Un papillon glissé sous l’essuie-glace d’un véhicule en stationnement, arborant les couleurs tricolores et la typographie des formulaires administratifs, intime au conducteur de régler une amende de 35 euros dans un délai de quarante-huit heures en scannant un QR code, sous peine de voir le montant porté immédiatement à 135 euros. Selon l’alerte publiée le 13 novembre 2026 par le site spécialisé JeChange.fr, ce procédé frauduleux, repéré notamment à Paris ainsi que dans plusieurs départements français, ne vise nullement le seul encaissement de la somme de 35 euros affichée sur le document. L’objectif des auteurs de la manœuvre consiste à diriger l’automobiliste vers une page internet contrefaisant le portail officiel de télépaiement des amendes afin de capter les données de sa carte bancaire, son cryptogramme visuel et ses codes d’authentification, puis d’exécuter des achats ou des prélèvements d’un montant beaucoup plus élevé.
Cette méthode s’inscrit dans le phénomène plus vaste de l’hameçonnage par code matriciel, désigné sous le terme de « quishing » par contraction des mots « QR code » et « phishing ». Comme le détaille la fiche pratique publiée par le ministère de l’Économie sur economie.gouv.fr, ainsi que la note d’information du dispositif national Cybermalveillance.gouv.fr, le détournement de codes matriciels ne se limite pas aux faux avis de contravention déposés sur les pare-brise. Il affecte également les horodateurs municipaux, les bornes de recharge de véhicules électriques, les faux avis de passage de transporteurs déposés dans les boîtes aux lettres et les courriels imitant des organismes publics ou des établissements financiers, sur lesquels un autocollant ou une image codifiée renvoie l’utilisateur vers un domaine internet frauduleux.
Pour le particulier dont le compte bancaire est débité à la suite du scan d’un tel code, la confrontation avec l’établissement teneur de compte cristallise des difficultés juridiques récurrentes. Les banques opposent fréquemment à leur client le fait que les opérations litigieuses ont été validées au moyen d’un dispositif d’authentification forte ou que la saisie volontaire des coordonnées de la carte sur un site tiers caractériserait une négligence grave privative de tout remboursement. Pourtant, le droit français des services de paiement, issu de la transposition des directives européennes sur les services de paiement, encadre de manière stricte tant la qualification d’opération non autorisée que la charge de la preuve incombant au prestataire de services de paiement.
L’analyse juridique de l’arnaque au QR code commande dès lors d’examiner, d’une part, les règles du droit pénal et de la procédure pénale qui permettent de déceler immédiatement les incohérences légales d’un faux avis de contravention et de qualifier pénalement la manœuvre (I), et, d’autre part, le régime de responsabilité bancaire applicable aux opérations de paiement consécutives au quishing, tel qu’interprété par la jurisprudence récente de la chambre commerciale de la Cour de cassation (II).
I. La détection juridique du faux avis de contravention par QR code et la qualification pénale du quishing
A. Les anomalies légales du faux avis de contravention au regard du Code de procédure pénale
La crédibilité apparente du faux avis de contravention repose sur l’exploitation d’un réflexe de crainte face à l’autorité publique et sur l’imitation visuelle des avis émis par l’Agence nationale de traitement automatisé des infractions (ANTAI). Toutefois, la structure même de la menace financière figurant sur ces papillons contredit directement les dispositions impératives du Code de procédure pénale qui régissent le barème et le recouvrement des amendes forfaitaires en France. L’examen des textes réglementaires et législatifs en vigueur révèle trois impossibilités juridiques absolues qui suffisent à identifier la fraude avant même toute utilisation d’un téléphone mobile.
En premier lieu, l’affirmation selon laquelle une amende de stationnement de 35 euros passerait à 135 euros à défaut de règlement immédiat méconnaît la séparation réglementaire des classes de contraventions. En vertu de l’article R. 49 du Code de procédure pénale, le montant de l’amende forfaitaire est fixé à 35 euros pour les contraventions de la deuxième classe et à 135 euros pour les contraventions de la quatrième classe. Parallèlement, l’article R. 49-7 du Code de procédure pénale fixe le montant de l’amende forfaitaire majorée à 75 euros pour les contraventions de la deuxième classe et à 375 euros pour les contraventions de la quatrième classe. Il en résulte qu’une contravention de deuxième classe d’un montant initial de 35 euros est portée, en cas de majoration légale, à la somme de 75 euros et ne peut en aucun cas devenir une amende de 135 euros, ce dernier montant correspondant au tarif forfaitaire initial d’une infraction de quatrième classe. Aucune disposition du Code de procédure pénale ne prévoit le passage d’une classe de contravention à une autre en raison d’un retard de paiement.
