Vous recevez un appel téléphonique provenant, en apparence, du numéro habituel de votre banque.
La personne se présente comme votre conseiller et vous explique que des opérations suspectes ont été détectées.
Elle vous demande de réaliser plusieurs manipulations pour protéger votre compte.
Quelques heures plus tard, vous découvrez des virements que vous n'avez pas souhaité effectuer.
Cette méthode d'escroquerie est appelée spoofing téléphonique.
Dans un arrêt du 23 octobre 2024, n° 23-16.267, la Cour de cassation a apporté des précisions importantes sur la responsabilité du client victime d'un faux conseiller bancaire.
Le spoofing consiste notamment à usurper un numéro de téléphone pour donner à un appel une apparence légitime.
La victime peut ainsi voir apparaître sur son téléphone un numéro qu'elle associe à son établissement bancaire.
Cette apparence renforce la crédibilité de l'appelant.
Le fraudeur peut prétendre intervenir pour empêcher un piratage ou annuler des opérations suspectes.
Il cherche alors à convaincre la victime d'utiliser ses dispositifs de sécurité ou d'effectuer certaines démarches.
Le fait que le numéro affiché corresponde à celui de la banque ne démontre donc pas, à lui seul, que l'appel provient réellement de cet établissement.
L'arrêt du 23 octobre 2024 concernait un client contacté par téléphone par une personne se présentant comme une salariée de sa banque.
Le numéro affiché correspondait à celui de sa véritable conseillère bancaire.
L'appelant l'avait convaincu de réaliser des opérations relatives aux bénéficiaires de virements.
Le client pensait agir pour prévenir des mouvements frauduleux.
Des opérations contestées avaient ensuite été effectuées.
La banque reprochait au client d'avoir commis une négligence grave en utilisant son dispositif de sécurité personnalisé.
La question était de déterminer si ces circonstances permettaient de lui imputer les pertes.
La Cour de cassation a rejeté le pourvoi de la banque.
L'article L. 133-19 du Code monétaire et financier prévoit les situations dans lesquelles le payeur peut supporter les pertes liées à certaines opérations non autorisées.
La négligence grave peut notamment être invoquée lorsqu'un utilisateur manque à certaines obligations de sécurité.
Cependant, cette négligence ne se présume pas.
La Cour de cassation rappelle, dans son arrêt du 23 octobre 2024, qu'il incombe au prestataire de services de paiement de rapporter la preuve d'une négligence grave de son client.
L'article L. 133-23 du Code monétaire et financier encadre également la preuve relative à l'authentification et à l'exécution des opérations de paiement contestées.
La banque ne peut donc pas simplement affirmer que le client a été imprudent.
Elle doit présenter les éléments justifiant cette qualification.
Dans l'affaire examinée, les juges ont retenu que l'affichage du numéro de la véritable conseillère avait mis le client en confiance.
Il croyait agir sur les instructions d'une salariée de son établissement bancaire.
Les manipulations demandées lui avaient été présentées comme des mesures de sécurité.
La Cour de cassation a considéré que les juges du fond pouvaient, au regard de ces circonstances, écarter la négligence grave.
L'arrêt ne signifie pas que chaque victime de spoofing est automatiquement exonérée de toute responsabilité.
Il montre toutefois que les conditions concrètes de l'escroquerie doivent être prises en compte.
Le comportement d'une victime ne peut pas être apprécié indépendamment des manœuvres utilisées pour la tromper.
Imaginons qu'un particulier résidant dans l'Essonne reçoive un appel affichant le numéro habituel de sa banque.
Son interlocuteur affirme qu'un fraudeur tente d'effectuer plusieurs virements.
Il lui demande de se connecter à son application bancaire pour effectuer des opérations présentées comme protectrices.
Le particulier suit les instructions.
Il découvre ensuite qu'une somme a quitté son compte.
Sa banque refuse le remboursement en soutenant qu'il a utilisé ses dispositifs de sécurité.
L'analyse doit alors porter sur plusieurs éléments.
Il faut examiner la nature des opérations, les instructions données au client et les circonstances de l'appel.
Il faut également identifier les preuves sur lesquelles la banque fonde son accusation de négligence grave.
L'arrêt du 23 octobre 2024 peut présenter un intérêt dans cette discussion, sans préjuger de l'issue du litige.
Il est important de signaler rapidement les opérations contestées à l'établissement bancaire.
L'article L. 133-24 du Code monétaire et financier prévoit les conditions de signalement des opérations non autorisées.
La victime doit conserver les éléments permettant de reconstituer les faits.
Il peut s'agir du journal d'appels, des SMS reçus, des notifications bancaires ou des relevés de compte.
Elle peut également demander à sa banque une réponse écrite précisant les raisons du refus de remboursement.
Il convient ensuite de vérifier si les opérations relèvent juridiquement du régime des paiements non autorisés.
Cette qualification est essentielle pour déterminer les textes applicables.
L'article L. 133-18 du Code monétaire et financier prévoit, en principe, le remboursement des opérations non autorisées dans les conditions légales.
L'arrêt de la Cour de cassation du 23 octobre 2024, n° 23-16.267, constitue une référence importante pour les victimes de spoofing bancaire.
Il confirme que la banque doit démontrer la négligence grave invoquée et que les circonstances de l'escroquerie doivent être examinées.
Vous avez été victime d'un faux conseiller bancaire ou votre banque refuse de rembourser un virement contesté ?
Le cabinet LAW & CO' AVOCAT intervient en droit bancaire et accompagne les particuliers et les entreprises dans l'analyse de leurs litiges.
LAW & CO' AVOCAT, Maître Corinne NJINE TESSIER, avocate au barreau de l'Essonne, Évry-Courcouronnes. Prenez rendez-vous avec le cabinet.