Les recherches Google des derniers jours parlent d’elles-mêmes : négligence grave banque, négligence grave fraude bancaire, négligence grave code monétaire et financier et négligence grave carte bancaire figurent parmi les suggestions les plus saisies autour de la fraude bancaire. Cette soudaine inquiétude a une cause précise : le 15 octobre 2026, la Cour de justice de l’Union européenne a rendu un arrêt qui modifie l’équilibre entre les banques et les victimes d’arnaques en ligne. Selon les articles de presse liés par Google Trends à cette tendance, dont Le Parisien le 15 octobre 2026, la Cour impose désormais aux banques européennes de rembourser les paiements non autorisés même en cas de négligence grave du client, quitte à discuter ensuite de la faute éventuelle de ce dernier. L’affaire à l’origine de cette décision concerne, d’après le communiqué officiel de la Cour, une cliente d’une banque polonaise victime d’une fraude par hameçonnage pour un montant équivalant à environ 700 euros : un tiers s’étant présenté comme intéressé par l’achat d’un objet qu’elle vendait sur une plateforme de vente en ligne lui avait transmis un lien frauduleux, elle avait suivi ce lien vers un site reproduisant l’apparence de celui de sa banque et y avait introduit ses données de connexion, que le fraudeur avait ensuite utilisées pour transférer l’argent vers son propre compte. La banque avait refusé le remboursement en invoquant une négligence grave, et la cliente avait saisi une juridiction polonaise. Cet article explique ce que cette décision change pour toute personne confrontée à un refus de remboursement après une fraude : quand la banque doit rembourser selon les textes du code monétaire et financier vérifiés pour cet article, quelles sont les deux seules issues laissées à l’établissement, et comment contester un refus en France en s’appuyant sur le code monétaire et financier et sur la jurisprudence récente de la Cour de cassation.

I. Banque tenue de rembourser même en cas de négligence grave : que dit l’arrêt du 15 octobre 2026 ?

A. Paiement non autorisé et remboursement au plus tard le premier jour ouvrable : qui est concerné ?

L’arrêt rendu le 15 octobre 2026 par la Cour de justice de l’Union européenne dans l’affaire C-70/25, dite « Tukowiecka », porte sur les opérations de paiement non autorisées au sens de la directive européenne sur les services de paiement transcrite aux articles L. 133-18 et suivants du code monétaire et financier. Le communiqué de presse n° 147/26 de la Cour, publié à Luxembourg le 15 octobre 2026 et disponible sur le site officiel de la Cour à l’adresse curia.europa.eu, indique que la négligence grave du client ne dispense pas le prestataire de services de paiement du remboursement immédiat du montant d’une opération de paiement non autorisée. Le texte intégral de l’arrêt est publié sur le site CURIA le jour du prononcé, et le communiqué renvoie au texte intégral publié sur le site CURIA le jour du prononcé sous la référence CELEX 62025CJ0070. Concrètement, toute personne titulaire d’un compte de paiement qui constate sur son relevé une opération qu’elle n’a pas autorisée entre dans le champ de cette protection, qu’il s’agisse d’un virement émis après un hameçonnage, d’un paiement par carte détourné ou d’une opération validée à son insu après usurpation de ses codes. La qualité de consommateur n’est pas exigée pour le remboursement immédiat lui-même, même si la Cour rattache sa solution à l’objectif de garantir un niveau élevé de protection des consommateurs.

