« J’ai validé trois virements au téléphone avec un conseiller qui affichait le numéro de ma banque » : personne ne m’avait dit à qui revenait la charge de la preuve

Trois virements validés au téléphone, un numéro qui affiche noir sur blanc le nom de la banque, une voix professionnelle qui parle de piratage informatique et de procédure de sécurisation. Résultat : 54 500 euros envolés en quelques minutes. Et pourtant, dans cette affaire jugée par la Cour de cassation le 23 octobre 2024, ce n'est pas au client de prouver son innocence, mais à la banque de démontrer sa négligence grave. Un arrêt qui rebat les cartes pour des milliers de victimes de « spoofing » téléphonique.

Un client piégé, 54 500 euros envolés

L'histoire commence en mai 2019. Le client d'un établissement bancaire a constaté que plusieurs virements frauduleux d'un montant de 54 500 euros avaient été opérés sur son compte. Rien d'exotique dans le scénario : un coup de fil, une voix rassurante, un numéro d'appel identique à celui de son agence habituelle. Le client d'une banque a été contacté par téléphone par une personne se présentant comme un conseiller bancaire, l'alertant d'une possible attaque informatique sur son compte.

Suivent les instructions classiques du scénario frauduleux : suppression puis réenregistrement de bénéficiaires, ajout de nouveaux destinataires, validation d'opérations présentées comme des mesures de protection. En liaison téléphonique avec le prétendu conseiller bancaire, via des messages reçus sur son téléphone mobile, le client a ajouté, à la demande de celui-ci, cinq personnes sur la liste des bénéficiaires de virements et validé les opérations de paiement dont celles-ci ont été les destinataires. Franchement, difficile de reprocher à quiconque d'avoir cru à cette mise en scène : le numéro affiché ne mentait pas, ou plutôt, il mentait à la perfection.

La banque, elle, a refusé le remboursement en invoquant la négligence grave du titulaire du compte. L'affaire est passée devant la Cour d'appel de Versailles, qui a tranché en faveur du client dès 2023, avant que l'établissement ne porte l'affaire jusqu'en cassation.

Le renversement qui change tout : la preuve appartient à la banque

C'est là que l'arrêt du 23 octobre 2024 devient intéressant, presque inattendu pour qui pensait que la vigilance individuelle suffisait à se protéger juridiquement. La chambre commerciale de la Cour de cassation a rappelé que c'est à l'établissement bancaire de rapporter la preuve que son client a commis une négligence grave alors que ce dernier a été victime du spoofing ou de l'appel d'un faux conseiller. ce n'est pas au client de démontrer qu'il a bien agi. C'est à la banque de démontrer qu'il a mal agi.

La Cour est allée plus loin en précisant les conditions concrètes de cette exonération. Aucune négligence grave du client n'est caractérisée dès lors que l'auteur de la fraude utilise un numéro de téléphone identique à celui du conseiller bancaire du client et que l'escroc, se prétendant salarié de la banque, laisse croire au client que l'opération est sécurisée en suivant les consignes communiquées. Un point de nuance mérite d'être noté : la Cour a aussi rappelé que le prestataire de services de paiement doit prouver que l'opération en cause a été authentifiée, dûment enregistrée et comptabilisée et qu'elle n'a pas été affectée par une déficience technique ou autre. Deux obligations pour la banque, donc, pas une seule.

Sur le plan juridique, tout repose sur l'article L. 133-19 du Code monétaire et financier. La règle n'est pas nouvelle en soi, mais son application au spoofing, elle, l'est. La Cour de cassation rappelle qu'il incombe au prestataire de services de paiement de rapporter la preuve d'une négligence grave de son client, une règle figurant à l'article L. 133-19, IV du Code monétaire et financier. Ce texte existait déjà pour le phishing par mail. La nouveauté, c'est son extension explicite à l'usurpation de numéro de téléphone, une pratique bien plus vicieuse.

Pourquoi le téléphone déjoue la vigilance mieux qu'un mail

Un mail suspect, on peut le relire, chercher la faute d'orthographe, vérifier l'adresse de l'expéditeur. Un appel téléphonique, non. La pression est immédiate, la voix humaine rassure, le numéro affiché supprime le dernier doute. C'est précisément l'argument retenu par les juges. Ce mode opératoire, correspondant au spoofing, a mis la victime en confiance et abaissé sa vigilance, alors qu'elle aurait été accrue s'il s'était agi d'un échange par le biais de courriel.

La technique elle-même n'a rien de sorcier pour un fraudeur un peu équipé. Le spoofing est une méthode frauduleuse dans laquelle des escrocs usurpent l'identité d'un conseiller bancaire, parvenant même à afficher un numéro d'appel légitime de la banque. Une faille technique dans les réseaux téléphoniques, exploitée à grande échelle jusqu'à récemment. Le détail est presque cocasse : la loi qui aurait dû colmater cette brèche portait le nom d'un ancien maire d'Épinal.

Le législateur a d'ailleurs anticipé le problème avant même cet arrêt. La loi « Naegelen » du 24 juillet 2020 est venue imposer aux opérateurs téléphoniques la mise en place d'une solution d'authentification des numéros, avec une coupure obligatoire des appels non authentifiés, les opérateurs devant vérifier la conformité des numéros téléphoniques au plan de numérotation de l'Arcep. Ce dispositif est effectif depuis le 1er octobre 2024, soit quelques semaines avant l'arrêt de la Cour de cassation. Un timing presque ironique : la jurisprudence protège les victimes passées au moment même où la technique censée les créer commence, en théorie, à disparaître.

Ce que cela change concrètement pour les futures victimes

Ce jugement, publié au Bulletin (c'est-à-dire jugé suffisamment important pour faire jurisprudence), oblige désormais les banques à revoir leur ligne de défense automatique. Avant, la simple existence d'un virement validé par le client suffisait souvent à faire pencher la balance en faveur de l'établissement. Ce n'est plus le cas.

Trois réflexes restent recommandés, même si la loi protège davantage la victime : ne jamais communiquer de code de sécurité par téléphone, quel que soit le numéro affiché ; raccrocher et rappeler soi-même sa banque via le numéro inscrit sur sa carte ou son contrat ; signaler tout virement suspect dans l'heure qui suit sa découverte. Ces gestes ne garantissent rien à eux seuls, mais ils réduisent le risque d'un débat contradictoire sur la fameuse négligence grave.

Un dernier détail mérite d'être signalé : cette protection ne s'applique qu'aux opérations où le client a été trompé par un tiers se faisant passer pour sa banque. Si le client communique volontairement ses codes en réponse à un mail visiblement frauduleux, sans vérification minimale, la jurisprudence reste bien plus sévère et la négligence grave peut alors être retenue contre lui, comme le montrent plusieurs décisions antérieures sur le phishing classique.

Sources : actu-juridique.fr | economie.gouv.fr