Banques récalcitrantes : la Cour d’appel de Paris leur inflige le prix du spoofing

CA Paris, Pôle 4 Chambre 9a, 22 mai 2025, n° 24/02286 et CA Paris, Pôle 4 Chambre 9, 22 mai 2025, n° 24/02984

‍

Ces deux décisions de la Cour d'appel de Paris constituent des jalons importants dans l'évolution jurisprudentielle française concernant la responsabilité bancaire en cas de fraude par spoofing.

Elles s'inscrivent dans un mouvement jurisprudentiel plus large qui tend vers une protection accrue des victimes de ces escroqueries sophistiquées.

‍

Les faits et les solutions juridiques adoptées

Dans la première affaire opposant une victime à la Banque Populaire, la Cour d'appel de Paris a confirmé la décision de première instance qui avait condamné l'établissement bancaire à rembourser 4 012,72 euros à la victime. L'escroc avait contacté la victime en usurpant le numéro de téléphone de l'agence bancaire, créant ainsi un climat de confiance propice à la manipulation. La Cour a particulièrement relevé que le compte de la victime avait été contacté simultanément par des réseaux français et espagnols, témoignant de la sophistication de la fraude.

La seconde affaire, impliquant la Société Générale, présente des caractéristiques similaires mais avec des enjeux plus élevés, puisqu'il s'agissait de deux virements de 4 000 euros chacun concernant une victime âgée de 92 ans. Le tribunal de première instance avait déjà fait droit aux demandes de la victime en décembre 2023, condamnant la banque à rembourser 8 000 euros. La Cour d'appel a confirmé cette décision, soulignant que l'âge avancé de la victime et les circonstances particulières de l'appel téléphonique diminuaient naturellement sa vigilance.

‍

La question centrale de la négligence grave

Ces deux arrêts illustrent parfaitement la difficulté d'application de l'article L133-19 du Code monétaire et financier, qui dispose que le payeur supporte les pertes occasionnées par des opérations de paiement non autorisées s'il n'a pas satisfait intentionnellement ou par négligence grave à ses obligations. La Cour d'appel de Paris a adopté une approche restrictive de cette notion, refusant de caractériser la négligence grave dans des situations où les victimes ont été confrontées à des techniques de spoofing particulièrement élaborées.

Dans l'affaire Banque Populaire, malgré l'existence d'anomalies dans les communications reçues par la victime (numéro inconnu, messages sous la dénomination "Bpopulaire", mauvaise maîtrise du français), la Cour a estimé que ces éléments ne suffisaient pas à caractériser une négligence grave. Elle a souligné que la banque elle-même n'avait pas su protéger son numéro de téléphone, révélant ainsi une défaillance de son propre système de sécurité.

Pour l'affaire Société Générale, la Cour a insisté sur le fait que la victime n'avait jamais communiqué ses codes secrets lors de l'appel téléphonique et avait réagi rapidement dès la découverte de la fraude. Elle a également relevé les manquements de la banque dans la transmission des informations nécessaires à la procédure de récupération des fonds.

‍

Le positionnement dans la jurisprudence actuelle

Ces décisions s'inscrivent dans une évolution jurisprudentielle marquée par l'arrêt de principe de la Cour de cassation du 23 octobre 2024 concernant BNP Paribas (Cass.com., 23 octobre 2024, n°23-16.267). Cette décision a établi un précédent majeur en confirmant que les banques doivent prouver la négligence grave du client avant de pouvoir refuser le remboursement, particulièrement dans les cas de spoofing où l'usurpation d'identité exploite les failles des systèmes de télécommunication.

La Cour de cassation a également rendu une décision structurante le 12 juin 2025, étendant cette protection aux clients professionnels et renforçant l'obligation de vigilance des banques. Cette évolution jurisprudentielle reflète une prise de conscience des juridictions face à la sophistication croissante des techniques frauduleuses, qui rendent difficile la détection de la fraude par des utilisateurs même vigilants.

‍

Les implications pratiques et l'évolution du droit bancaire

Ces arrêts parisiens participent d'un mouvement jurisprudentiel qui modifie sensiblement l'équilibre des responsabilités entre banques et clients. Ils imposent aux établissements bancaires de démontrer de manière rigoureuse la négligence grave de leurs clients, ce qui s'avère particulièrement difficile dans les cas de spoofing où les escrocs exploitent des failles technologiques échappant au contrôle des victimes.

La jurisprudence actuelle semble également exiger des banques qu'elles renforcent leurs systèmes de sécurité et leurs procédures de vigilance. L'obligation de vérifier la correspondance entre les noms des bénéficiaires et les coordonnées bancaires, soulignée dans l'affaire Société Générale, illustre cette évolution vers une responsabilisation accrue des établissements financiers.

Cette tendance jurisprudentielle s'accompagne d'une évolution réglementaire, notamment avec la généralisation des virements instantanés depuis janvier 2025, qui rend encore plus cruciale la question de la responsabilité en cas de fraude. Les juridictions semblent ainsi anticiper les défis posés par la digitalisation croissante des services bancaires en renforçant la protection des consommateurs face aux nouvelles formes de criminalité financière.

Ces deux arrêts de la Cour d'appel de Paris témoignent donc d'une jurisprudence désormais fermement orientée vers la protection des victimes de spoofing, marquant un changement paradigmatique dans l'approche judiciaire de la responsabilité bancaire en matière de fraude.

‍

‍