Le délai dans lequel l’argent doit revenir sur le compte est fixé par les textes avec une précision qui ne laisse aucune marge d’interprétation. En droit français, l’article L. 133-18 du code monétaire et financier dispose que « le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, sauf s’il a de bonnes raisons de soupçonner une fraude de l’utilisateur du service de paiement et s’il communique ces raisons par écrit à la Banque de France ». Ce délai d’un jour ouvrable prévu par l’article L. 133-18 du code monétaire et financier court donc dès que la banque découvre l’opération ou en est informée par le client, et le compte débité doit être rétabli dans l’état où il se serait trouvé si l’opération n’avait pas eu lieu, avec une date de valeur qui n’est pas postérieure à celle du débit. Lorsque l’opération a été initiée par l’intermédiaire d’un prestataire fournissant un service d’initiation de paiement, c’est le prestataire gestionnaire du compte qui rembourse dans ce même délai d’un jour ouvrable prévu par l’article L. 133-18 du code monétaire et financier. Le même article L. 133-18 attache des pénalités au manquement de la banque à cette obligation de remboursement dans le délai d’un jour ouvrable : les sommes dues produisent intérêt au taux légal majoré de cinq points, puis de dix points au-delà de sept jours de retard, et de quinze points au-delà de trente jours de retard. La Cour de justice reprend exactement ce délai d’un jour ouvrable dans son communiqué n° 147/26 du 15 octobre 2026 : en cas d’opération de paiement non autorisée, le prestataire rembourse en principe immédiatement, au plus tard à la fin du premier jour ouvrable suivant la prise de connaissance ou l’information, à condition que le client l’informe sans retard injustifié. Il faut donc retenir deux conditions cumulatives pour déclencher ce délai d’un jour ouvrable : une opération non autorisée, et une information de la banque sans retard injustifié, ce qui suppose de signaler la fraude dès sa découverte et de faire bloquer l’instrument de paiement, conformément à l’article L. 133-18 du code monétaire et financier.

Ce mécanisme du remboursement immédiat se distingue nettement de la question de savoir qui supportera en définitive la perte, et c’est cette distinction qui fait toute la nouveauté de l’arrêt du 15 octobre 2026. Le communiqué de la Cour distingue la question du remboursement immédiat de celle de la charge définitive des pertes liées à l’opération. Puis il précise l’ordre des opérations : le prestataire procède d’abord au remboursement immédiat, puis peut réclamer au client le remboursement des pertes s’il établit qu’elles résultent d’un manquement intentionnel ou par négligence grave aux obligations du client, notamment la préservation de ses données de sécurité personnalisées, la preuve de cette négligence grave incombant au prestataire. Autrement dit, la banque avance l’argent d’abord et discute ensuite : elle ne peut plus se faire juge de la négligence de son client pour refuser de payer, mais elle conserve la possibilité de lui réclamer ensuite les sommes si elle démontre une négligence grave. La Cour justifie cette solution par l’effet utile de l’obligation de remboursement : permettre un refus d’emblée pour négligence grave priverait cette obligation de son effet et contraindrait le client à engager lui-même une procédure, avec les coûts et les inconvénients associés. Pour la victime, l’enjeu pratique est considérable : au lieu d’engager elle-même un procès pour obtenir le remboursement, elle récupère ses fonds dans le délai d’un jour ouvrable prévu par l’article L. 133-18 du code monétaire et financier et confirmé par l’arrêt du 15 octobre 2026 (communiqué n° 147/26 de la Cour), et c’est à la banque, si elle veut être remboursée à son tour, de prendre l’initiative et d’apporter la preuve.

Une seule exception permet à la banque de ne pas rembourser immédiatement, et elle est étroitement définie. Le communiqué de la Cour ne prévoit qu’une seule exception à cette obligation de remboursement immédiat : le cas où le prestataire a de bonnes raisons de soupçonner une fraude commise par le client lui-même et communique ces raisons par écrit à l’autorité nationale compétente. Cette exception vise donc le soupçon que le client a lui-même commis une fraude, par exemple en organisant une fausse opération pour obtenir indûment un remboursement, et non l’hypothèse où le client aurait simplement été imprudent face à un escroc. En droit français, cette exception correspond au cas prévu par l’article L. 133-18 du code monétaire et financier où le prestataire « a de bonnes raisons de soupçonner une fraude de l’utilisateur du service de paiement et s’il communique ces raisons par écrit à la Banque de France ». La banque doit donc écrire à la Banque de France pour exposer ses motifs raisonnables, et il lui appartient d’étayer ses soupçons. En dehors de cette hypothèse de fraude du client lui-même, aucun refus immédiat n’est admis, pas même lorsque la banque estime que le client a communiqué ses codes sur un faux site ou validé une opération après un appel trompeur. Cette lecture est confirmée par la solution centrale de l’arrêt, reprise par Le Parisien dans son article du 15 octobre 2026 : un prestataire ne peut pas refuser le remboursement immédiat au motif que le payeur aurait rendu l’opération possible par une négligence grave. Les victimes d’hameçonnage, de faux sites bancaires et d’arnaques aux faux acheteurs sur les plateformes de vente en ligne sont donc directement concernées par cette protection.

