Virement frauduleux : obtenir le remboursement par votre banque des sommes détournées par un tiers
Vous consultez votre compte bancaire et découvrez qu’un virement de plusieurs milliers d’euros a été effectué au profit d’une personne que vous ne connaissez pas.
Vous n’avez jamais ajouté ce bénéficiaire. Vous n’avez jamais autorisé ce paiement.
Un tiers est parvenu à accéder à votre compte bancaire et à détourner vos fonds.
Vous contactez immédiatement votre banque. Elle vous répond que l’opération a été réalisée depuis votre espace personnel, qu’un SMS de confirmation a été envoyé ou qu’une « authentification forte » a été utilisée.
Elle refuse alors de vous rembourser.
Cette réponse est fréquente.
Elle ne suffit pourtant pas juridiquement.
En effet, lorsqu’un client conteste avoir autorisé une opération de paiement, le Code monétaire et financier prévoit un régime protecteur. En principe, la banque doit rembourser l’opération non autorisée, sauf à pouvoir invoquer et démontrer l’exception prévue par la loi.
La question centrale devient donc la suivante :
La banque dispose-t-elle des éléments suffisants pour établir que l’opération a réellement été autorisée par son client ou que celui-ci a commis une négligence grave ?
1. Le principe : la banque doit rembourser le virement non autorisé
L’article L. 133-18 du Code monétaire et financier prévoit qu’en cas d’opération de paiement non autorisée, la banque doit rembourser le montant de l’opération immédiatement et, au plus tard, à la fin du premier jour ouvrable suivant.
Le client doit naturellement signaler l’opération dès qu’il en a connaissance.
Mais il n’a pas à démontrer lui-même de quelle manière le fraudeur est parvenu à accéder à son compte bancaire.
Lorsqu’il conteste avoir autorisé le virement, c’est principalement à l’établissement bancaire qu’il appartient d’apporter les éléments permettant de justifier un éventuel refus de remboursement.
À retenir. La découverte d’un virement frauduleux ne signifie pas que la perte doit rester à la charge du titulaire du compte. Le principe posé par le Code monétaire et financier est celui du remboursement de l’opération non autorisée.
2. Dans quels cas la banque peut-elle refuser de rembourser ?
En cas d’opération non autorisée, la banque est tenue de rembourser immédiatement le client, sauf à pouvoir s’exonérer en démontrant, d’une part, que l’opération a été authentifiée et dûment enregistrée, et, d’autre part, l’existence d’une négligence grave imputable au client.
2.1. La banque doit prouver que l’opération a été authentifiée, enregistrée et correctement exécutée
Lorsque le client nie avoir autorisé le virement, la banque doit notamment démontrer que l’opération :
a été authentifiée ;
a été dûment enregistrée et comptabilisée ;
et n’a pas été affectée par une déficience technique ou autre.
La seule utilisation des identifiants ou du dispositif de paiement ne suffit pas nécessairement à démontrer que le titulaire du compte a effectivement autorisé l’opération.
Il faut donc examiner concrètement les éléments techniques produits par la banque : mode de connexion, appareil utilisé, ajout d’un nouveau bénéficiaire, authentification forte, SMS de validation ou encore historique des opérations.
Dans un dossier traité par le Cabinet, l’espace bancaire du client avait notamment enregistré une connexion depuis un « appareil inhabituel » avant l’ajout d’un bénéficiaire inconnu puis l’exécution du virement litigieux. Le client contestait également avoir reçu les SMS de validation invoqués par la banque.
Ces éléments peuvent remettre en cause l’affirmation selon laquelle l’opération aurait nécessairement été autorisée par le titulaire du compte.
Dans un jugement du 8 octobre 2024, le Tribunal judiciaire de Bordeaux a ainsi considéré que la production de relevés informatiques faisant apparaître une authentification par Secur’Pass ou par SMS ne permettait pas, à elle seule, d’établir que les clients avaient effectivement autorisé les paiements litigieux.
Authentification ne signifie pas nécessairement autorisation. Le fait qu’un processus technique d’authentification ait été enregistré ne démontre pas, à lui seul, que c’est bien le client qui a validé l’opération.
2.2. La banque doit prouver une négligence grave du client
La banque peut également tenter de refuser le remboursement en invoquant une négligence grave de son client.
Mais là encore, cette négligence ne se présume pas.
Il appartient à l’établissement bancaire de démontrer concrètement le comportement qu’il reproche au titulaire du compte.
