache en réalité un escroc.

Sources : salagnon-avocat-nantes.fr | amauryayoun.com