Fraude Apple Pay : la banque doit-elle rembourser ?

Mise à jour du 13 novembre 2026 : paiement à distance sans authentification forte, remboursement dû (Cour de cassation, 22 octobre 2025 ; cour d'appel de Paris, 11 juin 2026).

Votre carte n'a pas quitté votre portefeuille. Vous ne l'avez pas perdue, personne ne vous l'a volée. Et pourtant, en quelques jours, une dizaine de paiements sans contact sont partis de votre compte, dans des magasins où vous n'avez jamais mis les pieds. Votre banque vous répond que les opérations ont été authentifiées, et refuse de rembourser.

C'est le scénario le plus répandu de la fraude aux portefeuilles électroniques, et il repose sur une confusion que les banques entretiennent : celle qui consiste à traiter l'autorisation donnée une fois, au moment d'installer la carte dans un téléphone, comme si elle valait autorisation de chaque paiement. Un arrêt de la cour d'appel de Rennes du 26 mai 2026 a tranché la question, et sa motivation mérite d'être lue de près.

Ce qui se passe exactement quand votre carte est copiée dans le téléphone d'un escroc

Le mécanisme n'a rien à voir avec un vol de carte. Il se déroule en trois temps.

Vous recevez d'abord un appel, souvent précédé d'un SMS, d'une personne qui se présente comme votre conseiller. Le numéro affiché est celui de votre banque : c'est le spoofing, l'usurpation du numéro d'appel, qui fait tomber la méfiance en quelques secondes. On vous annonce une opération suspecte, on vous demande d'agir vite.

Vous recevez ensuite un code par SMS, ou une notification à valider dans votre application. On vous explique qu'il sert à bloquer la fraude en cours.

En réalité, il sert à autoriser l'ajout de votre carte dans le portefeuille électronique d'un autre téléphone : celui de l'escroc. C'est l'étape d'enrôlement, ou de tokenisation : votre numéro de carte est remplacé, sur cet appareil, par un jeton qui permet de payer.

À partir de là, l'escroc paie avec son propre téléphone, en le déverrouillant avec son empreinte ou son visage. Votre carte reste dans votre poche. Vous ne recevez plus rien : ni code, ni notification, ni demande de validation. Vous découvrez les débits sur votre relevé.

C'est ce silence qui déroute les victimes, et qui explique qu'elles s'aperçoivent souvent de la fraude plusieurs jours après. Il n'y a plus rien à valider, puisque tout a été validé une fois pour toutes.

L'affaire jugée par la cour d'appel de Rennes

Une cliente d'un établissement en ligne valide par SMS, le 9 janvier 2022, l'enrôlement de sa carte bancaire sur le service Apple Pay d'un autre téléphone. Onze débits frauduleux suivent. Le 12 janvier, elle reçoit de sa banque un SMS l'informant de l'une des opérations, et fait immédiatement opposition, à 21 h 27. Le préjudice s'élève à 6 667,56 euros.

La banque refuse d'indemniser. Devant la cour, elle développe l'argument que reçoivent toutes les victimes : l'authentification forte, soutient-elle, est assurée ab initio, au moment de l'activation du service, et garantit ainsi la sécurité des paiements ultérieurs sauf négligence grave du titulaire, qu'elle estime établie par la communication de ses codes et de son numéro de carte.

La cliente répond que le SMS d'activation d'Apple Pay n'est pas un code de paiement mais un code de service, et qu'elle n'a reçu aucune alerte l'avertissant que cet enregistrement emporterait l'absence de toute autorisation ultérieure.

La cour d'appel de Rennes tranche en deux temps.

D'abord sur la nature même de l'authentification forte :

Au vu des textes susvisés, l'authentification forte s'entend d'une authentification de chacune des opérations en cause et non de la validation d'un moyen de paiement, de sorte que c'est vainement que la banque se prévaut de ce que Mme [F] a validé son inscription au service de paiement le 9 janvier 2022 pour établir l'authentification de chacune des opérations réalisées le 12 janvier suivant.