B. Négligence grave invoquée par la banque : pourquoi elle ne bloque plus le remboursement immédiat ?

Pour comprendre la portée de l’arrêt du 15 octobre 2026, il faut d’abord mesurer ce que recouvre la notion de négligence grave en droit français des paiements, car c’est sur ce fondement que les banques refusent le plus souvent de rembourser. L’article L. 133-16 du code monétaire et financier impose à l’utilisateur : « Dès qu’il reçoit un instrument de paiement, l’utilisateur de services de paiement prend toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées. Il utilise l’instrument de paiement conformément aux conditions régissant sa délivrance et son utilisation qui doivent être objectives, non discriminatoires et proportionnées. » Et l’article L. 133-19 du même code prévoit au IV que « Le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17 ». Concrètement, les banques invoquent ce texte quand le client a communiqué ses identifiants sur un faux site, transmis les codes reçus par message, validé l’ajout d’un bénéficiaire inconnu ou réenregistré ses bénéficiaires après un appel trompeur. Avant l’arrêt du 15 octobre 2026, beaucoup d’établissements en déduisaient qu’ils pouvaient refuser d’emblée tout remboursement dès lors qu’ils estimaient la négligence grave établie, et c’est précisément ce raisonnement que la Cour de justice écarte : le fait que le prestataire estime que le client a rendu l’opération possible par une négligence grave, notamment en protégeant mal ses données de sécurité personnalisées, ne l’autorise pas à refuser le remboursement immédiat. La négligence grave ne disparaît pas du droit applicable, mais elle change de place dans le raisonnement : elle ne conditionne plus le remboursement immédiat, elle ne peut fonder qu’une demande ultérieure de restitution des sommes, à charge pour la banque de la prouver.

La jurisprudence française récente montre d’ailleurs à quel point cette preuve de la négligence grave est exigeante pour les banques, ce qui renforce l’intérêt pratique de l’arrêt européen. Dans un arrêt du 23 octobre 2024 publié sous le numéro de pourvoi 23-16.267 et consultable à l’adresse courdecassation.fr/decision/67189203d8ceca1cd7018c82, la chambre commerciale de la Cour de cassation a rejeté le pourvoi d’une grande banque contre un client victime d’une arnaque au faux conseiller avec usurpation du numéro d’appel, dite « spoofing ». La Cour rappelle d’abord la règle de preuve : « il incombe au prestataire de services de paiement de rapporter la preuve d’une négligence grave de son client ». Puis elle approuve la cour d’appel d’avoir écarté la négligence grave en retenant que le numéro affiché sur le téléphone du client était celui de sa conseillère, qu’il croyait être en relation avec une salariée de la banque lorsqu’elle lui demandait de réenregistrer et valider des bénéficiaires, l’usurpation du numéro de la banque ayant mis le client en confiance et diminué sa vigilance face à un appel présenté comme émanant de son établissement. Cet arrêt illustre un point décisif pour les victimes : face à un appel qui affiche le vrai numéro de la banque, avec un interlocuteur qui connaît le dossier et invoque un piratage du compte, les juges admettent que la vigilance du client soit diminuée, et la banque qui se contente d’affirmer la négligence sans la démontrer perd son procès. L’arrêt européen du 15 octobre 2026 prolonge cette logique en imposant en plus le remboursement préalable : même si la banque estime disposer d’arguments sur la négligence, elle paie d’abord et plaide ensuite.

