La banque est-elle responsable si j'ai moi-même validé le virement après avoir été manipulé ?

Article mis à jour le 24 octobre 2026 — arrêt de la Cour de cassation du 9 septembre 2026, fichier national des comptes signalés pour risque de fraude (7 mai 2026), vérification du bénéficiaire et futur règlement européen sur les services de paiement.

C'est l'argument que toutes les banques opposent aux victimes de faux conseillers : « vous avez validé l'opération vous-même, avec votre authentification forte — nous ne pouvons rien pour vous ». Cette réponse ne résiste plus à l'état actuel du droit.

Par un arrêt du 1er juillet 2026, la Cour de cassation a rappelé avec netteté que l'authentification ne prouve pas le consentement : le fait que l'identifiant, le code et le dispositif de sécurité aient été utilisés ne suffit pas à établir que le client a personnellement autorisé l'opération. Et depuis l'arrêt fondateur du 23 octobre 2024, se laisser tromper par un spoofing sophistiqué ne constitue pas, en soi, une négligence grave.

Voici l'état exact du droit : principes, limites récentes et stratégie de contestation.

Le raisonnement se déroule en deux temps et les banques sautent souvent le premier

C'est la clé de tout le contentieux, et le point que la jurisprudence de 2026 a clarifié.

Face à un virement contesté, deux questions successives se posent :

• Premier temps : l'opération était-elle autorisée ? C'est une question de consentement, régie par les articles L.133-6 et L.133-7 du Code monétaire et financier.

  
  

• Second temps : si elle n'était pas autorisée, la banque peut-elle refuser de rembourser ? C'est là seulement qu'intervient la notion de négligence grave (article L.133-19).

  
  

Les établissements bancaires ont tendance à écraser ces deux étapes en une seule, en déduisant le consentement de la simple authentification technique. La Cour de cassation vient précisément de leur rappeler que ce raccourci est illégal.

Premier temps : l'authentification ne vaut pas consentement (Cass. com., 1er juillet 2026)

L'article L.133-6 du Code monétaire et financier subordonne la validité de toute opération au consentement du payeur. En l'absence de ce consentement, donné dans la forme convenue entre les parties, l'opération est réputée non autorisée.

Or les dispositifs modernes d'authentification forte avaient semé le doute chez certains juges du fond, portés à déduire le consentement de la seule réalisation de l'authentification. La Cour de cassation y a mis fin.

L'arrêt du 1er juillet 2026 (Cass. com., n° 25-13.134, publié)

Une société cliente contestait trois virements frauduleux exécutés le même jour sur son compte. La cour d'appel l'avait déboutée : les relevés informatiques produits par la banque établissaient l'utilisation de l'identifiant, du code d'accès à l'espace en ligne et d'un token généré par un boîtier de sécurité d'où elle déduisait que le consentement était présumé donné dans la forme convenue.

La Cour de cassation casse cette décision, au visa des articles L.133-6, L.133-7 et L.133-23. Son raisonnement :

• une opération n'est autorisée que si le payeur a donné son consentement à son exécution ; à défaut, elle est réputée non autorisée ;

• le consentement ne peut pas être déduit du seul recours à la forme convenue contractuellement ;

• si l'authentification prouve que le système bancaire a fonctionné normalement, elle ne prouve pas que le client a personnellement autorisé l'opération.

  
  

C'est la consécration, au plus haut niveau, de la distinction authentification technique / consentement juridique et elle vaut aussi bien pour les particuliers que pour les entreprises. L'arrêt de la cour d'appel de Paris a été cassé en toutes ses dispositions et l'affaire renvoyée devant la cour d'appel de Versailles.

La charge de la preuve pèse sur la banque, pas sur vous

C'est le corollaire immédiat, et la règle la plus mal connue des victimes. L'article L.133-23 du Code monétaire et financier organise un véritable renversement de la charge de la preuve :

• Alinéa 1er : lorsque l'utilisateur nie avoir autorisé une opération exécutée, c'est à la banque de prouver que l'opération a été authentifiée, dûment enregistrée et comptabilisée, et qu'elle n'a pas été affectée par une déficience technique ou autre.

