La fraude aux moyens de paiement a pris, ces dernières années, une ampleur que la seule actualité judiciaire ne suffit plus à mesurer. Les opérations dites de « faux conseiller », de « spoofing » téléphonique ou d’hameçonnage se multiplient et placent les titulaires de comptes dans une situation de vulnérabilité particulière. Le régime des articles L. 133-17 à L. 133-24 du code monétaire et financier, issu de la transposition des directives sur les services de paiement, organise un équilibre délicat entre la protection du payeur et la sécurité des prestataires. Or la chambre commerciale de la Cour de cassation a profondément renouvelé, entre 2023 et 2026, les conditions de cet équilibre, tant s’agissant de la charge de la preuve que des obligations de signalement. En conséquence, un contentieux en plein essor s’est construit autour de trois questions : qui doit prouver, dans quelles conditions l’utilisateur perd son droit au remboursement et quel est l’effet du délai de treize mois prévu à l’article L. 133-24 du même code. L’arrêt rendu par la chambre commerciale le 4 février 2026, n° 22-22.609, publié au Bulletin, offre une illustration particulièrement nette de ce renouvellement en jugeant que l’utilisateur qui ne justifie pas de la date à laquelle il a signalé l’utilisation frauduleuse de sa carte bancaire perd son droit au remboursement. À cet égard, la présente étude se propose d’exposer le principe du remboursement immédiat des opérations non autorisées, avant d’en examiner les exceptions fondées sur la négligence grave et le signalement tardif.
I. Le principe du remboursement immédiat des opérations de paiement non autorisées
L’architecture du code monétaire et financier repose sur un principe simple : toute opération de paiement non autorisée doit être remboursée immédiatement au payeur. Ce principe, énoncé à l’article L. 133-18, s’accompagne toutefois d’un dispositif probatoire rigoureux dont la chambre commerciale a précisé les contours. La protection du payeur est en outre renforcée par l’exigence d’authentification forte, dont l’absence contraint le prestataire à supporter les conséquences financières de l’opération litigieuse.
A. La charge de la preuve pesant sur le prestataire de services de paiement
Aux termes de l’article L. 133-18 du code monétaire et financier, le prestataire de services de paiement rembourse au payeur le montant de l’opération non autorisée « immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant » (lien : article L. 133-18 du code monétaire et financier). Ce droit au remboursement n’est toutefois pas sans limite, puisque l’article L. 133-19, IV, du même code prévoit que le payeur supporte toutes les pertes si celles-ci résultent de son agissement frauduleux ou de sa négligence grave. Or, dans un arrêt publié au Bulletin le 30 avril 2025, n° 24-10.149, la chambre commerciale a rappelé la règle probatoire essentielle : « s’il entend faire supporter à l’utilisateur d’un instrument de paiement doté d’un dispositif de sécurité personnalisé les pertes occasionnées par une opération de paiement non autorisée rendue possible par un manquement de cet utilisateur, intentionnel ou par négligence grave, aux obligations mentionnées aux articles L. 133-16 et L. 133-17 de ce code, le prestataire de services de paiement doit au préalable prouver que l’opération en cause a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre » (Cass. com., 30 avr. 2025, n° 24-10.149, P+B). La charge de la preuve incombe ainsi au prestataire, et non au payeur qui conteste l’opération.