Deux autres décisions récentes de la Cour de cassation précisent les garde-fous qui protègent le client quand la banque veut lui faire supporter la perte après coup. Dans un arrêt du 5 mars 2025, pourvoi n° 23-22.687, consultable à l’adresse courdecassation.fr/decision/67c7f7e7d80e40890638ebfb, la Cour casse un jugement qui avait retenu la négligence grave d’une cliente au seul motif que sa clé digitale avait été enrôlée sur un nouvel appareil après connexion depuis une adresse inhabituelle et qu’elle avait validé cet enrôlement. La Cour énonce : « il incombe au prestataire de services de paiement de rapporter la preuve que l’utilisateur, qui nie avoir autorisé une opération de paiement, a agi frauduleusement ou n’a pas satisfait intentionnellement ou par négligence grave à son obligation de prendre toute mesure raisonnable pour préserver la sécurité des données de sécurité personnalisées, que cette preuve de la négligence grave ne peut se déduire du seul fait que l’instrument de paiement ou les données personnelles qui lui sont liées ont été effectivement utilisés ». Autrement dit, le fait que les codes du client aient servi ne prouve pas à lui seul qu’il a été gravement négligent : la banque doit démontrer un comportement précis, par exemple la communication des codes dans des circonstances qui caractérisent une imprudence qualifiée, et le juge apprécie souverainement les faits. Dans un arrêt du 30 avril 2025, pourvoi n° 24-10.149, consultable à l’adresse courdecassation.fr/decision/6811bc2512a37cea68763de4, la Cour ajoute une exigence technique préalable : « s’il entend faire supporter à l’utilisateur d’un instrument de paiement doté d’un dispositif de sécurité personnalisé les pertes occasionnées par une opération de paiement non autorisée rendue possible par un manquement de cet utilisateur, intentionnel ou par négligence grave, aux obligations mentionnées aux articles L. 133-16 et L 133-17 de ce code, le prestataire de services de paiement doit au préalable prouver que l’opération en cause a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre ». La banque doit donc d’abord établir la régularité technique de l’opération avant même de discuter de la faute du client. Enfin, un arrêt du 12 novembre 2020, pourvoi n° 19-12.112, consultable à l’adresse courdecassation.fr/decision/5fca28cdc8c4b77eec00da46, rappelle que le moyen de la banque qui postule que l’enregistrement de l’utilisation de l’instrument suffirait à prouver la négligence « manque en droit », et que l’appréciation des juges du fond qui estiment la preuve non rapportée est souveraine. L’ensemble dessine un régime cohérent : remboursement immédiat sauf fraude du client lui-même, puis preuve lourde à la charge de la banque si elle veut récupérer les fonds.

Reste une protection supplémentaire souvent décisive dans les dossiers de fraude en ligne : l’authentification forte. L’article L. 133-19 du code monétaire et financier prévoit au V que « Sauf agissement frauduleux de sa part, le payeur ne supporte aucune conséquence financière si l’opération de paiement non autorisée a été effectuée sans que le prestataire de services de paiement du payeur n’exige une authentification forte du payeur prévue à l’article L. 133-44 ». Et l’article L. 133-44 du même code impose au prestataire d’appliquer l’authentification forte lorsque le payeur accède à son compte en ligne, initie une opération de paiement électronique ou exécute une opération à distance comportant un risque de fraude.

