Actualité juridique · Publié le 13 novembre 2026

Cour de cassation, Chambre commerciale, 23 octobre 2024 (n° 23-16.267, publié au Bulletin) — Fraude au faux conseiller bancaire par usurpation téléphonique (« spoofing »), absence de négligence grave du client et obligation de remboursement de la banque

Par un arrêt de principe publié au Bulletin du 23 octobre 2024 (pourvoi n° 23-16.267), la Chambre commerciale, financière et économique de la Cour de cassation apporte une réponse très attendue au contentieux massif des escroqueries dites « au faux conseiller bancaire » commises par usurpation d’identifiant téléphonique (spoofing). Alors qu’un établissement de crédit refusait de rembourser cinquante-quatre mille cinq cents euros de virements frauduleux au motif que le titulaire du compte avait lui-même validé l’ajout de bénéficiaires via le dispositif d’authentification forte de son application mobile (« clé digitale »), la haute juridiction approuve les juges du fond d’avoir exclu toute négligence grave du client dès lors que les manœuvres techniques d’affichage du numéro réel de son agence l’avaient placé dans la croyance légitime de coopérer avec sa banque pour stopper une attaque en cours.

Lire l’article Demander une consultation Appeler · 03 67 07 96 78

Cour de cassation, Chambre commerciale, 23 octobre 2024 — Fraude au faux conseiller bancaire par spoofing et absence de négligence grave

Sommaire de l’article

L’essentiel de la décision
I. L’architecture protectrice des articles L. 133-18 à L. 133-23 du code monétaire et financier : l’insuffisance radicale de la preuve purement technique d’authentification forte
II. L’appréciation in concreto de la fraude par « spoofing » téléphonique : la croyance légitime née de l’usurpation du numéro réel de l’agence
III. Enjeux pratiques pour les particuliers et les entreprises victimes : majoration légale des intérêts de retard et renforcement des obligations techniques de filtrage
Sources

L’essentiel de la décision

Rappel impératif du fardeau probatoire pesant sur le prestataire de services de paiement (articles L. 133-18 et L. 133-23 du code monétaire et financier) : l’utilisation technique d’un instrument doté d’une authentification forte ne suffit jamais, à elle seule, à prouver que l’opération a été autorisée ni que le payeur a commis une négligence grave.
Neutralisation de la négligence grave (article L. 133-19, IV, CMF) face au spoofing sophistiqué : le client qui reçoit un appel affichant sur son téléphone le numéro exact de sa conseillère attitrée et émanant d’un interlocuteur renseigné sur ses données bancaires ne manque pas gravement à son obligation de vigilance en exécutant des manipulations présentées comme des contre-mesures urgentes de blocage.
Distinction décisive avec l’hameçonnage grossier (phishing classique) : à la différence du clic imprudent sur un courriel truffé d’anomalies ou d’expéditeur fantaisiste, l’ingénierie sociale couplée à la falsification de l’identifiant d’appel exploite l’infrastructure même de confiance téléphonique et l’urgence sécuritaire.
Complémentarité directe avec le droit de l’Union sur le remboursement immédiat : combiné à l’exigence d’exécution immédiate de l’article L. 133-18 CMF (directive DSP2), cet arrêt prive d’assise les refus standardisés opposés par les services réclamations des banques sur le seul constat de l’emploi d’une clé mobile.

I. L’architecture protectrice des articles L. 133-18 à L. 133-23 du code monétaire et financier : l’insuffisance radicale de la preuve purement technique d’authentification forte

Issu de la transposition de la seconde directive sur les services de paiement (directive (UE) 2015/2366 dite DSP2), le régime spécial de responsabilité des opérations de paiement non autorisées repose sur un principe d’ordre public énoncé à l’article L. 133-18 du code monétaire et financier : sitôt informé d’une opération non autorisée, le prestataire de services de paiement du payeur doit rembourser le montant de l’opération immédiatement et, en tout état de cause, au plus tard à la fin du premier jour ouvrable suivant, en rétablissant le compte débité dans l’état où il se serait trouvé si le débit n’avait pas eu lieu.

Pour échapper à cette obligation légale de garantie, les établissements bancaires opposaient quasi systématiquement l’article L. 133-19, IV, du même code, aux termes duquel le payeur supporte toutes les pertes occasionnées par des opérations non autorisées s’il n’a pas satisfait, intentionnellement ou par une négligence grave, aux obligations de préservation de ses données de sécurité personnalisées prévues aux articles L. 133-16 et L. 133-17. Ils soutenaient qu’en validant une notification sur son téléphone mobile au moyen de son code secret ou de sa biométrie (« clé digitale »), le client avait nécessairement soit consenti à l’opération, soit commis une faute lourde inexcusable.

