Virement frauduleux : l’authentification forte ne prouve pas le consentement du client, la charge de la preuve pèse sur la banque (Cass. com., 1er juillet 2026)
Par un arrêt du 1er juillet 2026, publié au Bulletin, la chambre commerciale, financière et économique de la Cour de cassation a rappelé une règle protectrice trop souvent renversée par les juridictions du fond : lorsqu’un client conteste avoir autorisé un virement débité de son compte, il incombe à la banque, et à elle seule, de prouver que l’opération a bien été consentie. La décision, rendue sur le pourvoi n° 25-13.134, casse un arrêt de la cour d’appel de Paris du 22 janvier 2025 qui avait débouté une société de sa demande de restitution des fonds, au motif que la banque produisait des relevés informatiques établissant l’utilisation de l’identifiant, du code d’accès et d’un « token » généré par un boîtier de sécurité. En déduisant de ce constat technique que le consentement du client était acquis, la cour d’appel avait, selon la Cour de cassation, inversé la charge de la preuve. L’arrêt tranche une question devenue centrale à l’ère de l’authentification forte imposée par la directive européenne sur les services de paiement : le fait qu’une opération ait franchi les barrières de sécurité personnalisées ne suffit pas, à lui seul, à démontrer que le titulaire du compte y a consenti. La solution, ancrée dans les articles L. 133-6, L. 133-7 et L. 133-23 du code monétaire et financier, consolide une ligne jurisprudentielle exigeante à l’égard des prestataires de services de paiement et redonne aux victimes de fraude, particuliers comme entreprises, une arme contentieuse décisive face aux refus de remboursement.
I. L’authentification forte n’est pas une présomption de consentement à l’opération de paiement
A. La charge de la preuve du consentement pèse sur le prestataire de services de paiement
Le régime des opérations de paiement non autorisées repose sur une architecture probatoire précise, issue de la transposition des directives européennes sur les services de paiement. Le point de départ est simple : une opération de paiement n’est régulière que si le payeur y a consenti. L’article L. 133-6 du code monétaire et financier subordonne l’autorisation de l’opération au consentement du payeur, donné sous la forme convenue entre celui-ci et son prestataire, et l’article L. 133-7 précise les modalités de ce consentement. (Articles L. 133-6 et L. 133-7 du code monétaire et financier, Légifrance). En l’absence d’un tel consentement, l’opération est réputée non autorisée, ce qui ouvre au client le droit au remboursement prévu par l’article L. 133-18 du même code.
La clé du contentieux réside dans la répartition de la charge de la preuve. L’article L. 133-23 du code monétaire et financier énonce que, lorsqu’un utilisateur de services de paiement nie avoir autorisé une opération qui a été exécutée, « il incombe à son prestataire de services de paiement de prouver que l’opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre ». (Article L. 133-23 du code monétaire et financier, Légifrance). Mais le même texte prend soin d’ajouter une précision capitale, souvent négligée : « L’utilisation de l’instrument de paiement telle qu’enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l’opération a été autorisée par le payeur ou que celui-ci n’a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant en la matière. » L’authentification technique de l’opération et le consentement du client relèvent donc de deux ordres distincts : la première est un fait matériel que la banque peut établir par ses relevés ; le second est un fait juridique dont la preuve ne se déduit pas mécaniquement du premier.
C’est cette distinction que la chambre commerciale rappelle avec fermeté dans l’arrêt du 1er juillet 2026. Reprenant la lettre des articles L. 133-6 et L. 133-7, la Cour énonce qu’« une opération de paiement est autorisée si le payeur a donné son consentement à son exécution, et qu’en l’absence d’un tel consentement, donné sous la forme convenue entre le payeur et le prestataire de service de paiement, l’opération est réputée non autorisée ». (Cass. com., 1er juillet 2026, n° 25-13.134, F-B, Cour de cassation / Judilibre). Puis, citant l’article L. 133-23, elle réaffirme que la charge de cette preuve pèse sur le prestataire et que l’enregistrement de l’usage de l’instrument de paiement « ne suffit pas nécessairement en tant que telle à prouver que l’opération a été autorisée par le payeur ». La banque qui invoque les traces informatiques d’une connexion sécurisée ne fait donc qu’établir l’exécution technique de l’opération ; elle ne prouve pas, par là même, que son client a voulu cette opération.