La Cour de cassation en a tiré les conséquences dans un arrêt du 22 octobre 2025, pourvoi n° 24-19.749, consultable à l’adresse courdecassation.fr/decision/68f8713d0274fc2d1f4a1367 : pour les opérations de paiement à distance, la banque qui n’a pas exigé l’authentification forte doit rembourser le payeur, sauf fraude de ce dernier. Dans cette affaire, le client avait répondu à un courriel frauduleux et communiqué des données confidentielles, et le tribunal avait retenu qu’il avait « commis une négligence grave en répondant à un courriel présentant des anomalies grossières qui auraient dû attirer son attention et en communiquant des données confidentielles dont les codes pour valider l’ajout d’un bénéficiaire et le virement », mais la Cour approuve la condamnation de la banque au remboursement parce que celle-ci « ne justifie toutefois pas avoir exigé du payeur l’activation de l’authentification forte ». Même une négligence grave caractérisée ne fait donc pas échec au remboursement quand la banque n’a pas mis en œuvre l’authentification forte, sauf fraude du client. Pour les victimes, la vérification à opérer est simple : demander à la banque de prouver, opération par opération, qu’une authentification forte a bien été exigée au moment du paiement litigieux.

II. Banque qui refuse de rembourser après une fraude : comment contester et récupérer l’argent ?

A. Contester dans les treize mois et exiger le remboursement immédiat : quelle procédure ?

La première règle pratique tient au délai de contestation, car tout retard peut faire perdre le droit au remboursement. L’article L. 133-24 du code monétaire et financier dispose que « L’utilisateur de services de paiement signale, sans tarder, à son prestataire de services de paiement une opération de paiement non autorisée ou mal exécutée et au plus tard dans les treize mois suivant la date de débit sous peine de forclusion à moins que le prestataire de services de paiement ne lui ait pas fourni ou n’ait pas mis à sa disposition les informations relatives à cette opération de paiement conformément au chapitre IV du titre 1er du livre III ». Ce délai de treize mois prévu par l’article L. 133-24 du code monétaire et financier court à compter de la date du débit, et son dépassement entraîne la forclusion, c’est-à-dire la perte du droit de contester, sauf si la banque n’a pas fourni les informations sur l’opération. En pratique, il ne faut jamais attendre l’expiration de ce délai de treize mois : le signalement doit intervenir sans tarder, dès la découverte de l’opération, par écrit, avec opposition et blocage de l’instrument. L’article L. 133-17 du même code impose en effet à l’utilisateur : « Lorsqu’il a connaissance de la perte, du vol, du détournement ou de toute utilisation non autorisée de son instrument de paiement ou des données qui lui sont liées, l’utilisateur de services de paiement en informe sans tarder, aux fins de blocage de l’instrument, son prestataire ou l’entité désignée par celui-ci. » Ce signalement sans tarder conditionne le déclenchement du délai de remboursement d’un jour ouvrable prévu par l’article L. 133-18 : plus l’information est rapide, plus la banque est tenue de réagir vite, et tout retard du client lui serait opposé pour discuter du remboursement. Après le blocage, l’article L. 133-20 du code monétaire et financier protège le client pour l’avenir en disposant que « Après avoir informé son prestataire ou l’entité désignée par celui-ci, conformément à l’article L. 133-17 aux fins de blocage de l’instrument de paiement, le payeur ne supporte aucune conséquence financière résultant de l’utilisation de cet instrument de paiement ou de l’utilisation détournée des données qui lui sont liées, sauf agissement frauduleux de sa part. » Les opérations postérieures au blocage ne peuvent donc pas être mises à la charge du client, sauf fraude de sa part.

