Fraude bancaire et spoofing : quand votre banque doit-elle vous rembourser ?
Le spoofing : une fraude qui se fait passer pour votre banque
Votre téléphone affiche le numéro de votre agence. Au bout du fil, un prétendu conseiller vous alerte d'une opération suspecte et vous demande de « sécuriser » votre compte en validant une opération sur votre application. Quelques minutes plus tard, des milliers d'euros ont quitté votre compte.
Cette technique, appelée spoofing (usurpation du numéro d'appel), frappe aussi bien les particuliers que les entreprises. Sa force tient à la confiance qu'inspire un numéro connu. La question est alors simple : la banque doit-elle rembourser ?
La réponse dépend d'un régime légal précis, que la jurisprudence a sensiblement fait évoluer entre 2024 et 2026.
Le principe : la banque rembourse une opération que vous n'avez pas autorisée
En cas d'opération de paiement non autorisée, la banque doit rembourser son client immédiatement, et au plus tard à la fin du premier jour ouvrable suivant le signalement (article L. 133-18 du Code monétaire et financier). Elle ne peut s'y soustraire que si elle a de bonnes raisons de soupçonner une fraude de son client et qu'elle communique ces raisons par écrit à la Banque de France.
Le retard est sanctionné : les sommes dues produisent intérêt au taux légal majoré de cinq points, de dix points au-delà de sept jours de retard et de quinze points au-delà de trente jours (même article).
La charge de la preuve pèse sur la banque. L'utilisation de l'instrument de paiement telle qu'elle l'a enregistrée ne suffit pas nécessairement, en tant que telle, à prouver que l'opération a été autorisée ou que le client a commis une négligence grave (article L. 133-23 du même code).
Le client n'est privé de ce droit que s'il a agi frauduleusement ou s'il a manqué, intentionnellement ou par négligence grave, à son obligation de préserver la sécurité de ses données de sécurité personnalisées (articles L. 133-16 et L. 133-19, IV du même code). Toute la question est donc de savoir ce que recouvre la « négligence grave ».
Spoofing et négligence grave : ce que juge la Cour de cassation
2024 : le spoofing peut exclure la négligence grave
Par un arrêt publié au Bulletin, la Cour de cassation a approuvé une cour d'appel d'avoir écarté la négligence grave d'un client qui avait validé l'ajout de bénéficiaires de virements, pour 54 500 euros, à la demande d'une prétendue préposée de sa banque (Cass. com., 23 octobre 2024, n° 23-16.267). Le numéro affiché était celui de sa conseillère. Selon les juges du fond, approuvés par la Cour, ce mode opératoire avait mis le client en confiance et diminué sa vigilance.
2025 : la même solution pour une entreprise
La Cour a retenu la même analyse pour une société de transport, dont une salariée avait effectué des manipulations à la demande d'un faux technicien de la banque, entraînant deux virements de 98 000 euros au total (Cass. com., 12 juin 2025, n° 24-13.777, publié au Bulletin). L'usurpation du numéro de la banque et la connaissance, par l'escroc, des opérations récentes du compte étaient de nature à persuader la salariée qu'elle parlait à un technicien.
2026 : pas d'exonération automatique
Le spoofing n'est pas pour autant une excuse de principe. Par un arrêt du 9 septembre 2026 (Cass. com., n° 25-15.038), la Cour de cassation a censuré une cour d'appel qui avait écarté la négligence grave par un motif général, au seul motif que l'appel semblait provenir de la banque. Le client avait communiqué ses identifiant et mot de passe et validé des opérations qu'il n'avait pas initiées.
Les juges doivent donc rechercher, concrètement, si le comportement du client caractérise une négligence grave. Chaque dossier se joue sur ses faits : ce qui a été communiqué, ce qui a été validé, les signaux d'alerte présents, et la manière dont la fraude a été mise en scène.
L'authentification forte : un argument souvent décisif
La banque doit appliquer une authentification forte lorsque son client accède à son compte en ligne, initie un paiement électronique ou exécute une opération à distance susceptible de comporter un risque de fraude (article L. 133-44, I du Code monétaire et financier). Pour les paiements électroniques à distance, cette authentification doit établir un lien dynamique entre l'opération, son montant et son bénéficiaire (même article, II).
La sanction est sévère : sauf agissement frauduleux de sa part, le client ne supporte aucune conséquence financière si l'opération a été effectuée sans que sa banque exige cette authentification forte (article L. 133-19, V du même code).
La Cour de cassation en a tiré une conséquence nette (Cass. com., 22 octobre 2025, n° 24-19.749). Un client avait commis une négligence grave en répondant à un courriel frauduleux présentant des anomalies grossières. La banque a néanmoins été condamnée à le rembourser, faute de justifier avoir exigé l'activation de l'authentification forte.
Autrement dit, même lorsque la négligence grave du client est établie, la banque reste tenue si elle n'a pas elle-même respecté cette obligation. C'est l'un des premiers points à vérifier dans tout dossier.
Octobre 2026 : la CJUE impose de rembourser d'abord
La Cour de justice de l'Union européenne a franchi une étape décisive (CJUE, 15 octobre 2026, aff. C-70/25). Une banque ne peut pas refuser le remboursement immédiat d'une opération non autorisée au motif que son client aurait commis une négligence grave.
