Un client BNP Paribas a perdu 54 500 euros après un appel d’un faux conseiller utilisant le numéro exact de sa banque. La Cour de cassation a tranché : c’est à la banque de prouver votre négligence, pas l’inverse. Une décision qui redessine vos protections.
J’ai été appelé par le numéro exact de ma banque affiché sur mon écran : le « conseiller » a vidé mon compte et ma banque a refusé de me rembourser à tort
Le numéro qui s'affiche sur l'écran est le bon. Celui de l'agence, enregistré depuis des années dans le répertoire, celui qu'on appelle en cas de problème. Et pourtant, à l'autre bout du fil, ce n'est pas la banque. C'est un escroc qui vient d'utiliser une technique baptisée spoofing, et qui va profiter de cette confiance pour vider un compte en quelques minutes, avant de laisser sa victime seule face à un établissement qui invoque, presque par réflexe, la fameuse négligence grave pour refuser tout remboursement.
Cette scène n'est pas une hypothèse d'école. C'est exactement ce qu'a vécu un client de BNP Paribas en mai 2019, et son histoire a fini par redessiner les règles du jeu jusqu'à la Cour de cassation. Franchement, c'est le genre d'affaire qui devrait être connue de tous les détenteurs d'un compte bancaire, tant elle inverse un rapport de force resté trop longtemps favorable aux banques.
À retenir
- Un numéro identique au vôtre s'affiche à l'écran, mais ce n'est pas votre banque : le spoofing peut tromper même les clients prudents
- La Cour de cassation a enfin imposé aux banques de prouver votre faute, et non l'inverse
-
cette protection ne fonctionne que si vous pouvez prouver le spoofing avec des preuves matérielles
Le piège du numéro qui ne trompe jamais... sauf que si
Un client de BNP Paribas a été contacté par un faux conseiller, et s'est fait soutirer 54 500 euros via plusieurs virements frauduleux qu'il a lui-même validés sous l'influence trompeuse de l'escroc, pensant qu'il s'agissait d'une procédure de sécurité légitime. Le détail qui change tout : l'origine de cette fraude reposait sur une usurpation d'identité (spoofing), le client ayant été contacté par une personne prétendant être une employée de la banque et utilisant un numéro de téléphone correspondant à celui de sa conseillère bancaire. Sous ce prétexte, le client avait validé, via son dispositif de sécurité personnalisé, des ajouts de bénéficiaires sur son compte, croyant déjouer une attaque informatique.
La banque, elle, a refusé de rembourser. Son argument : le titulaire du compte avait commis une négligence grave, dès lors que l'échange téléphonique comportait des indices qui auraient permis à un utilisateur normalement attentif de suspecter une fraude. Une lecture sévère, presque punitive, comme si la victime devait deviner ce que même les systèmes de sécurité de sa propre banque n'avaient pas détecté.
Ce que la Cour de cassation a tranché, une fois pour toutes
L'affaire est remontée jusqu'à la Cour de cassation, qui a rendu le 23 octobre 2024 une décision devenue une référence pour tous les dossiers similaires. La chambre commerciale a rappelé que c'est à l'établissement bancaire de rapporter la preuve que son client a commis une négligence grave, alors que ce dernier a été victime du spoofing ou de l'appel d'un faux conseiller. Une évidence, presque. Mais une évidence qui a longtemps été contournée par les banques dans leurs refus systématiques.
Le raisonnement des juges mérite d'être détaillé, car il repose sur une analyse fine du comportement humain face à l'urgence. Considérant les circonstances de l'appel, de nature à mettre le titulaire du compte en confiance et à diminuer sa vigilance, la Cour estime que le client n'a pas commis de négligence grave, retenant notamment que le numéro affiché sur le téléphone de la victime était bien celui de sa conseillère bancaire habituelle et que le client croyait être en relation avec un préposé de sa banque qui lui assurait qu'il effectuait une opération sécurisée. Point encore plus intéressant : la Cour de cassation relève que la vigilance d'une personne face à un appel téléphonique émanant prétendument de sa banque est inférieure à celle d'une personne réceptionnant un courriel, laquelle dispose de davantage de temps pour repérer des anomalies révélatrices de fraude. Une distinction contre-intuitive : on croit souvent qu'un appel téléphonique, plus "humain", devrait éveiller davantage la méfiance qu'un mail impersonnel. C'est l'inverse. L'urgence orale désarme mieux que le texte, qui laisse le temps de réfléchir.
Sur le plan légal, cet arrêt s'appuie sur l'article L. 133-19 du Code monétaire et financier. Une opération bancaire frauduleuse doit être remboursée par la banque, sauf si celle-ci prouve une « négligence grave » du client ; ce n'est donc pas à la victime de démontrer qu'elle n'a pas commis de faute, c'est à la banque d'établir l'existence d'une négligence grave. Un renversement de la charge de la preuve qui, sur le papier, existait déjà, mais que cette décision est venue clarifier avec une netteté inédite.
Attention, la protection n'est pas absolue
Voilà où beaucoup de victimes se trompent en pensant que citer cet arrêt suffit à obtenir gain de cause automatiquement. La jurisprudence a continué d'évoluer, et pas toujours dans le même sens. Un arrêt plus récent, rendu le 4 mars 2026, a apporté une nuance de taille : dans une affaire où le client avait validé des opérations sur son application bancaire, les messages de confirmation mentionnaient explicitement le mot « paiement » et non « annulation » comme le lui avait fait croire le fraudeur, et la Cour de cassation a cassé le jugement favorable au client, reprochant aux juges du fond de ne pas avoir recherché si le client avait lu ce message avant de valider.
Autre exemple, plus radical : le 12 mai 2026, le tribunal judiciaire de Paris a débouté deux victimes faute de preuve que le numéro affiché était bien celui de leur banque. La leçon est claire. Le spoofing ne fonctionne comme bouclier juridique que s'il peut être prouvé, capture d'écran, historique d'appels, témoignage à l'appui. Sans cette preuve matérielle, l'argument s'effondre.
Que faire concrètement en cas de fraude
La marche à suivre reste la même, peu importe le montant en jeu. Faire opposition immédiatement, conserver toute trace de l'appel frauduleux (numéro, horaire, capture d'écran), déposer plainte, puis adresser à la banque une demande écrite de remboursement invoquant l'article L. 133-18 du Code monétaire et financier. Si la banque refuse, il est possible de saisir gratuitement le médiateur bancaire avant d'envisager une action en justice. Un signalement sur la plateforme Perceval du ministère de l'Intérieur peut également appuyer le dossier.
Un chiffre à garder en tête, tant il illustre l'ampleur du phénomène : les arnaques au faux conseiller bancaire ont explosé avec une hausse de 78% des cas en 2023, représentant près de 379 millions d'euros de préjudice. Depuis le 1er octobre 2024, la loi Naegelen impose aux opérateurs téléphoniques de sécuriser leurs réseaux pour limiter l'usurpation des numéros. Reste à savoir si cette obligation technique suffira à endiguer une fraude qui, elle, ne cesse d'affiner ses méthodes.
Sources : actu-juridique.fr | salagnon-avocat-nantes.fr