Ensuite sur le comportement de la cliente, que la banque lui opposait :

Le fait que Mme [F] ait pu à la suite des manœuvres frauduleuses dont elle a été victime permettre l'activation du service de paiement sur un téléphone tiers ne dispensait aucunement la banque de veiller à l'authentification de chacune des opérations réalisées au moyen de cet instrument de paiement tout comme il lui appartient de veiller à l'authenticité des opérations réalisées au moyen de tous autres moyens de paiement de ses clients.

La cour confirme le jugement de première instance en toutes ses dispositions, et condamne en outre la banque à 2 500 euros au titre des frais d'appel et aux dépens.

L'apport décisif : la preuve d'abord, la négligence ensuite

C'est le passage le plus utile de l'arrêt, et celui qu'il faut retenir avant tous les autres. La cour relève que la banque n'allègue aucune défaillance technique, puis conclut :

La preuve préalable à toute invocation d'une négligence grave du client d'opérations authentifiées, dûment enregistrées et comptabilisées et non affectée par une déficience technique ou autre n'est pas rapportée, de sorte que la banque est tenue de rembourser son client.

Autrement dit, la démonstration de l'authentification n'est pas un argument parmi d'autres : c'est un préalable. Tant que la banque n'a pas prouvé que chaque opération contestée a été authentifiée, dûment enregistrée, comptabilisée et exempte de déficience technique, elle n'est même pas recevable à discuter du comportement de son client. Le débat sur la négligence grave, qui occupe l'essentiel des lettres de refus, vient après et il ne vient jamais si le préalable n'est pas franchi.

La cour ajoute un second enseignement, précieux en pratique : ayant constaté que la cliente avait fait opposition dès réception du SMS d'alerte, elle relève qu'elle a été diligente, « sans qu'il soit nécessaire que Mme [F] établisse avoir déposé plainte ».

Le dépôt de plainte n'est donc pas une condition du remboursement, contrairement à ce que les conseillers laissent souvent entendre.

Deux fondements supplémentaires que la cour n'a pas eu besoin de mobiliser

La cour de Rennes a statué sur le seul terrain de la preuve. Deux autres textes, qu'elle n'avait pas à viser, renforcent la position du client et méritent d'être connus.

Le lien dynamique

Le code monétaire et financier ajoute, pour les paiements électroniques à distance, une exigence technique décisive : l'authentification forte « comporte des éléments qui établissent un lien dynamique entre l'opération, le montant et le bénéficiaire donnés ». Le règlement européen du 27 novembre 2017 le détaille : le code d'authentification « est spécifique au montant de l'opération de paiement et au bénéficiaire approuvé par le payeur lors de l'initiation de l'opération », et « toute modification du montant ou du bénéficiaire entraîne l'invalidation du code d'authentification généré ».

La conséquence est arithmétique. Un code validé au moment de l'enrôlement ne peut pas être rattaché à un montant et à un commerçant qui n'existaient pas encore. Il ne peut donc, par construction, valoir authentification des paiements ultérieurs. L'argument de la banque n'est pas seulement écarté en fait : il est incompatible avec la définition légale de ce qu'elle prétend avoir accompli.

L'absence d'authentification forte

Le V de l'article L. 133-19 du code monétaire et financier dispose que, sauf agissement frauduleux de sa part, le payeur « ne supporte aucune conséquence financière si l'opération de paiement non autorisée a été effectuée sans que le prestataire de services de paiement du payeur n'exige une authentification forte du payeur ».

La seule exception est l'agissement frauduleux du client, c'est-à-dire sa complicité. La négligence grave n'y figure pas. Lorsqu'il est acquis qu'aucune authentification forte n'a été exigée pour les opérations litigieuses, le remboursement est donc dû intégralement, sans même la franchise de 50 euros.