  
  

• Alinéa 2 : l'utilisation de l'instrument de paiement ne peut pas se déduire du seul fait que cet instrument, ou les données personnelles qui lui sont liées, ont été effectivement utilisés.

  
  

Cette solution n'est pas nouvelle, elle est constante depuis plusieurs années (Cass. com., 28 mars 2018, n° 16-20.018 ; Cass. com., 29 mai 2019, n° 17-28.271) mais l'arrêt de 2026 la réaffirme face aux dispositifs d'authentification forte, qui ne changent rien à la règle.

Conséquence pratique : ce n'est pas à vous de prouver votre prudence ni votre absence de consentement. C'est à la banque de faire la démonstration complète de la régularité de l'opération avant même de pouvoir vous reprocher quoi que ce soit. La Cour de cassation l'a d'ailleurs rappelé dans un arrêt du 30 avril 2025 (n° 24-10.149) : la banque ne peut pas invoquer une négligence grave sans avoir d'abord établi ce préalable.

Second temps : le spoofing exclut en principe la négligence grave

Une fois l'opération qualifiée de non autorisée, la banque doit rembourser immédiatement (au plus tard à la fin du premier jour ouvrable suivant le signalement) et rétablir le compte dans son état antérieur (article L.133-18). Elle ne peut s'y soustraire que dans deux cas : la fraude du client ou sa négligence grave (article L.133-19).

La Cour de cassation a précisé le périmètre de cette exception par un arrêt du 8 octobre 2026 (chambre commerciale, pourvoi n° 25-17.510, publié au bulletin) : la négligence grave ne peut être reprochée au client que dans l'utilisation de l'instrument de paiement qui lui a été délivré, dans les conditions convenues, ou dans la préservation de ses données de sécurité personnalisées. Dans cette affaire, une banque avait exécuté un ordre de virement reçu par télécopie, portant une signature imitée, alors que la télécopie n'était plus l'instrument de paiement convenu avec l'entreprise cliente, passée à un système sécurisé de télétransmission. Ayant accepté d'exécuter par ce canal, la banque ne pouvait opposer aucune négligence grave : l'opération non autorisée devait être remboursée. Dans les termes de l'arrêt, la banque, « qui avait accepté d'exécuter une opération de paiement au moyen d'un tel instrument, ne pouvait pas reprocher à la société une négligence grave ».

L'arrêt fondateur du 23 octobre 2024

Par un arrêt publié au bulletin (Cass. com., n° 23-16.267), la chambre commerciale a jugé qu'un client contacté par un faux conseiller affichant le numéro officiel de sa banque, et conduit à effectuer des manipulations sur son dispositif de sécurité, ne commet pas de négligence grave. Dans cette affaire, la victime avait elle-même validé plusieurs virements représentant plus de 54 000 euros.

Le raisonnement est essentiel : lorsque le mode opératoire (usurpation du numéro officiel, mise en confiance, urgence simulée) a précisément pour effet de diminuer la vigilance du client, on ne peut pas lui reprocher d'avoir été moins vigilant. La sophistication de la fraude protège la victime au lieu de l'accabler.

Les confirmations de 2025 et 2026

Cette solution a été étendue aux clients professionnels par un arrêt du 12 juin 2025. Les juridictions du fond l'ont prolongée : la cour d'appel de Besançon (10 février 2026, n° 24/01852) a refusé de voir une négligence grave dans le fait de cliquer sur un lien reçu par SMS (smishing) ; la cour d'appel de Rouen (19 février 2026, n° 25/01563) a confirmé la condamnation d'une banque dont la cliente avait communiqué ses codes après que le fraudeur lui eut suggéré de vérifier son numéro sur internet.