Cette exigence n’est pas nouvelle. Dès le 20 novembre 2024, la chambre commerciale avait jugé que, s’il entend faire supporter à l’utilisateur les pertes occasionnées par une opération non autorisée en raison d’une négligence grave, « le prestataire de services de paiement doit, au préalable, prouver que l’opération en cause a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre ». (Cass. com., 20 novembre 2024, n° 23-15.099, Bull., Cour de cassation / Judilibre). La même solution a été réaffirmée par un arrêt du 30 avril 2025, à propos de l’ajout frauduleux d’un bénéficiaire de virement, la Cour rappelant que la preuve de l’authentification technique est un préalable à toute discussion sur la responsabilité du client. (Cass. com., 30 avril 2025, n° 24-10.149, Bull., Cour de cassation / Judilibre). L’arrêt du 1er juillet 2026 s’inscrit dans cette continuité, mais il en tire la conséquence la plus tranchée en matière de consentement.
B. L’interdiction d’inférer le consentement de la seule forme d’authentification convenue
L’apport propre de l’arrêt du 1er juillet 2026 tient à la censure d’un raisonnement fréquent devant les juges du fond : celui qui consiste à présumer le consentement du client dès lors que l’opération a été validée selon la procédure d’authentification convenue au contrat. Dans l’affaire soumise à la Cour, la cour d’appel de Paris avait retenu que les relevés informatiques produits par la banque établissaient l’utilisation de l’identifiant et du code d’accès à l’espace en ligne ainsi que le recours à un « token » généré par un boîtier de sécurité, pour en déduire que l’opération avait été authentifiée, dûment enregistrée et comptabilisée, et qu’elle n’avait pas été affectée par une déficience technique. La cour d’appel ajoutait que « le consentement de la société est présumé en conséquence avoir été donné conformément à la forme convenue entre les parties ».
La Cour de cassation censure ce raisonnement en des termes dépourvus d’ambiguïté. Elle relève que le client « contestait avoir consenti à ces opérations et soutenait que ses données de sécurité personnalisées avaient été utilisées à son insu », et juge que la cour d’appel, « en déduisant le consentement des opérations litigieuses du recours à la forme convenue contractuellement, a inversé la charge de la preuve et violé les textes susvisés ». (Cass. com., 1er juillet 2026, n° 25-13.134, F-B). Autrement dit, la conformité de l’opération à la procédure d’authentification forte n’établit pas, en elle-même, le consentement du payeur. Admettre le contraire reviendrait à faire de l’authentification technique une présomption irréfragable de consentement, alors que la loi la conçoit précisément comme une garantie de sécurité qui ne dispense pas la banque de prouver l’accord effectif de son client.
Cette position s’articule avec une jurisprudence déjà nourrie sur la notion de consentement à l’opération de paiement. La chambre commerciale juge de longue date qu’une opération n’est réputée autorisée que si le payeur a consenti non seulement à son principe, mais aussi à son montant. Dans un arrêt du 30 novembre 2022, elle avait censuré une décision ayant rejeté une demande de remboursement sans rechercher si l’opération de paiement avait été autorisée « en particulier quant à son montant », rappelant qu’une opération initiée par le payeur « est réputée autorisée uniquement si le payeur a également consenti au montant de l’opération ». (Cass. com., 30 novembre 2022, n° 21-17.614, Bull., Cour de cassation / Judilibre). Dans le même esprit, un arrêt du 1er juin 2023 a jugé que « ne constitue pas une opération autorisée un ordre de virement régulier lors de sa rédaction mais dont le numéro IBAN du compte destinataire a été ultérieurement modifié par un tiers à l’insu du donneur d’ordre ». (Cass. com., 1er juin 2023, n° 21-19.289, Bull., Cour de cassation / Judilibre). Dans ces deux hypothèses, l’exécution matérielle de l’opération n’emportait aucune présomption de consentement : la volonté du payeur, altérée ou détournée, faisait défaut.