En deuxième lieu, l’ultimatum de quarante-huit heures mis en avant par les auteurs du faux document pour provoquer un paiement précipité est dépourvu de toute existence légale. Le délai d’acquittement ou de contestation d’une amende forfaitaire obéit exclusivement à l’article 529-2 du Code de procédure pénale, lequel dispose qu’à défaut de paiement ou d’une requête tendant à son exonération présentée dans le délai de quarante-cinq jours, l’amende forfaitaire est majorée de plein droit et recouvrée au profit du Trésor public en vertu d’un titre rendu exécutoire par le ministère public. La loi accorde ainsi au contrevenant un délai de quarante-cinq jours pour payer l’amende forfaitaire ou formuler une requête en exonération, ainsi que le précise l’article 529-2 du Code de procédure pénale. L’injonction de payer sous quarante-huit heures constitue donc un artifice psychologique destiné à priver l’automobiliste du temps de vérification nécessaire.
En troisième lieu, les modalités matérielles de notification de l’avis de contravention sont strictement encadrées par l’article R. 49-1 du Code de procédure pénale. Ce texte prévoit qu’un avis de contravention et une carte de paiement, dont le modèle est fixé par arrêté du garde des sceaux, ministre de la justice, sont remis au contrevenant ou envoyés au titulaire du certificat d’immatriculation lorsque l’infraction est constatée au moyen d’un appareil électronique sécurisé ne permettant pas l’édition immédiate de ces documents. Comme le soulignent l’analyse publiée par JeChange.fr et le dossier de Cybermalveillance.gouv.fr, la verbalisation électronique donne lieu à l’envoi postal de l’avis officiel au domicile du titulaire de la carte grise, et les forces de l’ordre n’apposent aucun QR code de paiement direct sur le pare-brise. Si les avis officiels envoyés par courrier par l’ANTAI ou certains avis de forfait de post-stationnement comportent un code matriciel destiné à faciliter le règlement, celui-ci redirige exclusivement vers les portails institutionnels amendes.gouv.fr ou stationnement.gouv.fr, jamais vers un nom de domaine privé imitant l’administration.
B. Du détournement de QR code sur les équipements publics à l’incrimination pénale d’escroquerie
Au-delà du faux avis de contravention glissé sous l’essuie-glace, l’hameçonnage par code matriciel repose sur une vulnérabilité cognitive propre à la lecture optique sur ordiphone. Lorsqu’un consommateur reçoit un courriel ou un message textuel classique contenant un lien hypertexte, l’adresse complète du site de destination demeure souvent visible ou consultable par un appui prolongé. À l’inverse, ainsi que l’explique la plateforme officielle Cybermalveillance.gouv.fr, le QR code se présente sous la forme d’une image codifiée illisible à l’œil nu, conçue précisément pour éviter la saisie manuelle d’une adresse sur un écran mobile. Les fraudeurs exploitent cette opacité en superposant un autocollant malveillant sur le code légitime d’un parcmètre, d’une borne de recharge électrique ou d’une affiche d’information, conformément aux scénarios recensés par le ministère de l’Économie sur economie.gouv.fr.
Sur le plan pénal, la mise en place d’un tel dispositif réunit l’ensemble des éléments constitutifs du délit d’escroquerie prévu et réprimé par l’article 313-1 du Code pénal. Aux termes de ce texte, l’escroquerie est le fait, soit par l’usage d’un faux nom ou d’une fausse qualité, soit par l’abus d’une qualité vraie, soit par l’emploi de manœuvres frauduleuses, de tromper une personne physique ou morale et de la déterminer ainsi, à son préjudice ou au préjudice d’un tiers, à remettre des fonds, des valeurs ou un bien quelconque, à fournir un service ou à consentir un acte opérant obligation ou décharge, l’infraction étant punie de cinq ans d’emprisonnement et de 375 000 euros d’amende. Dans le schéma du quishing, l’usurpation des attributs visuels de l’État, d’une collectivité territoriale ou d’un opérateur de stationnement caractérise l’usage d’une fausse qualité, tandis que l’impression d’un faux support physique ou l’apposition d’un autocollant redirigeant vers une interface bancaire contrefaite constitue une manœuvre frauduleuse extérieure donnant force et crédit à l’allégation mensongère.
