Spoofing bancaire : la banque doit-elle rembourser ?

Un appel apparaît sur votre téléphone avec le numéro de votre banque. L'interlocuteur connaît certaines informations personnelles, se présente comme un conseiller et vous alerte sur des opérations suspectes. Pour les « bloquer », il vous demande d'effectuer certaines manipulations ou de communiquer des informations de sécurité. Quelques heures plus tard, plusieurs virements ou paiements ont été débités.

Ce scénario correspond au spoofing bancaire, une fraude désormais bien identifiée par la jurisprudence.

Qu'est-ce que le spoofing bancaire ?

Le spoofing téléphonique consiste, pour un escroc, à contacter une victime en se faisant passer pour son conseiller bancaire. La crédibilité de la fraude peut notamment résulter de l'affichage du véritable numéro de la banque sur le téléphone de la victime. Le fraudeur cherche ensuite à obtenir des données ou manipulations lui permettant d'effectuer des opérations de paiement.

Cette sophistication est juridiquement importante : le simple fait d'avoir suivi les instructions du faux conseiller ne permet pas nécessairement à la banque de reprocher à son client une négligence grave.

Un principe protecteur : le remboursement de l'opération non autorisée

L'article L. 133-18 du Code monétaire et financier pose une règle particulièrement favorable à l'utilisateur de services de paiement. Lorsqu'une opération non autorisée est signalée dans les conditions légales, la banque doit en principe en rembourser le montant immédiatement et, au plus tard, à la fin du premier jour ouvrable suivant. Elle doit, le cas échéant, rétablir le compte dans l'état où il se serait trouvé sans l'opération litigieuse.

Il existe donc un véritable droit au remboursement des opérations de paiement non autorisées, sous réserve des exceptions prévues par le Code monétaire et financier.

En pratique, pourtant, certaines banques refusent le remboursement en invoquant le comportement du client, notamment lorsqu'il a communiqué un code confidentiel ou utilisé son dispositif de sécurité à la demande du fraudeur.

Spoofing et négligence grave : une jurisprudence favorable aux victimes

La Cour de cassation a apporté une clarification importante dans un arrêt du 23 octobre 2024 (Cass. com., 23 octobre 2024, n° 23-16.267, publié au Bulletin).

La victime avait été contactée par un faux conseiller bancaire. Le véritable numéro de sa conseillère s'affichait sur son téléphone. Pensant empêcher des opérations malveillantes, elle avait utilisé son dispositif de sécurité personnalisé pour supprimer puis réinscrire des bénéficiaires de virements. Des virements frauduleux avaient ensuite été réalisés.

La Cour de cassation a considéré que, dans ces circonstances, aucune négligence grave ne pouvait être imputée au client. La banque devait donc supporter les conséquences des virements frauduleux.

Cette décision est essentielle : l'utilisation par la victime de son dispositif de sécurité ne signifie pas automatiquement qu'elle a autorisé l'opération ou commis une négligence grave.

C'est à la banque d'apporter la preuve

La charge de la preuve constitue l'une des principales protections dont bénéficie le client.

Selon l'article L. 133-23 du Code monétaire et financier, lorsque le client nie avoir autorisé une opération, il appartient à la banque de démontrer que celle-ci a été authentifiée, dûment enregistrée et comptabilisée et qu'elle n'a pas été affectée par une déficience technique ou autre.

Surtout, le texte précise que l'enregistrement de l'utilisation de l'instrument de paiement ne suffit pas nécessairement à démontrer que le client a autorisé l'opération ou qu'il a commis une négligence grave. Il incombe également au prestataire de fournir les éléments permettant d'établir la fraude ou la négligence grave de l'utilisateur.

Une banque ne peut donc pas, à elle seule, renverser cette logique probatoire en affirmant simplement que l'opération a été techniquement authentifiée.

Que faire lorsque la banque refuse de rembourser ?

Un refus de remboursement n'est pas nécessairement la fin du dossier. L'affaire ayant donné lieu à l'arrêt du 23 octobre 2024 en constitue précisément l'illustration : après le refus de la banque, le client a engagé une action judiciaire et obtenu sa condamnation au remboursement, solution ensuite validée par la Cour de cassation.

Il est donc utile de contester de manière circonstanciée le refus, en conservant notamment les relevés bancaires, échanges avec la banque, SMS, historique des appels et éléments permettant de reconstituer précisément le scénario frauduleux.

Lorsque la banque maintient son refus malgré ces éléments, une action en justice peut être engagée pour solliciter le remboursement des sommes débitées, en opposant notamment le régime protecteur des articles L. 133-18, L. 133-19 et L. 133-23 du Code monétaire et financier.

Le contentieux doit cependant être construit à partir des circonstances précises de la fraude. Le remboursement n'est pas automatique dans toute situation de spoofing : la qualification d'opération non autorisée et l'éventuelle démonstration d'une fraude ou d'une négligence grave restent déterminantes.

FAQ

La banque doit-elle rembourser une victime de spoofing ?

En présence d'une opération de paiement non autorisée régulièrement signalée, l'article L. 133-18 prévoit en principe son remboursement par la banque, sous réserve des exceptions légales.

Avoir utilisé son code bancaire empêche-t-il le remboursement ?

Non, pas nécessairement. L'article L. 133-23 précise que l'utilisation enregistrée de l'instrument de paiement ne suffit pas, à elle seule, à établir l'autorisation ou une négligence grave.

Qui doit prouver la négligence grave ?

La banque. La Cour de cassation l'a expressément rappelé dans son arrêt du 23 octobre 2024 relatif au spoofing téléphonique.

Peut-on poursuivre sa banque si elle refuse le remboursement ?

Oui. Le refus peut être contesté judiciairement. Dans l'affaire jugée le 23 octobre 2024, le client avait saisi la justice après le refus de remboursement de sa banque et obtenu gain de cause