La banque est-elle responsable si j'ai moi-même validé le virement après avoir été manipulé ?

C'est l'argument que toutes les banques opposent aux victimes de faux conseillers : « vous avez validé l'opération vous-même, avec votre authentification forte — nous ne pouvons rien pour vous ». Cette réponse ne résiste plus à l'état actuel du droit.

Par un arrêt du 1er juillet 2026, la Cour de cassation a rappelé avec netteté que l'authentification ne prouve pas le consentement : le fait que l'identifiant, le code et le dispositif de sécurité aient été utilisés ne suffit pas à établir que le client a personnellement autorisé l'opération. Et depuis l'arrêt fondateur du 23 octobre 2024, se laisser tromper par un spoofing sophistiqué ne constitue pas, en soi, une négligence grave.

Voici l'état exact du droit : principes, limites récentes et stratégie de contestation.

Le raisonnement se déroule en deux temps et les banques sautent souvent le premier

C'est la clé de tout le contentieux, et le point que la jurisprudence de 2026 a clarifié.

Face à un virement contesté, deux questions successives se posent :

• Premier temps : l'opération était-elle autorisée ? C'est une question de consentement, régie par les articles L.133-6 et L.133-7 du Code monétaire et financier.

  
  

• Second temps : si elle n'était pas autorisée, la banque peut-elle refuser de rembourser ? C'est là seulement qu'intervient la notion de négligence grave (article L.133-19).

  
  

Les établissements bancaires ont tendance à écraser ces deux étapes en une seule, en déduisant le consentement de la simple authentification technique. La Cour de cassation vient précisément de leur rappeler que ce raccourci est illégal.

Premier temps : l'authentification ne vaut pas consentement (Cass. com., 1er juillet 2026)

L'article L.133-6 du Code monétaire et financier subordonne la validité de toute opération au consentement du payeur. En l'absence de ce consentement, donné dans la forme convenue entre les parties, l'opération est réputée non autorisée.

Or les dispositifs modernes d'authentification forte avaient semé le doute chez certains juges du fond, portés à déduire le consentement de la seule réalisation de l'authentification. La Cour de cassation y a mis fin.

L'arrêt du 1er juillet 2026 (Cass. com., n° 25-13.134, publié)

Une société cliente contestait trois virements frauduleux exécutés le même jour sur son compte. La cour d'appel l'avait déboutée : les relevés informatiques produits par la banque établissaient l'utilisation de l'identifiant, du code d'accès à l'espace en ligne et d'un token généré par un boîtier de sécurité d'où elle déduisait que le consentement était présumé donné dans la forme convenue.

La Cour de cassation casse cette décision, au visa des articles L.133-6, L.133-7 et L.133-23. Son raisonnement :

• une opération n'est autorisée que si le payeur a donné son consentement à son exécution ; à défaut, elle est réputée non autorisée ;

• le consentement ne peut pas être déduit du seul recours à la forme convenue contractuellement ;

• si l'authentification prouve que le système bancaire a fonctionné normalement, elle ne prouve pas que le client a personnellement autorisé l'opération.

  
  

C'est la consécration, au plus haut niveau, de la distinction authentification technique / consentement juridique et elle vaut aussi bien pour les particuliers que pour les entreprises.

La charge de la preuve pèse sur la banque, pas sur vous

C'est le corollaire immédiat, et la règle la plus mal connue des victimes. L'article L.133-23 du Code monétaire et financier organise un véritable renversement de la charge de la preuve :

• Alinéa 1er : lorsque l'utilisateur nie avoir autorisé une opération exécutée, c'est à la banque de prouver que l'opération a été authentifiée, dûment enregistrée et comptabilisée, et qu'elle n'a pas été affectée par une déficience technique ou autre.

  
  

• Alinéa 2 : l'utilisation de l'instrument de paiement ne peut pas se déduire du seul fait que cet instrument, ou les données personnelles qui lui sont liées, ont été effectivement utilisés.

  
  

Cette solution n'est pas nouvelle, elle est constante depuis plusieurs années (Cass. com., 28 mars 2018, n° 16-20.018 ; Cass. com., 29 mai 2019, n° 17-28.271) mais l'arrêt de 2026 la réaffirme face aux dispositifs d'authentification forte, qui ne changent rien à la règle.

Conséquence pratique : ce n'est pas à vous de prouver votre prudence ni votre absence de consentement. C'est à la banque de faire la démonstration complète de la régularité de l'opération avant même de pouvoir vous reprocher quoi que ce soit. La Cour de cassation l'a d'ailleurs rappelé dans un arrêt du 30 avril 2025 (n° 24-10.149) : la banque ne peut pas invoquer une négligence grave sans avoir d'abord établi ce préalable.

