Virement frauduleux : la banque doit prouver le consentement

Votre banque refuse de rembourser un virement frauduleux parce que vos identifiants, votre code d'accès, votre application bancaire ou un dispositif d'authentification ont été utilisés ? Cette justification technique ne suffit pas nécessairement à établir que vous avez réellement autorisé l'opération.

Pour compléter cette analyse, consultez les recours en cas de fraude bancaire, les solutions proposées par un avocat en litige bancaire et la page dédiée au contentieux bancaire.

Dans un arrêt du 1er juillet 2026, la chambre commerciale de la Cour de cassation rappelle que l'utilisation de l'instrument de paiement, telle qu'elle apparaît dans les systèmes informatiques de la banque, ne permet pas à elle seule de présumer le consentement du client. Il appartient à la banque d'apporter les éléments permettant de démontrer que l'opération contestée a effectivement été autorisée.

Cette décision, rendue dans un litige opposant une entreprise à sa banque, constitue un point d'appui important pour les particuliers et les professionnels confrontés à un refus de remboursement fondé uniquement sur les relevés techniques de l'établissement bancaire.

Ce que décide la Cour de cassation le 1er juillet 2026

L'affaire concernait la société Lincotek Tarbes, titulaire d'un compte bancaire ouvert dans les livres du Crédit lyonnais. La société soutenait avoir été victime de trois virements frauduleux exécutés le 23 novembre 2020 et demandait à la banque de lui restituer les fonds.

Pour s'opposer à cette demande, la banque produisait notamment des relevés informatiques établissant l'utilisation :

• de l'identifiant permettant d'accéder à l'espace bancaire en ligne ;

• du code d'accès associé à cet espace ;

• d'un token généré par un boîtier attribué à une utilisatrice autorisée du compte.

La cour d'appel de Paris avait considéré que ces éléments établissaient que les opérations avaient été authentifiées, enregistrées et comptabilisées sans déficience technique. Elle en avait ensuite déduit que la société avait consenti aux virements conformément à la forme prévue par le contrat bancaire.

La Cour de cassation censure ce raisonnement. La société contestait avoir consenti aux virements et soutenait que ses données de sécurité personnalisées avaient été utilisées à son insu. Dans ces circonstances, les juges ne pouvaient pas déduire le consentement de la seule utilisation du dispositif contractuellement convenu.

L'utilisation enregistrée de l'instrument de paiement peut établir que la procédure technique a été suivie. Elle ne permet pas nécessairement d'identifier la personne qui a réellement donné l'ordre ni de démontrer sa volonté d'autoriser le paiement.

En présumant le consentement à partir des seules traces techniques, la cour d'appel avait fait supporter au client la preuve de l'absence d'autorisation. Elle avait ainsi inversé la charge de la preuve.

Authentification et consentement : deux notions différentes

Le principal apport de l'arrêt est de distinguer clairement deux questions qui sont souvent confondues dans les réponses adressées par les banques.

L'authentification est une vérification technique

L'authentification permet de vérifier que certains éléments de sécurité ont été utilisés : identifiant, mot de passe, code reçu par SMS, validation dans une application, empreinte biométrique, boîtier électronique ou token.

Les journaux informatiques de la banque peuvent ainsi faire apparaître qu'une connexion a été effectuée, qu'un bénéficiaire a été ajouté ou qu'un code a été saisi au moment de l'opération.

L'autorisation suppose le consentement du payeur

Les articles L. 133-6 et L. 133-7 du Code monétaire et financier prévoient qu'une opération est autorisée lorsque le payeur a donné son consentement à son exécution, selon la forme convenue avec son prestataire de services de paiement.

En l'absence de consentement, l'opération est réputée non autorisée. La question n'est donc pas seulement de savoir si les bons codes ont été utilisés, mais de déterminer si le titulaire du compte a effectivement voulu transmettre l'ordre de paiement.

Un fraudeur peut avoir obtenu ou détourné les données de sécurité du client. Il peut également avoir pris le contrôle d'un appareil, intercepté une validation ou utilisé un dispositif normalement réservé à une personne habilitée. La conformité apparente de la procédure informatique n'exclut donc pas nécessairement l'existence d'une fraude.

Quelle preuve la banque doit-elle apporter ?

