Spoofing bancaire : la Société Générale condamnée à rembourser 9 995 € par la Cour d'appel de Paris. Par Virginie Audinot, Avocat.
La Cour d'appel de Paris a rendu, le 9 septembre 2026 (CA Paris, pôle 5, chambre 6, 9 septembre 2026, n° 25/14861), un arrêt intéressant en matière de fraude au faux conseiller bancaire (« spoofing »). Dans cette affaire, la Cour condamne la Société Générale à rembourser 9 995 € à des clients victimes d'une opération de paiement frauduleuse.
En mai 2023, un couple titulaire d’un compte joint à la Société Générale a subi une fraude bancaire. Un escroc s’est fait passer pour un conseiller du service fraude de la banque en téléphonant à la cliente. Il a prétendu détecter des paiements frauduleux sur sa carte bancaire et lui a proposé de bloquer ces opérations. Pour renforcer sa crédibilité, le fraudeur a utilisé un numéro d’appel affichant « Carte Visa Opposition », un numéro officiel réservé aux oppositions sur les cartes bancaires. Le 1er mai 2023, un virement de 9 995 € a été effectué à leur insu. Les époux ont immédiatement contesté cette opération auprès de leur banque, mais celle-ci a d’abord refusé le remboursement, déclenchant un recours judiciaire.
La Cour d’appel de Paris a qualifié l’opération de non autorisée, car elle a été réalisée sous manipulation psychologique et sans que les clients n’aient connaissance de l’identité réelle du bénéficiaire. Selon l’article L. 133-18 du Code monétaire et financier, une opération est considérée comme non autorisée si le client n’a pas valablement consenti à son exécution. Ce cadre juridique est crucial, car il impose à la banque de rembourser les sommes détournées, sauf en cas de fraude ou de négligence grave du client. Dans cette affaire, les époux n’avaient commis aucune négligence, car ils avaient agi sur la base d’un appel frauduleux et n’avaient pas validé eux-mêmes le virement.
L’un des enjeux majeurs de cet arrêt réside dans la répartition de la charge de la preuve. L’article L. 133-23 du Code monétaire et financier stipule que, si un client nie avoir autorisé une opération, c’est à la banque de prouver que celle-ci a été authentifiée, dûment enregistrée et comptabilisée, et qu’elle n’a pas été affectée par une déficience technique. La banque doit également démontrer que le client n’a pas commis de négligence grave. Dans cette affaire, la Société Générale n’a pas réussi à apporter ces preuves, car elle n’a pas communiqué les éléments nécessaires lors de la procédure d’appel. La Cour en a conclu que la banque n’avait pas rempli son obligation légale.
La Cour d’appel de Paris a infirmé le jugement de première instance et condamné la Société Générale à rembourser les 9 995 € détournés, avec des intérêts au taux légal à compter du 16 mai 2024, date de l’assignation. La banque a également été condamnée à verser 2 000 € au titre de l’article 700 du Code de procédure civile, qui permet de couvrir les frais engagés par les victimes pour se défendre en justice. Enfin, elle doit supporter l’intégralité des dépens, c’est-à-dire les frais de justice (frais d’huissier, greffe, etc.) pour les deux instances. En revanche, la demande de 1 000 € de dommages-intérêts supplémentaires a été rejetée, car les époux n’ont pas prouvé un préjudice distinct de celui déjà réparé par le remboursement.
Cet arrêt met en lumière une distinction fondamentale en droit bancaire : celle entre *authentification* et *autorisation* d’une opération de paiement. L’*authentification* consiste à vérifier l’identité du payeur (par exemple, via un code secret ou une empreinte digitale), tandis que l’*autorisation* implique que le client a *consciemment* accepté le paiement. Dans une fraude au faux conseiller, même si les données ou dispositifs de sécurité du client ont été utilisés (comme son numéro de carte ou son code), cela ne prouve pas qu’il a *effectivement* consenti au paiement. La Cour rappelle que la manipulation psychologique ou l’usurpation d’identité invalident toute prétendue autorisation, protégeant ainsi les clients contre les fraudes sophistiquées.