Une fois le signalement effectué, la contestation écrite adressée à la banque doit viser précisément l’obligation de remboursement immédiat dans le délai d’un jour ouvrable. Le courrier rappelle que l’opération est non autorisée, que le client l’a signalée sans retard injustifié, et que l’article L. 133-18 du code monétaire et financier impose le remboursement « immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant », avec rétablissement du compte dans l’état où il se serait trouvé sans l’opération. Depuis l’arrêt du 15 octobre 2026, ce courrier cite également la solution européenne : la banque ne peut pas refuser au motif d’une négligence grave, et la seule exception admise suppose qu’elle ait de bonnes raisons de soupçonner une fraude commise par le client lui-même et qu’elle les ait communiquées par écrit à l’autorité compétente, ce qu’il lui appartient d’établir. Si la banque oppose la négligence grave, il faut lui demander par écrit sur quels faits précis elle se fonde, quelles obligations des articles L. 133-16 et L. 133-17 auraient été méconnues, et si une authentification forte a été exigée opération par opération conformément à l’article L. 133-44. Cette demande écrite a une double utilité : elle met la banque en demeure de justifier son refus par des éléments concrets plutôt que par des formules générales, et elle constitue une preuve pour la suite de la procédure. Il faut conserver tous les justificatifs : relevés montrant le débit, captures du message frauduleux, numéro affiché lors de l’appel, historique des échanges avec la banque, récépissé d’opposition et de blocage, dépôt de plainte. Le dépôt de plainte pour escroquerie ou fraude informatique n’est pas une condition du remboursement bancaire, mais il documente la fraude subie et peut s’avérer utile si la banque soupçonne une fraude du client lui-même.

Si la banque maintient son refus malgré la contestation, plusieurs voies de recours s’offrent à la victime, à engager sans attendre puisque le délai de treize mois prévu par l’article L. 133-24 du code monétaire et financier pour signaler l’opération continue de conditionner le droit au remboursement. La première étape consiste à saisir par écrit le service des réclamations de la banque, puis le médiateur bancaire, en joignant la contestation initiale, la preuve du signalement sans tarder et le rappel de l’obligation de remboursement dans le délai d’un jour ouvrable prévu par l’article L. 133-18 du code monétaire et financier. En parallèle, un signalement peut être adressé à l’Autorité de contrôle prudentiel et de résolution pour les pratiques de refus systématique, et à la Banque de France lorsque la banque prétend avoir soupçonné une fraude du client sans l’avoir écrit à l’autorité compétente. Si ces démarches n’aboutissent pas, l’action en justice devant le tribunal judiciaire permet de demander la restitution des sommes avec les intérêts de retard prévus par l’article L. 133-18 : les sommes dues produisent intérêt au taux légal majoré de cinq points, puis de dix points au-delà de sept jours de retard dans ce délai de remboursement, et de quinze points au-delà de trente jours de retard. Devant le juge, la charge de la preuve pèse sur la banque : l’article L. 133-23 du code monétaire et financier dispose que « Lorsqu’un utilisateur de services de paiement nie avoir autorisé une opération de paiement qui a été exécutée, ou affirme que l’opération de paiement n’a pas été exécutée correctement, il incombe à son prestataire de services de paiement de prouver que l’opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre », et que « L’utilisation de l’instrument de paiement telle qu’enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l’opération a été autorisée par le payeur ou que celui-ci n’a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant en la matière ». La banque doit donc produire des éléments techniques et factuels précis, et le simple relevé informatique ne suffit pas. C’est sur ce terrain de la preuve que se gagnent la plupart des dossiers, comme le montrent les arrêts rendus en 2024 et 2025 exposés plus haut.

B. Authentification forte et preuve de la négligence grave : que doit démontrer la banque après le remboursement ?

Une fois le remboursement immédiat intervenu dans le délai d’un jour ouvrable rappelé par la Cour dans son communiqué n° 147/26 du 15 octobre 2026, la banque qui veut récupérer les fonds doit changer de posture : elle ne refuse plus, elle réclame, et c’est à elle de prouver. Le communiqué de la Cour du 15 octobre 2026 fixe ce renversement en des termes que toute victime peut opposer à son établissement : dans un second temps seulement, la banque peut réclamer au client les pertes qu’elle établit résulter d’un manquement intentionnel ou par négligence grave à ses obligations de sécurité, la preuve de cette négligence grave lui incombant. Trois exigences cumulatives en résultent pour la banque : démontrer un manquement précis aux obligations de sécurité, établir le lien entre ce manquement et la perte, et prouver au préalable la régularité technique de l’opération. Sur ce dernier point, l’arrêt du 30 avril 2025 (Cass. com., 30 avr. 2025, n° 24-10.149) impose à la banque de « prouver que l’opération en cause a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre » avant de discuter de la faute du client. Une banque qui se borne à produire le journal informatique de l’opération sans démontrer l’absence de déficience technique ne satisfait pas à cette exigence, et sa demande de restitution doit être rejetée. De même, l’arrêt du 12 novembre 2020 rappelle que le moyen qui postule que l’enregistrement suffirait « manque en droit », ce qui interdit à la banque de déduire la négligence du seul fait que les codes ont fonctionné.

