Spoofing bancaire : et si vous n’étiez pas fautif ? Quand les juges écartent la négligence grave du client et condamnent les banques à rembourser.

Face à l’essor des fraudes par spoofing, de nombreux clients se voient opposer par leur banque une prétendue négligence grave afin de refuser le remboursement des opérations litigieuses. Toutefois, la jurisprudence récente montre que cette qualification est loin d’être automatique : les juges exigent des établissements bancaires une démonstration rigoureuse d’un comportement gravement imprudent, tenant compte du contexte particulier d’usurpation d’identité et de manipulation. Cette évolution révèle un encadrement accru des conditions d’exonération des banques.

1. Un cadre légal strict : la charge de la preuve pèse sur la banque.

Le régime des opérations de paiement non autorisées, issu des articles L133-16 à L133-24 du Code monétaire et financier, repose sur un équilibre précis entre la sécurité des paiements et la protection des utilisateurs.

En principe, le prestataire de services de paiement est tenu de rembourser immédiatement les opérations non autorisées. Il ne peut s’exonérer de cette obligation qu’à la condition de démontrer que le client a agi frauduleusement ou n’a pas respecté ses obligations intentionnellement ou par négligence grave.

Cette exigence est renforcée par l’article L133-23 du Code monétaire et financier, qui impose à la banque de prouver :

• que l’opération a été authentifiée, correctement enregistrée et non affectée par une défaillance technique,

• mais également que le client a commis une faute d’une particulière gravité.

La jurisprudence rappelle de manière constante que : « la preuve d’une telle négligence […] ne peut se déduire de la seule utilisation effective de l’instrument de paiement ».

Il en résulte que la simple validation d’une opération au moyen d’un dispositif d’authentification forte ne suffit pas à caractériser une négligence grave. Celle-ci suppose un défaut de vigilance caractérisé, apprécié in concreto.

2. La reconnaissance du spoofing comme facteur d’altération de la vigilance.

Les juridictions du fond prennent désormais en considération la spécificité des fraudes dites de spoofing, caractérisées par une usurpation crédible de l’identité bancaire.

Dans l’arrêt de la Cour d’appel de Versailles du 28 mars 2023, il est expressément relevé que : « le mode opératoire, par l’utilisation du "spoofing", […] a mis le client en confiance et a diminué sa vigilance ».

La cour souligne en outre que le canal téléphonique, en particulier lorsqu’il évoque une fraude en cours, est de nature à réduire la capacité d’analyse du client.

Cette approche est confirmée par le Tribunal judiciaire de Lyon (13 janvier 2026, Boursorama), qui retient que l’usurpation du numéro de la banque était

« manifestement de nature à persuader (la cliente) qu’elle était en relation avec un conseiller ».

Le tribunal insiste sur la concomitance des opérations et de l’appel frauduleux, ainsi que sur le contexte d’urgence dans lequel la cliente a agi, excluant ainsi toute négligence grave.

Dans le même sens, le Tribunal judiciaire de Nice (5 septembre 2025) considère que les victimes, bien qu’ayant validé les opérations via un dispositif sécurisé, « n’avaient pas donné leur consentement » aux virements, la banque ne rapportant pas la preuve d’une négligence grave

Ces décisions traduisent une prise en compte accrue de la dimension psychologique et technique de la fraude, laquelle peut neutraliser la vigilance d’un utilisateur normalement attentif.

3. Une exigence probatoire renforcée : la négligence grave ne se présume pas.

Les arrêts rendus par la Cour d’appel de Paris le 22 mai 2025 confirment cette orientation.

Dans une première affaire, la cour relève que l’appel frauduleux « a légitimement créé un sentiment d’urgence […] et diminuait également la vigilance du client ».

Elle retient également l’absence de communication de données confidentielles pour écarter toute faute grave.

Dans une seconde décision, elle insiste sur le rôle déterminant de l’usurpation du numéro de la banque, relevant que celui-ci était « de nature à le mettre en confiance ».

Dans ces différentes décisions, les juridictions ne consacrent pas une immunité du client, mais rappellent que :

• la négligence grave suppose un comportement manifestement imprudent,

• elle ne peut être déduite de la seule validation technique des opérations,

• et elle doit être établie de manière positive par la banque.

4. Une évolution jurisprudentielle mesurée.

Il ressort de cet ensemble jurisprudentiel que les juridictions ne consacrent pas une protection automatique des victimes de spoofing, mais réaffirment avec constance l’exigence probatoire particulièrement élevée pesant sur les établissements bancaires, lesquels doivent démontrer concrètement l’existence d’un comportement gravement imprudent du client pour s’exonérer de leur obligation de remboursement.

Cette évolution s’inscrit dans une approche casuistique :

• l’appréciation demeure fondée sur les circonstances propres à chaque espèce,

• certaines situations peuvent encore conduire à retenir une négligence grave,

• et la frontière entre simple imprudence et faute grave reste appréciée in concreto.

En définitive, ces décisions illustrent moins un basculement en faveur des victimes qu’un resserrement du contrôle exercé sur la preuve apportée par les banques.

Nous joignons ci-dessous une liste des jurisprudences éclairantes dans lesquelles la négligence grave n’a pas été retenue.

Liste de décisions récentes de la Cour de cassation et des cours d’appel écartant la négligence grave du client victime de fraude par spoofing :

• Cour de cassation, chambre commerciale, 23 octobre 2024, n°23-16.267, publié au bulletin

• Cour d’appel de Versailles, 13e chambre, 28 mars 2023, n°21/07299.

  
  

Liste de décisions récentes des juridictions du fond écartant la négligence grave du client victime de fraude par spoofing :

• Tribunal judiciaire de Bordeaux, 14 mars 2025, n° 24/01018

• Tribunal judiciaire d’Orléans, chambre 1 section B, 27 juin 2025, n°24/01784

• Tribunal judiciaire de Paris, 17 avril 2025, n°24/03350

• Tribunal judiciaire de Toulouse, 22 mai 2025, n°25/00961

• Tribunal judiciaire de Nice, 4e chambre civile, 5 septembre 2025, n°24/00478

• Tribunal judiciaire d’Annecy, 14 janvier 2026, n°25/00623

• Tribunal de commerce de Paris, chambre 1-10, 16 janvier 2026, n°2024027579.