Virement frauduleux : la banque est-elle responsable ?

Article mis à jour le 2 novembre 2026 — arrêt de la Cour de cassation du 9 septembre 2026, fichier national des comptes signalés pour risque de fraude (7 mai 2026), vérification du bénéficiaire et futur règlement européen sur les services de paiement, jugement du tribunal judiciaire de Toulouse du 3 septembre 2026 ; arrêt de la Cour de cassation du 30 septembre 2026 sur l'anomalie de l'IBAN ; jugement du tribunal judiciaire d'Albertville du 2 octobre 2026 (virements validés par la cliente jugés autorisés, banque condamnée pour défaut de vigilance). Mise à jour du 11 novembre 2026 : jugement du tribunal judiciaire de Grenoble du 12 octobre 2026 (faux conseiller, plus de 33 000 euros remboursés par deux banques, intérêts majorés depuis la contestation). Mise à jour du 13 novembre 2026 : devoir de vigilance, arrêts de la Cour de cassation d'octobre 2025 à juillet 2026 (profil du client, montant, liste noire de l'AMF, banque ayant exprimé ses doutes) ; jugement du tribunal judiciaire de Caen du 15 octobre 2026 (validation sous la dictée d'un faux agent, opération non autorisée).

C'est l'argument que toutes les banques opposent aux victimes de faux conseillers : « vous avez validé l'opération vous-même, avec votre authentification forte — nous ne pouvons rien pour vous ». Cette réponse ne résiste plus à l'état actuel du droit.

Par un arrêt du 1er juillet 2026, la Cour de cassation a rappelé avec netteté que l'authentification ne prouve pas le consentement : le fait que l'identifiant, le code et le dispositif de sécurité aient été utilisés ne suffit pas à établir que le client a personnellement autorisé l'opération. Et depuis l'arrêt fondateur du 23 octobre 2024, se laisser tromper par un spoofing sophistiqué ne constitue pas, en soi, une négligence grave.

Voici l'état exact du droit : principes, limites récentes et stratégie de contestation.

Le raisonnement se déroule en deux temps et les banques sautent souvent le premier

C'est la clé de tout le contentieux, et le point que la jurisprudence de 2026 a clarifié.

Face à un virement contesté, deux questions successives se posent :

Premier temps : l'opération était-elle autorisée ? C'est une question de consentement, régie par les articles L.133-6 et L.133-7 du Code monétaire et financier.
Second temps : si elle n'était pas autorisée, la banque peut-elle refuser de rembourser ? C'est là seulement qu'intervient la notion de négligence grave (article L.133-19).

Les établissements bancaires ont tendance à écraser ces deux étapes en une seule, en déduisant le consentement de la simple authentification technique. La Cour de cassation vient précisément de leur rappeler que ce raccourci est illégal.

Premier temps : l'authentification ne vaut pas consentement (Cass. com., 1er juillet 2026)

L'article L.133-6 du Code monétaire et financier subordonne la validité de toute opération au consentement du payeur. En l'absence de ce consentement, donné dans la forme convenue entre les parties, l'opération est réputée non autorisée.

Or les dispositifs modernes d'authentification forte avaient semé le doute chez certains juges du fond, portés à déduire le consentement de la seule réalisation de l'authentification. La Cour de cassation y a mis fin.

L'arrêt du 1er juillet 2026 (Cass. com., n° 25-13.134, publié)

Une société cliente contestait trois virements frauduleux exécutés le même jour sur son compte. La cour d'appel l'avait déboutée : les relevés informatiques produits par la banque établissaient l'utilisation de l'identifiant, du code d'accès à l'espace en ligne et d'un token généré par un boîtier de sécurité d'où elle déduisait que le consentement était présumé donné dans la forme convenue.

La Cour de cassation casse cette décision, au visa des articles L.133-6, L.133-7 et L.133-23. Son raisonnement :

une opération n'est autorisée que si le payeur a donné son consentement à son exécution ; à défaut, elle est réputée non autorisée ;
le consentement ne peut pas être déduit du seul recours à la forme convenue contractuellement ;
si l'authentification prouve que le système bancaire a fonctionné normalement, elle ne prouve pas que le client a personnellement autorisé l'opération.