Comment se définit la « négligence grave » ?

Elle suppose une faute d'une particulière sévérité. La cour d'appel de Versailles en a donné en 2026 une définition précieuse : un comportement manifestement anormal, détachable du contexte frauduleux, traduisant une indifférence consciente aux risques évidents. La simple imprudence, la crédulité ou l'erreur de jugement ne suffisent pas.

Ne constituent PAS, à eux seuls, une négligence grave :

• le seul fait d'avoir validé une opération sous l'effet d'une manipulation structurée ;

• le seul fait que l'escroquerie ait réussi : cela démontre souvent sa sophistication, pas la faute de la victime ;

• le seul fait d'avoir communiqué des informations sous pression, dans un contexte de manipulation psychologique ;

• le seul fait d'avoir cliqué sur un lien contenu dans un SMS ;

• le seul fait que l'opération ait été authentifiée par 3D Secure, un token ou l'application bancaire sous la réserve importante exposée ci-dessous.

  
  

La protection a-t-elle des limites ? L'infléchissement du 4 mars 2026

Oui et les connaître est aussi important que connaître le principe.

Le contenu du message de confirmation devient décisif

Par un arrêt publié au Bulletin (Cass. com., 4 mars 2026, n° 24-19.588), la Cour de cassation a cassé une décision favorable à un client victime de spoofing. Celui-ci avait validé des opérations en croyant, sur les indications du faux conseiller, annuler des virements frauduleux. Or la banque produisait le message reçu au moment de la validation, indiquant explicitement : « Vous allez confirmer un paiement. Il ne s'agit ni d'un remboursement, ni d'une annulation. »

La Cour reproche aux juges du fond de ne pas avoir recherché si, à réception de ce message clair et sans ambiguïté, le client n'avait pas commis une négligence grave en validant malgré tout.

L'enseignement : la crédibilité initiale du spoofing peut neutraliser la négligence grave, mais elle ne l'efface pas automatiquement. Le contenu exact de l'alerte envoyée par la banque devient un élément central du débat. Une alerte générique reste sans effet ; une alerte explicite et univoque peut faire basculer le dossier.

Deux autres limites

• La preuve de la date du signalement : par un arrêt du 4 février 2026 (n° 22-22.609), la Cour a approuvé le rejet d'une demande faute pour les clients d'établir à quelle date ils avaient informé leur banque malgré un dépôt de plainte. Contestez donc par écrit et daté.

  
  

• L'IBAN falsifié fourni par le client : lorsque le client transmet lui-même un IBAN falsifié à son insu (piratage de messagerie, faux RIB) et que la banque exécute conformément à cet identifiant, elle n'est en principe pas responsable (Cass. com., 15 janvier 2025, n° 23-15.437), l'article L.133-21 prévoyant que l'exécution conforme à l'identifiant unique la libère.

  
  

La Cour de cassation a toutefois fixé la limite de cette dernière règle le 9 septembre 2026 (pourvoi n° 25-15.225, publié au bulletin). Une société avait été trompée par un faux courriel de son constructeur indiquant un nouvel IBAN. Pour le premier virement, ordonné vers cet IBAN, la banque n'était pas responsable : elle avait exécuté l'ordre conformément à l'identifiant fourni. Pour le second, en revanche, la société avait transmis une facture portant l'IBAN authentique : la cour d'appel ne pouvait pas lui reprocher de ne pas produire l'ordre de paiement, car la preuve de l'autorisation du paiement, y compris quant au bénéficiaire, pèse sur la banque. Si vous n'avez jamais donné l'IBAN du fraudeur, c'est à votre banque de prouver le contraire.

Ces nuances ne referment pas la porte : elles imposent une analyse fine du dossier, pièce par pièce, avant toute action.

