« J’ai donné mes codes à un faux conseiller qui appelait du vrai numéro de ma banque » : personne ne m’avait dit que la Cour de cassation obligeait la banque à me rembourser

Un appel, un numéro qui s'affiche comme celui de son agence habituelle, une voix rassurante qui parle de piratage informatique. Le client obéit, tape son code, pense sécuriser son compte. Quelques jours plus tard, 54 500 euros se sont volatilisés en plusieurs virements. Et la banque refuse de rembourser. Ce scénario, vécu par un client de BNP Paribas en mai 2019, a fini devant la Cour de cassation, qui a tranché le 23 octobre 2024 en faveur de la victime. Ce n'est pas à elle de prouver qu'elle a été prudente. C'est à la banque de démontrer qu'elle a été négligente. Et cette nuance change tout.

Le piège du numéro qui ne ment jamais (ou presque)

Le spoofing téléphonique fonctionne sur un principe presque insultant de simplicité : l'escroc fait apparaître sur l'écran du téléphone le numéro réel de la banque. Pas une imitation approximative, pas un numéro surtaxé suspect. Le vrai numéro. Celui qu'on a enregistré dans ses contacts après un rendez-vous avec sa conseillère.

Dans l'affaire jugée par la Cour de cassation, le client d'une banque a été contacté par téléphone par une personne se présentant comme un conseiller bancaire, l'alertant d'une possible attaque informatique sur son compte, et a utilisé son code confidentiel pour supprimer puis réinscrire des bénéficiaires de virements. Une manipulation redoutablement efficace : le faux conseiller ne demande pas de l'argent directement, il demande une simple "vérification de sécurité". Le client a par la suite réalisé que son compte avait été débité de plusieurs virements frauduleux et a alerté sa banque.

Franchement, c'est le genre de mécanique qui devrait faire réfléchir n'importe quel titulaire de compte, même le plus méfiant. Le vrai numéro qui s'affiche désamorce instantanément les réflexes de prudence qu'on associerait normalement à un mail bourré de fautes d'orthographe ou à un lien douteux.

Ce que dit précisément l'arrêt du 23 octobre 2024

La banque a refusé le remboursement en invoquant la faute du client. Son argument : le réenregistrement de bénéficiaires de virements suite à une supposée attaque informatique ne nécessitait pas l'intervention d'un préposé de banque, et cette opération ne présentait pas de caractère d'urgence dans la mesure où il était indiqué au client qu'il n'aurait plus accès à son compte en ligne pendant plusieurs jours. : le client aurait dû se méfier, les indices étaient là.

La Cour d'appel de Versailles avait déjà donné tort à la banque en mars 2023, la condamnant à rembourser. Saisie du pourvoi, la chambre commerciale de la Cour de cassation a confirmé cette position sans ambiguïté. Le texte de référence, l'article L. 133-19 du code monétaire et financier, précise que le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées s'il n'a pas satisfait par négligence grave aux obligations prescrites. Mais qui doit prouver cette négligence ? C'est là que l'arrêt tranche net : les banques doivent prouver une négligence grave de leur part pour ne pas rembourser, et non l'inverse.

Pour justifier sa décision, la Cour retient un détail qui change toute l'analyse : le numéro affiché sur le téléphone de la victime était bien celui de sa conseillère bancaire habituelle et le client croyait être en relation avec un préposé de sa banque qui lui assurait qu'il effectuait une opération sécurisée. Un argument encore plus surprenant vient ensuite. Les juges établissent une hiérarchie de la vigilance selon le canal utilisé : la vigilance d'une personne face à un appel téléphonique émanant prétendument de sa banque est inférieure à celle d'une personne réceptionnant un courriel, laquelle dispose de davantage de temps pour repérer des anomalies révélatrices de fraude. Une contre-intuition, presque. On pourrait penser qu'un appel en direct, avec une vraie voix humaine, inspire davantage confiance à raison. La Cour dit l'inverse : c'est justement cette immédiateté qui piège, là où un email laisse le temps de la réflexion.

Une jurisprudence qui s'installe, pas un coup isolé

Cet arrêt n'est pas resté lettre morte. Des décisions ultérieures de la Cour d'appel de Paris, rendues en mai 2025, s'inscrivent dans le même sillage protecteur. Ces jugements confirment que pour qu'une banque soit exonérée de sa responsabilité, elle doit démontrer une négligence grave, évidente et inexcusable de la part du client, ce qui est difficile à prouver lorsque la fraude repose sur l'ingénierie sociale. Une des affaires concernait même un client de 92 ans, déjà victime d'un phishing par le passé, à qui la justice a pourtant reconnu le droit au remboursement intégral.

Le résultat. Un renversement complet de la logique qui prévalait jusque-là dans certains contentieux, où le client devait quasiment justifier chacun de ses gestes pour espérer récupérer son argent. Désormais, la charge repose sur l'établissement bancaire, qui doit apporter des preuves concrètes et non de simples soupçons sur le comportement de son client.

Une protection réelle, mais pas un blanc-seing

Cette jurisprudence ne signifie pas que toute victime obtient automatiquement gain de cause. La négligence grave reste un motif d'exonération valable pour la banque, à condition qu'elle soit démontrée par des éléments tangibles, comme un email truffé d'anomalies grossières ou une communication de codes sans aucune mise en confiance préalable. La distinction entre appel téléphonique et email reste d'ailleurs centrale dans l'appréciation des juges, l'un bénéficiant d'une clémence que l'autre n'a pas toujours.

Un détail technique mérite d'être signalé pour l'avenir : depuis le 1er octobre 2024, la loi Naegelen impose aux opérateurs téléphoniques la mise en place d'une solution d'authentification des numéros, avec une coupure obligatoire des appels non authentifiés. Sur le papier, ce dispositif devrait compliquer sérieusement la vie des escrocs pratiquant le spoofing classique. Reste à voir, dans les prochains mois, si les fraudeurs trouveront une parade, comme ils l'ont fait pour presque chaque verrou technique posé avant celui-ci.

Sources : economie.gouv.fr | lebot-avocat.com