La responsabilité des établissements bancaires face à la fraude au faux conseiller
Une fraude en plein essor
En effet, la fraude au « faux conseiller bancaire » (ou spoofing téléphonique) est devenue l’une des arnaques les plus répandues en France. Le mode opératoire est toujours similaire : un escroc appelle la victime en se faisant passer pour un employé de sa banque, parfois même en affichant le numéro officiel de l’établissement grâce à la falsification de l’identifiant de l’appelant (technique dite du « spoofing »).
L’escroc annonce à sa victime qu’une opération frauduleuse est en cours sur son compte et qu’il faut agir vite. Pour « sécuriser » les fonds, il lui demande de valider des virements ou de communiquer des codes de sécurité.
La victime, persuadée d’agir sous les instructions de sa propre banque, s’exécute et c’est le drame.
Face à l’ampleur du phénomène, la Banque de France et l’Autorité bancaire européenne (ABE) ont durci les règles applicables aux banques. Le cadre juridique, issu de la directive européenne DSP2 et transposé en droit français dans le Code monétaire et financier, est aujourd’hui largement favorable aux victimes.
La banque est présumée responsable
Petit rappel : le droit bancaire français repose sur un principe fort, inscrit à l’article L.133-18 du Code monétaire et financier : en cas d’opération de paiement non autorisée, le prestataire de services de paiement (la banque) est tenu de rembourser immédiatement le montant de l’opération au payeur.
Ce principe d’obligation de remboursement s’applique dès lors que :
- L’opération n’a pas été authentiquement autorisée par le titulaire du compte ;
- La victime n’a pas commis de négligence grave au sens de la loi ;
- L’opération frauduleuse a été signalée sans délai anormal à la banque.
La charge de la preuve est renversée : c’est à la banque de démontrer que le client a commis une faute, et non au client de prouver qu’il est une victime. Cette règle est protectrice et découle directement du droit européen.
La notion centrale de négligence grave
L’unique exception légale au remboursement est la négligence grave du client (article L.133-19 du Code monétaire et financier). Mais que recouvre exactement cette notion ? La jurisprudence en a progressivement précisé les contours.
Ce qui constitue une négligence grave
- Communiquer spontanément ses codes secrets, identifiants ou mots de passe à un tiers non autorisé ;
- Répondre à un courriel ou SMS manifestement frauduleux (phishing évident) en transmettant ses données bancaires ;
- Ne pas avoir protégé ses données de sécurité avec la diligence d’un utilisateur normalement attentif.
Ce qui NE constitue PAS une négligence grave
La jurisprudence récente, notamment celle de la Cour de cassation (Civ. 1re, 28 mars 2023, n°22-10.097), a opéré une distinction décisive : le fait de valider une opération sous la manipulation d’un escroc qui se présente comme un conseiller bancaire ne constitue pas, en soi, une négligence grave.
- La victime croit légitimement parler à sa banque (le numéro affiché est celui de l’établissement)
- L’escroc dispose d’informations personnelles précises rendant la tromperie crédible ;
- La victime valide des opérations en croyant « sécuriser » ses fonds à la demande de sa banque ;
- La victime n’a pas divulgué son code secret mais a seulement confirmé une opération présentée comme légitime.
Récapitulatif : remboursement ou non ?
Le tableau ci-dessous synthétise les situations les plus courantes et leur traitement juridique :
| Situation | Négligence grave ? | Remboursement |
| Faux conseiller : victime valide virements croyant parler à sa banque | Non | Oui ✓ |
| Spoofing : numéro de la banque affiché, manipulation sophistiquée | Non (en général) | Oui ✓ |
| Victime donne elle-même son code PIN à un tiers | Oui | Non ✗ |
| Réponse à un phishing grossier avec remise des identifiants | Oui | Non ✗ |
| Arnaque, mais signalement tardif (> 13 mois après l’opération) | Variable | Potentiellement non |
Les obligations de la banque en pratique
Au-delà du remboursement, la banque est soumise à plusieurs obligations légales dont la méconnaissance engage sa responsabilité :
L’obligation de remboursement immédiat
Dès réception d’un signalement d’opération non autorisée, la banque doit rembourser le montant frauduleux dans les plus brefs délais, et au plus tard le lendemain du jour ouvrable suivant. Elle peut ensuite mener une enquête interne, mais le remboursement est préalable à celle-ci, et non postérieur.
L’obligation de sécurité renforcée (DSP2)
Depuis la transposition de la directive DSP2, les banques doivent appliquer une authentification forte du client (double facteur) pour tout paiement en ligne. Si la banque ne peut pas prouver qu’une telle procédure a été correctement mise en place et respectée, elle ne peut pas opposer la négligence du client.
Attention, même en cas de double authentification, la Banque doit rapporter la preuve que le client à agir avec négligence grave ou de manière frauduleuse la charge de cette preuve pesant entièrement sur la banque. (TJ LILLE 14 octobre 2025)
L’obligation de vigilance et de détection des fraudes
La banque est également tenue d’une obligation de surveillance des transactions. Des virements inhabituels (montants élevés, destinations nouvelles, fréquence anormale) doivent déclencher des alertes. Si la banque n’a pas mis en place de systèmes de détection adaptés, sa responsabilité peut être engagée indépendamment de la faute du client.
Les délais à respecter absolument
Le respect des délais est crucial pour préserver ses droits :
- 13 mois : délai maximal pour contester une opération non autorisée (article L.133-24 CMF). Passé ce délai, tout recours est impossible ;
- 5 ans : délai de prescription pour une action en responsabilité contractuelle contre la banque ;
- 6 ans : délai de prescription pénale pour l’escroquerie (point de départ : date de découverte des faits).
Comment faire valoir ses droits : la procédure étape par étape
Étape 1 — Agir vite : bloquer et signaler
- Contactez immédiatement votre conseiller ou la hotline de votre banque pour bloquer toute opération en cours ;
- Déposez une plainte auprès du commissariat ou de la gendarmerie pour les faits d’escroquerie (article 313-1 du Code pénal) ;
- Conservez tous les éléments : relevés téléphoniques, SMS, captures d’écran, historique des opérations.
Étape 2 — Adresser une demande écrite à la banque
Envoyez une lettre recommandée avec accusé de réception à votre banque en réclamant le remboursement sur le fondement des articles L.133-18 et suivants du Code monétaire et financier. Joignez la copie de votre plainte pénale. La banque dispose d’un délai de 15 jours ouvrables pour répondre.
Étape 3 — Saisir le médiateur bancaire
En cas de refus ou d’absence de réponse, saisissez gratuitement le médiateur bancaire compétent (chaque établissement est obligatoirement affilié à un médiateur). La médiation est gratuite et suspend les délais de prescription.
Étape 4 — Saisir la justice si nécessaire
Si la médiation échoue, le tribunal judiciaire est compétent pour trancher le litige. Au vu de la jurisprudence actuelle, les juridictions condamnent régulièrement les banques qui refusent de rembourser les victimes de spoofing n’ayant pas commis de faute caractérisée.
Le cabinet TUMERELLE se tient à vos côtés afin de vous assistez, vous conseillez dans ce genre d’affaire.