Le devoir de vigilance de la banque : un second levier

Au-delà du régime des opérations non autorisées, la banque reste tenue d'un devoir général de vigilance sur les opérations présentant des anomalies apparentes. La Cour de cassation a validé en 2025 la condamnation d'une banque n'ayant pas réagi face à une série de virements anormaux. Dans l'une de ces affaires, une PME avait subi onze virements frauduleux pour 1,3 million d'euros en un mois.

Deux arrêts de 2026 en fixent les bornes. Dans un sens restrictif, la Cour de cassation a jugé le 25 mars 2026 (chambre commerciale, pourvoi n° 25-10.353, publié au bulletin) que la banque qui reçoit un ordre de virement en vue de réaliser un investissement agit en qualité de prestataire de services de paiement et, tenue de ne pas s'immiscer dans les affaires de son client, n'est débitrice d'aucune obligation de conseil ou de mise en garde quant aux risques de l'investissement projeté : la condamnation d'une banque qui avait laissé partir vers une banque allemande l'épargne d'une cliente investie en crypto-actifs est cassée. Dans un sens favorable, elle a jugé le 4 mars 2026 (chambre commerciale, pourvoi n° 25-11.959, publié au bulletin) que la règle selon laquelle un ordre exécuté conformément à l'identifiant unique fourni par le client est réputé dûment exécuté ne protège la banque que lorsqu'elle s'est bornée à exécuter l'ordre ; lorsqu'elle a elle-même rédigé l'ordre de virement à partir d'un faux relevé d'identité bancaire comportant des incohérences apparentes et manifestes, elle répond, sur le fondement du droit commun, de son manquement au devoir de vigilance, et doit rembourser l'apport de plus de 60 000 euros détourné lors d'un achat immobilier.

Depuis le 9 octobre 2025, le règlement européen du 13 mars 2024 sur les virements instantanés impose à toutes les banques de la zone euro de proposer gratuitement la vérification du bénéficiaire pour tous les virements, instantanés ou non, quel que soit le canal utilisé : la banque vérifie la concordance entre le nom saisi et l'IBAN, signale toute discordance et, en cas de correspondance approximative, indique le nom du titulaire réel. Si elle n'a pas fourni ce service conformément au règlement et qu'un virement part de ce fait vers un mauvais bénéficiaire, elle doit rembourser sans délai le montant transféré. À l'inverse, la banque qui a correctement averti son client n'est pas responsable s'il maintient le virement : conservez donc la capture de l'écran de vérification. Attention : lorsque le faux conseiller fait virer les fonds vers un compte ouvert au nom de la victime elle-même, le contrôle peut afficher une concordance ; il ne protège pas contre tous les scénarios.

Depuis le 7 mai 2026, la Banque de France tient le fichier national des comptes signalés pour risque de fraude, créé par la loi du 6 novembre 2025 visant à renforcer la lutte contre la fraude bancaire (article L. 521-6-1 du code monétaire et financier). Les banques y déclarent les IBAN qu'elles soupçonnent d'être utilisés par des fraudeurs et mettent à jour leur copie du fichier au moins une fois par jour ; la banque qui tient le compte signalé doit procéder sans délai à des vérifications. L'inscription n'interdit pas les paiements vers ce compte et le fichier n'est pas consultable par les particuliers. Mais lorsqu'un virement a été exécuté vers un IBAN déjà signalé, l'argument tiré du devoir de vigilance de la banque s'en trouve renforcé. Les données ne sont conservées que treize mois : la question doit être posée rapidement.

Peut-on aussi agir contre l'opérateur téléphonique ?

C'est l'angle le plus inédit du contentieux actuel. Par un jugement du 15 janvier 2026 (n° 24/04856), le tribunal judiciaire de Paris a condamné conjointement une banque et un opérateur téléphonique dans une affaire de spoofing, retenant une faute de l'opérateur dans sa contribution technique à la fraude, sur le fondement des obligations d'authentification des numéros appelants.

Cette décision ouvre une voie supplémentaire : si l'escroc a pu afficher le numéro officiel de la banque, c'est aussi qu'une faille du réseau télécom l'a permis.