La tromperie opère souvent en deux temps distincts, dont la compréhension est déterminante pour la qualification bancaire ultérieure. Dans un premier temps, la victime croit régler une redevance de stationnement ou une amende de 35 euros et saisit sur le formulaire contrefait les seize chiffres de sa carte bancaire, sa date d’expiration et son cryptogramme visuel. Dans un second temps, les données ainsi collectées sont immédiatement exploitées par les auteurs de l’infraction soit pour déclencher en temps réel une demande de validation sur l’application mobile bancaire du porteur correspondant à un achat ou à un enrôlement de portefeuille numérique d’un montant sans rapport avec la somme affichée, soit pour réaliser dans les heures suivantes une série de paiements à distance, voire pour alimenter un appel téléphonique ultérieur usurpant la qualité de conseiller bancaire.
Dès la découverte de la supercherie ou la constatation d’un débit suspect, l’utilisateur doit accomplir les diligences conservatoires prescrites par la loi et rappelées par la fiche pratique economie.gouv.fr. Il lui incombe en premier lieu de faire opposition sur sa carte bancaire, conformément à l’article L. 133-17 du Code monétaire et financier qui impose à l’utilisateur d’informer sans tarder son prestataire de services de paiement aux fins de blocage de l’instrument lorsqu’il a connaissance du détournement ou de toute utilisation non autorisée de son instrument de paiement ou des données qui lui sont liées. Il convient parallèlement de conserver précieusement l’exemplaire original du faux avis de contravention ou la photographie de l’autocollant apposé sur l’horodateur ainsi que les captures d’écran de l’adresse internet frauduleuse, de signaler l’usage frauduleux de la carte sur la plateforme publique Perceval et de déposer plainte auprès des services de police ou de gendarmerie ou par la procédure en ligne THESEE. Ces éléments matériels constituent le socle probatoire indispensable pour contester tout refus de prise en charge opposé par l’établissement bancaire.
II. Le remboursement bancaire des paiements consécutifs au quishing et le régime probatoire de la négligence grave
A. L’obligation de remboursement immédiat des opérations non autorisées et la charge de la preuve pesant sur la banque
Le traitement juridique des pertes financières subies à la suite d’une arnaque au QR code repose sur la distinction fondamentale entre opération de paiement autorisée et opération de paiement non autorisée. En application de l’article L. 133-6 du Code monétaire et financier, une opération de paiement est autorisée uniquement si le payeur a donné son consentement à son exécution. Ce consentement doit porter sur l’opération précise, son montant et son bénéficiaire. Dès lors, si les auteurs du quishing utilisent les coordonnées de carte bancaire captées sur le faux portail d’amende pour effectuer à l’insu du titulaire des achats en ligne, ou s’ils substituent à la transaction de 35 euros affichée à l’écran un débit d’un montant différent auquel le porteur n’a jamais consenti, ces débits constituent juridiquement des opérations de paiement non autorisées.
En présence d’une opération de paiement non autorisée, le principe directeur posé par l’article L. 133-18 du Code monétaire et financier est celui du remboursement immédiat par le prestataire de services de paiement. Ce texte impose à la banque du payeur de rembourser le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informée, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, tout en rétablissant le compte débité dans l’état où il se serait trouvé si l’opération n’avait pas eu lieu, sauf si elle a de bonnes raisons de soupçonner une fraude de l’utilisateur et qu’elle communique ces raisons par écrit à la Banque de France. Afin de sanctionner les retards d’exécution des établissements bancaires, l’article L. 133-18 du Code monétaire et financier assortit ce délai légal de pénalités financières progressives de plein droit : les sommes dues produisent intérêt au taux légal majoré de cinq points dès le dépassement du délai, puis de dix points au-delà de sept jours de retard, et de quinze points au-delà de trente jours de retard.
