Un arrêt du 1er juillet 2026 renforce les droits des victimes de virements frauduleux : il est rappelé que l'authentification technique ne suffit pas à prouver le consentement.

Virement frauduleux : pourquoi l'authentification technique ne suffit plus à prouver votre consentement ?

Vous avez été victime de virements que vous n'avez jamais autorisés, et votre banque refuse de vous rembourser en invoquant l'utilisation régulière de vos codes d'accès ou de votre boîtier de sécurité ? Un arrêt récent de la Cour de cassation vient rappeler une règle essentielle, trop souvent ignorée par les établissements bancaires : prouver qu'une opération a été techniquement authentifiée ne prouve pas que vous l'avez autorisée.

Dans cette affaire (Cass. com., 1er juillet 2026, n° 25-13.134, publié au bulletin), une société cliente d'une grande banque française conteste avoir consenti à trois virements exécutés en novembre 2020, pour un montant total litigieux. Elle affirme que ses données de sécurité personnalisées ont été utilisées à son insu, un scénario que rencontrent quotidiennement les victimes de fraude bancaire, qu'il s'agisse de spoofing, de phishing ou de piratage informatique.

La banque, de son côté, produit ses relevés informatiques : l'identifiant et le code d'accès à l'espace en ligne ont été utilisés, de même qu'un token généré par le boîtier de sécurité remis à une salariée de l'entreprise.

Sur cette seule base, la cour d'appel de Paris avait jugé que le consentement de la cliente devait être présumé donné, et avait rejeté sa demande de remboursement.

La Cour de cassation rappelle, dans la droite lignée de sa jurisprudence, une distinction essentielle entre authentification et consentement.

La chambre commerciale casse cet arrêt en rappelant un principe fondamental issu du code monétaire et financier :

  • une opération de paiement n'est autorisée que si le payeur y a donné son consentement (article L. 133-6) ;
  • en l'absence de consentement, l'opération est réputée non autorisée (article L. 133-7) ;
  • lorsque le client conteste avoir autorisé une opération, c'est à la banque de prouver que l'opération a été authentifiée, dûment enregistrée et comptabilisée, et qu'elle n'a pas été affectée par une déficience technique, mais l'utilisation de l'instrument de paiement, telle qu'enregistrée par la banque, ne suffit pas nécessairement à elle seule à prouver que l'opération a été autorisée par le payeur (article L. 133-23).

Autrement dit : que le token ait fonctionné, que les codes aient été les bons, que l'opération soit passée sans incident technique, tout cela démontre que le système a fonctionné normalement, pas que c'est bien le client, et lui seul, qui a validé l'opération et qu'il y a consenti. Ces deux questions sont juridiquement distinctes, et la banque ne peut pas se contenter de répondre à la première pour se dispenser de répondre à la seconde.

En présumant le consentement du seul fait de l'usage régulier de l'instrument de paiement, la cour d'appel de Paris avait inversé la charge de la preuve : elle faisait peser sur la victime, de fait, la démonstration de la fraude, alors que la loi impose à la banque de prouver l'autorisation. L'affaire est renvoyée devant la cour d'appel de Versailles.

Pourquoi cette décision est importante pour les victimes de fraude bancaire

Cette solution s'inscrit dans un mouvement plus large de la jurisprudence, qui refuse de faire de la simple conformité technique d'une opération une présomption de fraude imputable au client. Elle est particulièrement utile dans les dossiers où :

  • le client a été victime de spoofing (usurpation du numéro de la banque) ou de phishing, et où l'auteur de la fraude a obtenu les codes ou généré un token à l'insu du titulaire du compte ;
  • la banque se retranche derrière ses journaux techniques pour refuser tout remboursement, sans jamais démontrer que c'est bien le client qui a initié ou validé l'opération ;
  • le refus de remboursement intervient de manière quasi automatique, sur la seule base de « l'opération a été correctement authentifiée ».

Pour les entreprises comme pour les particuliers, cet arrêt donne un argument de poids : la banque ne peut pas se limiter à produire des relevés techniques ; elle doit apporter des éléments concrets établissant que le consentement a réellement été donné par le payeur à l'opération contestée, et non simplement que le système d'authentification a été correctement sollicité.

Que faire si votre banque refuse de vous rembourser après une fraude ?

Si vous êtes dans cette situation, plusieurs réflexes sont à adopter rapidement :

  • Contestez formellement l'opération auprès de votre banque par écrit, en indiquant explicitement que vous n'avez pas consenti à l'opération, sans attendre la réponse du service clientèle.
  • Ne vous laissez pas convaincre par un refus fondé uniquement sur l'authentification technique : ce raisonnement, on l'a vu, ne suffit plus à lui seul à écarter votre demande.
  • Rassemblez tout élément susceptible d'établir la fraude : contexte de l'appel ou du message frauduleux, chronologie des faits, dépôt de plainte.
  • N'hésitez pas à saisir un avocat si la banque persiste dans son refus, notamment lorsque les sommes en jeu sont importantes ou que le dossier s'enlise.
→ Vous contestez un virement que vous n'avez jamais autorisé ?
Un premier échange téléphonique gratuit permet de faire le point sur votre dossier et sur les recours disponibles face à votre banque.
thomas.gauriat@tga-avocat.fr │  07.61.77.20.83 │thomas-gauriat-avocat.fr