L’arrêt du 1er juillet 2026 transpose cette logique au terrain de l’authentification forte, dont on aurait pu penser qu’elle affaiblissait la position du client. Depuis l’entrée en vigueur des normes techniques de réglementation issues du règlement délégué de la Commission du 27 novembre 2017, les prestataires sont tenus d’exiger une authentification forte pour la plupart des opérations à distance. Cette contrainte réglementaire ne joue toutefois pas contre le client : la chambre commerciale avait déjà jugé, par un arrêt du 30 août 2023, que « sauf agissement frauduleux de sa part, le payeur ne supporte aucune conséquence financière si l’opération de paiement non autorisée a été effectuée sans que le prestataire de services de paiement du payeur n’exige une authentification forte du payeur ». (Cass. com., 30 août 2023, n° 22-11.707, Bull., Cour de cassation / Judilibre). L’absence d’authentification forte prive donc la banque de tout recours contre le client ; sa présence, désormais, ne suffit pas davantage à établir le consentement. L’authentification forte reste ce qu’elle est : un mécanisme de sécurisation, non un mode de preuve du consentement.
II. Le régime protecteur de l’utilisateur victime d’un virement non autorisé
A. La ligne de partage entre défaut de consentement et négligence grave du payeur
La solution du 1er juillet 2026 doit être comprise à la lumière de la structure du régime des paiements non autorisés, qui distingue deux questions successives. La première est celle du consentement : l’opération a-t-elle été autorisée par le payeur ? La seconde, subsidiaire, est celle de la faute du client : à supposer l’opération non autorisée, le payeur a-t-il, par une négligence grave, rendu la fraude possible ? Ces deux questions obéissent à des régimes probatoires distincts, mais convergents en ce qu’ils font peser sur le prestataire l’essentiel de la charge de la preuve.
Sur le premier terrain, celui du consentement, l’arrêt commenté impose à la banque de démontrer l’accord effectif du client, sans pouvoir se retrancher derrière la seule régularité formelle de l’authentification. Sur le second terrain, celui de la négligence grave, l’article L. 133-19, IV, du code monétaire et financier prévoit que le payeur supporte les pertes occasionnées par des opérations non autorisées lorsque celles-ci résultent d’un manquement intentionnel ou d’une négligence grave à ses obligations de vigilance et de préservation de ses données de sécurité. (Article L. 133-19 du code monétaire et financier, Légifrance). Mais, là encore, la charge de la preuve pèse sur la banque : il lui appartient de démontrer la négligence grave de son client, et non au client de démontrer sa propre prudence.
La jurisprudence récente illustre la sévérité de ce standard à l’égard des prestataires. Par un arrêt du 23 octobre 2024, la chambre commerciale a jugé qu’« aucune négligence grave au sens de l’article L. 133-19 du code monétaire et financier ne peut être imputée au titulaire d’un compte qui, contacté téléphoniquement par une personne se faisant passer pour un préposé de sa banque dont le numéro s’affichait, utilise à sa demande le dispositif de sécurité personnalisé pour supprimer puis réinscrire des bénéficiaires de virements dans le but d’éviter des opérations malveillantes ». (Cass. com., 23 octobre 2024, n° 23-16.267, Bull., Cour de cassation / Judilibre). La technique dite du « spoofing », consistant pour l’escroc à afficher le numéro véritable de la banque, neutralise ainsi le reproche de négligence, car la victime croit légitimement dialoguer avec son établissement. La même solution a été retenue au profit d’une entreprise par un arrêt du 12 juin 2025, la Cour approuvant les juges du fond d’avoir écarté la négligence grave d’une société dont la salariée avait effectué des opérations « à la demande d’une personne qui, par téléphone, se faisant passer pour un technicien de la banque dont il a usurpé le numéro, lui donne des informations de nature à conforter la thèse d’une panne informatique ». (Cass. com., 12 juin 2025, n° 24-13.777, Bull., Cour de cassation / Judilibre).