Pour tenter d’échapper à cette obligation légale de remboursement, les établissements de crédit invoquent quasi systématiquement les dispositions combinées de l’article L. 133-16 du Code monétaire et financier, qui impose à l’utilisateur de prendre toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées, et du IV de l’article L. 133-19 du Code monétaire et financier, selon lequel le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17. Il importe toutefois de relever, d’une part, qu’en vertu du V de l’article L. 133-19 du Code monétaire et financier, sauf agissement frauduleux de sa part, le payeur ne supporte aucune conséquence financière si l’opération non autorisée a été effectuée sans que son prestataire n’exige une authentification forte du payeur prévue à l’article L. 133-44 du Code monétaire et financier, laquelle doit comporter des éléments établissant un lien dynamique entre l’opération, le montant et le bénéficiaire donnés.
D’autre part, même lorsqu’une authentification forte a été mise en œuvre, l’article L. 133-23 du Code monétaire et financier fait peser la charge intégrale de la preuve sur l’établissement bancaire et interdit toute présomption de faute tirée du seul fonctionnement technique de l’instrument. La chambre commerciale de la Cour de cassation rappelle avec une fermeté constante la double exigence probatoire qui pèse sur le banquier. Ainsi, dans son arrêt du 12 novembre 2020 (n° 19-12.112), la haute juridiction énonce que « s’il entend faire supporter à l’utilisateur d’un instrument de paiement doté d’un dispositif de sécurité personnalisé les pertes occasionnées par une opération de paiement non autorisée rendue possible par un manquement de cet utilisateur, intentionnel ou par négligence grave, aux obligations mentionnées aux articles L. 133-16 et L. 133-17 de ce code, le prestataire de services de paiement doit aussi prouver que l’opération en cause a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre. » (Cass. com., 12 novembre 2020, n° 19-12.112).
Surtout, la production par la banque des journaux informatiques attestant de la saisie des données de la carte ou du code de sécurité ne suffit jamais à démontrer la négligence grave du client. Dans un arrêt de cassation rendu le 26 mars 2025 (n° 23-21.299), la chambre commerciale de la Cour de cassation a réaffirmé ce principe directeur en des termes dépourvus d’ambiguïté : « Il résulte de la combinaison de ces textes qu’il appartient au prestataire de services de paiement de rapporter la preuve que l’utilisateur, qui nie avoir autorisé une opération de paiement, a agi frauduleusement ou n’a pas satisfait intentionnellement ou par négligence grave à son obligation de prendre toute mesure raisonnable pour préserver la sécurité des données de sécurité personnalisées. La négligence grave ne peut se déduire du seul fait que l’instrument de paiement ou les données personnelles qui lui sont liées ont été effectivement utilisés. » (Cass. com., 26 mars 2025, n° 23-21.299). La banque qui se borne à produire des relevés d’authentification ou à affirmer par voie de simple déduction que son client a nécessairement commis une imprudence en répondant à un hameçonnage échoue donc dans l’administration de la preuve qui lui incombe.
Lorsque l’établissement bancaire parvient à établir matériellement que le client a saisi ses données à la suite d’un procédé d’hameçonnage, le débat judiciaire porte alors sur l’appréciation concrète du comportement de l’utilisateur au regard du standard de l’utilisateur normalement attentif. Par un arrêt du 23 octobre 2019 (n° 18-15.823), la chambre commerciale de la Cour de cassation a approuvé les juges du fond d’avoir condamné la banque au remboursement après avoir relevé qu’« il ne résulte d’aucune constatation de l’arrêt que le message d’hameçonnage du 27 octobre 2013, en réponse auquel, à supposer ce fait établi, Mme L… aurait communiqué des données personnelles liées à son instrument de paiement, ait contenu des indices permettant à un utilisateur normalement attentif de douter de sa provenance » (Cass. com., 23 octobre 2019, n° 18-15.823). Transposée au quishing, cette grille d’analyse conduit les juridictions saisies d’un contentieux commercial et bancaire à examiner avec précision les circonstances du piège : un autocollant apposé à l’identique sur un horodateur public et renvoyant vers une interface reproduisant fidèlement l’ergonomie du gestionnaire de stationnement est de nature à tromper un consommateur normalement vigilant, tandis que la banque s’efforcera à l’inverse de démontrer que des incohérences flagrantes, telles qu’un domaine internet aberrant ou un message d’authentification mentionnant un montant très supérieur à la redevance annoncée, auraient dû alerter le payeur.