Lorsqu'un client nie avoir autorisé une opération, l'article L. 133-23 du Code monétaire et financier impose à la banque de prouver que l'opération :

• a été authentifiée ;

• a été dûment enregistrée ;

• a été correctement comptabilisée ;

• n'a pas été affectée par une déficience technique ou une autre anomalie.

Le même article précise cependant que l'utilisation de l'instrument de paiement enregistrée par la banque ne suffit pas nécessairement à prouver que le payeur a autorisé l'opération.

La banque ne devrait donc pas se limiter à produire une fiche indiquant « authentification réussie », « code correctement saisi » ou « opération validée par token ». Elle doit répondre au débat portant sur le consentement et produire des éléments suffisamment précis sur les conditions dans lesquelles l'ordre a été transmis.

Selon les circonstances, l'analyse peut notamment porter sur :

• l'adresse IP et l'appareil utilisés pour la connexion ;

• la chronologie de l'ajout du bénéficiaire et du virement ;

• les modifications récentes apportées aux paramètres de sécurité ;

• les alertes de connexion ou de changement d'appareil ;

• le contenu exact des messages de validation ;

• l'identité et les habilitations de l'utilisateur supposé avoir donné l'ordre ;

• les habitudes de fonctionnement du compte ;

• le montant, la destination et le caractère inhabituel de l'opération ;

• les éventuelles anomalies signalées au moment de l'exécution.

Le débat judiciaire ne porte donc pas uniquement sur la présence d'un code ou d'un token. Il repose sur la reconstitution complète du scénario technique et humain ayant conduit au débit.

La décision impose-t-elle un remboursement automatique ?

Non. L'arrêt du 1er juillet 2026 ne condamne pas définitivement la banque à rembourser les trois virements litigieux.

La Cour de cassation ne rejuge pas intégralement les faits. Elle contrôle la manière dont les règles de droit ont été appliquées par les juges précédents. En l'espèce, elle a annulé l'arrêt de la cour d'appel de Paris parce que celui-ci avait déduit le consentement de la seule utilisation du dispositif d'authentification et avait ainsi inversé la charge de la preuve.

L'affaire est renvoyée devant la cour d'appel de Versailles, qui devra reprendre l'examen du dossier en respectant la règle probatoire rappelée par la Cour de cassation.

La banque pourra encore produire d'autres éléments pour soutenir que les opérations ont été autorisées. Selon les faits et les stipulations applicables, elle pourra également soulever d'autres arguments, notamment une fraude imputable au client, une négligence grave ou, dans le cadre d'un compte professionnel, une clause contractuelle aménageant certaines règles.

Point de vigilance : cet arrêt renforce la contestation d'un refus fondé uniquement sur les traces d'authentification. Il ne signifie pas que tout virement contesté doit automatiquement être remboursé.

L'arrêt concerne-t-il les particuliers et les entreprises ?

L'affaire jugée le 1er juillet 2026 concernait une société par actions simplifiée et un compte utilisé dans un cadre professionnel. L'arrêt présente donc un intérêt direct pour les entreprises victimes de virements frauduleux, notamment lorsque les ordres semblent avoir été validés à l'aide d'un dispositif attribué à un salarié ou à un responsable financier.

Le principe rappelé par l'article L. 133-23 vise l'utilisateur de services de paiement et peut également être invoqué dans un litige concernant un particulier.

Une réserve importante pour les comptes professionnels

L'article L. 133-2 du Code monétaire et financier permet toutefois, lorsque l'utilisateur n'est pas une personne physique agissant pour des besoins non professionnels, de déroger contractuellement à différentes dispositions, dont l'article L. 133-23.

Pour une entreprise, une association ou un professionnel agissant dans le cadre de son activité, il faut donc examiner précisément :

• la convention de compte ;

• le contrat de banque en ligne ;

• les conditions du dispositif de signature ou d'authentification ;

• les habilitations accordées aux salariés ;

• les éventuelles clauses relatives à la preuve des ordres ;

• le délai contractuel prévu pour contester une opération.

Le fait que la Cour de cassation ait appliqué l'article L. 133-23 dans l'affaire Lincotek ne dispense donc pas les autres entreprises de vérifier leur propre documentation contractuelle.

Quelle portée en cas de faux conseiller bancaire ?