Cette solution, déjà affirmée par la chambre commerciale dans un arrêt du 20 novembre 2024, n° 23-15.099, publié au Bulletin, censure les juridictions du fond qui retiennent la négligence grave de l’utilisateur sans rechercher si l’opération litigieuse avait été authentifiée, dûment enregistrée et comptabilisée (Cass. com., 20 nov. 2024, n° 23-15.099, P+B). En l’espèce, la cour d’appel de Riom avait condamné le titulaire du compte pour avoir remis son relevé d’identité bancaire, puis sa carte bancaire et ses codes à un inconnu rencontré sur un réseau social. La Cour de cassation a cassé cette décision au motif que la négligence grave, fût-elle avérée, ne suffit pas à faire perdre au payeur son droit au remboursement tant que le prestataire n’a pas rapporté la preuve de la régularité technique de l’opération. En d’autres termes, la démonstration d’un comportement fautif de l’utilisateur ne dispense pas le prestataire d’établir les conditions d’application du régime de responsabilité. Par ailleurs, l’arrêt du 22 octobre 2025, n° 24-19.749, apporte une précision complémentaire : la chambre commerciale y affirme qu’à défaut d’authentification forte, le prestataire « doit rembourser au payeur le montant de l’opération non autorisée, sauf agissement frauduleux du payeur », quand bien même celui-ci aurait commis une négligence grave en répondant à un courriel présentant des anomalies grossières (Cass. com., 22 oct. 2025, n° 24-19.749). Des lors, la preuve de la régularité de l’opération constitue le préalable nécessaire à toute exonération du prestataire.
B. L’authentification forte, condition de l’exonération du prestataire
L’article L. 133-19, V, du code monétaire et financier dispose que, « sauf agissement frauduleux de sa part, le payeur ne supporte aucune conséquence financière si l’opération de paiement non autorisée a été effectuée sans que le prestataire de services de paiement du payeur n’exige une authentification forte du payeur prévue à l’article L. 133-44 » (article L. 133-19 du code monétaire et financier). L’authentification forte, définie à l’article L. 133-4 du même code, repose sur l’utilisation de deux éléments ou plus appartenant aux catégories de la connaissance, de la possession et de l’inhérence. Dans un arrêt publié au Bulletin le 30 août 2023, n° 22-11.707, la chambre commerciale a précisé l’entrée en vigueur de cette exigence, fixée au 14 septembre 2019, et a censuré un jugement qui avait retenu la négligence grave du payeur sans rechercher si l’opération avait été exécutée sans que la banque exige l’authentification forte (Cass. com., 30 août 2023, n° 22-11.707, P+B). En l’espèce, le titulaire du compte avait communiqué à un tiers, qu’il pensait être un employé de sa banque, le code « 3D Secure » à six chiffres, puis l’opération frauduleuse avait été exécutée. La Cour de cassation a néanmoins considéré que la seule négligence grave du payeur ne permettait pas d’écarter l’application de la règle protectrice de l’article L. 133-19, V.
Cette jurisprudence établit une hiérarchie nette entre les conditions d’exonération. L’agissement frauduleux du payeur prive celui-ci de toute protection, tandis que la négligence grave, fût-elle caractérisée, ne produit ses effets que si le prestataire a satisfait à ses propres obligations d’authentification. Or cette lecture trouve un prolongement dans l’arrêt du 4 février 2026, n° 22-22.609, dans lequel la chambre commerciale, après avoir rappelé que l’utilisateur doit avoir signalé « sans tarder » l’opération non autorisée à compter du moment où il en a eu connaissance, a approuvé la cour d’appel de Toulouse d’avoir rejeté la demande de remboursement formée par des époux qui ne justifiaient pas de la date à laquelle ils avaient signalé l’utilisation frauduleuse de leur carte bancaire (Cass. com., 4 févr. 2026, n° 22-22.609, P+B). La démonstration de la régularité de l’opération ne suffit donc pas, à elle seule, à faire échec au droit au remboursement : encore faut-il que l’utilisateur ait satisfait à ses propres obligations de vigilance. En conséquence, le régime applicable se structure autour de deux pôles, l’un protecteur du payeur, l’autre conditionnant cette protection à la diligence de celui-ci, ce qui conduit à examiner les exceptions fondées sur la négligence grave et le signalement tardif.