La Cour de cassation rappelle depuis plusieurs années que la négligence grave ne peut pas être déduite du seul constat que des données personnelles ou un instrument de paiement ont effectivement été utilisés.
La banque doit donc rapporter des éléments précis permettant d’établir une faute suffisamment grave du client.
Dans le dossier traité par le Cabinet, aucune pièce ne démontrait que le client avait communiqué ses données personnelles.
Pourtant, sa négligence grave était invoquée au motif qu’il ne pouvait expliquer la manière dont la fraude avait été réalisée.
Or, ce n’est pas au client de démontrer comment son compte a été piraté.
C’est à la banque qui invoque une négligence grave d’en rapporter la preuve.
La Cour d’appel de Douai a notamment écarté la négligence grave lorsque l’établissement bancaire se contentait d’évoquer de manière générale une possible opération de phishing sans établir concrètement que son client avait transmis ses identifiants, son mot de passe ou ses clés de sécurité.
À retenir. Une simple hypothèse de phishing ou de communication des codes bancaires ne suffit pas. La banque doit établir les faits précis permettant de caractériser une négligence grave.
3. Votre banque doit rembourser rapidement et son retard peut lui coûter cher
L’article L. 133-18 du Code monétaire et financier ne prévoit pas seulement une obligation de remboursement.
Il impose également un délai particulièrement court : le remboursement doit en principe intervenir au plus tard à la fin du premier jour ouvrable suivant la prise de connaissance de l’opération non autorisée.
Et depuis 2022, le texte prévoit des pénalités importantes lorsque la banque ne respecte pas cette obligation.
Les sommes dues produisent :
des intérêts au taux légal majoré de 5 points ;
au-delà de sept jours de retard, des intérêts au taux légal majoré de 10 points ;
au-delà de trente jours, des intérêts au taux légal majoré de 15 points.
Un refus de remboursement prolongé pendant plusieurs mois, voire plusieurs années, peut donc considérablement augmenter la somme finalement réclamée à l’établissement bancaire.
Ces pénalités sont parfois ignorées dans les premières réclamations adressées par les victimes.
4. Que faire après avoir découvert un virement frauduleux ?
Dès la découverte de l’opération, il convient d’abord de contacter immédiatement la banque afin de contester formellement le virement et de demander le blocage des accès ou moyens de paiement compromis.
Il est également utile de conserver l’ensemble des éléments disponibles : relevés bancaires, SMS, courriels, captures d’écran, historique des appels, notifications reçues et échanges avec le conseiller bancaire.
Une plainte peut ensuite permettre de matérialiser rapidement la contestation de l’opération et de déclencher des investigations.
En cas de refus de remboursement, il convient surtout de ne pas s’arrêter à la formule selon laquelle « l’opération a été authentifiée ».
Il faut demander à l’établissement de justifier précisément :
des modalités de connexion ;
de l’appareil utilisé ;
de l’ajout du bénéficiaire ;
des modalités exactes d’authentification ;
des éléments attestant, le cas échéant, de la réception des demandes de validation ;
de l’absence de déficience technique ;
et surtout des faits précis sur lesquels il entend fonder une éventuelle négligence grave.
Le service réclamation peut être saisi avant, selon les circonstances, une saisine du médiateur bancaire puis du Tribunal judiciaire.
5. Victime d’un virement frauduleux : ne vous contentez pas du refus de votre banque
La fraude bancaire est aujourd’hui largement dématérialisée.
Les fraudeurs peuvent prendre le contrôle d’un espace bancaire, ajouter un nouveau bénéficiaire, détourner des dispositifs d’authentification ou exploiter des données obtenues précédemment, sans que la victime soit nécessairement en mesure d’identifier la faille utilisée.
C’est précisément pour cette raison que le droit ne fait pas peser sur le client la charge de reconstituer lui-même le mécanisme informatique de la fraude.
Lorsqu’une opération est contestée, la banque doit justifier techniquement de son authentification et de l’absence de déficience, tandis qu’une éventuelle négligence grave du client doit être démontrée et ne peut être simplement présumée.
Le Cabinet Julien Plouton, à Bordeaux, accompagne les victimes de virements frauduleux dans leurs démarches pour obtenir le remboursement par les établissements bancaires des sommes détournées : analyse des éléments techniques communiqués par la banque, contestation du refus de remboursement, mise en demeure, médiation et, lorsque cela est nécessaire, procédure devant le Tribunal judiciaire.
Commentaires