L'arrêt peut être utile dans certains dossiers de phishing, de prise de contrôle d'un compte ou de fraude au faux conseiller bancaire, mais sa portée doit être appréciée avec précision.

Le client conteste avoir lui-même donné l'ordre

La décision est particulièrement pertinente lorsque le client soutient qu'il n'a jamais transmis l'ordre de virement et que ses identifiants, son appareil ou ses données de sécurité ont été utilisés à son insu.

Dans cette situation, la banque ne peut pas nécessairement répondre que l'opération était autorisée au seul motif que les codes ou le dispositif d'authentification habituel ont été utilisés.

Le client a personnellement validé une opération sous l'effet d'une tromperie

La situation est plus délicate lorsque la victime a elle-même effectué ou validé le virement en croyant suivre les instructions de son conseiller bancaire, du service fraude, d'un fournisseur ou d'un dirigeant.

Dans ce cas, la banque peut soutenir que le client a matériellement donné son consentement, même si ce consentement a été obtenu par tromperie. Le litige peut alors porter sur la qualification d'opération autorisée ou non autorisée, sur une éventuelle négligence grave, sur les anomalies apparentes de l'opération ou sur les obligations de vigilance de la banque.

L'arrêt du 1er juillet 2026 ne règle donc pas automatiquement tous les dossiers de spoofing ou de faux conseiller. Il impose surtout de ne pas confondre la réussite d'un processus technique avec la preuve juridique du consentement.

Pour approfondir les recours applicables à ces situations, consultez la page consacrée à l'avocat en fraude bancaire et au remboursement des opérations frauduleuses.

Que faire lorsque la banque refuse le remboursement ?

Un refus de remboursement n'épuise pas nécessairement les recours. Il doit être confronté aux circonstances exactes de la fraude, aux pièces techniques disponibles et au régime juridique applicable à l'opération.

1. Signaler immédiatement l'opération contestée

Le client doit prévenir sa banque sans tarder, faire bloquer les accès compromis et demander le lancement d'une procédure de rappel des fonds lorsque celle-ci est encore possible.

Pour une personne physique agissant à des fins non professionnelles, l'article L. 133-24 prévoit en principe un délai maximal de treize mois à compter du débit pour signaler une opération non autorisée ou mal exécutée.

Ce délai ne doit pas être interprété comme une invitation à attendre. Plus le signalement est rapide, plus les possibilités de bloquer les fonds, d'identifier le compte bénéficiaire et de préserver les éléments techniques sont importantes.

Pour un compte professionnel, un délai différent peut avoir été prévu par contrat. La convention bancaire doit être vérifiée immédiatement.

2. Contester le caractère autorisé de l'opération par écrit

La réclamation doit identifier chaque opération : date, montant, compte bénéficiaire, libellé et circonstances de la découverte.

Lorsque cela correspond aux faits, il convient d'indiquer clairement que le titulaire du compte nie avoir donné son consentement et conteste toute déduction fondée uniquement sur l'utilisation de ses identifiants ou de son instrument de paiement.

3. Demander les éléments sur lesquels la banque fonde son refus

Un courrier indiquant simplement que « l'opération a été authentifiée » ou que « les codes personnels ont été utilisés » ne permet pas toujours de comprendre le raisonnement de la banque.

Il peut être demandé à l'établissement de préciser notamment :

• la procédure d'authentification utilisée ;

• les appareils et adresses IP identifiés ;

• les horaires exacts de connexion et de validation ;

• les messages de sécurité adressés au client ;

• la date d'ajout du bénéficiaire ;

• les éventuelles alertes générées par les systèmes de surveillance ;

• les raisons précises pour lesquelles l'opération serait considérée comme autorisée.

4. Distinguer authentification, consentement et négligence grave

Ces trois questions ne doivent pas être mélangées.

• L'authentification concerne le fonctionnement du procédé technique.

• Le consentement détermine si le payeur a effectivement autorisé l'opération.

• La négligence grave concerne le comportement reproché au client dans l'utilisation ou la protection de ses données de sécurité.

L'article L. 133-23 prévoit que la banque doit produire des éléments pour prouver la fraude ou la négligence grave du client. Celle-ci ne devrait pas être affirmée de manière générale ou déduite automatiquement de la seule utilisation des codes.

