« Je pensais parler à mon conseiller » : pourquoi la banque doit vous rembourser même si vous avez validé les virements vous-même

Le 23 octobre 2024, la chambre commerciale de la Cour de cassation a tranché un débat qui empoisonnait les tribunaux depuis des années : un client victime d'un faux conseiller bancaire par téléphone, qui valide lui-même des virements frauduleux, n'est pas automatiquement fautif. La Cour a rappelé qu'il revient à la banque d'apporter la preuve d'une négligence grave de son client afin de lever son obligation de remboursement. Résultat concret pour la victime de cette affaire : 54 500 euros à récupérer, malgré le fait qu'elle ait elle-même saisi son code confidentiel pour valider les opérations.

Un appel, un numéro familier, cinq virements qui disparaissent

Tout commence en mai 2019. Le client d'une banque (BNP Paribas) a été contacté par téléphone par une personne se présentant comme un conseiller bancaire, l'alertant d'une possible attaque informatique sur son compte. À la demande de cette personne, le client a utilisé son code confidentiel pour supprimer puis réinscrire des bénéficiaires de virements. Il a constaté par la suite que son compte avait été débité de plusieurs virements frauduleux pour un total de 54 500 euros. Le détail qui change tout : l'écran de son téléphone affichait le vrai numéro de sa conseillère habituelle. Pas un numéro suspect commençant par un indicatif étranger, pas une orthographe approximative dans un SMS. Le numéro de l'agence, celui qu'il avait déjà composé des dizaines de fois.

La banque a d'abord refusé de rembourser, estimant que valider une opération à distance sans en vérifier l'origine relevait de la négligence grave. Le tribunal de commerce de Pontoise lui a donné raison en premier ressort. Mais par une décision du 28 mars 2023, la Cour d'appel de Versailles avait condamné BNP Paribas à payer au client la somme de 54.500 euros avec intérêts au taux légal à compter du 10 octobre 2019, ainsi que la somme de 1500 euros à titre de dommages et intérêts pour préjudice moral. La banque a alors formé un pourvoi, estimant que valider à distance une opération dont on n'est pas l'auteur constitue en soi une faute. La Cour de cassation ne l'a pas suivie.

Pourquoi la validation par le client ne suffit pas à exonérer la banque

Le raisonnement des juges repose sur un texte précis, l'article L. 133-19 du Code monétaire et financier. Il en résulte qu'en matière d'opération de paiement par carte, par virement ou par prélèvement, le payeur supporte toutes les pertes occasionnées par des opérations non autorisées s'il n'a pas satisfait par négligence grave à ses obligations de préserver la sécurité de ses données personnalisées, la charge totale de l'opération pesant alors uniquement sur ce payeur. Mais la charge de la preuve n'appartient pas au client. C'est à la banque de démontrer, faits à l'appui, que son client a été négligent. Or dans cette affaire, elle n'y est pas parvenue.

Le sommaire de l'arrêt est limpide sur ce point. Aucune négligence grave ne peut être imputée au titulaire d'un compte qui, contacté téléphoniquement par une personne se faisant passer pour un préposé de sa banque dont le numéro s'affichait, utilise à sa demande le dispositif de sécurité personnalisé pour supprimer puis réinscrire des bénéficiaires de virements dans le but d'éviter des opérations malveillantes. Autrement écrit : croire parler à son conseiller, quand tout, y compris l'écran du téléphone, le confirme, n'est pas une faute. C'est se faire piéger par une technologie détournée, pas manquer de prudence.

La Cour va plus loin en distinguant les canaux de fraude. Elle relève que la vigilance d'une personne face à un appel téléphonique émanant prétendument de sa banque est inférieure à celle d'une personne réceptionnant un courriel, laquelle dispose de davantage de temps pour repérer des anomalies révélatrices de fraude. Un mail, on peut le relire, chercher la faute d'orthographe, vérifier l'adresse de l'expéditeur. Une voix au téléphone, qui connaît votre nom, vos derniers virements et affiche le bon numéro, ne laisse pas ce luxe de recul. C'est bien cette différence de rythme qui a fait basculer la jurisprudence.

Une brèche qui s'élargit depuis 2024

Cet arrêt n'est pas resté isolé. La Cour d'appel de Paris a rendu, le 22 mai 2025, deux décisions qui s'inscrivent dans le courant jurisprudentiel favorable aux victimes initié par la Cour de cassation le 23 octobre 2024. Dans l'un de ces dossiers, l'appel provenait d'un numéro qui était celui de l'agence bancaire de la victime, Cette technique de spoofing ayant contribué à la mettre en confiance. Même mécanisme, même issue : la banque n'a pas su prouver la négligence grave.

Attention toutefois à ne pas transformer cette protection en filet de sécurité absolu. La jurisprudence antérieure reste instructive à ce titre : dans un arrêt du 28 mars 2018, la Cour de cassation avait retenu que l'utilisateur avait manqué par négligence grave à son obligation de préserver la sécurité de ses dispositifs de sécurité en communiquant des données personnelles en réponse à un courriel. Le canal change tout : un mail douteux qui traîne, on peut le laisser reposer une heure avant de cliquer. Un appel qui affiche le bon numéro et évoque une attaque en cours, beaucoup moins.

Ce qu'il faut retenir si cela vous arrive

Si vous recevez un appel de ce type, trois réflexes limitent les dégâts : raccrocher immédiatement sans donner suite aux instructions, rappeler vous-même votre agence via le numéro inscrit sur votre carte ou votre contrat, et alerter votre banque sans délai dès le moindre virement suspect constaté sur votre compte. Le client de l'affaire jugée en 2024 avait d'ailleurs prévenu son établissement le jour même de la découverte de la fraude, un élément que les juges ont pris en compte dans leur appréciation globale du dossier.

Depuis le 1er octobre 2024, les opérateurs téléphoniques déploient un mécanisme de sécurisation censé rendre plus difficile l'usurpation des numéros bancaires sur les réseaux français. Mais la fraude évolue aussi vite que les parades : certains escrocs contournent déjà ces filtres en passant par des plateformes d'appel situées à l'étranger. La meilleure protection reste donc encore, pour l'instant, le réflexe de raccrocher et de composer soi-même le numéro connu de son agence, quoi qu'affiche l'écran du téléphone.

Sources : lebot-avocat.com | ellipsis-avocats.com