C'est la consécration, au plus haut niveau, de la distinction authentification technique / consentement juridique et elle vaut aussi bien pour les particuliers que pour les entreprises. L'arrêt de la cour d'appel de Paris a été cassé en toutes ses dispositions et l'affaire renvoyée devant la cour d'appel de Versailles.

La charge de la preuve pèse sur la banque, pas sur vous

C'est le corollaire immédiat, et la règle la plus mal connue des victimes. L'article L.133-23 du Code monétaire et financier organise un véritable renversement de la charge de la preuve :

Alinéa 1er : lorsque l'utilisateur nie avoir autorisé une opération exécutée, c'est à la banque de prouver que l'opération a été authentifiée, dûment enregistrée et comptabilisée, et qu'elle n'a pas été affectée par une déficience technique ou autre.
Alinéa 2 : l'utilisation de l'instrument de paiement ne peut pas se déduire du seul fait que cet instrument, ou les données personnelles qui lui sont liées, ont été effectivement utilisés.

Cette solution n'est pas nouvelle, elle est constante depuis plusieurs années (Cass. com., 28 mars 2018, n° 16-20.018 ; Cass. com., 29 mai 2019, n° 17-28.271) mais l'arrêt de 2026 la réaffirme face aux dispositifs d'authentification forte, qui ne changent rien à la règle.

Conséquence pratique : ce n'est pas à vous de prouver votre prudence ni votre absence de consentement. C'est à la banque de faire la démonstration complète de la régularité de l'opération avant même de pouvoir vous reprocher quoi que ce soit. La Cour de cassation l'a d'ailleurs rappelé dans un arrêt du 30 avril 2025 (n° 24-10.149) : la banque ne peut pas invoquer une négligence grave sans avoir d'abord établi ce préalable.

Second temps : le spoofing exclut en principe la négligence grave

Une fois l'opération qualifiée de non autorisée, la banque doit rembourser immédiatement (au plus tard à la fin du premier jour ouvrable suivant le signalement) et rétablir le compte dans son état antérieur (article L.133-18). Elle ne peut s'y soustraire que dans deux cas : la fraude du client ou sa négligence grave (article L.133-19).

La Cour de cassation a précisé le périmètre de cette exception par un arrêt du 8 octobre 2026 (chambre commerciale, pourvoi n° 25-17.510, publié au bulletin) : la négligence grave ne peut être reprochée au client que dans l'utilisation de l'instrument de paiement qui lui a été délivré, dans les conditions convenues, ou dans la préservation de ses données de sécurité personnalisées. Dans cette affaire, une banque avait exécuté un ordre de virement reçu par télécopie, portant une signature imitée, alors que la télécopie n'était plus l'instrument de paiement convenu avec l'entreprise cliente, passée à un système sécurisé de télétransmission. Ayant accepté d'exécuter par ce canal, la banque ne pouvait opposer aucune négligence grave : l'opération non autorisée devait être remboursée. Dans les termes de l'arrêt, la banque, « qui avait accepté d'exécuter une opération de paiement au moyen d'un tel instrument, ne pouvait pas reprocher à la société une négligence grave ».

L'arrêt fondateur du 23 octobre 2024

Par un arrêt publié au bulletin (Cass. com., n° 23-16.267), la chambre commerciale a jugé qu'un client contacté par un faux conseiller affichant le numéro officiel de sa banque, et conduit à effectuer des manipulations sur son dispositif de sécurité, ne commet pas de négligence grave. Dans cette affaire, la victime avait elle-même validé plusieurs virements représentant plus de 54 000 euros.

Le raisonnement est essentiel : lorsque le mode opératoire (usurpation du numéro officiel, mise en confiance, urgence simulée) a précisément pour effet de diminuer la vigilance du client, on ne peut pas lui reprocher d'avoir été moins vigilant. La sophistication de la fraude protège la victime au lieu de l'accabler.

Les confirmations de 2025 et 2026

Cette solution a été étendue aux clients professionnels par un arrêt du 12 juin 2025. Les juridictions du fond l'ont prolongée : la cour d'appel de Besançon (10 février 2026, n° 24/01852) a refusé de voir une négligence grave dans le fait de cliquer sur un lien reçu par SMS (smishing) ; la cour d'appel de Rouen (19 février 2026, n° 25/01563) a confirmé la condamnation d'une banque dont la cliente avait communiqué ses codes après que le fraudeur lui eut suggéré de vérifier son numéro sur internet.