L’articulation de ces deux terrains éclaire la portée de l’arrêt du 1er juillet 2026. Tant que la banque n’a pas établi le consentement du client, la question de la négligence grave ne se pose même pas : le débat sur la faute du payeur est subsidiaire par rapport à la question première du consentement. En présumant le consentement à partir de la seule authentification forte, la cour d’appel de Paris avait court-circuité cette hiérarchie et privé le client du bénéfice du régime protecteur. La cassation rétablit l’ordre logique des questions : d’abord établir, à la charge de la banque, que l’opération a été autorisée ; ensuite seulement, si l’opération n’était pas autorisée, apprécier si une négligence grave du client, dont la preuve incombe encore à la banque, justifie de laisser la perte à sa charge.
B. Un régime exclusif et d’ordre public au service de la restitution des fonds
La protection de l’utilisateur ne se limite pas à la répartition de la charge de la preuve ; elle tient aussi à la nature du régime applicable, que la Cour de cassation qualifie de régime exclusif. L’article L. 133-18 du code monétaire et financier impose au prestataire de rembourser immédiatement le montant de l’opération non autorisée, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant la contestation, sauf s’il a de bonnes raisons de soupçonner une fraude du client qu’il communique par écrit à la Banque de France. (Article L. 133-18 du code monétaire et financier, Légifrance). Ce mécanisme de remboursement immédiat est le pivot du dispositif : il place l’utilisateur dans une position de créancier de la restitution, et non de demandeur devant prouver la faute de sa banque.
Le caractère exclusif de ce régime a été affirmé avec netteté par la chambre commerciale. Dans un arrêt du 15 janvier 2025, elle a jugé que, « dès lors que la responsabilité d’un prestataire de services de paiement est recherchée en raison d’une opération non autorisée ou mal exécutée, seul est applicable le régime de responsabilité défini aux articles L. 133-18 à L. 133-24 du code monétaire et financier », et qu’une cour d’appel ne peut, après avoir retenu la négligence grave du payeur le privant du remboursement, « opérer un partage de responsabilité avec la banque au motif que celle-ci avait manqué à ses obligations contractuelles de vigilance et de surveillance des systèmes ». (Cass. com., 15 janvier 2025, n° 23-13.579, Bull., Cour de cassation / Judilibre). Le régime spécial des paiements non autorisés évince donc la responsabilité contractuelle de droit commun : la discussion se joue en tout ou rien, remboursement intégral ou, en cas de négligence grave établie, absence de remboursement, à l’exclusion de tout partage.
Ce régime protecteur connaît toutefois une limite tenant à la diligence du client. L’article L. 133-24 du code monétaire et financier impose à l’utilisateur de signaler l’opération non autorisée sans tarder, et au plus tard dans un délai de treize mois à compter du débit. (Article L. 133-24 du code monétaire et financier, Légifrance). La chambre commerciale a rappelé, par un arrêt du 4 février 2026, que, « pour obtenir le remboursement immédiat d’une opération de paiement non autorisée, l’utilisateur doit l’avoir signalée sans tarder à son prestataire de service de paiement à compter du moment où il en a eu connaissance et, au plus tard, dans le délai de treize mois à compter du débit ». (Cass. com., 4 février 2026, n° 22-22.609, Bull., Cour de cassation / Judilibre). Cette exigence de signalement, éclairée par le droit de l’Union, a été précisée à la suite de l’arrêt Veracash de la Cour de justice de l’Union européenne du 1er août 2025 : par un arrêt du 14 janvier 2026, la chambre commerciale a jugé que l’utilisateur qui, de manière délibérée ou par négligence grave, n’a pas signalé sans tarder l’opération dès qu’il en a eu connaissance « est privé du droit d’obtenir la correction de cette opération, peu important que ce signalement ait été effectué dans les treize mois suivant la date de débit ». (Cass. com., 14 janvier 2026, n° 22-14.822, Bull., Cour de cassation / Judilibre). Le délai de treize mois n’est donc pas un blanc-seing : la vigilance du client demeure une condition du remboursement, mais elle ne remet pas en cause le principe cardinal selon lequel c’est à la banque de prouver le consentement.
