« Le numéro qui s’affichait était bien celui de ma banque » : au guichet, on a refusé de me rembourser sans connaître ce que la Cour de cassation impose

Un appel du "conseiller bancaire", un numéro affiché à l'écran strictement identique à celui de l'agence habituelle, et 54 500 euros envolés en quelques minutes. C'est exactement ce qu'a vécu un client de BNP Paribas en mai 2019, avant que la banque ne lui oppose une fin de non-recevoir au guichet : négligence grave, donc pas de remboursement. Mais la Cour de cassation en a jugé autrement, et son arrêt du 23 octobre 2024 change durablement le rapport de force entre les victimes de spoofing et leurs établissements bancaires.

Le fameux numéro qui ne trompe pas... la banque, mais qui trompe tout le monde

Revenons aux faits. Le client a été contacté par téléphone par une personne prétendant travailler pour l'établissement et lui demandant la communication de ses données personnelles de sécurité aux fins d'ajouts de nouveaux bénéficiaires de virements. Rien d'inhabituel en apparence : le fraudeur lui a expliqué que pour déjouer une attaque informatique, il avait été nécessaire de supprimer des bénéficiaires de virement enregistrés sur son espace en ligne et qu'il fallait désormais les réenregistrer. Le client, resté en ligne, a validé les opérations sans se douter de rien.

Une fois la fraude découverte, la banque a refusé de rembourser. Son argument tenait en une phrase : le titulaire du compte avait commis une négligence grave, dès lors que l'échange téléphonique comportait des indices qui auraient permis à un utilisateur normalement attentif de suspecter une fraude. Elle allait même plus loin, estimant que le réenregistrement de bénéficiaires de virements suite à une supposée attaque informatique ne nécessitait pas l'intervention d'un préposé de banque, et que l'opération ne présentait pas de caractère d'urgence dans la mesure où il était indiqué au client qu'il n'aurait plus accès à son compte en ligne pendant plusieurs jours. Des arguments qui, sur le papier, sonnent presque logiques. Vus depuis un fauteuil de juriste, peut-être. Vécus en direct au téléphone avec un interlocuteur qui affiche le vrai numéro de votre banque, c'est une autre histoire.

La cour d'appel de Versailles avait déjà tranché en faveur du client dès mars 2023, ordonnant le remboursement intégral. BNP Paribas a formé un pourvoi. Et c'est là que la Cour de cassation a rendu son verdict, sans détour.

Ce que dit exactement la Cour de cassation

L'arrêt du 23 octobre 2024, rendu par la chambre commerciale et publié au Bulletin, ne laisse guère de place à l'ambiguïté. La Cour a rappelé qu'il revient à la banque d'apporter la preuve d'une négligence grave de son client afin de lever son obligation de remboursement. Pas l'inverse. C'est une nuance qui change tout au guichet : ce n'est pas à vous de prouver votre bonne foi, c'est à votre banque de démontrer votre faute.

Et sur le fond, les juges ont balayé l'argument de la banque. Considérant les circonstances de l'appel, de nature à mettre le titulaire du compte en confiance et à diminuer sa vigilance, la Cour estime que le client n'a pas commis de négligence grave. Le détail qui a fait basculer la décision ? Le numéro affiché sur le téléphone de la victime était bien celui de sa conseillère bancaire habituelle et le client croyait être en relation avec un préposé de sa banque qui lui assurait qu'il effectuait une opération sécurisée.

Il y a même un raisonnement presque contre-intuitif dans cet arrêt, et c'est ce qui le rend passionnant. On aurait pu penser qu'un appel téléphonique laisse plus de temps pour se méfier qu'un simple mail. C'est tout le contraire selon les magistrats : la vigilance d'une personne face à un appel téléphonique émanant prétendument de sa banque est inférieure à celle d'une personne réceptionnant un courriel, laquelle dispose de davantage de temps pour repérer des anomalies révélatrices de fraude. l'urgence orale, la voix rassurante, le sentiment d'être pris au dépourvu : tout cela joue contre la vigilance, et donc en faveur de la victime devant les tribunaux.

Cette solution s'appuie sur des textes précis du Code monétaire et financier. La banque est de plein droit responsable en cas de virement non autorisé, sauf preuve d'une négligence grave ou d'un comportement frauduleux de la part du titulaire du compte, selon les articles L.133-18 et L.133-19. Et la jurisprudence a même précisé depuis que la banque doit d'abord démontrer que l'opération elle-même était techniquement irréprochable avant de pouvoir même évoquer une faute du client. Un arrêt de novembre 2024 est venu rappeler que la banque doit prouver l'authentification, l'enregistrement et l'absence de défaillance technique de l'opération, avant même d'aborder la question de la négligence.

Une fraude qui explose, une jurisprudence qui se construit pas à pas

Le spoofing n'est pas un phénomène marginal. Selon l'Observatoire de la sécurité des moyens de paiement, les "fraudes par manipulation", dont fait partie le "spoofing", ont permis aux fraudeurs de détourner près de 380 millions d'euros en France en 2023, année où la Banque de France dénombrait plus de 410 000 victimes, un chiffre en nette hausse par rapport aux 250 900 victimes comptabilisées en 2016. En dix ans, le nombre de victimes a donc quasiment doublé. De quoi expliquer pourquoi les banques, échaudées, cherchent parfois à limiter la casse en invoquant systématiquement la négligence grave, quitte à froisser des clients pourtant fidèles depuis des décennies.

Une réponse technique a néanmoins commencé à émerger. Le 1er octobre 2024, une nouvelle étape a été franchie avec l'entrée en vigueur d'une loi visant à encadrer le démarchage téléphonique et à lutter contre les appels frauduleux, dite loi Naegelen, laquelle impose désormais aux opérateurs téléphoniques français de bloquer automatiquement les appels dont le numéro ne peut être authentifié. Sur le papier, cette obligation technique devrait à terme rendre le spoofing plus difficile. Dans les faits, les escrocs s'adaptent toujours plus vite que la réglementation, et les dossiers continuent d'affluer devant les tribunaux en 2025 et 2026.

La jurisprudence, elle, ne s'est pas arrêtée en 2024. D'autres décisions sont venues affiner les contours de cette protection, parfois en la nuançant. Un arrêt plus récent a par exemple rappelé que la seule coïncidence entre le numéro affiché et celui de l'agence ne suffit pas mécaniquement à écarter toute négligence : les juges du fond doivent toujours motiver leur décision au regard de l'ensemble des circonstances, pas d'un seul indice, aussi frappant soit-il. Concrètement, cela signifie que chaque dossier reste examiné au cas par cas, mais que le socle posé en octobre 2024 demeure solide : c'est à la banque de prouver votre faute, jamais à vous de prouver votre innocence. Un rappel qui vaut son pesant d'or la prochaine fois qu'un conseiller, au guichet, vous répondra que "le dossier est en cours d'examen" avant de vous opposer, quelques semaines plus tard, votre prétendue imprudence.

Sources : salagnon-avocat-nantes.fr | salagnon-avocat-nantes.fr