Comment se définit la « négligence grave » ?

Elle suppose une faute d'une particulière sévérité. La cour d'appel de Versailles en a donné en 2026 une définition précieuse : un comportement manifestement anormal, détachable du contexte frauduleux, traduisant une indifférence consciente aux risques évidents. La simple imprudence, la crédulité ou l'erreur de jugement ne suffisent pas.

Ne constituent PAS, à eux seuls, une négligence grave :

le seul fait d'avoir validé une opération sous l'effet d'une manipulation structurée ;
le seul fait que l'escroquerie ait réussi : cela démontre souvent sa sophistication, pas la faute de la victime ;
le seul fait d'avoir communiqué des informations sous pression, dans un contexte de manipulation psychologique ;
le seul fait d'avoir cliqué sur un lien contenu dans un SMS ;
le seul fait que l'opération ait été authentifiée par 3D Secure, un token ou l'application bancaire sous la réserve importante exposée ci-dessous.

La protection a-t-elle des limites ? L'infléchissement du 4 mars 2026

Oui et les connaître est aussi important que connaître le principe.

Le contenu du message de confirmation devient décisif

Par un arrêt publié au Bulletin (Cass. com., 4 mars 2026, n° 24-19.588), la Cour de cassation a cassé une décision favorable à un client victime de spoofing. Celui-ci avait validé des opérations en croyant, sur les indications du faux conseiller, annuler des virements frauduleux. Or la banque produisait le message reçu au moment de la validation, indiquant explicitement : « Vous allez confirmer un paiement. Il ne s'agit ni d'un remboursement, ni d'une annulation. »

La Cour reproche aux juges du fond de ne pas avoir recherché si, à réception de ce message clair et sans ambiguïté, le client n'avait pas commis une négligence grave en validant malgré tout.

L'enseignement : la crédibilité initiale du spoofing peut neutraliser la négligence grave, mais elle ne l'efface pas automatiquement. Le contenu exact de l'alerte envoyée par la banque devient un élément central du débat. Une alerte générique reste sans effet ; une alerte explicite et univoque peut faire basculer le dossier.

Deux autres limites

La preuve de la date du signalement : par un arrêt du 4 février 2026 (n° 22-22.609), la Cour a approuvé le rejet d'une demande faute pour les clients d'établir à quelle date ils avaient informé leur banque malgré un dépôt de plainte. Contestez donc par écrit et daté.
L'IBAN falsifié fourni par le client : lorsque le client transmet lui-même un IBAN falsifié à son insu (piratage de messagerie, faux RIB) et que la banque exécute conformément à cet identifiant, elle n'est en principe pas responsable (Cass. com., 15 janvier 2025, n° 23-15.437), l'article L.133-21 prévoyant que l'exécution conforme à l'identifiant unique la libère.

La Cour de cassation a toutefois fixé la limite de cette dernière règle le 9 septembre 2026 (pourvoi n° 25-15.225, publié au bulletin). Une société avait été trompée par un faux courriel de son constructeur indiquant un nouvel IBAN. Pour le premier virement, ordonné vers cet IBAN, la banque n'était pas responsable : elle avait exécuté l'ordre conformément à l'identifiant fourni. Pour le second, en revanche, la société avait transmis une facture portant l'IBAN authentique : la cour d'appel ne pouvait pas lui reprocher de ne pas produire l'ordre de paiement, car la preuve de l'autorisation du paiement, y compris quant au bénéficiaire, pèse sur la banque. Si vous n'avez jamais donné l'IBAN du fraudeur, c'est à votre banque de prouver le contraire.

Ces nuances ne referment pas la porte : elles imposent une analyse fine du dossier, pièce par pièce, avant toute action.

Le devoir de vigilance de la banque : un second levier

Au-delà du régime des opérations non autorisées, la banque reste tenue d'un devoir général de vigilance sur les opérations présentant des anomalies apparentes. La Cour de cassation a validé en 2025 la condamnation d'une banque n'ayant pas réagi face à une série de virements anormaux. Dans l'une de ces affaires, une PME avait subi onze virements frauduleux pour 1,3 million d'euros en un mois.

