Spoofing bancaire Banque Populaire : la Cour d’appel de Paris renverse la charge de la preuve au profit des victimes

De plus en plus, les victimes d’arnaque bancaire qui ont du mal à se faire rembourser par les banques, gagnent au Tribunal (Il faut aller au Tribunal si votre banque refuse de vous rembourser alors que vous avez été abusé(e) par des escrocs et que la banque ne fournit aucune preuve que c’est de votre faute et à cause de votre négligence !! Voir Refus de remboursement par la banque suite à une fraude bancaire: que faire ? ) .

Dans un arrêt remarqué du 22 mai 2025, la Cour d’appel de Paris a confirmé la condamnation de la Banque Populaire pour avoir refusé de rembourser une cliente victime d’un faux conseiller bancaire. Cette décision marque un tournant dans le traitement judiciaire du spoofing, une escroquerie de plus en plus répandue dans laquelle des fraudeurs se font passer pour un agent du service sécurité d’une banque.

Le faux conseiller bancaire : un piège bien rodé

Le scénario est désormais classique. Un individu reçoit un appel soi-disant émis par sa banque, l’alerte d’une fraude en cours, et lui demande de transférer ses fonds vers un « compte sécurisé » censé protéger ses avoirs. Pris de panique, le client s’exécute… et les fonds disparaissent.

Dans l’affaire jugée par la cour d’appel, la victime avait immédiatement alerté la Banque Populaire et porté plainte. Malgré une mise en demeure par son avocat, la banque a refusé tout remboursement, arguant que la cliente aurait commis une négligence grave.

Le jugement de première instance favorable à la victime

Le 10 janvier 2024, le Juge des contentieux de la protection du Tribunal judiciaire de Paris avait donné raison à la cliente. La Banque Populaire avait été condamnée à lui verser 4 012,72 euros correspondant aux virements frauduleux, ainsi que 300 euros au titre de l’article 700 du code de procédure civile, plus les dépens. La banque a fait appel.

Les arguments de la Banque Populaire balayés

En appel, la banque a tenté de se dégager de toute responsabilité en invoquant plusieurs points :

• L’usage supposé par la victime de ses données personnelles (code d’accès, lien d’authentification) qui aurait permis d’autoriser les paiements.
• La réception d’un appel d’un numéro inconnu, d’un SMS signé « Bpopulaire », et d’un lien non officiel, éléments qui, selon elle, auraient dû alerter toute personne normalement vigilante.
• Des incohérences linguistiques dans les messages (formules bancales, fautes de français).
• L’absence de preuve d’une faille technique du côté de la banque.

Mais le cœur de la défense reposait sur la fameuse négligence grave de la cliente, concept flou souvent brandi par les banques pour ne pas rembourser. Or, la jurisprudence est claire : c’est à l’établissement bancaire de prouver cette négligence. Et dans les cas de spoofing, c’est loin d’être évident.

La position de la cliente : une lecture rigoureuse du code monétaire

La cliente s’est appuyée sur les articles L133-18, L133-19, L133-23 et L133-44 du code monétaire et financier pour faire valoir que :

• Elle n’a jamais autorisé les opérations contestées.
• C’est à la banque de prouver une négligence grave, et cette preuve ne peut reposer uniquement sur l’utilisation de ses identifiants bancaires.
• La banque n’a pas su protéger ses propres canaux de communication (numéro d’agence utilisé pour l’appel frauduleux).

Elle a également souligné un point fondamental : dans une fraude par spoofing, la victime est placée en confiance précisément parce que l’appelant usurpe l’identité même de la banque. Ce stratagème neutralise la vigilance et rend l’argument de négligence caduque.

Ce que dit la Cour d’appel : une décision salutaire

La Cour d’appel a suivi cette analyse, rappelant que :

• Une opération de paiement est autorisée uniquement si le consentement du payeur a été donné dans les formes convenues avec son prestataire.
• Si le client conteste l’opération et en informe sa banque dans les délais, c’est à celle-ci de rembourser, sauf à prouver une faute intentionnelle ou une négligence grave.

Or, dans cette affaire, les juges ont constaté que :

• Les opérations litigieuses ont été réalisées dans un laps de temps très court : ajout de bénéficiaire, achat par carte bancaire, plusieurs virements à l’étranger.
• Le compte de la cliente a été contacté simultanément depuis deux réseaux distincts (Free mobile France et Vodafone Espagne).
• Le numéro utilisé par le fraudeur était celui de l’agence bancaire réelle, ce qui a renforcé la crédibilité de l’appel.
• Le lien frauduleux utilisé conduisait vers un site miroir imitant parfaitement celui de la Banque Populaire.

En somme, la victime a été manipulée avec des techniques professionnelles. La cour a donc rejeté l’argument de négligence grave et confirmé la condamnation de la Banque Populaire.

Une jurisprudence qui s’aligne avec la Cour de cassation

Cette décision de la cour d’appel de Paris s’inscrit dans la continuité de l’arrêt de la Cour de cassation du 23 octobre 2024 (n° 23-16.267), qui établissait déjà que dans les affaires de spoofing, la charge de la preuve pèse sur la banque. Une ligne jurisprudentielle favorable aux victimes commence à se dessiner.

Quelles conséquences pour les clients bancaires ?

Ce jugement offre un signal encourageant pour les usagers victimes de fraudes au faux conseiller :

• Il démontre que les juridictions commencent à comprendre le mécanisme sophistiqué du spoofing.
• Il rappelle que les banques ont une obligation de sécurité renforcée et ne peuvent se retrancher derrière des clauses de responsabilité en cas d’usurpation.
• Il renforce la position juridique des clients pour demander le remboursement de fonds détournés.

Ce que les banques ne veulent pas reconnaître

Ce type de décision souligne surtout la véritable négligence : celle des banques elles-mêmes. Incapables de sécuriser leurs numéros d’appel ou de détecter des virements suspects, elles rejettent la faute sur les clients, alors même qu’elles disposent de systèmes de détection de fraude bien plus avancés que ce qu’elles laissent croire.

Le spoofing n’est pas une ruse anodine : c’est un vol rendu possible par la faiblesse des protocoles de sécurité bancaire. Et les tribunaux commencent, enfin, à en tirer les conséquences.