Par cet arrêt du 9 juin 2026, la Cour d’appel de Bordeaux confirme et aggrave un jugement de première instance favorable à une cliente de la Caisse d’Épargne Aquitaine Poitou-Charentes, victime d’une fraude bancaire caractéristique des techniques d’ingénierie sociale les plus répandues aujourd’hui .
En décembre 2021, Madame [R] [C] a été contactée téléphoniquement par un individu se faisant passer pour un conseiller de sa banque, au moyen d’une usurpation du numéro d’appel de l’établissement (« spoofing ») .
Convaincue de s’adresser à sa banque, et alertée de mouvements prétendument frauduleux sur ses comptes, elle a réinitialisé son mot de passe et communiqué ses codes d’accès à son interlocuteur, permettant l’exécution d’un virement frauduleux de 6 000 euros vers un compte tiers . La banque ayant refusé tout remboursement au motif que l’opération avait été validée par le dispositif d’authentification forte Secur’pass et que la cliente avait commis une négligence grave, celle-ci a assigné l’établissement en remboursement .
La Cour rappelle avec fermeté le principe posé par le Code monétaire et financier selon lequel il incombe au prestataire de services de paiement, et non au client, de prouver que l’opération contestée a été authentifiée, dument enregistrée et comptabilisée, et qu’elle n’a pas été affectée par une déficience technique.
Elle précise, dans le droit fil de la jurisprudence récente, que cette preuve ne saurait se déduire du seul constat que l’instrument de paiement ou les identifiants personnels du client ont été effectivement utilisés . Or, en l’espèce, la Caisse d’Épargne n’a produit ni le journal des logs techniques ni aucun élément permettant d’établir que l’authentification forte avait été effectivement mise en œuvre lors de l’ajout du bénéficiaire frauduleux et de l’exécution du virement litigieux . Cette exigence probatoire stricte, qui fait peser sur la banque une véritable obligation de démonstration technique, constitue le socle du raisonnement de la Cour et s’inscrit dans un mouvement jurisprudentiel de renforcement continu de la protection du consommateur de services de paiement.
La banque invoquait subsidiairement la négligence grave de sa cliente pour s’exonérer de son obligation de remboursement. La Cour écarte cet argument en relevant que le procédé de spoofing, en créant l’apparence trompeuse d’un appel émanant réellement de la banque, a mis la victime en confiance et a nécessairement diminué sa vigilance. Aucune négligence grave caractérisée n’a donc pu être retenue à son encontre.
Cette appréciation témoigne d’une lecture réaliste, favorable aux victimes, du degré de sophistication des techniques frauduleuses contemporaines : la Cour refuse de faire peser sur le client ordinaire une vigilance qui supposerait de déjouer un artifice technique difficilement détectable par un non-spécialiste.
La Cour confirme la condamnation de la Caisse d’Épargne au remboursement intégral des 6 000 euros détournés au titre du préjudice financier. Elle va toutefois plus loin que les premiers juges en réformant le jugement pour allouer, en sus, 1 000 euros de dommages et intérêts au titre du préjudice moral, sanctionnant ainsi le non-respect par la banque de son obligation légale de remboursement immédiat des opérations de paiement non autorisées. La banque est enfin condamnée à verser 3 000 euros au titre des frais irrépétibles d’appel sur le fondement de l’article 700 du code de procédure civile .
Cet arrêt présente un intérêt notable pour les victimes de fraude par spoofing et phishing, à plusieurs égards.
D’une part, il rappelle avec exigence que la charge probatoire de l’authentification forte pèse entièrement sur l’établissement bancaire, lequel ne peut se contenter d’affirmations générales sur la fiabilité de ses dispositifs techniques mais doit produire des éléments concrets, tels que les journaux de connexion.
D’autre part, il consacre une conception souple et protectrice de la négligence du client, qui tient compte du degré de sophistication réel des manœuvres frauduleuses plutôt que d’exiger une vigilance irréaliste. Enfin, en accordant une indemnisation complémentaire au titre du préjudice moral en cas de refus fautif ou tardif de remboursement, la Cour dissuade les établissements bancaires d’opposer des refus systématiques aux demandes de leurs clients victimes de fraude. Cette solution s’inscrit dans un mouvement jurisprudentiel plus large de renforcement de la protection des consommateurs de services de paiement face à la sophistication croissante des fraudes bancaires.
Leave a Reply