Enfin, l’arrêt du 1er juillet 2026 doit être rapproché d’une jurisprudence qui referme aux victimes une voie de recours parallèle. Par un arrêt du 4 mars 2026, la chambre commerciale a jugé que « l’obligation de vigilance à l’égard de la clientèle imposée aux organismes financiers en application des articles L. 561-4-1 à L. 561-14-2 du code monétaire et financier a pour seule finalité la lutte contre le blanchiment de capitaux et le financement du terrorisme », de sorte que « la victime d’agissements frauduleux ne peut se prévaloir de leur inobservation pour réclamer des dommages et intérêts à l’organisme financier ». (Cass. com., 4 mars 2026, n° 24-19.588, Bull., Cour de cassation / Judilibre). La victime d’un virement frauduleux ne saurait donc fonder son action sur un manquement de la banque à ses obligations de lutte contre le blanchiment. C’est bien sur le terrain du défaut de consentement, tel que la Cour l’a défini le 1er juillet 2026, que se joue son droit à restitution. Le message adressé aux praticiens est clair : la stratégie contentieuse la plus solide consiste à contester frontalement le consentement à l’opération, en imposant à la banque la preuve, souvent impossible, d’un accord effectif du client, plutôt qu’à rechercher un manquement de vigilance dont la finalité, purement préventive, ne protège pas les intérêts privés de la victime.
Conclusion
L’arrêt rendu par la chambre commerciale de la Cour de cassation le 1er juillet 2026, publié au Bulletin, redonne toute sa portée à un principe que les juridictions du fond tendent à affaiblir sous la pression de la technique : l’authentification forte sécurise l’opération, mais ne prouve pas le consentement. En jugeant que la cour d’appel avait inversé la charge de la preuve en déduisant le consentement du seul recours à la forme d’authentification convenue, la Cour rappelle que c’est au prestataire de services de paiement d’établir l’accord effectif de son client, et non à la victime de démontrer qu’elle n’a pas voulu l’opération. Adossée aux articles L. 133-6, L. 133-7 et L. 133-23 du code monétaire et financier, cette solution s’insère dans un régime cohérent et protecteur : remboursement immédiat, exclusivité du régime spécial, charge de la preuve de la négligence grave pesant sur la banque, et fermeture des recours fondés sur les obligations de vigilance anti-blanchiment. Pour les entreprises comme pour les particuliers victimes d’un virement frauduleux, la voie contentieuse est désormais balisée : contester le consentement, exiger de la banque la preuve qu’elle ne peut le plus souvent pas rapporter, et obtenir la restitution des sommes détournées.
Le cabinet Kohen Avocats, dirigé par Maître Reda KOHEN, assiste les entreprises, les dirigeants et les particuliers confrontés à une fraude bancaire, à un virement non autorisé ou à un refus de remboursement de leur établissement. Pour toute question relative à la contestation d’une opération de paiement, à la mise en cause de la responsabilité d’une banque ou à la récupération de fonds détournés, vous pouvez contacter le cabinet par téléphone au 06 46 60 58 22, par courriel à l’adresse contact@kohenavocats.fr, ou via le formulaire de contact disponible sur le site kohenavocats.fr. Vous pouvez également consulter nos analyses récentes de la jurisprudence de la chambre commerciale, notamment sur l’effet extinctif de la compensation légale et sur la qualification des pratiques commerciales déloyales entre professionnels.
Transmettez les pièces de votre dossier au cabinet. Maître Reda KOHEN vous répond personnellement sous 24 heures avec une première analyse stratégique.