Second temps : le spoofing exclut en principe la négligence grave

Une fois l'opération qualifiée de non autorisée, la banque doit rembourser immédiatement (au plus tard à la fin du premier jour ouvrable suivant le signalement) et rétablir le compte dans son état antérieur (article L.133-18). Elle ne peut s'y soustraire que dans deux cas : la fraude du client ou sa négligence grave (article L.133-19).

L'arrêt fondateur du 23 octobre 2024

Par un arrêt publié au bulletin (Cass. com., n° 23-16.267), la chambre commerciale a jugé qu'un client contacté par un faux conseiller affichant le numéro officiel de sa banque, et conduit à effectuer des manipulations sur son dispositif de sécurité, ne commet pas de négligence grave. Dans cette affaire, la victime avait elle-même validé plusieurs virements représentant plus de 54 000 euros.

Le raisonnement est essentiel : lorsque le mode opératoire (usurpation du numéro officiel, mise en confiance, urgence simulée) a précisément pour effet de diminuer la vigilance du client, on ne peut pas lui reprocher d'avoir été moins vigilant. La sophistication de la fraude protège la victime au lieu de l'accabler.

Les confirmations de 2025 et 2026

Cette solution a été étendue aux clients professionnels par un arrêt du 12 juin 2025. Les juridictions du fond l'ont prolongée : la cour d'appel de Besançon (10 février 2026, n° 24/01852) a refusé de voir une négligence grave dans le fait de cliquer sur un lien reçu par SMS (smishing) ; la cour d'appel de Rouen (19 février 2026, n° 25/01563) a confirmé la condamnation d'une banque dont la cliente avait communiqué ses codes après que le fraudeur lui eut suggéré de vérifier son numéro sur internet.

Comment se définit la « négligence grave » ?

Elle suppose une faute d'une particulière sévérité. La cour d'appel de Versailles en a donné en 2026 une définition précieuse : un comportement manifestement anormal, détachable du contexte frauduleux, traduisant une indifférence consciente aux risques évidents. La simple imprudence, la crédulité ou l'erreur de jugement ne suffisent pas.

Ne constituent PAS, à eux seuls, une négligence grave :

• le seul fait d'avoir validé une opération sous l'effet d'une manipulation structurée ;

• le seul fait que l'escroquerie ait réussi : cela démontre souvent sa sophistication, pas la faute de la victime ;

• le seul fait d'avoir communiqué des informations sous pression, dans un contexte de manipulation psychologique ;

• le seul fait d'avoir cliqué sur un lien contenu dans un SMS ;

• le seul fait que l'opération ait été authentifiée par 3D Secure, un token ou l'application bancaire sous la réserve importante exposée ci-dessous.

  
  

La protection a-t-elle des limites ? L'infléchissement du 4 mars 2026

Oui et les connaître est aussi important que connaître le principe.

Le contenu du message de confirmation devient décisif

Par un arrêt publié au Bulletin (Cass. com., 4 mars 2026, n° 24-19.588), la Cour de cassation a cassé une décision favorable à un client victime de spoofing. Celui-ci avait validé des opérations en croyant, sur les indications du faux conseiller, annuler des virements frauduleux. Or la banque produisait le message reçu au moment de la validation, indiquant explicitement : « Vous allez confirmer un paiement. Il ne s'agit ni d'un remboursement, ni d'une annulation. »

La Cour reproche aux juges du fond de ne pas avoir recherché si, à réception de ce message clair et sans ambiguïté, le client n'avait pas commis une négligence grave en validant malgré tout.

L'enseignement : la crédibilité initiale du spoofing peut neutraliser la négligence grave, mais elle ne l'efface pas automatiquement. Le contenu exact de l'alerte envoyée par la banque devient un élément central du débat. Une alerte générique reste sans effet ; une alerte explicite et univoque peut faire basculer le dossier.

Deux autres limites

• La preuve de la date du signalement : par un arrêt du 4 février 2026 (n° 22-22.609), la Cour a approuvé le rejet d'une demande faute pour les clients d'établir à quelle date ils avaient informé leur banque malgré un dépôt de plainte. Contestez donc par écrit et daté.

  
  

• L'IBAN falsifié fourni par le client : lorsque le client transmet lui-même un IBAN falsifié à son insu (piratage de messagerie, faux RIB) et que la banque exécute conformément à cet identifiant, elle n'est en principe pas responsable (Cass. com., 15 janvier 2025, n° 23-15.437), l'article L.133-21 prévoyant que l'exécution conforme à l'identifiant unique la libère.

