Remboursement des paiements non autorisés par spoofing : défaut de preuve de la négligence grave et de la fiabilité de l’authentification bancaire

En application des articles L. 133-16, L. 133-18, L. 133-19, L. 133-23 et L. 133-24 du Code monétaire et financier, le prestataire doit rembourser rapidement une opération non autorisée, sauf à établir une fraude ou une négligence grave du payeur et l’absence de déficience technique. L’utilisation des données de sécurité ou l’historique informatique ne suffit pas, à elle seule, à démontrer l’autorisation de l’opération ni la négligence grave.

Le tribunal retient que le spoofing, réalisé par un interlocuteur se présentant comme un conseiller bancaire et disposant de données personnelles, a diminué la vigilance du payeur. Celui-ci a signalé la fraude et fait opposition le jour même. La banque ne prouve ni la transmission du code SECURIPASS, ni l’absence de défaillance de son dispositif, ni la négligence grave. Elle est donc condamnée à restituer le solde frauduleusement débité, avec les pénalités de l’article L. 133-18, ainsi qu’à indemniser la résistance abusive sur le fondement de l’article 1231-1 du Code civil.

La banque supporte également les dépens en application de l’article 696 du Code de procédure civile et une indemnité de 1 500 euros au titre de l’article 700. L’exécution provisoire est de droit conformément à l’article 514 du Code de procédure civile.

⬇️Télécharger la décision version officielle

Victimes d’un hameçonnage par SMS et d’un appel frauduleux, les titulaires ont subi trois paiements par carte, dont un resté débité pour 7 688,01 euros. Après remboursement partiel par une assurance, la banque a refusé de régler le solde en invoquant SECURIPASS. Faute de preuve d’une négligence grave, elle est condamnée à rembourser 3 688,01 euros, avec pénalités, indemnités et dépens.

Une titulaire de comptes d’épargne et son conjoint ont été victimes d’un hameçonnage par SMS, suivi d’un appel d’un faux conseiller bancaire. Trois paiements ont été effectués au moyen de la carte bancaire. Deux virements internes ont été recrédités, mais un paiement est demeuré débité, pour un total de 7 688,01 euros. Une assurance a remboursé 4 000 euros.

Après avoir été informée le jour même et malgré l’opposition, la banque a refusé de rembourser le solde, en invoquant la validation par SECURIPASS. Le tribunal retient que la banque ne démontre ni la transmission du code, ni l’absence de défaillance technique, ni une négligence grave. Elle est condamnée au remboursement de 3 688,01 euros, aux pénalités légales, à 1 000 euros pour résistance abusive, à 1 500 euros au titre des frais irrépétibles et aux dépens.

• Opérations de paiement contestées comme non autorisées
• Signalement de la fraude effectué sans tarder
• Preuve bancaire de l’authentification et de l’absence de déficience technique
• Preuve bancaire d’une fraude ou d’une négligence grave du payeur
• Consentement du payeur au principe et au montant de l’opération
• Absence de simple déduction tirée de l’utilisation des identifiants

• SMS frauduleux invitant à mettre à jour la carte de sécurité sociale
• Appel du faux conseiller disposant de données personnelles bancaires
• Signalement et opposition effectués le jour même
• Historique informatique bancaire non corroboré par un autre élément
• Annulation de deux paiements frauduleux sur trois

Le payeur obtient le remboursement du solde frauduleusement débité, les pénalités légales et une indemnisation pour résistance abusive. La banque supporte les frais de procédure et ne peut se limiter à produire un historique d’authentification pour écarter sa responsabilité.

• Remboursement de 3 688,01 euros au payeur
• Paiement des pénalités au taux légal majoré de quinze points
• Indemnisation de 1 000 euros pour résistance abusive
• Paiement de 1 500 euros au titre de l’article 700
• Prise en charge des entiers dépens par la banque

À faire

• Signaler immédiatement toute opération non autorisée à la banque
• Faire opposition aux paiements et conserver la preuve du signalement
• Documenter les SMS, appels et échanges avec le prétendu conseiller
• Demander le remboursement sur le fondement de l’article L. 133-18
• Contester toute preuve limitée à un historique informatique

À éviter

• Attendre avant de signaler les opérations frauduleuses
• Présumer que l’authentification bancaire établit automatiquement l’autorisation
• Communiquer des codes ou données de sécurité à un interlocuteur
• Négliger de conserver les relevés et notifications d’opérations
• Accepter un refus bancaire non motivé par des preuves techniques

Le remboursement des opérations de paiement non autorisées

L’article L. 133-18 du Code monétaire et financier impose au prestataire de rembourser immédiatement l’opération non autorisée, sauf raisons de soupçonner une fraude communiquées par écrit à la Banque de France. Le compte doit être rétabli dans son état antérieur. Le retard entraîne les pénalités prévues par ce texte, pouvant atteindre le taux légal majoré de quinze points au-delà de trente jours.

La charge de la preuve de la fraude ou de la négligence grave

Selon l’article L. 133-23 du Code monétaire et financier, le prestataire doit prouver l’authentification, l’enregistrement, l’absence de déficience technique et la fraude ou la négligence grave. L’utilisation des données de sécurité ne suffit pas. En l’espèce, l’historique informatique non corroboré ne démontre ni la transmission du code SECURIPASS ni la fiabilité du dispositif.

La portée juridique du spoofing bancaire

Le mode opératoire reposant sur l’intervention d’un faux conseiller diminue la vigilance de la victime et exclut, selon le raisonnement retenu, la négligence grave et le consentement éclairé. Le signalement effectué le jour même établit la diligence du payeur. La banque ne pouvait donc refuser le remboursement en se fondant seulement sur la validation apparente des opérations.

Article L. 133-16 du Code monétaire et financier, Article L. 133-17 du Code monétaire et financier, Article L. 133-18 du Code monétaire et financier, Article L. 133-19 du Code monétaire et financier, Article L. 133-23 du Code monétaire et financier, Article L. 133-24 du Code monétaire et financier, Article L. 133-44 du Code monétaire et financier, Article L 33-3 du Code monétaire et financier, Article L 33-6 du Code monétaire et financier, Article 1231-1 du Code civil, Article 696 du Code de procédure civile, Article 700 du Code de procédure civile, Article 514 du Code de procédure civile