Le mécanisme ainsi dégagé présente une portée pratique considérable pour les titulaires de comptes professionnels comme pour les particuliers. La démonstration par la banque de la réussite technique de l’authentification forte, conjuguée à l’absence de vol déclaré du téléphone, crée en effet une présomption de régularité que la victime ne peut renverser qu’en établissant la date et les circonstances de son signalement. Or cette présomption, consacrée par la chambre commerciale dans l’arrêt du 4 février 2026, invite les utilisateurs à une surveillance régulière des mouvements affectant leurs comptes et à la conservation de toute trace écrite de leurs démarches, le défaut de collaboration probatoire étant désormais érigé en indice de négligence grave. La jurisprudence des cours d’appel, saisie de nombreux litiges de fraude au faux conseiller, applique ces principes avec une intensité variable : la cour d’appel de Versailles a ainsi retenu, dans un arrêt du 4 mars 2025, que la victime d’un faux conseiller en patrimoine ayant ordonné quatre virements de 70 000 euros vers des comptes étrangers ne pouvait obtenir le remboursement, quand la cour d’appel de Riom condamnait, le 26 février 2025, la banque à restituer les sommes débitées à la suite d’une escroquerie par message. Ces solutions contrastées confirment que chaque espèce se résout par une appréciation concrète des circonstances, au terme de laquelle la charge de la preuve demeure le véritable instrument de régulation du litige.
II. Les exceptions au remboursement : négligence grave et signalement tardif
Le législateur a entendu sanctionner l’utilisateur qui, par son comportement, a rendu possible l’opération frauduleuse ou a retardé sa découverte. La jurisprudence de la chambre commerciale, nourrie par les arrêts rendus entre 2023 et 2026, a précisé la notion de négligence grave et a donné au devoir de signalement une portée nouvelle, dont le point de départ a été fixé par la Cour de justice de l’Union européenne dans l’arrêt Veracash du 1er août 2025.
A. L’appréciation de la négligence grave dans les fraudes aux moyens de paiement
La notion de négligence grave, empruntée à la directive 2007/64/CE, se définit comme la violation caractérisée d’une obligation de diligence. La chambre commerciale en a fait une application nuancée selon le mode opératoire de la fraude. Dans l’arrêt de principe du 23 octobre 2024, n° 23-16.267, publié au Bulletin, la chambre commerciale a jugé qu’aucune négligence grave ne peut être imputée au titulaire d’un compte qui, contacté téléphoniquement par une personne se faisant passer pour un préposé de sa banque, dont le numéro s’affichait sur son téléphone, utilise à sa demande le dispositif de sécurité personnalisé pour supprimer puis réinscrire des bénéficiaires de virements dans le but d’éviter des opérations malveillantes (Cass. com., 23 oct. 2024, n° 23-16.267, FS-B). La Cour de cassation a approuvé la cour d’appel de Versailles d’avoir relevé que « le mode opératoire par l’utilisation du “spoofing” a mis M. [J] en confiance et a diminué sa vigilance, inférieure, face à un appel téléphonique émanant prétendument de sa banque pour lui faire part du piratage de son compte, à celle d’une personne réceptionnant un courriel, laquelle aurait pu disposer de davantage de temps pour s’apercevoir d’éventuelles anomalies révélatrices de son origine frauduleuse ». En jugeant que « de ces constatations et appréciations, la cour d’appel a pu déduire que la négligence grave de M. [J] n’était pas caractérisée », la chambre commerciale a tiré les conséquences de la sophistication croissante des manœuvres frauduleuses, qui réduit d’autant la part de faute du payeur.