La Cour de cassation l'a confirmé le 22 octobre 2025 (n° 24-19.749) : pour une opération de paiement à distance, la banque doit appliquer l'authentification forte et, à défaut, rembourser le payeur, sauf agissement frauduleux de sa part. La cour d'appel de Paris a précisé le 11 juin 2026 (n° 25/09073) que l'exigence s'étend aux connexions à l'espace en ligne qui permettent d'afficher le code de la carte, de changer le mot de passe ou de relever les plafonds : la banque qui ne prouve pas avoir exigé une authentification forte pour ces connexions doit restituer les fonds détournés.

Ce qu'il faut exiger de la banque

Le texte applicable est sans ambiguïté sur la charge de la preuve :

L'utilisation de l'instrument de paiement telle qu'enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l'opération a été autorisée par le payeur ou que celui-ci n'a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant en la matière.

Une capture d'écran du système interne mentionnant « opération authentifiée » ne suffit donc pas : c'est précisément ce que le texte exclut. Il faut réclamer par écrit, et le cas échéant en justice, la date et l'heure exactes de l'enrôlement, l'identifiant et le type de l'appareil sur lequel la carte a été installée, la méthode d'authentification employée pour chacune des opérations contestées, et la trace du lien dynamique entre chaque authentification, son montant et son bénéficiaire.

Dans la majorité des dossiers, la banque produit ces éléments pour l'enrôlement et pour lui seul. C'est là que le dossier se gagne.

La négligence grave, l'argument de repli

Si la banque franchit le préalable probatoire, elle invoquera la négligence grave, qui fait alors supporter au payeur l'intégralité des pertes. Depuis l'arrêt de la Cour de justice de l'Union européenne du 15 octobre 2026, elle ne peut toutefois plus en faire un motif de refus du remboursement immédiat : elle doit rembourser, puis agir elle-même en restitution si elle estime pouvoir prouver cette négligence. La notion est d'appréciation stricte, et le fait d'avoir été trompé par un appel usurpant le numéro de la banque n'est pas, en soi, une négligence grave.

Nous avons consacré un article entier à cette question et aux arguments qui permettent de la combattre : qu'est-ce que la négligence grave et pourquoi la banque s'en sert-elle pour refuser de rembourser ?. La question voisine de l'opération que la victime a elle-même validée après manipulation est traitée dans la banque est-elle responsable si j'ai moi-même validé le virement après avoir été manipulé ?

Le délai de remboursement, et les pénalités que les banques oublient

Voici le point que presque personne ne soulève, et qui change la dynamique d'une réclamation.

La banque doit rembourser une opération non autorisée immédiatement après en avoir été informée, et au plus tard à la fin du premier jour ouvrable suivant. Elle ne peut différer que si elle a de bonnes raisons de soupçonner une fraude du client, et à condition de communiquer ces raisons par écrit à la Banque de France. Une enquête interne de plusieurs semaines n'est pas un motif prévu par le texte.

Le 15 octobre 2026, la Cour de justice de l'Union européenne a jugé, dans l'affaire C-70/25, qu'un prestataire de services de paiement « ne peut pas refuser de rembourser immédiatement à un payeur le montant d'une opération de paiement non autorisée, au motif que ce payeur aurait rendu possible cette opération par une négligence grave » : la seule exception au remboursement immédiat est le soupçon de fraude du client lui-même, communiqué par écrit à l'autorité nationale. La banque qui invoque la négligence grave doit donc rembourser d'abord, puis agir elle-même en justice pour récupérer les fonds si elle estime pouvoir la prouver.

Surtout, le retard est sanctionné par des intérêts majorés, dont le barème est rarement rappelé :

Retard de la banque	Intérêts dus sur les sommes
Dès le dépassement du délai	Taux légal majoré de 5 points
Au-delà de 7 jours de retard	Taux légal majoré de 10 points
Au-delà de 30 jours de retard	Taux légal majoré de 15 points

Chiffrer ces pénalités dans la mise en demeure, plutôt que de se contenter de réclamer le principal, transforme souvent l'attitude de l'établissement.

Les délais à ne pas laisser passer

L'opération non autorisée doit être signalée « sans tarder », et au plus tard dans les treize mois suivant la date de débit, sous peine de forclusion. Ce délai de treize mois est un maximum, pas un confort : l'exigence de signalement sans tarder subsiste, et une réaction tardive nourrira l'argumentation adverse. À l'inverse, une opposition immédiate, comme dans l'affaire rennaise, établit la diligence de la victime.