Deux arrêts de 2026 en fixent les bornes. Dans un sens restrictif, la Cour de cassation a jugé le 25 mars 2026 (chambre commerciale, pourvoi n° 25-10.353, publié au bulletin) que la banque qui reçoit un ordre de virement en vue de réaliser un investissement agit en qualité de prestataire de services de paiement et, tenue de ne pas s'immiscer dans les affaires de son client, n'est débitrice d'aucune obligation de conseil ou de mise en garde quant aux risques de l'investissement projeté : la condamnation d'une banque qui avait laissé partir vers une banque allemande l'épargne d'une cliente investie en crypto-actifs est cassée. Dans un sens favorable, elle a jugé le 4 mars 2026 (chambre commerciale, pourvoi n° 25-11.959, publié au bulletin) que la règle selon laquelle un ordre exécuté conformément à l'identifiant unique fourni par le client est réputé dûment exécuté ne protège la banque que lorsqu'elle s'est bornée à exécuter l'ordre ; lorsqu'elle a elle-même rédigé l'ordre de virement à partir d'un faux relevé d'identité bancaire comportant des incohérences apparentes et manifestes, elle répond, sur le fondement du droit commun, de son manquement au devoir de vigilance, et doit rembourser l'apport de plus de 60 000 euros détourné lors d'un achat immobilier.

Le 30 septembre 2026, la chambre commerciale a encore réduit le champ du devoir de vigilance en matière de virement. Lorsque le client a lui-même fourni l'IBAN du compte frauduleux, même sur un document incohérent, en-tête d'une banque et numéro renvoyant à une autre, la banque qui a exécuté conformément à cet identifiant n'a pas à répondre de l'anomalie : le régime de l'identifiant unique l'emporte sur le devoir de vigilance. Le même jour, la Cour a en revanche rappelé que la banque qui agit comme prestataire de services d'investissement doit informer personnellement son client des risques d'une opération spéculative, même lorsque les ordres sont passés par un mandataire muni d'une procuration. Pour les virements, le levier le plus sûr est désormais la vérification de la concordance entre le nom du bénéficiaire et l'IBAN, obligatoire depuis octobre 2025.

Opération autorisée : ce que la Cour de cassation exige pour engager la banque

La banque est tenue de ne pas s'immiscer dans les affaires de son client : elle ne doit l'alerter qu'en présence d'anomalies apparentes « aisément décelables » par un professionnel normalement diligent (Cass. com., 19 novembre 2025, n° 24-18.534, publié au bulletin). Depuis l'automne 2025, la chambre commerciale a écarté plusieurs indices que les juges du fond retenaient volontiers :

le profil du client : être retraité, disposer de faibles revenus, n'avoir jamais viré de fonds à l'étranger ni réalisé de placement ne suffit pas à obliger la banque à interroger son client avant d'exécuter (Cass. com., 4 février 2026, n° 24-19.196, arrêt non publié : virement de 30 000 euros vers l'Espagne, inférieur au solde du compte ; affaire renvoyée devant la cour d'appel de Toulouse) ;
l'âge du dirigeant d'une société cliente, lorsque le compte disposait d'une somme très supérieure au montant des virements, que la société possédait un patrimoine immobilier important et que les banques destinataires étaient établies dans l'Union européenne (arrêt du 19 novembre 2025 précité, qui casse la condamnation de la banque) ;
le montant élevé et le caractère international des virements, dès lors que la banque s'est assurée que les ordres correspondaient à la volonté de sa cliente et que le compte était approvisionné (Cass. com., 25 mars 2026, n° 24-18.093) ;
le rejet d'un premier virement suivi d'un nouvel ordre du même montant vers une autre banque, au moyen d'un second RIB (Cass. com., 1er juillet 2026, n° 25-15.593) ;
les règles de lutte contre le blanchiment, qui ne protègent pas les victimes : celles-ci ne peuvent pas s'en prévaloir pour réclamer des dommages et intérêts (Cass. com., 4 mars 2026, n° 24-19.588 ; cour d'appel de Besançon, 13 octobre 2026, n° 25/01080).