Le futur règlement européen sur les services de paiement, non encore adopté définitivement au 24 octobre 2026, prévoit un remboursement intégral des consommateurs victimes d'une usurpation de l'identité de leur banque, sauf fraude ou négligence grave, à condition d'avoir signalé sans tarder l'incident à la banque et à la police. Il demande aussi aux opérateurs de communications électroniques de prendre des mesures pour détecter et empêcher l'usurpation des numéros d'appel et de coopérer avec les banques, et rend les grandes plateformes coresponsables lorsque des publicités frauduleuses pour des services financiers échappent à leurs contrôles.

La Cour de justice de l'Union européenne a tranché cette question le 15 octobre 2026, dans l'affaire C-70/25, à propos d'une cliente victime d'un hameçonnage qui avait saisi ses identifiants sur un faux site imitant celui de sa banque et transmis un code reçu par SMS. Elle juge que la directive sur les services de paiement, que l'article L. 133-18 du code monétaire et financier transpose, ne prévoit qu'une seule exception à l'obligation de remboursement immédiat : le cas où le prestataire « a de bonnes raisons de soupçonner une fraude et s'il communique ces raisons par écrit à l'autorité nationale concernée ». Un prestataire de services de paiement « ne peut pas refuser de rembourser immédiatement à un payeur le montant d'une opération de paiement non autorisée, au motif que ce payeur aurait rendu possible cette opération par une négligence grave ». La négligence grave ne joue qu'à un stade ultérieur : la banque doit rembourser d'abord, puis, si elle estime pouvoir la prouver, réclamer les sommes au client par les voies de droit. La Cour relève qu'une autre lecture contraindrait l'utilisateur « à prendre l'initiative de faire valoir son droit » devant les tribunaux et « à supporter les inconvénients qui en résultent, notamment les éventuels frais de procédure », ce qui est contraire à l'objectif d'un niveau élevé de protection des consommateurs. C'est précisément la pratique des banques françaises que cet arrêt condamne, et l'interprétation de la Cour de justice s'impose aux juges français.

Quels délais pour contester ?

• Le signalement à la banque : 13 mois à compter de la date de débit (article L.133-24). Mais agissez sans tarder et par écrit, en conservant la preuve de la date. La jurisprudence de février 2026 rappelle que ce point peut à lui seul faire échouer une demande.

  
  

• L'action en justice : prescription de 5 ans.

  
  

Dès la découverte : contestez par écrit, faites opposition, déposez plainte, et conservez tous les éléments (SMS reçus, relevés d'appels montrant le numéro usurpé, captures des écrans de validation, e-mails).

Que faire si la banque refuse de rembourser ?

• Contestez formellement par écrit en visant les articles L.133-6, L.133-7, L.133-18, L.133-19 et L.133-23 du Code monétaire et financier, et en rappelant que le consentement ne se déduit pas de l'authentification et que la charge de la preuve pèse sur la banque ;

  
  

• Réclamez les pièces techniques : contenu exact des messages d'authentification, journaux de connexion, relevés informatiques : elles sont devenues le cœur du débat depuis les arrêts de 2026 ;

  
  

• Saisissez le médiateur bancaire : gratuit, sans avocat, avec un délai de réponse encadré ;

  
  

• Signalez le refus à l'ACPR, qui supervise les pratiques des établissements ;

  
  

• Engagez une action judiciaire devant le tribunal judiciaire, en envisageant la mise en cause de l'opérateur téléphonique lorsque le numéro de la banque a été usurpé ;

  
  

• Poursuivez en parallèle l'action pénale : plainte pour escroquerie contre les auteurs, avec constitution de partie civile.

  
  

• Signalez la fraude à la police ou à la gendarmerie, par une plainte en ligne lorsqu'elle est possible, en plus de votre banque : le futur règlement européen fera de ce double signalement une condition du remboursement en cas d'usurpation de l'identité de la banque.

