Les faits : une escroquerie téléphonique particulièrement crédible.
En l’espèce, une cliente a été contactée par téléphone par une personne se présentant comme appartenant au service d’opposition des cartes bancaires de l’établissement.
Plusieurs éléments conféraient à cet appel une apparence de parfaite authenticité :
- le numéro appelant correspondait au numéro officiel de la banque, grâce à une technique d’usurpation d’identité téléphonique (spoofing) ;
- l’interlocuteur disposait de données précises et crédibles relatives à la carte bancaire de la cliente (type de carte, opérations récentes, localisation suspecte de paiements) ;
- le discours tenu était cohérent avec les pratiques habituelles de lutte contre la fraude, l’interlocuteur affirmant vouloir bloquer des opérations frauduleuses en cours.
Convaincue d’être confrontée à une tentative de fraude imminente et pensant agir dans son propre intérêt, la cliente a suivi les instructions qui lui étaient données. Elle a notamment modifié son code de sécurité et validé plusieurs opérations au moyen des dispositifs d’authentification forte mis en place par la banque (validation via application mobile).
Ces opérations se sont révélées frauduleuses. La cliente a immédiatement contesté les paiements et sollicité leur remboursement. La banque ayant refusé, estimant que l’authentification forte caractérisait nécessairement un consentement ou, à tout le moins, une négligence grave, le litige a été porté devant les juridictions.
La procédure et les prétentions des parties.
En première instance, le tribunal a donné raison à la banque, considérant qu’elle avait commis une négligence grave.
La banque, en appel, a soutenu principalement que :
- les opérations avaient été valablement authentifiées, sans défaillance technique ;
- la cliente avait elle-même validé les paiements litigieux ;
- le fait de suivre les instructions d’un tiers par téléphone et de modifier ses paramètres de sécurité caractérisait une imprudence fautive, constitutive de négligence grave au sens du Code monétaire et financier.
La cliente, quant à elle, faisait valoir qu’elle avait été victime d’une escroquerie sophistiquée, qu’elle n’avait jamais communiqué volontairement ses identifiants bancaires, et qu’elle avait réagi avec diligence dès la découverte de la fraude.
Le cadre juridique applicable.
La cour d’appel rappelle les principes gouvernant la responsabilité en matière d’opérations de paiement non autorisées, tels qu’issus du Code monétaire et financier, transposant la directive (UE) 2015/2366 dite DSP2.
Les obligations du prestataire de services de paiement.
Aux termes de l’article L133-23 du Code monétaire et financier, lorsqu’un utilisateur de services de paiement nie avoir autorisé une opération, il appartient au prestataire de services de paiement de prouver que l’opération a été authentifiée, dûment enregistrée et comptabilisée, et qu’elle n’a pas été affectée par une déficience technique ou autre.
Toutefois, le même texte précise que l’utilisation des données de sécurité personnalisées ne suffit pas, en tant que telle, à prouver que l’opération a été autorisée par l’utilisateur ou que celui-ci a agi frauduleusement ou avec négligence grave.
Les obligations de l’utilisateur et la notion de négligence grave.
Les articles L133-16 et L133-17 imposent à l’utilisateur de prendre toute mesure raisonnable pour préserver la sécurité de ses dispositifs de paiement et d’informer sans tarder son prestataire en cas de perte, de vol ou d’utilisation non autorisée.
En cas d’opération non autorisée, l’article L133-18 consacre le principe du remboursement immédiat par la banque, sauf si celle-ci démontre une fraude ou une négligence grave de l’utilisateur.
La notion de négligence grave, non définie par les textes, est une construction jurisprudentielle. Elle suppose un comportement d’une particulière gravité, excédant la simple imprudence ou l’erreur d’appréciation.
L’authentification forte : une exigence réglementaire aux effets limités.
L’un des apports essentiels de l’arrêt réside dans le rappel du rôle exact de l’authentification forte.
La cour souligne que l’authentification forte, exigée par la DSP2 afin de renforcer la sécurité des paiements électroniques, a pour objet principal de réduire le risque de fraude, mais non de créer une présomption irréfragable de consentement du client.
Autrement dit, le fait qu’une opération ait été validée par un dispositif combinant plusieurs facteurs d’authentification (connaissance, possession, inhérence) ne permet pas, à lui seul, de conclure que le client a autorisé l’opération en toute connaissance de cause ou qu’il a manqué gravement à ses obligations.