Le devoir de vigilance n'est pas vidé de sa substance pour autant. Le 1er octobre 2025 (n° 22-23.136, publié au bulletin), la Cour de cassation a approuvé la condamnation du prestataire de services de paiement qui tenait le compte destinataire des fonds d'un investisseur escroqué : il ne pouvait ignorer que la titulaire de ce compte exerçait une activité réglementée, et il voyait passer des virements au profit de « sociétés inscrites sur la liste noire de l'Autorité des marchés financiers ». Le 10 juin 2026 (n° 25-13.302 et n° 25-13.361, arrêt non publié), elle a cassé la condamnation d'une banque à verser environ 32 000 euros à un client qui avait ordonné sept virements pour de prétendus investissements en actions sur des marchés asiatiques et avait tout perdu. La cour d'appel reprochait à la banque de ne pas l'avoir averti « en des termes suffisamment éclairants ». La Cour de cassation lui fait grief de ne pas avoir recherché si un compte rendu interne de la banque, non contesté par le client, n'établissait pas qu'elle avait satisfait à son obligation de vigilance : la banque y relevait la répétition d'opérations sans débouclement, indiquait avoir fait part à son client de ses interrogations et lui avoir proposé d'effectuer des investigations avant d'exécuter, ce qu'il n'avait pas voulu attendre. Les notes internes de la banque peuvent donc se retourner contre la victime : avant d'assigner, il faut savoir ce que la banque a consigné de ses échanges avec son client, et ce qu'il lui a répondu. Côté banque du fraudeur, enfin, l'établissement qui reçoit les fonds n'a pas à enquêter sur leur origine ni sur leur importance tant que les opérations ont une apparence de régularité et qu'aucun indice de falsification n'est décelable (Cass. com., 14 janvier 2026, n° 24-19.102).

En pratique, le dossier se construit sur les anomalies objectives de l'opération (bénéficiaire déjà signalé, incohérence de l'ordre, alerte interne restée sans suite, retard dans le rappel des fonds), et non sur la seule vulnérabilité de la victime.

Depuis le 9 octobre 2025, le règlement européen du 13 mars 2024 sur les virements instantanés impose à toutes les banques de la zone euro de proposer gratuitement la vérification du bénéficiaire pour tous les virements, instantanés ou non, quel que soit le canal utilisé : la banque vérifie la concordance entre le nom saisi et l'IBAN, signale toute discordance et, en cas de correspondance approximative, indique le nom du titulaire réel. Si elle n'a pas fourni ce service conformément au règlement et qu'un virement part de ce fait vers un mauvais bénéficiaire, elle doit rembourser sans délai le montant transféré. À l'inverse, la banque qui a correctement averti son client n'est pas responsable s'il maintient le virement : conservez donc la capture de l'écran de vérification. Attention : lorsque le faux conseiller fait virer les fonds vers un compte ouvert au nom de la victime elle-même, le contrôle peut afficher une concordance ; il ne protège pas contre tous les scénarios.

Depuis le 7 mai 2026, la Banque de France tient le fichier national des comptes signalés pour risque de fraude, créé par la loi du 6 novembre 2025 visant à renforcer la lutte contre la fraude bancaire (article L. 521-6-1 du code monétaire et financier). Les banques y déclarent les IBAN qu'elles soupçonnent d'être utilisés par des fraudeurs et mettent à jour leur copie du fichier au moins une fois par jour ; la banque qui tient le compte signalé doit procéder sans délai à des vérifications. L'inscription n'interdit pas les paiements vers ce compte et le fichier n'est pas consultable par les particuliers. Mais lorsqu'un virement a été exécuté vers un IBAN déjà signalé, l'argument tiré du devoir de vigilance de la banque s'en trouve renforcé. Les données ne sont conservées que treize mois : la question doit être posée rapidement.

Peut-on aussi agir contre l'opérateur téléphonique ?

C'est l'angle le plus inédit du contentieux actuel. Par un jugement du 15 janvier 2026 (n° 24/04856), le tribunal judiciaire de Paris a condamné conjointement une banque et un opérateur téléphonique dans une affaire de spoofing, retenant une faute de l'opérateur dans sa contribution technique à la fraude, sur le fondement des obligations d'authentification des numéros appelants.

Cette décision ouvre une voie supplémentaire : si l'escroc a pu afficher le numéro officiel de la banque, c'est aussi qu'une faille du réseau télécom l'a permis.

Le futur règlement européen sur les services de paiement, non encore adopté définitivement au 24 octobre 2026, prévoit un remboursement intégral des consommateurs victimes d'une usurpation de l'identité de leur banque, sauf fraude ou négligence grave, à condition d'avoir signalé sans tarder l'incident à la banque et à la police. Il demande aussi aux opérateurs de communications électroniques de prendre des mesures pour détecter et empêcher l'usurpation des numéros d'appel et de coopérer avec les banques, et rend les grandes plateformes coresponsables lorsque des publicités frauduleuses pour des services financiers échappent à leurs contrôles.

