Cour suprême du Royaume-Uni, 12 juillet 2023, Philipp v Barclays Bank UK plc ([2023] UKSC 25) — Fraude au virement autorisé (« APP fraud »), devoir Quincecare et obligation de rappel des fonds

Les faits illustraient la redoutable efficacité psychologique des escroqueries dites « au faux policier » ou « au compte sécurisé ». En mars 2018, Mme Fiona Philipp et son époux avaient été manipulés durant plusieurs semaines par des malfaiteurs prétendant agir pour la Financial Conduct Authority et la National Crime Agency et leur enjoignant de transférer d’urgence leurs économies vers des « comptes refuges » ouverts aux Émirats arabes unis afin de protéger leurs avoirs tout en préservant le secret d’une enquête en cours. S’étant rendue en personne en agence puis ayant confirmé téléphoniquement à Barclays sa volonté ferme de procéder à deux virements totalisant 700 000 livres sterling — y compris en dissimulant à son banquier le véritable motif de l’opération sur consigne des fraudeurs —, Mme Philipp reprochait à l’établissement de ne pas avoir suspendu les ordres face au caractère inhabituel des montants et de la destination étrangère.

En 2022, la Court of Appeal avait accueilli son appel en jugeant que l’obligation de vigilance dégagée trente ans plus tôt dans l’affaire Quincecare n’était pas cantonnée aux détournements commis par le mandataire d’une société et pouvait en principe imposer à une banque de s’abstenir d’exécuter l’ordre direct d’un particulier lorsqu’existent des indices objectifs d’escroquerie. Rédigeant l’arrêt unanime des cinq juges de la Cour suprême, Lord Leggatt déconstruit méthodiquement ce raisonnement qu’il juge entaché d’une contradiction interne.

Dans les affaires classiques relevant de Quincecare (ou de Singularis Holdings v Daiwa Capital Markets en 2019), le titulaire du compte est une personne morale et l’ordre est signé par un administrateur ou signataire habilité qui tente en réalité de piller la trésorerie sociale : selon le droit anglais de la représentation (agency), un mandataire agissant frauduleusement contre les intérêts de son mandant est dépourvu de pouvoir réel (actual authority), et la banque alertée par des signaux d’anomalie ne peut plus se prévaloir d’un pouvoir apparent (apparent authority) sans vérifier au préalable la réalité du consentement du mandant. Rien de tel lorsque le titulaire personne physique donne lui-même l’instruction : il n’est le mandataire de personne, son autorité sur ses propres fonds est originaire et plénière, et l’intention réelle qu’il avait à cet instant précis était bel et bien que les fonds fussent virés sur le compte désigné.

Pour l’avocat français pratiquant le contentieux de la responsabilité bancaire et des fraudes aux moyens de paiement, la lecture de l’arrêt Philipp v Barclays Bank offre un miroir saisissant de la ligne directrice tracée par la Chambre commerciale de la Cour de cassation sous l’empire des articles L. 133-18 et L. 133-24 du code monétaire et financier transposant la directive sur les services de paiement (DSP2). Tout comme la Cour suprême britannique, la jurisprudence française distingue radicalement deux hypothèses selon l’auteur matériel de validation de l’ordre.

Lorsque l’escroc usurpe les identifiants d’authentification forte ou détourne techniquement l’instrument de paiement (« spoofing » couplé à une validation frauduleuse sans ordre volontaire de l’utilisateur), l’opération est juridiquement « non autorisée » et la banque est tenue au remboursement immédiat sauf démonstration par elle d’une négligence grave du client — la Chambre commerciale jugeant d’ailleurs avec fermeté (notamment par son arrêt du 23 octobre 2024, pourvoi n° 23-16.267) que la sophistication d’un appel téléphonique usurpant le numéro officiel du service antifraude de la banque peut exclure toute négligence grave de la victime.

En revanche, lorsque le titulaire valide personnellement et consciemment un virement vers un RIB étranger sous l’effet d’une escroquerie aux faux investissements ou au faux président, l’opération est qualifiée d’« autorisée », rendant inapplicable le régime légal de remboursement automatique de l’article L. 133-18 et soumettant toute action indemnitaire au principe traditionnel de non-ingérence du banquier dans les affaires de son client. Néanmoins, là où le droit anglais post-Philipp ferme quasiment la porte au contrôle de l’anomalie avant exécution, le droit commun français de la responsabilité contractuelle maintient un devoir de vigilance résiduel du teneur de compte en présence d’« anomalies intellectuelles manifestes » — cumul inhabituel de virements massifs vers des juridictions à risque en rupture flagrante avec le fonctionnement historique du compte — tout en partageant avec l’arrêt britannique une attention croissante portée à la célérité de la procédure interbancaire de rappel des fonds (« recall » SEPA ou SWIFT) dès l’alerte donnée par le client.