La Cour distingue deux temps, selon son communiqué de presse officiel :
la banque rembourse immédiatement, au plus tard à la fin du premier jour ouvrable suivant, dès lors que le client l'a informée sans retard injustifié ;
elle peut ensuite réclamer au client le remboursement des pertes, à condition de prouver sa négligence grave.
La seule exception au remboursement immédiat est le soupçon de fraude du client lui-même, communiqué par écrit à l'autorité nationale compétente. Selon la Cour, permettre un refus d'emblée obligerait le client à engager lui-même une procédure, avec les coûts et les inconvénients que cela suppose.
Cet arrêt, rendu sur renvoi d'une juridiction polonaise, interprète la directive (UE) 2015/2366 dite « DSP2 », dont l'article L. 133-18 assure la transposition en droit français. Il lie les juridictions nationales saisies d'une question similaire.
Une limite importante doit être soulignée : cette solution concerne les opérations non autorisées. Lorsque la victime a elle-même ordonné un virement, trompée par un escroc, la qualification de l'opération devient l'enjeu central du litige.
Entreprises : deux points de vigilance
Le délai pour contester n'est pas le même. Le client doit signaler l'opération sans tarder, et au plus tard dans les treize mois suivant la date de débit, sous peine de forclusion (article L. 133-24 du Code monétaire et financier). Ce délai est impératif pour un particulier. En revanche, lorsque le client n'est pas une personne physique agissant à des fins non professionnelles, les parties peuvent convenir d'un délai différent : votre convention de compte professionnel peut donc prévoir un délai plus court.
L'organisation interne compte aussi. Dans l'affaire jugée le 12 juin 2025, la banque reprochait à l'entreprise d'avoir laissé une salariée utiliser le dispositif de sécurité de son dirigeant. Les habilitations, les plafonds et les procédures de validation des virements sont autant d'éléments que la banque peut invoquer, et qu'il vaut mieux avoir encadrés avant tout incident.
Victime d'une fraude : les bons réflexes
Faites bloquer immédiatement votre carte et votre accès en ligne auprès de votre banque.
Signalez par écrit les opérations contestées et demandez leur remboursement, en conservant une preuve de la date de votre signalement.
Déposez plainte et joignez le récépissé à votre réclamation.
Conservez les preuves : capture d'écran du journal d'appels montrant le numéro affiché, SMS reçus, notifications de l'application, relevés de compte.
Notez sans attendre le déroulé précis de l'appel : ce qui vous a été dit, ce qui vous a été demandé, ce que vous avez validé.
Ne vous satisfaites pas d'un refus fondé sur la seule « négligence grave » : la banque doit d'abord rembourser, puis prouver une éventuelle négligence.
Un refus de remboursement peut être contesté devant le médiateur de la banque puis, le cas échéant, devant le tribunal.
Perspective : le futur règlement européen sur les services de paiement
Un règlement européen sur les services de paiement, dit « PSR », est en cours d'adoption. Un accord politique a été conclu fin 2025 entre le Parlement européen et le Conseil, mais le texte n'était pas encore publié au Journal officiel de l'Union européenne à la date de rédaction de cet article.
Selon les informations disponibles, il prévoirait notamment un droit au remboursement pour le consommateur manipulé par un fraudeur se faisant passer pour sa banque, y compris lorsqu'il a lui-même validé l'opération. Son application n'interviendrait qu'environ vingt et un mois après sa publication.
Ces éléments sont donnés à titre indicatif : seul le texte définitivement adopté fera foi.
Questions fréquentes
Ma banque refuse de me rembourser en invoquant ma négligence grave. Est-ce possible ?
Pas d'emblée. La banque doit rembourser une opération non autorisée au plus tard à la fin du premier jour ouvrable suivant le signalement, sauf soupçon de fraude du client (article L. 133-18 du Code monétaire et financier ; CJUE, 15 octobre 2026, aff. C-70/25). Elle peut ensuite réclamer les sommes en prouvant la négligence grave.
Le fait d'avoir validé l'opération sur mon application suffit-il à prouver ma négligence ?
Non. L'utilisation enregistrée de l'instrument de paiement ne suffit pas nécessairement à prouver l'autorisation ou la négligence grave ; c'est à la banque d'en apporter la preuve (article L. 133-23 du même code).
Le spoofing écarte-t-il automatiquement ma responsabilité ?
Non. Il peut exclure la négligence grave (Cass. com., 23 octobre 2024, n° 23-16.267), mais les juges doivent apprécier concrètement chaque situation (Cass. com., 9 septembre 2026, n° 25-15.038).
De combien de temps est-ce que je dispose pour contester ?
Vous devez signaler l'opération sans tarder, et au plus tard dans les treize mois suivant le débit. Une entreprise peut s'être vu imposer contractuellement un délai différent (article L. 133-24 du même code).
Un accompagnement face à votre banque
Inscrit au Barreau d'Aix-en-Provence, Maître Gabriel HANNA accompagne particuliers et entreprises victimes de fraudes bancaires, à Aix-en-Provence et dans toute la France : analyse du dossier, réclamation auprès de la banque, saisine du médiateur et, si nécessaire, action en justice. Les modalités d'honoraires sont définies en toute transparence dès le premier échange.
Voir aussi : Avocat droit bancaire à Aix-en-Provence.
Sources
Code monétaire et financier, articles L. 133-16, L. 133-18, L. 133-19, L. 133-23, L. 133-24 et L. 133-44 (versions en vigueur au 24 octobre 2026)
CJUE, 15 octobre 2026, aff. C-70/25, communiqué de presse n° 147/26