La Cour de justice de l'Union européenne a tranché cette question le 15 octobre 2026, dans l'affaire C-70/25, à propos d'une cliente victime d'un hameçonnage qui avait saisi ses identifiants sur un faux site imitant celui de sa banque et transmis un code reçu par SMS. Elle juge que la directive sur les services de paiement, que l'article L. 133-18 du code monétaire et financier transpose, ne prévoit qu'une seule exception à l'obligation de remboursement immédiat : le cas où le prestataire « a de bonnes raisons de soupçonner une fraude et s'il communique ces raisons par écrit à l'autorité nationale concernée ». Un prestataire de services de paiement « ne peut pas refuser de rembourser immédiatement à un payeur le montant d'une opération de paiement non autorisée, au motif que ce payeur aurait rendu possible cette opération par une négligence grave ». La négligence grave ne joue qu'à un stade ultérieur : la banque doit rembourser d'abord, puis, si elle estime pouvoir la prouver, réclamer les sommes au client par les voies de droit. La Cour relève qu'une autre lecture contraindrait l'utilisateur « à prendre l'initiative de faire valoir son droit » devant les tribunaux et « à supporter les inconvénients qui en résultent, notamment les éventuels frais de procédure », ce qui est contraire à l'objectif d'un niveau élevé de protection des consommateurs. C'est précisément la pratique des banques françaises que cet arrêt condamne, et l'interprétation de la Cour de justice s'impose aux juges français.

Quels délais pour contester ?

Le signalement à la banque : 13 mois à compter de la date de débit (article L.133-24). Mais agissez sans tarder et par écrit, en conservant la preuve de la date. La jurisprudence de février 2026 rappelle que ce point peut à lui seul faire échouer une demande.
L'action en justice : prescription de 5 ans.

Dès la découverte : contestez par écrit, faites opposition, déposez plainte, et conservez tous les éléments (SMS reçus, relevés d'appels montrant le numéro usurpé, captures des écrans de validation, e-mails).

Que faire si la banque refuse de rembourser ?

Contestez formellement par écrit en visant les articles L.133-6, L.133-7, L.133-18, L.133-19 et L.133-23 du Code monétaire et financier, et en rappelant que le consentement ne se déduit pas de l'authentification et que la charge de la preuve pèse sur la banque ;
Réclamez les pièces techniques : contenu exact des messages d'authentification, journaux de connexion, relevés informatiques : elles sont devenues le cœur du débat depuis les arrêts de 2026 ;
Saisissez le médiateur bancaire : gratuit, sans avocat, avec un délai de réponse encadré ;
Signalez le refus à l'ACPR, qui supervise les pratiques des établissements ;
Engagez une action judiciaire devant le tribunal judiciaire, en envisageant la mise en cause de l'opérateur téléphonique lorsque le numéro de la banque a été usurpé ;
Poursuivez en parallèle l'action pénale : plainte pour escroquerie contre les auteurs, avec constitution de partie civile.
Signalez la fraude à la police ou à la gendarmerie, par une plainte en ligne lorsqu'elle est possible, en plus de votre banque : le futur règlement européen fera de ce double signalement une condition du remboursement en cas d'usurpation de l'identité de la banque.

Lorsque plusieurs clients d'un même établissement subissent le même stratagème, une démarche coordonnée entre victimes renforce considérablement le rapport de force.

Comment un tribunal applique concrètement ces principes

Le tribunal judiciaire de Lorient, dans un jugement du 26 août 2026 (RG n° 24/01823), a fait application de cette grille à un client qui avait lui-même saisi son identifiant, son code secret, puis validé l'opération au moyen d'un code reçu par SMS. La banque a été condamnée à rembourser plus de 16 000 euros.

Le raisonnement mérite d'être suivi, car il montre où se joue réellement le débat. Le tribunal ne discute pas la validation : elle est acquise. Il recherche, conformément à l'arrêt du 4 mars 2026, si le client était en mesure de suspecter le caractère frauduleux des opérations soumises à sa validation. Et il répond par la négative, en relevant que la banque n'établissait pas avoir envoyé, au moment même des opérations, un message d'alerte individuel que le client n'aurait pas pu manquer — la notice remise avec la carte et les campagnes d'information générales ne suffisant pas.