5. Faire analyser la convention bancaire et le scénario de fraude

Pour les comptes professionnels, cette analyse contractuelle est indispensable. Pour les particuliers comme pour les entreprises, il faut également déterminer si l'opération est juridiquement non autorisée ou si le client a personnellement transmis un ordre sous l'effet d'une escroquerie.

Cette qualification conditionne les textes applicables, les arguments à opposer à la banque et la stratégie contentieuse. La page consacrée au litige bancaire et aux recours contre une banque présente les principales étapes permettant de structurer une contestation.

Quelles preuves conserver après un virement frauduleux ?

Les premières heures suivant la découverte de la fraude sont déterminantes. Il faut préserver les éléments avant leur suppression, leur écrasement ou la désactivation des accès compromis.

Le dossier peut notamment comprendre :

• les relevés de compte faisant apparaître les virements ;

• les captures de l'espace bancaire et des bénéficiaires enregistrés ;

• les SMS, notifications et courriels reçus avant ou après l'opération ;

• l'historique des appels avec le fraudeur ou la banque ;

• les numéros de téléphone et adresses électroniques utilisés ;

• les échanges avec le service fraude et le service réclamations ;

• la plainte déposée auprès des services de police ou de gendarmerie ;

• la demande de rappel des fonds et la réponse de la banque bénéficiaire ;

• la convention de compte et les conditions de banque en ligne ;

• les délégations et habilitations internes lorsqu'une entreprise est concernée ;

• les justificatifs démontrant le caractère inhabituel du montant ou du bénéficiaire ;

• les éventuels rapports informatiques relatifs à une compromission du poste ou du téléphone.

Il est également utile d'établir une chronologie précise : heure du premier appel ou message, connexion au compte, ajout du bénéficiaire, validation supposée, débit, découverte de l'opération, appel à la banque et dépôt de plainte.

Notre analyse : preuve technique et consentement

Les établissements bancaires s'appuient fréquemment sur leurs journaux informatiques pour soutenir qu'une opération a été régulièrement validée. Ces données sont utiles, mais elles ne répondent pas toujours à la question centrale : qui a réellement voulu effectuer le paiement ?

L'arrêt du 1er juillet 2026 rappelle que la preuve technique ne doit pas devenir une présomption irréfragable contre le client. Lorsqu'il existe une contestation sérieuse du consentement, les juges doivent examiner les circonstances concrètes et respecter la répartition légale de la charge de la preuve.

Cette décision est particulièrement importante pour les entreprises, au sein desquelles plusieurs personnes peuvent disposer d'habilitations différentes et où les fraudeurs ciblent les salariés chargés de la trésorerie, de la comptabilité ou de la validation des paiements.

Elle ne supprime cependant ni l'analyse des contrats professionnels ni l'examen du comportement du client. Un dossier de virement frauduleux se gagne rarement sur une formule générale : il suppose de confronter les données techniques, les documents contractuels et la chronologie de la fraude.

Ce qu'il faut retenir

• Un virement n'est autorisé que si le payeur a consenti à son exécution.

• La réussite apparente d'une authentification ne prouve pas nécessairement ce consentement.

• La banque ne peut pas toujours se contenter d'invoquer l'utilisation d'un identifiant, d'un code ou d'un token.

• La Cour de cassation a sanctionné, le 1er juillet 2026, une décision qui avait déduit le consentement de ces seules traces techniques.

• L'arrêt ne prononce pas un remboursement automatique : l'affaire doit être rejugée.

• Les entreprises doivent vérifier les clauses de leur convention bancaire, notamment celles relatives à la preuve et au délai de contestation.

• Toute opération suspecte doit être signalée immédiatement et faire l'objet d'une contestation écrite et documentée.

Quand consulter un avocat en contentieux bancaire ?

Le refus de la banque doit être analysé au regard du scénario exact de la fraude, des preuves techniques, de la convention de compte et de la jurisprudence applicable. La simple mention d'une authentification réussie ne permet pas toujours de démontrer que l'opération a été autorisée.

Maître Lenny Ambigaipalan, avocat au Barreau de Paris, intervient en contentieux bancaire et peut examiner les arguments permettant de contester un refus de remboursement ou de préparer une action contre l'établissement bancaire.