L’arrêt du 23 octobre 2024 restaure dans toute sa rigueur la règle probatoire de l’article L. 133-23 du code monétaire et financier : lorsqu’un utilisateur nie avoir autorisé une opération exécutée, l’enregistrement technique de l’utilisation de l’instrument de paiement — fût-ce avec authentification forte — ne suffit pas nécessairement en tant que tel à prouver que l’opération a été autorisée par le payeur ni que celui-ci a agi avec négligence grave. Il incombe à la banque de rapporter par des éléments extrinsèques la démonstration positive d’un comportement gravement imprudent au regard des circonstances concrètes de la fraude.

II. L’appréciation in concreto de la fraude par « spoofing » téléphonique : la croyance légitime née de l’usurpation du numéro réel de l’agence

Tout l’intérêt de l’arrêt rendu au rapport de la Chambre commerciale tient à la finesse de son analyse factuelle du procédé d’usurpation d’identifiant d’appelant (caller ID spoofing), qui distingue profondément cette criminalité cyberfinancière des campagnes rudimentaires d’hameçonnage électronique sur lesquelles s’était construite la jurisprudence antérieure sévère pour les titulaires de comptes ayant communiqué leurs codes à la suite d’un message manifestement suspect.

En l’espèce, le client avait vu s’afficher sur l’écran de son combiné téléphonique le numéro exact de la ligne directe de sa véritable conseillère bancaire déjà enregistré dans son répertoire ; son interlocutrice, adoptant le vocabulaire professionnel d’un service d’alerte anti-fraude et connaissant l’identité ainsi que les mouvements récents du compte, lui avait annoncé que des opérations frauduleuses étaient en train d’être passées et qu’il devait d’urgence, depuis sa propre application bancaire sécurisée, supprimer puis recréer des lignes de bénéficiaires pour enclencher leur neutralisation informatique.

Approuvant intégralement la cour d’appel de Versailles, la Cour de cassation juge qu’au vu de la conjonction de cette usurpation technique du canal téléphonique habituel de la banque, de l’absence d’indices d’anomalie décelables par un utilisateur normalement attentif et de la pression psychologique d’un sauvetage immédiat de son épargne, le client pouvait légitimement croire qu’il agissait sur instruction d’une préposée de son établissement pour empêcher une fraude et non pour valider cinq virements sortants : aucune négligence grave au sens de l’article L. 133-19, IV, du code monétaire et financier ne pouvait dès lors lui être imputée.

III. Enjeux pratiques pour les particuliers et les entreprises victimes : majoration légale des intérêts de retard et renforcement des obligations techniques de filtrage

Sur le terrain pratique du contentieux bancaire devant les tribunaux judiciaires et les tribunaux de commerce — car la protection des articles L. 133-18 et L. 133-23 du code monétaire et financier bénéficie également aux professionnels et sociétés commerciales sauf stipulation dérogatoire expressément convenue entre non-consommateurs dans le cadre permis par l’article L. 133-2 —, l’arrêt du 23 octobre 2024 impose de conserver méthodiquement les preuves matérielles de l’usurpation : captures d’écran du journal d’appels montrant l’intégration du coup de téléphone frauduleux dans le fil historique du numéro officiel de la banque, relevé détaillé de l’opérateur téléphonique, dépôt de plainte circonstancié et contestation écrite immédiate dans le délai de forclusion de treize mois de l’article L. 133-24.

Le refus injustifié ou dilatoire de la banque expose par ailleurs l’établissement aux majorations progressives de plein droit du taux d’intérêt légal instituées par les derniers alinéas de l’article L. 133-18 du code monétaire et financier (issus de la loi n° 2022-1158 du 16 août 2022 : majoration de cinq points au-delà de sept jours de retard, dix points au-delà de trente jours et quinze points au-delà de soixante jours), sans préjudice de dommages-intérêts complémentaires en cas de résistance abusive.

Enfin, cette solution jurisprudentielle s’inscrit en cohérence étroite avec le durcissement des obligations préventives pesant sur les acteurs techniques : déploiement par les opérateurs de communications électroniques du mécanisme d’authentification des numéros imposé par la loi n° 2020-901 du 24 juillet 2020 sous le contrôle de l’ARCEP afin de bloquer les appels à numéro géographique ou national usurpé en provenance de l’international, et obligation généralisée de vérification gratuite de la concordance entre le nom du bénéficiaire et l’identifiant IBAN introduite par le règlement européen (UE) 2024/886 du 13 mars 2024 sur les virements instantanés.

Sources

Votre situation

Une question sur votre dossier ?

Le cabinet examine la situation sur pièces. Cette page est une information générale ; elle ne remplace pas l’analyse d’un dossier.

Demander une consultation Appeler · 03 67 07 96 78