Guide détaillé : de quels critères dépend l'indemnisation des victimes de spoofing bancaire ? Par Paul-Emile Boutmy, Avocat.
Le numéro qui s'affiche est celui de votre agence. La voix est calme, professionnelle, pressée de vous sauver.
Le spoofing bancaire est une fraude industrialisée où des escrocs se font passer pour une banque via un appel téléphonique affichant le numéro exact de l’agence de la victime. Ils utilisent des techniques d’ingénierie sociale pour manipuler leurs cibles, comme des chirurgiens ou des avocats, en exploitant des données personnelles volées (nom, adresse, date de naissance, etc.). Les fraudeurs simulent une urgence, demandent la validation d’opérations bancaires ou la remise de cartes via un faux coursier. Parallèlement, ils prennent le contrôle du compte en ligne, réinitialisent les mots de passe et effectuent des virements ou retraits massifs en quelques minutes. Ces attaques sont coordonnées, avec des équipes réparties géographiquement, et exploitent des failles de sécurité en amont (fuites de données chez les prestataires bancaires).
Plusieurs termes techniques décrivent ces fraudes. Le spoofing désigne l’usurpation d’identité téléphonique, permettant d’afficher un numéro falsifié. Le vishing (contraction de voice et phishing) est l’hameçonnage par téléphone, où un faux conseiller manipule la victime en temps réel. La fraude au faux coursier implique un complice se rendant au domicile pour récupérer les cartes bancaires. Enfin, le SIM swapping consiste à transférer la ligne mobile de la victime sur une carte SIM contrôlée par les fraudeurs, interceptant ainsi les SMS de sécurité. Ces méthodes sont souvent combinées pour maximiser l’efficacité de la fraude.
Le droit européen, transposé dans le Code monétaire et financier français, encadre strictement les responsabilités en cas de fraude bancaire. L’article L133-18 impose aux banques de rembourser immédiatement les victimes d’opérations non autorisées, au plus tard à la fin du premier jour ouvrable suivant la signalisation. L’article L133-19 prévoit une exception : la victime supporte les pertes si elle a commis une négligence grave ou un agissement frauduleux. La négligence grave est définie comme une imprudence d’une particulière intensité, dont la preuve incombe à la banque. Les victimes disposent d’un délai de 13 mois pour signaler la fraude à leur banque, sous peine de perdre tout recours.
L’article L133-23 du Code monétaire et financier renverse la charge de la preuve : ce n’est pas à la victime de prouver qu’elle n’a pas autorisé une opération, mais à la banque de prouver que l’opération a été régulièrement authentifiée, dûment enregistrée et que le système n’a pas subi de déficience technique. La Cour de cassation a précisé en novembre 2020 et avril 2025 que ces conditions sont cumulatives. Par exemple, la simple communication d’un mot de passe ne suffit pas à prouver un consentement valable. De même, une opération n’est autorisée que si le payeur a consenti à son montant exact, comme rappelé par un arrêt de janvier 2025 concernant un retrait frauduleux de 900 € après validation d’un montant de 70 €.
Depuis la DSP2 (deuxième directive sur les services de paiement), les banques doivent appliquer une authentification forte pour les opérations sensibles, combinant au moins deux éléments parmi la connaissance (code), la possession (appareil) et l’inhérence (empreinte, visage). L’article L133-44 impose ce cadre, détaillé dans le règlement délégué (UE) 2018/389. Cependant, les banques sont régulièrement condamnées pour des déficiences techniques : une session de banque en ligne valable 6 heures sans réauthentification, un code confidentiel consultable en ligne via un mot de passe réinitialisé, ou un système de détection d’anomalies sans réaction. Ces écueils transforment la promesse de sécurité en preuve de négligence.
La jurisprudence récente, notamment un arrêt de la Cour de cassation du 23 octobre 2024, a renforcé la protection des victimes de spoofing. Les juges considèrent que la confiance légitime dans un appel affichant le numéro exact de la banque réduit la vigilance de la victime, qui ne peut être tenue pour gravement négligente. Deux arrêts similaires en juin 2025 ont confirmé cette position. La Cour d’appel de Paris a précisé en mai 2025 que la vérification du numéro affiché, correspondant à celui de l’agence, ne saurait être reprochée à la victime. Cette doctrine repose sur l’idée que la tromperie par spoofing est si sophistiquée qu’elle dépasse les capacités de défense d’un client lambda.
Six affaires récentes illustrent des condamnations des banques pour refus de remboursement. Par exemple, un client de BNP Paribas a été victime d’un faux conseiller utilisant le numéro de sa conseillère habituelle pour valider des virements. La Cour de cassation a jugé que la banque n’avait pas prouvé l’absence de déficience technique ni l’authentification régulière des opérations. Dans une autre affaire, un faux technicien a fait valider des opérations à distance via un numéro usurpé. Les banques ont été condamnées à rembourser les victimes, faute d’avoir respecté les obligations légales de sécurité et de preuve.
Six affaires montrent des victimes déboutées, généralement en raison d’une négligence grave ou d’un manquement aux obligations de sécurité. Par exemple, une victime ayant communiqué ses codes bancaires après un appel frauduleux a été considérée comme ayant commis une négligence grave. Dans une autre affaire, un client n’a pas signalé la fraude dans les 13 mois, perdant ainsi tout recours. Ces cas rappellent que, malgré la protection juridique, les victimes doivent agir rapidement et éviter de partager des informations sensibles, même sous la pression.
Pour se défendre, les victimes doivent agir en plusieurs étapes. D’abord, signaler la fraude à leur banque sans tarder et dans un délai maximal de 13 mois, par écrit de préférence. Ensuite, exiger un remboursement immédiat en citant les articles L133-18 et L133-23 du Code monétaire et financier. Si la banque refuse, engager un recours judiciaire en s’appuyant sur la jurisprudence récente, notamment les arrêts de 2024 et 2025. Les victimes peuvent aussi solliciter l’aide d’un avocat spécialisé en droit bancaire pour contester les arguments de la banque, comme la prétendue négligence grave ou l’absence de déficience technique.
Les victimes se posent souvent trois questions. D’abord, pourquoi la banque refuse-t-elle de rembourser ? La réponse réside souvent dans une méconnaissance des obligations légales par la banque ou dans une tentative de faire porter la responsabilité à la victime. Ensuite, comment prouver qu’on n’a pas validé les opérations ? La charge de la preuve incombe à la banque, qui doit démontrer l’authentification régulière et l’absence de faille technique. Enfin, que faire si la banque invoque une négligence grave ? Il faut contester cette qualification en s’appuyant sur la jurisprudence, qui exige une imprudence d’une particulière intensité, incompatible avec la manipulation par *spoofing*.