Sur le manquement lui-même, la banque doit identifier les faits exacts reprochés au client et les rattacher aux obligations des articles L. 133-16 et L. 133-17, car les formules générales ne suffisent pas. L’arrêt du 5 mars 2025 l’illustre nettement : la banque faisait valoir que la cliente avait validé l’enrôlement de sa clé digitale sur un nouvel appareil après une connexion inhabituelle, et le tribunal en avait déduit qu’elle était « par imprudence, à l’origine du préjudice subi », mais la Cour de cassation (Cass. com., 5 mars 2025, n° 23-22.687) casse cette décision parce que le tribunal « a déduit la négligence grave de Mme [P] de la seule utilisation de ses données de sécurité personnalisées ». Pour résister à une demande de restitution de la banque, le client a donc intérêt à exiger le détail : à quelle date et dans quelles circonstances aurait-il communiqué ses données, quel message ou quel appel est en cause, en quoi son comportement s’écarte de ce qu’aurait fait une personne normalement vigilante placée dans la même situation, et comment ce comportement a rendu possible l’opération précise. Les situations de « spoofing », où le numéro de la banque s’affiche et où l’interlocuteur se présente comme un salarié de l’établissement alertant sur un piratage, jouent en faveur du client, puisque la Cour de cassation a jugé le 23 octobre 2024 que ce mode opératoire avait mis le client en confiance et diminué sa vigilance. À l’inverse, la banque tentera de mettre en avant des anomalies que le client aurait dû repérer : adresse d’expéditeur fantaisiste, fautes grossières, demande explicite de communiquer des codes que la banque ne demande jamais, validation de l’ajout d’un bénéficiaire inconnu. Chaque dossier se joue sur ces faits, et le juge du fond apprécie souverainement si la négligence grave est caractérisée, sans que la Cour de cassation ne substitue son appréciation à la sienne dès lors que la preuve technique préalable est rapportée.

Le contrôle de l’authentification forte constitue le deuxième verrou, souvent décisif, car il peut anéantir toute demande de restitution de la banque même en présence d’une imprudence du client. Comme l’a jugé la Cour de cassation le 22 octobre 2025, à défaut d’authentification forte exigée par la banque pour l’opération à distance, celle-ci doit rembourser le payeur, sauf fraude de ce dernier, alors même que le tribunal avait retenu une négligence grave du client qui avait répondu à un courriel frauduleux et communiqué ses codes. En pratique, la victime doit donc demander à la banque, pour chaque opération litigieuse, la preuve qu’une authentification forte comportant des éléments établissant un lien dynamique entre l’opération, le montant et le bénéficiaire a bien été exigée au moment du paiement, conformément aux exigences de l’article L. 133-44 du code monétaire et financier. Si la banque ne rapporte pas cette preuve opération par opération, sa demande de restitution échoue, sauf à démontrer une fraude du client lui-même. Il faut également vérifier le plafond applicable avant toute information aux fins de blocage : l’article L. 133-19 du code monétaire et financier limite à 50 euros les pertes supportées par le payeur avant l’information prévue à l’article L. 133-17 en cas d’opération consécutive à la perte ou au vol de l’instrument, avec plusieurs cas où sa responsabilité n’est pas engagée du tout, notamment quand l’opération a été effectuée sans utilisation des données de sécurité personnalisées ou par détournement à son insu. Ces textes dessinent une gradation claire : 50 euros au maximum avant le blocage pour la perte ou le vol simples, aucune conséquence financière après le blocage sauf fraude, aucune conséquence sans authentification forte sauf fraude, et support de toutes les pertes seulement en cas de fraude ou de négligence grave prouvée. La banque qui réclame la totalité des sommes doit donc se situer précisément sur cette échelle et justifier chaque étage.