Le jugement formule au passage une observation transposable à beaucoup de dossiers :

Face à un appel téléphonique évoquant, pour générer une impression d'urgence, que des opérations frauduleuses sont en cours sur son compte, la vigilance de la personne qui reçoit cet appel est moindre que celle d'une personne qui réceptionne un courriel, laquelle dispose de davantage de temps pour en prendre connaissance et s'apercevoir d'éventuelles anomalies.

Il s'agit d'une décision de première instance, susceptible d'appel.

Le tribunal judiciaire de Toulouse a suivi la même grille par un jugement du tribunal judiciaire de Toulouse du 3 septembre 2026 (RG n° 25/02608), à propos d'une cliente qui avait validé elle-même, sur son application, deux ajouts de bénéficiaires et deux virements de 4 000 euros présentés par un faux conseiller comme des remboursements. Premier temps : le consentement. Le tribunal rappelle que l'opération non autorisée « se définit comme une opération effectuée sans le consentement du payeur », que la preuve de ce consentement pèse sur la banque, et qu'« il ne peut se déduire du seul fait que l'instrument de paiement et/ou les données personnelles qui lui sont liées ont été effectivement utilisés » que la cliente a autorisé les opérations, dès lors qu'elle a été trompée et n'a pas consenti à leur nature, croyant valider des refus de débit. Second temps : la négligence grave, que la banque n'a pas démontrée, alors même que l'appel venait d'un numéro de portable et non du numéro de la banque. Le détail de cette décision figure dans notre article sur la négligence grave. Il s'agit, là encore, d'une décision de première instance, susceptible d'appel.

Un jugement du tribunal judiciaire d'Albertville du 2 octobre 2026 (RG n° 24/00893) montre l'autre issue possible de ce raisonnement en deux temps, et pourquoi il ne faut jamais plaider sur un seul fondement. Une cliente d'une banque en ligne avait reçu, un samedi après-midi, cinq appels d'un numéro affiché au nom de sa banque ; une prétendue conseillère du service des fraudes lui annonçait un piratage et lui faisait exécuter, en une demi-heure, deux virements internes depuis son livret d'épargne, l'ajout de deux bénéficiaires et deux virements de 8 000 et près de 4 000 euros, le tout validé par authentification forte sur son application. Le tribunal a jugé ces opérations autorisées : la cliente connaissait les montants, puisqu'elle avait elle-même approvisionné son compte courant pour les couvrir, et les noms des deux bénéficiaires, des particuliers sans lien avec la banque, figuraient en clair dans les messages de validation qu'elle avait reçus, et elle les avait d'ailleurs repris dans sa plainte. Le consentement au montant et au bénéficiaire étant établi, le régime du remboursement des opérations non autorisées était écarté, et avec lui les intérêts majorés.

La cliente a pourtant obtenu le remboursement de la quasi-totalité de sa perte, un peu plus de 10 000 euros après un retour partiel de fonds, sur le terrain du devoir de vigilance. Le tribunal a relevé un faisceau d'anomalies apparentes : des virements d'un montant très élevé au regard du patrimoine de la cliente, qui y avait mis l'intégralité de ses économies ; leur caractère inhabituel, aucun virement comparable ne figurant sur le compte ; la nécessité de deux virements internes pour provisionner le compte courant juste avant ; un solde résiduel de quelques euros ; et des bénéficiaires que la cliente avait libellés comme une compagnie d'assurance alors que les intitulés des comptes désignaient des personnes physiques. Pris ensemble, ces éléments auraient dû alerter un banquier normalement diligent. Trois limites toutefois : les intérêts n'ont couru qu'à compter de la réception de la mise en demeure, huit mois après la fraude ; les dommages et intérêts pour préjudice moral ont été refusés faute de la moindre pièce ; et la résistance abusive a été écartée, la banque ayant lancé un rappel de fonds et obtenu la restitution d'environ 1 900 euros, ce qui ne valait pas reconnaissance de responsabilité mais prouvait sa diligence. La banque a été condamnée aux dépens et à 2 000 euros de frais de procédure, avec exécution provisoire.

