La multiplication des escroqueries reposant sur le spoofing téléphonique conduit les juridictions à préciser les contours de la notion de négligence grave au sens de l’article L133-19 du Code monétaire et financier. Par un jugement du 16 juin 2026 (TJ Dax, Pôle de proximité, 16 juin 2026, n° 25/00069), le Tribunal judiciaire de Dax a condamné la Banque CIC Sud Ouest à rembourser les sommes détournées au préjudice de sa cliente, estimant que, si celle-ci avait incontestablement fait preuve d’imprudence, son comportement ne saurait être toutefois qualifié de "négligence grave", dès lors qu’elle avait été victime d’une manipulation particulièrement élaborée.

Cette décision s’inscrit dans une jurisprudence désormais bien établie distinguant l’authentification d’une opération de paiement de son autorisation véritable.

 

Les faits : une fraude sophistiquée reposant sur le spoofing.

L’affaire débutait par un classique SMS invitant la cliente à régler la somme de 2,26 euros afin de recevoir un colis. Peu après ce paiement, celle-ci a reçu un appel provenant, en apparence, du numéro de son agence bancaire. Son interlocuteur, se présentant comme membre du service fraude du CIC, l’a informé alors qu’une escroquerie était en cours sur son compte et lui a demandé d’effectuer plusieurs manipulations destinées, selon lui, à protéger sa trésorerie.

Au terme d’une conversation d’environ une heure, plusieurs virements internes ont été réalisés, suivis d’un virement instantané vers un compte tiers ainsi que de quatre paiements par carte bancaire, pour un montant total supérieur à 9 000 euros.

Après avoir obtenu le remboursement de deux opérations, la cliente a sollicité de sa Banque la restitution du solde restant. La Banque a refusé, considérant que les opérations avaient été validées au moyen des dispositifs d’authentification forte et devaient donc être regardées comme autorisées.

L’authentification ne vaut pas consentement.

Le tribunal a rappelé une distinction essentielle du droit des services de paiement, et désormais constante. En application des articles L133-3, L133-6 et L133-18 du Code monétaire et financier, une opération n’est autorisée que si le payeur a effectivement consenti au montant et au bénéficiaire du paiement.

Or, le recours à l’authentification forte ou la validation technique d’une opération ne démontre pas, à lui seul, l’ ;existence de ce consentement.

En l’espèce, même à supposer que la cliente ait personnellement validé les opérations litigieuses, elle croyait toutefois accomplir des démarches destinées à empêcher une fraude et non transférer volontairement des fonds à un escroc. Son consentement était donc définition entièrement vicié par les manœuvres frauduleuses.

Cette motivation s’inscrit dans le prolongement de la jurisprudence de la Cour de cassation, qui considère désormais de manière constante que l’utilisation des dispositifs de sécurité personnalisés n’établit pas, à elle seule, que l’opération a été régulièrement autorisée par le payeur.

Une appréciation concrète de la négligence grave.

L’intérêt principal du jugement réside toutefois dans l’analyse de la négligence grave.

La banque faisait valoir que la cliente avait nécessairement communiqué plusieurs codes confidentiels et validé les opérations litigieuses, comportement qui devait, selon elle, faire obstacle à tout remboursement en application de l’ ;article L133-19
du Code monétaire et financier.

Le tribunal a adopté une analyse sensiblement différente.

Certes, celui-ci a relevé que la cliente avait probablement communiqué certaines données de sécurité ou validé les opérations litigieuses, et qu’une telle attitude constituait bien une négligence. Mais le juge a refusé en revanche d’y voir une négligence grave.

Pour parvenir à cette conclusion, le tribunal a procédé à une appréciation particulièrement concrète des circonstances de l’espèce. Il a souligné notamment que la victime avait été placée dans un contexte de manipulation psychologique particulièrement efficace :
réception préalable d’un faux SMS crédible, usurpation du numéro de téléphone de la Banque, connaissance par le fraudeur de certaines données personnelles, climat d’urgence entretenu pendant près d’une heure et crainte permanente de la victime de voir son compte intégralement vidé.

Le jugement retient que cet environnement anxiogène était de nature à altérer le discernement d’une personne normalement prudente. Dans ces conditions, la cliente a certes manqué de vigilance, mais cette imprudence ne présente pas le degré de gravité exigé par l’article L133-19 du Code monétaire et financier.

Le tribunal a relevé enfin que la victime avait immédiatement fait opposition, signalé les faits à sa Banque puis déposé plainte, comportement peu compatible avec l’idée d’une négligence particulièrement grave.

Faute d’établir une négligence grave de sa cliente, la Banque CIC Sud Ouest a donc été condamnée à rembourser la somme de 7 642,14 euros, assortie des intérêts légaux à compter du 7 mars 2025. A cet égard, les intérêts majorés auraient pourtant dû s’appliquer.

Le tribunal a condamné également l’établissement bancaire au paiement de 1 500 euros au titre de l’article 700 du Code de procédure civile ainsi qu’aux dépens.

En revanche, la demande de réparation d’un préjudice moral est rejetée, le juge estimant que la cliente ne démontrait pas l’existence d’un dommage distinct du seul refus de remboursement.

Virginie Audinot, Avocat
Barreau de Paris
Audinot Avocat
www.fraude-bancaire.fr