Cette appréciation in concreto contraste avec la sévérité manifestée à l’égard des victimes d’hameçonnage par courriel. Ainsi, dans l’arrêt du 22 octobre 2025, n° 24-19.749, la chambre commerciale a approuvé la juridiction du fond d’avoir retenu « que le payeur avait commis une négligence grave en répondant à un courriel présentant des anomalies grossières qui auraient dû attirer son attention et en communiquant des données confidentielles dont les codes pour valider l’ajout d’un bénéficiaire et le virement » (Cass. com., 22 oct. 2025, n° 24-19.749). La distinction opérée entre le courriel, dont les anomalies sont décelables par un utilisateur normalement attentif, et l’appel téléphonique, dont le caractère frauduleux est plus difficilement perceptible, structure désormais le contentieux. Or, dans cette même affaire, la chambre commerciale a conservé sa ligne probatoire en exigeant du prestataire la preuve de l’activation de l’authentification forte, seule capable de faire échec au remboursement. Des lors, la négligence grave constitue une condition nécessaire, mais non suffisante, de l’exonération, et son appréciation demeure tributaire des circonstances de chaque espèce, ce qui explique la diversité des solutions rendues par les juridictions du fond. Par ailleurs, la charge de la preuve de la négligence grave incombe au prestataire, conformément au principe rappelé par l’arrêt du 30 avril 2025 précité, ce qui conduit les établissements bancaires à développer des argumentaires fondés sur les indices de comportement de l’utilisateur, tels que la tardiveté du signalement ou la communication des données de sécurité.
B. L’obligation de signalement « sans tarder » et le délai de treize mois
L’article L. 133-17 du code monétaire et financier impose à l’utilisateur de services de paiement, lorsqu’il a connaissance de la perte, du vol, du détournement ou de toute utilisation non autorisée de son instrument de paiement, d’en informer « sans tarder » son prestataire aux fins de blocage (article L. 133-17 du code monétaire et financier). L’article L. 133-24 du même code précise que l’utilisateur signale, sans tarder, l’opération non autorisée et au plus tard dans les treize mois suivant la date de débit, sous peine de forclusion (article L. 133-24 du code monétaire et financier). La combinaison de ces deux textes a donné lieu, entre 2023 et 2026, à un contentieux nourri dont la chambre commerciale a fixé les principes directeurs. L’arrêt du 14 janvier 2026, n° 22-14.822, publié au Bulletin, marque un tournant : après avoir rappelé que la Cour de justice de l’Union européenne a dit pour droit, dans son arrêt Veracash (C-665/23) du 1er août 2025, que « l’obligation incombant à l’utilisateur de services de paiement de signaler sans tarder à son prestataire de services de paiement une opération non autorisée naît à compter du moment où il en a eu connaissance et que, faute de l’avoir signalée, de manière délibérée ou par négligence grave, il est privé du droit d’obtenir la correction de cette opération, peu important que ce signalement ait été effectué dans les treize mois suivant la date de débit », la chambre commerciale a cassé l’arrêt de la cour d’appel de Paris pour avoir omis de rechercher la date à laquelle l’utilisateur avait eu connaissance de la première opération litigieuse (Cass. com., 14 janv. 2026, n° 22-14.822, P+B). Le point de départ du délai de signalement se situe ainsi à la date de connaissance effective de l’opération par l’utilisateur, et non à la date de débit, ce qui impose aux juges du fond une recherche concrète des circonstances de cette connaissance.
La portée du délai de treize mois a, en outre, été strictement délimitée par la jurisprudence. Dans un arrêt publié au Bulletin le 2 juillet 2025, n° 24-16.590, la chambre commerciale a jugé que le délai de forclusion prévu à l’article L. 133-24 ne s’applique qu’au signalement de l’opération au prestataire et non à l’introduction de l’action en justice : « il résultait de ses propres constatations que M. [W] avait signalé sans tarder et au plus tard dans le délai de treize mois les opérations non autorisées, ce qui l’autorisait à agir en paiement contre la banque dans le délai de droit commun » (Cass. com., 2 juill. 2025, n° 24-16.590, P+B). Cette solution a été réitérée par deux arrêts récents, l’un du 20 mai 2026, n° 25-13.721, qui a cassé l’arrêt de la cour d’appel d’Aix-en-Provence ayant déclaré irrecevable l’action en paiement engagée plus de treize mois après les opérations litigieuses, alors que les époux les avaient signalées sans tarder (Cass. com., 20 mai 2026, n° 25-13.721), l’autre du 1er juillet 2026, n° 25-16.495, qui a appliqué la même règle à un litige opposant un titulaire de compte à la BNP Paribas (Cass. com., 1er juill. 2026, n° 25-16.495). En conséquence, le titulaire du compte qui a signalé sans tarder l’opération non autorisée peut agir en remboursement dans le délai de prescription quinquennal de droit commun, le délai de treize mois n’étant qu’une condition de recevabilité du signalement, et non un délai de prescription de l’action. Des lors, la jurisprudence de la chambre commerciale concilie la sanction de la passivité de l’utilisateur, qui perd son droit au remboursement en cas de signalement tardif, et la préservation de ses droits procéduraux lorsque le signalement a été effectué dans les conditions légales.