Enfin, la victime qui a été remboursée puis poursuivie en restitution par sa banque ne doit ni ignorer la demande ni la payer sans examen. La bonne attitude consiste à répondre par écrit en contestant la négligence grave point par point, en rappelant que la preuve incombe à la banque en vertu de l’article L. 133-23 et de l’arrêt européen du 15 octobre 2026, et en exigeant la démonstration préalable de l’authentification de l’opération, de son enregistrement régulier et de l’absence de déficience technique. Il faut également vérifier que la banque n’invoque pas après coup des pièces qu’elle n’avait pas produites au stade du refus initial, et comparer sa version des faits avec les pièces conservées : relevés, messages, journaux de connexion, attestations de l’opérateur téléphonique en cas de « spoofing ». Si la banque assigne en justice, le juge tranchera en appliquant la distinction rappelée par la Cour de justice entre le remboursement immédiat, qui est acquis sauf fraude du client signalée par écrit à l’autorité compétente, et la charge définitive des pertes, qui suppose une négligence grave établie. Dans ce procès en restitution, c’est la banque qui est demanderesse et qui supporte le risque de la preuve, ce qui inverse complètement la situation antérieure où la victime devait se battre pour obtenir le remboursement. Les décisions rendues en 2024 et 2025 montrent que les banques perdent régulièrement ce contentieux quand elles se contentent d’affirmations générales, et l’arrêt du 15 octobre 2026 leur impose désormais d’avancer les fonds avant même d’engager ce débat.

Conclusion

L’arrêt de la Cour de justice de l’Union européenne du 15 octobre 2026 dans l’affaire C-70/25 clarifie durablement le droit des victimes de fraude bancaire : la banque rembourse d’abord, dans le délai repris par l’article L. 133-18 du code monétaire et financier au plus tard à la fin du premier jour ouvrable suivant la découverte ou l’information, et elle ne peut refuser ce remboursement immédiat en invoquant une négligence grave du client. La seule exception suppose qu’elle ait de bonnes raisons de soupçonner une fraude commise par le client lui-même et qu’elle les communique par écrit à la Banque de France. La négligence grave conserve un rôle, mais au second temps seulement : la banque peut réclamer ensuite la restitution des pertes si elle prouve un manquement précis aux obligations de sécurité, le lien avec la perte, la régularité technique de l’opération et, pour les paiements à distance, l’exigence d’une authentification forte opération par opération. La jurisprudence récente de la Cour de cassation, du « spoofing » jugé le 23 octobre 2024 à l’authentification forte jugée le 22 octobre 2025, montre que cette preuve est lourde et que les affirmations générales ne suffisent pas. Pour toute personne confrontée à une fraude, la conduite à tenir tient en trois réflexes : signaler sans tarder et bloquer l’instrument, contester par écrit dans le délai de treize mois courant à compter du débit sous peine de forclusion prévu par l’article L. 133-24 du code monétaire et financier en exigeant le remboursement dans le délai d’un jour ouvrable, puis exiger de la banque la preuve complète si elle réclame ensuite les fonds. Les décisions consultées pour cet article ne tranchent pas les situations où le client aurait lui-même validé l’opération en connaissance de cause, qui relèvent de l’autorisation et non du paiement non autorisé : en cas de doute sur cette qualification, l’examen des faits précis reste indispensable avant d’engager une contestation. Pour approfondir le régime des opérations non autorisées et de la charge de la preuve, les analyses du cabinet sur le droit bancaire et financier détaillent les recours ouverts aux victimes d’arnaques en ligne.