Lorsque plusieurs clients d'un même établissement subissent le même stratagème, une démarche coordonnée entre victimes renforce considérablement le rapport de force.

Comment un tribunal applique concrètement ces principes

Le tribunal judiciaire de Lorient, dans un jugement du 26 août 2026 (RG n° 24/01823), a fait application de cette grille à un client qui avait lui-même saisi son identifiant, son code secret, puis validé l'opération au moyen d'un code reçu par SMS. La banque a été condamnée à rembourser plus de 16 000 euros.

Le raisonnement mérite d'être suivi, car il montre où se joue réellement le débat. Le tribunal ne discute pas la validation : elle est acquise. Il recherche, conformément à l'arrêt du 4 mars 2026, si le client était en mesure de suspecter le caractère frauduleux des opérations soumises à sa validation. Et il répond par la négative, en relevant que la banque n'établissait pas avoir envoyé, au moment même des opérations, un message d'alerte individuel que le client n'aurait pas pu manquer — la notice remise avec la carte et les campagnes d'information générales ne suffisant pas.

Le jugement formule au passage une observation transposable à beaucoup de dossiers :

Face à un appel téléphonique évoquant, pour générer une impression d'urgence, que des opérations frauduleuses sont en cours sur son compte, la vigilance de la personne qui reçoit cet appel est moindre que celle d'une personne qui réceptionne un courriel, laquelle dispose de davantage de temps pour en prendre connaissance et s'apercevoir d'éventuelles anomalies.

Il s'agit d'une décision de première instance, susceptible d'appel.

Votre banque refuse de vous rembourser après une fraude à Toulouse ou partout en France ?

Démonstration de l'absence de consentement, analyse des messages d'authentification, contestation de la négligence grave, mise en cause du devoir de vigilance, du contrôle nom/IBAN ou de l'opérateur téléphonique, saisine du médiateur puis du tribunal, plainte pénale contre les auteurs : la jurisprudence 2024-2026 a profondément renforcé les droits des victimes, tout en introduisant des nuances qui rendent l'analyse du dossier déterminante. Le Cabinet Morer, avocat à Toulouse, construit votre dossier et engage les recours face à votre banque comme contre les escrocs, partout en France.

Contactez le Cabinet Morer sans attendre : par téléphone au 06.23.36.88.03, par courriel à cabinet@morer-avocat.com ou via le formulaire de contact sur morer-avocat.com.

Pour une entreprise, la solution n'est pas la même : deux arrêts de 2026 ont resserré la notion d'anomalie apparente. Voir notre article sur les faux ordres de virement en entreprise.

Le cabinet accompagne les victimes de fraude du dépôt de plainte jusqu'au remboursement : voyez notre page avocat escroquerie et arnaque à Toulouse.

La Dépêche du Midi a consacré un décryptage à l'explosion des arnaques bancaires et à la protection que la loi offre réellement aux victimes, dans lequel Maître Joris Morer est interrogé : lire l'article.

Le raisonnement est différent lorsque ce que vous avez validé n'est pas un paiement mais l'ajout de votre carte à un portefeuille électronique : voyez fraude Apple Pay, la banque doit-elle rembourser ?

Pour aller plus loin, retrouvez l'ensemble de nos articles dans la rubrique Arnaques bancaires.

La Cour de justice de l'Union européenne a jugé le 15 octobre 2026 que la banque doit rembourser une opération non autorisée avant de discuter d'une négligence grave : voyez notre analyse Fraude bancaire : depuis l'arrêt de la CJUE du 15 octobre 2026, la banque peut-elle encore refuser de rembourser pour négligence grave ?.

Si vous avez été piégé en vendant sur une plateforme d'annonces par un faux lien de paiement, voyez notre article Arnaqué en vendant sur Leboncoin ou Vinted via un faux lien de paiement : la banque doit-elle me rembourser ?.