Le contentieux du signalement tardif illustre par ailleurs l’influence croissante du droit de l’Union européenne sur le régime français des services de paiement. L’arrêt Veracash du 1er août 2025, en fixant le point de départ de l’obligation de signalement à la date de connaissance de la première opération litigieuse, a conduit la chambre commerciale à subordonner la perte du droit à correction à la démonstration d’un retard intentionnel ou d’une négligence grave de l’utilisateur. Cette exigence de proportionnalité, transposée dans l’arrêt du 14 janvier 2026, n° 22-14.822, impose désormais aux juridictions du fond une recherche effective de la date de connaissance, à défaut de laquelle leur décision est privée de base légale. Or cette recherche n’est pas sans incidence sur les fraudes les plus sophistiquées, dans lesquelles les opérations se succèdent sur plusieurs semaines et où la victime ne prend conscience du détournement qu’au terme d’une période plus ou moins longue. Par ailleurs, la chambre commerciale a écarté toute assimilation entre le délai de forclusion de treize mois et le délai de signalement « sans tarder », refusant ainsi de consacrer une immunité au seul respect du délai de forclusion : l’utilisateur qui aurait signalé l’opération dans les treize mois demeure exposé à la perte de son droit au remboursement si son signalement est jugé tardif au regard des circonstances. Cette double exigence, qui pèse sur les victimes comme sur leurs conseils, appelle une réactivité immédiate et une documentation rigoureuse de l’ensemble des démarches entreprises auprès du prestataire de services de paiement.
Conclusion
La jurisprudence de la chambre commerciale rendue entre 2023 et 2026 dessine un régime des opérations de paiement non autorisées à la fois protecteur du payeur et exigeant à son égard. Le principe demeure celui du remboursement immédiat, dont le prestataire ne peut s’exonérer qu’en rapportant la preuve de l’authentification de l’opération, de son enregistrement régulier et de l’absence de déficience technique, puis en établissant l’agissement frauduleux ou la négligence grave de l’utilisateur. L’arrêt du 23 octobre 2024, n° 23-16.267, marque toutefois une limite salutaire à la sévérité des établissements bancaires en écartant toute négligence grave à l’égard des victimes de spoofing téléphonique, tandis que l’arrêt du 4 février 2026, n° 22-22.609, rappelle que la diligence de l’utilisateur constitue la contrepartie de la protection légale. La fixation du point de départ du délai de signalement à la date de connaissance effective de l’opération, consacrée par l’arrêt du 14 janvier 2026 après l’arrêt Veracash de la Cour de justice de l’Union européenne, et la délimitation du délai de treize mois aux seules fins de la forclusion du signalement achèvent d’équilibrer ce dispositif. Ce corps de règles, d’application quotidienne dans le contentieux bancaire, commande aux entreprises et aux particuliers victimes d’une fraude une réactivité immédiate et la conservation de la preuve de leurs signalements, l’objet du présent décryptage étant d’en faciliter la mise en œuvre dans le cadre d’un contentieux de recouvrement des créances commerciales dont le traitement peut utilement être confié à un avocat en recouvrement de créances commerciales à Paris.
Transmettez les pièces de votre dossier au cabinet. Maître Reda KOHEN vous répond personnellement sous 24 heures avec une première analyse stratégique.