Cette analyse rejoint une jurisprudence désormais bien établie, tant des juridictions du fond que de la Cour de cassation, selon laquelle l’authentification forte est une condition technique, non un critère juridique autonome de responsabilité.
L’absence de présomption de consentement ou de faute.
La cour d’appel insiste sur un point fondamental :
- l’authentification forte ne dispense pas la banque d’établir, de manière positive,
- l’existence d’une faute qualifiable de négligence grave.
Elle rappelle que la charge de la preuve incombe au prestataire de services de paiement, lequel doit démontrer que le comportement du client traduisait une indifférence caractérisée aux règles élémentaires de prudence.
En l’espèce, la banque se bornait à invoquer la validation des opérations et le respect formel du processus d’authentification, sans analyser concrètement le contexte dans lequel la cliente avait agi.
L’appréciation concrète des circonstances de la fraude.
Fidèle à une approche casuistique, la cour d’appel procède à une analyse détaillée des circonstances de la fraude.
Elle relève notamment :
- l’utilisation du numéro officiel de la banque, rendant l’appel particulièrement trompeur ;
- la cohérence et la précision des informations détenues par l’escroc, de nature à lever les soupçons d’un client normalement vigilant ;
- l’absence de toute communication volontaire des identifiants bancaires ou des codes confidentiels à un tiers ;
- la conviction légitime de la cliente d’agir pour prévenir une fraude, et non pour en faciliter la commission ;
- la réaction immédiate de la cliente après la réalisation des opérations litigieuses.
Ces éléments conduisent la cour à considérer que la fraude était d’un degré de sophistication tel qu’elle pouvait tromper un utilisateur normalement prudent et averti.
L’exclusion de la négligence grave.
Au regard de l’ensemble de ces circonstances, la cour d’appel écarte toute qualification de négligence grave.
Elle rappelle que la simple circonstance d’avoir été dupé par un stratagème élaboré ne saurait être assimilée à un manquement grave aux obligations de sécurité.
Il convient de faire une distinction entre :
- la faute légère, voire l’absence de faute, résultant d’une manipulation psychologique crédible ;
- et la négligence grave, qui suppose un comportement manifestement imprudent, tel que la communication délibérée de codes confidentiels en dépit d’avertissements clairs et répétés.
Cette distinction est essentielle pour préserver l’équilibre du régime protecteur instauré par le législateur européen et national.
La condamnation de la banque et l’indemnisation du préjudice.
En conséquence, la cour d’appel confirme la condamnation de la banque à rembourser l’intégralité des sommes prélevées frauduleusement.
Elle alloue également à la cliente une indemnisation au titre du préjudice moral, tenant compte du stress, de l’inquiétude et des démarches imposées par la gestion du litige.
Cette reconnaissance d’un préjudice moral distinct témoigne d’une prise en compte accrue de l’impact personnel des fraudes bancaires sur les victimes.
Portée.
L’arrêt du 18 décembre 2025 présente un intérêt pratique majeur pour les professionnels du droit bancaire et pour les établissements de crédit.
Il confirme que :
- l’authentification forte n’est pas un bouclier juridique automatique pour la banque ;
- la notion de négligence grave demeure d’interprétation stricte ;
- l’analyse doit être menée in concreto, à la lumière des techniques de fraude contemporaines.
Cette décision s’inscrit dans une tendance jurisprudentielle visant à responsabiliser les prestataires de services de paiement dans la conception de leurs dispositifs de sécurité et dans l’information effective de leurs clients, notamment (CA Lyon, 1re ch. civ. b, 14 novembre 2023, RG : 22/02777 et CA Grenoble, ch. com., 13 juin 2024, RG : 23/00309).
En effet, la jurisprudence considère que les traces informatiques produites par les banques ne permettent pas de rapporter la preuve que les opérations ont été régulièrement authentifiées, dûment enregistrées et comptabilisées et que le système n’a pas été affecté d’une déficience technique.
Conclusion.
Par cet arrêt, la Cour d’appel de Paris renforce la protection des victimes de fraudes bancaires par usurpation téléphonique, en refusant de faire de l’authentification forte un critère exclusif de responsabilité.
Elle rappelle opportunément que le droit des services de paiement repose sur un équilibre : protéger la sécurité des transactions sans faire peser sur le client un risque disproportionné face à des escroqueries de plus en plus élaborées.
La lutte contre la fraude ne saurait se traduire par un renversement implicite de la charge du risque au détriment des utilisateurs.