B. L’articulation du délai de forclusion de treize mois, du signalement sans tarder et de l’exclusivité du régime légal
La recevabilité et le bien-fondé de la demande de remboursement formée par la victime d’une fraude au paiement dépendent également du strict respect des règles temporelles et substantielles fixées par le Code monétaire et financier. Aux termes de l’article L. 133-24 du Code monétaire et financier, l’utilisateur de services de paiement signale, sans tarder, à son prestataire de services de paiement une opération de paiement non autorisée ou mal exécutée et au plus tard dans les treize mois suivant la date de débit sous peine de forclusion, à moins que le prestataire ne lui ait pas fourni ou n’ait pas mis à sa disposition les informations relatives à cette opération de paiement. Ce délai maximal de treize mois courant à compter de la date de débit du compte constitue un délai de forclusion dont l’expiration rend l’action irrecevable, ainsi que le prévoit expressément l’article L. 133-24 du Code monétaire et financier.
La Cour de cassation veille à l’application rigoureuse de cette sanction procédurale lorsque le titulaire du compte tarde au-delà de la limite légale. Dans son arrêt du 2 mai 2024 (n° 22-18.074), la chambre commerciale a ainsi jugé : « Ayant relevé que M. [L] entendait engager la responsabilité de la banque pour des opérations de paiement intervenues sur son compte entre 2007 et 2011 et qu’il s’était abstenu de les contester dans le délai de treize mois, la cour d’appel en a exactement déduit que cette action était irrecevable pour cause de forclusion. » (Cass. com., 2 mai 2024, n° 22-18.074). Pour le particulier victime de débits frauduleux consécutifs à un quishing, la notification écrite de la contestation auprès du prestataire de services de paiement doit donc impérativement intervenir à l’intérieur de ce délai de forclusion de treize mois suivant la date de débit fixé par l’article L. 133-24 du Code monétaire et financier.
En outre, même lorsque la contestation intervient dans le délai de treize mois suivant la date de débit prévu par l’article L. 133-24 du Code monétaire et financier, l’articulation entre ce plafond temporel et l’obligation de signaler l’opération « sans tarder » a fait l’objet d’une précision majeure de la chambre commerciale de la Cour de cassation dans son arrêt du 14 janvier 2026 (n° 22-14.822), rendu à la suite de l’arrêt de la Cour de justice de l’Union européenne du 1er août 2025 (Veracash, C-665/23). La Cour de cassation y juge que « l’obligation incombant à l’utilisateur de services de paiement de signaler sans tarder à son prestataire de services de paiement une opération non autorisée naît à compter du moment où il en a eu connaissance et que, faute de l’avoir signalée, de manière délibérée ou par négligence grave, il est privé du droit d’obtenir la correction de cette opération, peu important que ce signalement ait été effectué dans les treize mois suivant la date de débit. » (Cass. com., 14 janvier 2026, n° 22-14.822). Cet arrêt apporte une double garantie essentielle au consommateur : d’une part, le point de départ de l’obligation de signaler sans tarder se situe au jour où le client a effectivement eu connaissance de l’opération non autorisée, et non au jour où le piège a été tendu ; d’autre part, seul un retard délibéré ou résultant d’une négligence grave après cette prise de connaissance peut priver le payeur de son droit au remboursement (Cass. com., 14 janvier 2026, n° 22-14.822).
