Spoofing et authentification forte : le devoir de vigilance des banques, nouveau terrain d'indemnisation des victimes ? Par Virginie Audinot, Avocat.

Les fraudes aux faux conseillers bancaires, ou spoofing, consistent pour un escroc à usurper l’identité d’un établissement bancaire, parfois en falsifiant le numéro de téléphone affiché à l’écran de la victime (spoofing). L’escroc se fait passer pour un conseiller du service sécurité ou fraude, affirmant que les comptes de la victime sont piratés. Sous pression et en situation d’urgence, la victime suit ses instructions : communiquer des informations confidentielles, ajouter des bénéficiaires, transférer des fonds ou valider des paiements via l’application bancaire. Toutes ces opérations utilisent un dispositif d’authentification forte, comme un code envoyé par SMS ou une confirmation biométrique. En 2023, une cliente de Boursorama a transféré 10 950 € depuis son épargne, ajouté deux bénéficiaires et effectué deux virements de 8 000 € et 3 970,02 € en 30 minutes, avant de découvrir la fraude. Les banques refusent souvent de rembourser en invoquant l’authentification forte, arguant que les opérations ont été validées par le client.

L’authentification forte est une procédure imposée par la réglementation bancaire pour sécuriser les paiements en ligne. Elle combine au moins deux éléments : quelque chose que le client connaît (mot de passe), possède (téléphone) et/ou est (empreinte digitale). Cependant, cette authentification ne suffit pas à exonérer les banques de toute responsabilité. Le Code monétaire et financier distingue deux types d’opérations : celles autorisées (validées par le client) et celles non autorisées (réalisées sans son consentement). Pour les opérations non autorisées, la banque doit rembourser le client sous conditions (articles L133-18 et L133-19). Mais dans les affaires jugées le 2 octobre 2026, les tribunaux ont considéré que les opérations étaient autorisées, car validées par authentification forte. Pourtant, ils ont condamné Boursorama et Qonto pour manquement à leur devoir de vigilance, montrant que la responsabilité bancaire ne se limite pas à la régularité technique des opérations.

Les banques ont un devoir de non-ingérence : elles ne peuvent pas contester les décisions financières de leurs clients. Cependant, ce principe a des limites. Si une opération ou une série d’opérations présente des anomalies apparentes (comportement inhabituel, montants anormaux, bénéficiaires suspects), la banque doit alerter son client. Par exemple, le Tribunal judiciaire d’Albertville a retenu que Boursorama aurait dû détecter des anomalies chez une cliente ayant transféré 8 000 € et 3 970,02 € en 30 minutes, vidé son compte courant (solde réduit à 4,74 €) et ajouté des bénéficiaires aux intitulés trompeurs comme « assurance ». À Paris, Qonto a été condamnée car 33 paiements par carte en moins de deux heures, principalement vers Ria Money Transfer, avec des montants répétitifs (2 024 € ou 3 034 €), auraient dû déclencher une alerte. Ces décisions soulignent que l’accumulation de circonstances atypiques engage la responsabilité de la banque.

Les deux tribunaux ont reconnu un manquement au devoir de vigilance, mais ont appliqué des logiques d’indemnisation différentes. À Albertville, Boursorama a été condamnée à rembourser l’intégralité des 10 057,16 € restants perdus par sa cliente, sur le fondement de l’article 1231-1 du Code civil, pour faute contractuelle. À Paris, le Tribunal des activités économiques a condamné Qonto à indemniser 60 % du préjudice (63 351,64 € sur 105 586,07 €), estimant que le manquement avait privé la société d’une chance sérieuse d’éviter la fraude. Les juges ont considéré qu’une alerte ou un blocage temporaire aurait pu interrompre les opérations. Cependant, ils ont refusé d’indemniser 99 % du préjudice, car le gérant de la société avait préalablement communiqué ses données bancaires sur un site frauduleux et validé plusieurs opérations. Ces décisions illustrent une évolution jurisprudentielle vers une prise en compte accrue des anomalies dans les paiements autorisés.