Un jugement rendu le ​​2​5 novembre 2025 par le Tribunal judiciaire de Paris ​(n°23/09531) constitue une décision particulièrement significative en matière de fraude bancaire par SIM swap. Il se distingue par la reconnaissance solidaire de la responsabilité de l’opérateur téléphonique et de la banque, au bénéfice d’une victime qui avait pourtant signalé l’usurpation de sa ligne dès les premiers instants.

 

Dans un contexte où les fraudes exploitant les failles de l’authentification par SMS se multiplient et se perfectionnent, cette décision marque une étape supplémentaire dans la responsabilisation de l’ensemble des acteurs de la chaîne de communication et de paiement. Elle dépasse la seule relation banque/client pour intégrer pleinement les opérateurs téléphoniques, dont le rôle dans la réalisation de la fraude ne peut plus être ignoré.

Dans cette affaire soumise à l’appréciation du Tribunal, une cliente âgée de 82 ans, abonnée à SFR et titulaire d’un compte auprès de BNP Paribas, a constaté que son abonnement téléphonique avait été résilié à son insu. Son numéro de ligne avait été transféré frauduleusement vers Free Mobile par l’effet d’une portabilité non sollicitée. Elle a immédiatement signalé l’usurpation à SFR, à Free Mobile et à sa banque, et a déposé plainte.

Malgré ce signalement, quatre virements frauduleux ont été réalisés dans les jours suivants, pour un montant total de 16 964 euros. Le fraudeur, ayant pris le contrôle du numéro de téléphone de la victime, avait pu intercepter les codes de validation envoyés par SMS par BNP Paribas, contourner les dispositifs d’authentification de la banque et accéder à l’espace bancaire en ligne.

BNP Paribas a refusé, comme les établissements bancaires le font de manière désormais trop récurrente, de procéder au remboursement des fonds détournés, en arguant que les opérations avaient été authentifiées par clé digitale. La cliente a donc assigné BNP Paribas et Free Mobile devant le Tribunal judiciaire de Paris.

Sur la responsabilité de la banque.

Les relations entre la cliente et son établissement bancaire sont régies par les articles L.133-18 et suivants du Code monétaire et financier. Le principe est clair : toute opération de paiement non autorisée doit être remboursée immédiatement par le prestataire de services de paiement.

L’article L133-19 IV prévoit une exception strictement encadrée, permettant à la banque de s’exonérer en cas de fraude ou de négligence grave du client. La charge de la preuve incombe alors intégralement à la banque.

L’article L133-23 ajoute que, lorsqu’un client nie avoir autorisé une opération, il appartient au prestataire de démontrer non seulement que l’opération a été authentifiée, dûment enregistrée et comptabilisée, mais encore qu’elle n’a été affectée par aucune déficience technique ni immixtion frauduleuse.

Or, en l’espèce, la banque ne pouvait sérieusement soutenir que la cliente avait autorisé des virements alors même qu’elle avait signalé l’usurpation de sa ligne dès la découverte des faits. L’interception des codes SMS résultait précisément d’une immixtion frauduleuse dans les systèmes de communication, dont la cliente était totalement étrangère. La banque, qui oppose systématiquement l’authentification forte comme bouclier, ne peut inverser la charge de la preuve que lui impose expressément la loi.

Le Tribunal a rappelé avec fermeté ce que les juges affirment désormais de manière constante : la validation technique d’une opération, fût-elle assortie d’une authentification forte, ne suffit pas à établir que l’opération a été librement et consciemment autorisée par le client. La sophistication du procédé, la captation des codes à l’insu de la victime et la réactivité de cette dernière dès la découverte de la fraude excluaient toute négligence grave.

BNP Paribas a en conséquence été condamnée à rembourser à la cliente l’intégralité des sommes frauduleusement débitées.

Sur la responsabilité de l’opérateur téléphonique : l’apport majeur de la décision.

C’est sur ce point que la décision du 25 novembre 2025 présente un intérêt particulier, qui dépasse le cadre du contentieux bancaire classique.

Le Tribunal a examiné le comportement de Free Mobile au regard de ses obligations propres. En matière de portabilité, l’opérateur recevant est tenu de procéder à des vérifications sérieuses d’identité avant d’accepter un transfert de ligne. En l’espèce, la portabilité avait été accordée sur la base d’une demande frauduleuse, sans contrôle suffisant, au mépris des règles de vigilance qui s’imposent à tout opérateur.

Cette carence n’est pas sans conséquence juridique. Le Tribunal a relevé le lien de causalité direct entre le manquement de l’opérateur dans la délivrance de la portabilité et la réalisation des virements frauduleux : sans la captation du numéro de téléphone, le fraudeur n’aurait pu intercepter les codes de validation et accéder au compte de la victime.

La responsabilité de Free Mobile a donc été retenue aux côtés de celle de BNP Paribas, chacun répondant de ses propres manquements dans la chaîne ayant permis la fraude.

Les enseignements de la décision.

Ce jugement consacre plusieurs avancées que l’on ne saurait trop souligner.

Il confirme d’abord que l’authentification forte n’est pas une présomption irréfragable de consentement. Un code intercepté à la suite d’un SIM swap ou d’une portabilité frauduleuse ne traduit aucune volonté libre et éclairée du titulaire du compte. Les banques qui persistent à opposer systématiquement l’authentification forte pour refuser tout remboursement s’exposent à voir leur argumentation sèchement écartée.

Il rappelle ensuite que la négligence grave ne se présume jamais. Elle s’apprécie in concreto, au regard de l’ensemble des circonstances : la sophistication de l’attaque, l’impossibilité pour la victime de détecter une portabilité effectuée à son insu, et sa réactivité immédiate dès la découverte des faits sont autant d’éléments qui excluent tout reproche sérieux.

Il établit enfin, et c’est là l’apport le plus structurant, que la responsabilité de l’opérateur téléphonique peut être engagée aux côtés de celle de la banque lorsque la faille se situe au niveau du contrôle d’identité lors de l’émission d’une carte SIM ou d’une portabilité. Cette responsabilité partagée élargit les voies de réparation pour les victimes, qui ne sont plus contraintes de faire valoir leurs droits face au seul établissement bancaire.

Le SIM swap illustre une réalité que les acteurs concernés ne peuvent plus ignorer : la sécurité des paiements ne saurait reposer exclusivement sur la vigilance des clients. Dès lors que le numéro de téléphone est devenu un identifiant pivot, la clé d’accès aux comptes et aux dispositifs d’authentification, la défaillance dans le contrôle de son attribution ou de son transfert engage la responsabilité de celui qui en est à l’origine.

Cette décision pourrait bien préfigurer une évolution durable de la jurisprudence vers une responsabilisation élargie des opérateurs téléphoniques, en complément de celle des établissements bancaires. Elle invite les opérateurs à renforcer leurs procédures de vérification d’identité lors de toute demande de portabilité ou d’émission de duplicata, et les banques à ne plus se retrancher derrière l’authentification forte lorsque la fraude résulte d’une captation externe des codes de sécurité.

Pour les victimes, l’enseignement pratique est immédiat : tout signalement rapide à l’opérateur et à la banque doit être effectué par écrit, conservé, et peut constituer un élément déterminant pour la suite du dossier. La responsabilité des deux acteurs peut être recherchée simultanément.

Virginie Audinot, Avocat
Barreau de Paris
Audinot Avocat
www.fraude-bancaire.fr