  
  

Ces nuances ne referment pas la porte : elles imposent une analyse fine du dossier, pièce par pièce, avant toute action.

Le devoir de vigilance de la banque : un second levier

Au-delà du régime des opérations non autorisées, la banque reste tenue d'un devoir général de vigilance sur les opérations présentant des anomalies apparentes. La Cour de cassation a validé en 2025 la condamnation d'une banque n'ayant pas réagi face à une série de virements anormaux. Dans l'une de ces affaires, une PME avait subi onze virements frauduleux pour 1,3 million d'euros en un mois.

Depuis le 9 octobre 2025, une obligation supplémentaire s'impose : la vérification du bénéficiaire (dispositif « VOP »). Avant d'exécuter un virement, la banque doit contrôler la concordance entre le nom du titulaire du compte destinataire et l'IBAN renseigné, et alerter le client en cas de discordance. Une banque qui n'a pas correctement mis en œuvre ce contrôle s'expose à voir sa responsabilité engagée : moyen nouveau et encore peu exploité.

Peut-on aussi agir contre l'opérateur téléphonique ?

C'est l'angle le plus inédit du contentieux actuel. Par un jugement du 15 janvier 2026 (n° 24/04856), le tribunal judiciaire de Paris a condamné conjointement une banque et un opérateur téléphonique dans une affaire de spoofing, retenant une faute de l'opérateur dans sa contribution technique à la fraude, sur le fondement des obligations d'authentification des numéros appelants.

Cette décision ouvre une voie supplémentaire : si l'escroc a pu afficher le numéro officiel de la banque, c'est aussi qu'une faille du réseau télécom l'a permis.

À surveiller également : dans des conclusions du 5 mars 2026, un avocat général de la Cour de justice de l'Union européenne a proposé une lecture très favorable aux consommateurs : la banque devrait rembourser d'abord, quitte à agir ensuite en récupération si elle estime la négligence grave caractérisée.

Quels délais pour contester ?

• Le signalement à la banque : 13 mois à compter de la date de débit (article L.133-24). Mais agissez sans tarder et par écrit, en conservant la preuve de la date. La jurisprudence de février 2026 rappelle que ce point peut à lui seul faire échouer une demande.

  
  

• L'action en justice : prescription de 5 ans.

  
  

Dès la découverte : contestez par écrit, faites opposition, déposez plainte, et conservez tous les éléments (SMS reçus, relevés d'appels montrant le numéro usurpé, captures des écrans de validation, e-mails).

Que faire si la banque refuse de rembourser ?

• Contestez formellement par écrit en visant les articles L.133-6, L.133-7, L.133-18, L.133-19 et L.133-23 du Code monétaire et financier, et en rappelant que le consentement ne se déduit pas de l'authentification et que la charge de la preuve pèse sur la banque ;

  
  

• Réclamez les pièces techniques : contenu exact des messages d'authentification, journaux de connexion, relevés informatiques : elles sont devenues le cœur du débat depuis les arrêts de 2026 ;

  
  

• Saisissez le médiateur bancaire : gratuit, sans avocat, avec un délai de réponse encadré ;

  
  

• Signalez le refus à l'ACPR, qui supervise les pratiques des établissements ;

  
  

• Engagez une action judiciaire devant le tribunal judiciaire, en envisageant la mise en cause de l'opérateur téléphonique lorsque le numéro de la banque a été usurpé ;

  
  

• Poursuivez en parallèle l'action pénale : plainte pour escroquerie contre les auteurs, avec constitution de partie civile.

  
  

Lorsque plusieurs clients d'un même établissement subissent le même stratagème, une démarche coordonnée entre victimes renforce considérablement le rapport de force.

Votre banque refuse de vous rembourser après une fraude à Toulouse ou partout en France ?

Démonstration de l'absence de consentement, analyse des messages d'authentification, contestation de la négligence grave, mise en cause du devoir de vigilance, du contrôle nom/IBAN ou de l'opérateur téléphonique, saisine du médiateur puis du tribunal, plainte pénale contre les auteurs : la jurisprudence 2024-2026 a profondément renforcé les droits des victimes, tout en introduisant des nuances qui rendent l'analyse du dossier déterminante. Le Cabinet Morer, avocat à Toulouse, construit votre dossier et engage les recours face à votre banque comme contre les escrocs, partout en France.

Contactez le Cabinet Morer sans attendre : par téléphone au 06.23.36.88.03, par courriel à cabinet@morer-avocat.com ou via le formulaire de contact sur morer-avocat.com.