Le détail de ce délai, de son point de départ et de ses exceptions figure dans notre article dans quel délai peut-on contester une opération bancaire frauduleuse ?

Que faire, et dans quel ordre

Faire opposition immédiatement et demander le blocage de la carte ainsi que la suppression de tout jeton associé à un appareil inconnu. Cette seconde demande est essentielle : bloquer la carte physique ne supprime pas nécessairement le jeton installé sur le téléphone du fraudeur.
Contester par écrit, en recommandé, en listant chaque opération et en demandant la communication des preuves d'authentification opération par opération.
Déposer plainte, sans en faire une condition du remboursement : la cour d'appel de Rennes juge expressément qu'il n'est pas nécessaire de justifier d'une plainte. Le sujet est traité dans faut-il déposer plainte pour obtenir un remboursement de sa banque ?
Mettre en demeure en chiffrant les intérêts majorés, puis saisir le médiateur bancaire.
Saisir la juridiction compétente si le refus persiste : voyez quel tribunal saisir pour un litige avec sa banque ?

Un jugement d'août 2026 sur la preuve de la négligence grave

Le tribunal judiciaire de Lorient, par un jugement du 26 août 2026 (RG n° 24/01823), a condamné une banque à rembourser plus de 16 000 euros à un client qui avait, au cours d'un appel du faux service des fraudes, saisi ses identifiants puis validé une opération au moyen d'un code reçu par SMS.

Le tribunal retient que la banque ne démontrait pas avoir adressé, au moment de l'opération, un message individuel avertissant qu'aucun code ne devait être communiqué par téléphone ; la mention figurant dans le guide pratique remis avec la carte et les campagnes d'information invoquées ont été jugées insuffisantes. Il relève également que le client ne produisait pas son relevé téléphonique — l'affichage du numéro de la banque n'était donc pas établi — sans que cela lui soit opposé, la charge de la preuve de la négligence grave pesant sur la banque.

Le raisonnement est directement transposable à l'enrôlement frauduleux d'une carte dans un portefeuille mobile : la validation par le porteur ne clôt pas le débat, elle l'ouvre.

Ce jugement est rendu en première instance et reste susceptible d'appel.

Ce que le futur règlement européen devrait changer

Le paquet européen appelé à remplacer la directive sur les services de paiement a fait l'objet d'un accord en novembre 2025, mais il n'est pas encore publié au Journal officiel de l'Union européenne, et son application n'est pas attendue avant 2028. Il prévoit notamment un droit au remboursement spécifique en cas d'usurpation d'identité du prestataire (c'est-à-dire précisément en cas de spoofing) et un délai d'attente minimal avant qu'un nouvel appareil mobile puisse être activé.

Cette dernière mesure viserait directement le scénario décrit ici. En attendant, c'est le droit actuel qui s'applique, et il est déjà, contrairement à ce que laissent croire les lettres de refus, très largement favorable au client.

L'intervention du cabinet

Le Cabinet Morer assiste les victimes de fraudes bancaires à Toulouse et dans toute la France, de la contestation écrite jusqu'à l'audience, et intervient également au pénal lorsque les auteurs sont identifiés. Le détail de cette activité figure sur la page avocat escroquerie et arnaque à Toulouse.

Si vous êtes concerné, rassemblez dès maintenant le relevé faisant apparaître les débits, l'historique des SMS et appels reçus le jour de la fraude, les captures d'écran de votre application bancaire, l'intégralité des courriers échangés avec l'établissement, et la preuve de la date et de l'heure de votre opposition. C'est ce dossier, et non la véhémence de la réclamation, qui emporte la décision.

Contactez le Cabinet Morer : par téléphone au 05 61 55 45 08 (urgence : 06 23 36 88 03), par courriel à cabinet@morer-avocat.com ou via le formulaire de contact sur morer-avocat.com.