Dix jours plus tard, le tribunal judiciaire de Grenoble a appliqué le premier temps du raisonnement avec netteté, le 12 octobre 2026 (RG n° 24/01113). Une cliente guidée par un faux conseiller avait validé elle-même, pendant trois jours, des paiements par carte et des virements vers des bénéficiaires dont l'identité ne correspondait pas à l'intitulé annoncé. Pour le tribunal, son consentement « suppose son accord sur l'opération, mais aussi sur le bénéficiaire de l'opération » : faute d'accord sur le destinataire réel des fonds, aucune des opérations n'était autorisée, malgré une vingtaine d'authentifications fortes. Le second temps a suivi : la négligence grave n'était pas prouvée, la cliente ayant cru annuler des fraudes en cours. Ses deux banques ont été condamnées à rembourser plus de 33 000 euros, avec les intérêts majorés depuis sa contestation écrite. Retenez l'argument du bénéficiaire : un virement validé vers un compte dont le titulaire n'est pas celui qu'on vous a annoncé n'est pas un virement que vous avez consenti.

Le tribunal judiciaire de Caen a raisonné de la même façon le 15 octobre 2026 (RG n° 24/01251) : le consentement doit porter sur « les éléments essentiels tels que le montant ou le destinataire de l'opération ». Un client qui avait validé lui-même, avec son code personnel, un virement de près de 4 800 euros vers une société commerciale, en croyant sécuriser son compte sur les instructions d'un faux agent du service fraude, n'avait pas consenti à ce paiement ; la négligence grave n'étant pas prouvée, la banque a été condamnée à rembourser la totalité. Le jugement est susceptible d'appel.

La leçon pratique est double. Lorsque les messages de validation affichaient le nom réel du bénéficiaire et le montant, le terrain de l'opération non autorisée devient difficile, et c'est le devoir de vigilance qui sauve le dossier : il faut donc, dès l'assignation, invoquer les deux fondements et documenter précisément l'anormalité des opérations au regard de l'historique du compte. Et il faut mettre la banque en demeure dès le refus, par lettre recommandée, parce que sur ce second terrain les intérêts ne courent qu'à compter de cette date.

Votre banque refuse de vous rembourser après une fraude à Toulouse ou partout en France ?

Démonstration de l'absence de consentement, analyse des messages d'authentification, contestation de la négligence grave, mise en cause du devoir de vigilance, du contrôle nom/IBAN ou de l'opérateur téléphonique, saisine du médiateur puis du tribunal, plainte pénale contre les auteurs : la jurisprudence 2024-2026 a profondément renforcé les droits des victimes, tout en introduisant des nuances qui rendent l'analyse du dossier déterminante. Le Cabinet Morer, avocat à Toulouse, construit votre dossier et engage les recours face à votre banque comme contre les escrocs, partout en France.

Contactez le Cabinet Morer sans attendre : par téléphone au 05 61 55 45 08 (urgence : 06 23 36 88 03), par courriel à cabinet@morer-avocat.com ou via le formulaire de contact sur morer-avocat.com.

Pour une entreprise, la solution n'est pas la même : deux arrêts de 2026 ont resserré la notion d'anomalie apparente. Voir notre article sur les faux ordres de virement en entreprise.

Le cabinet accompagne les victimes de fraude du dépôt de plainte jusqu'au remboursement : voyez notre page avocat escroquerie et arnaque à Toulouse.

La Dépêche du Midi a consacré un décryptage à l'explosion des arnaques bancaires et à la protection que la loi offre réellement aux victimes, dans lequel Maître Joris Morer est interrogé : lire l'article.

Le raisonnement est différent lorsque ce que vous avez validé n'est pas un paiement mais l'ajout de votre carte à un portefeuille électronique : voyez fraude Apple Pay, la banque doit-elle rembourser ?

Pour aller plus loin, retrouvez l'ensemble de nos articles dans la rubrique Arnaques bancaires.

La Cour de justice de l'Union européenne a jugé le 15 octobre 2026 que la banque doit rembourser une opération non autorisée avant de discuter d'une négligence grave : voyez notre analyse Fraude bancaire : depuis l'arrêt de la CJUE du 15 octobre 2026, la banque peut-elle encore refuser de rembourser pour négligence grave ?.

Si vous avez été piégé en vendant sur une plateforme d'annonces par un faux lien de paiement, voyez notre article Arnaqué en vendant sur Leboncoin ou Vinted via un faux lien de paiement : la banque doit-elle me rembourser ?.