Enfin, la stratégie contentieuse du consommateur doit intégrer le principe d’exclusivité du régime spécial des services de paiement par rapport au droit commun de la responsabilité contractuelle énoncé à l’article 1231-1 du Code civil. Par un arrêt du 15 janvier 2025 (n° 23-13.579), la chambre commerciale de la Cour de cassation a jugé que « dès lors que la responsabilité d’un prestataire de services de paiement est recherchée en raison d’une opération non autorisée ou mal exécutée, seul est applicable le régime de responsabilité défini aux articles L. 133-18 à L. 133-24 du code monétaire et financier, qui transposent les articles 58, 59 et 60, paragraphe 1, de la directive 2007/64/CE, à l’exclusion de tout régime alternatif de responsabilité résultant du droit national. » (Cass. com., 15 janvier 2025, n° 23-13.579). En conséquence, pour des opérations de paiement non autorisées, le client ne peut pas invoquer à titre subsidiaire un manquement de la banque à son devoir général de vigilance sur le fondement de l’article 1231-1 du Code civil pour obtenir un partage de responsabilité si sa propre négligence grave a été retenue.
En revanche, comme l’a précisé la chambre commerciale de la Cour de cassation dans son arrêt du 19 novembre 2025 (n° 24-18.534), « Il résulte de la combinaison des articles L. 133-6, L. 133-7, L. 133-18, L. 133-19, L. 133-21 et L. 133-22 du code monétaire et financier que le régime de responsabilité du prestataire de services de paiement prévu par ce code, exclusif du droit commun de la responsabilité contractuelle défini à l’article 1231-1 du code civil, ne s’applique qu’aux opérations de paiement non autorisées ou mal exécutées. » (Cass. com., 19 novembre 2025, n° 24-18.534). Cette distinction revêt une portée pratique directe dans les dossiers de fraude par QR code : tandis que le versement initial de 35 euros que l’automobiliste aurait lui-même consenti à exécuter relève des opérations autorisées — pour lesquelles la responsabilité de droit commun de l’article 1231-1 du Code civil suppose la démonstration exigeante d’une anomalie apparente aisément décelable par un professionnel normalement diligent —, l’ensemble des achats, retraits ou prélèvements ultérieurs opérés par les fraudeurs à l’aide des données bancaires subtilisées constituent des opérations non autorisées relevant de plein droit de l’obligation de remboursement immédiat de l’article L. 133-18 du Code monétaire et financier. L’analyse rigoureuse des conventions de compte et des contrats commerciaux liant les prestataires de paiement à leurs utilisateurs, au cœur des expertises juridiques mobilisées en matière bancaire, permet ainsi de qualifier exactement chaque flux débité et de contester les refus de remboursement infondés.
Conclusion
Le développement des campagnes de quishing, qu’il s’agisse des faux avis de contravention déposés sur les pare-brise ou des autocollants apposés sur les horodateurs et bornes de recharge, repose sur la dissimulation d’adresses internet contrefaites derrière un code matriciel et sur la création d’un sentiment d’urgence illégitime. Sur le terrain du droit pénal routier, la menace d’une amende de 35 euros portée à 135 euros en quarante-huit heures se heurte frontalement aux barèmes fixés par l’article R. 49 du Code de procédure pénale et l’article R. 49-7 du Code de procédure pénale ainsi qu’au délai légal de quarante-cinq jours prévu par l’article 529-2 du Code de procédure pénale pour s’acquitter d’une amende forfaitaire ou formuler une requête en exonération.
Lorsque le piège a néanmoins permis aux auteurs de l’escroquerie réprimée par l’article 313-1 du Code pénal de capter les coordonnées de la carte bancaire du consommateur et d’exécuter des paiements à son insu, le titulaire du compte bénéficie de la protection impérative attachée aux opérations de paiement non autorisées. Dès lors que l’utilisateur signale l’opération sans tarder à compter du moment où il en a eu connaissance (Cass. com., 14 janvier 2026, n° 22-14.822) et au plus tard dans le délai de treize mois suivant la date de débit sous peine de forclusion conformément à l’article L. 133-24 du Code monétaire et financier, le prestataire de services de paiement est tenu de rembourser les sommes débitées au plus tard à la fin du premier jour ouvrable suivant en application de l’article L. 133-18 du Code monétaire et financier.
Face aux refus bancaires fondés sur l’utilisation d’une authentification forte, la jurisprudence constante de la chambre commerciale de la Cour de cassation (Cass. com., 26 mars 2025, n° 23-21.299) et l’article L. 133-23 du Code monétaire et financier rappellent que l’enregistrement technique de l’opération ne suffit jamais, à lui seul, à caractériser la négligence grave du payeur, dont la preuve extrinsèque incombe exclusivement à l’établissement bancaire.