L’essor des escroqueries sophistiquées touchant les services bancaires dématérialisés a pris une ampleur inédite avec la généralisation de la technique dite du spoofing téléphonique. Cette pratique consiste, pour un tiers malveillant, à falsifier les données techniques de transmission d’un appel téléphonique afin de faire apparaître sur le combiné de sa cible le numéro officiel de son établissement de crédit, de son agence de proximité ou d’un service d’assistance spécialisé contre la fraude. Placé sous une pression psychologique intense et conforté par l’exactitude apparente du numéro émetteur, le titulaire du compte bancaire se trouve désarmé dans sa capacité d’analyse critique, croyant échanger avec un préposé légitime de son établissement bancaire chargé de neutraliser une tentative de piratage en cours.

Face à la multiplication de ces atteintes massives à la sécurité des usagers, le législateur a cherché à réguler l’infrastructure des télécommunications en adoptant la loi n° 2020-901 du 24 juillet 2020 visant à encadrer le démarchage téléphonique et à lutter contre les appels frauduleux. Ce texte a instauré, au sein du Code des postes et des communications électroniques, l’obligation pour les opérateurs de déployer un mécanisme d’authentification des numéros désigné sous l’acronyme MAN. Ce dispositif technique devait théoriquement interdire l’acheminement des appels dont l’identifiant d’appelant ne pouvait pas être formellement authentifié par l’opérateur d’origine. Les précisions apportées par l’Autorité de régulation des communications électroniques, des postes et de la distribution de la presse dans son communiqué sur la protection des consommateurs du 29 janvier 2026 et dans ses lignes directrices pour le déploiement du MAN par les opérateurs téléphoniques ont toutefois révélé des failles résiduelles majeures. Le transit international, les passerelles de téléphonie sur protocole Internet et certaines lacunes d’interconnexion permettent encore à des appels contrefaits de franchir les filtres et d’atteindre les particuliers.

Lorsque ces manœuvres aboutissent à l’exécution de virements non autorisés ou au détournement d’ordres de paiement, un conflit juridique aigu s’ouvre entre le consommateur spolié et son prestataire de services de paiement. Les établissements bancaires tentent couramment d’échapper à leur obligation de restitution immédiate prévue par le Code monétaire et financier en imputant à la victime une négligence grave. Ils prétendent que la validation d’opérations sur une application mobile ou la remise d’un code confidentiel caractériserait une faute inexcusable privant le client de toute indemnisation. Cette position des banques se heurte frontalement à l’évolution de la jurisprudence judiciaire, qui intègre désormais la réalité technique du spoofing pour écarter l’existence d’une négligence grave dès lors que le consommateur a été induit en erreur par une apparence de légitimité irrésistible.

L’articulation entre les défaillances techniques des réseaux de télécommunication et le régime de responsabilité des prestataires de services de paiement commande une analyse approfondie. D’une part, l’usurpation de l’identifiant d’appelant met en lumière les limites opérationnelles des obligations pesant sur les opérateurs de réseaux et structure une infraction pénale d’escroquerie particulièrement agressive. D’autre part, le droit civil et bancaire impose une protection rigoureuse du payeur dont le consentement a été vicié, en faisant peser sur la banque une charge probatoire très lourde et en ouvrant des voies de recours efficaces devant les juridictions compétentes.

I. Le cadre technique et juridique du spoofing téléphonique et l’échec de la sécurisation par le mécanisme MAN

A. L’usurpation de l’identifiant d’appelant et les limites opérationnelles du mécanisme d’authentification des numéros

Le spoofing téléphonique repose sur la manipulation délibérée des données de signalisation transmises lors de l’établissement d’une communication téléphonique. Dans l’architecture traditionnelle des réseaux de télécommunications commutés, l’identification de la ligne appelante était assurée de manière native par le central téléphonique de rattachement. Avec la transition quasi universelle vers les technologies de voix sur protocole Internet désignées sous le sigle VoIP et l’utilisation de protocoles d’ouverture de session SIP, la gestion des en-têtes de signalisation s’est considérablement assouplie. Un émetteur malveillant peut configurer sans difficulté logicielle le champ d’en-tête technique correspondant à l’identifiant de présentation de l’appelant. Il peut ainsi afficher n’importe quelle séquence de chiffres, qu’il s’agisse d’un numéro de téléphone fixe géographique, d’un numéro surtaxé ou du numéro vert d’une grande institution financière.

Cette vulnérabilité structurelle a été identifiée par les pouvoirs publics comme un vecteur déterminant de fraudes de grande envergure. L’intervention de la loi n° 2020-901 du 24 juillet 2020 a cherché à y remédier en créant l’article L. 44-3 du Code des postes et des communications électroniques. Ce texte législatif impose aux opérateurs de communications électroniques d’utiliser un mécanisme d’authentification des numéros pour toute transmission d’appel téléphonique utilisant le plan national de numérotation. L’objectif fixé par le législateur était d’ériger une barrière technique automatisée obligeant l’opérateur d’origine à certifier que l’appelant est effectivement habilité à émettre sous le numéro présenté, sous peine de voir la communication rejetée avant d’atteindre le réseau de destination de l’abonné appelé.

La mise en œuvre pratique de cette exigence a été confiée à l’Autorité de régulation des communications électroniques, des postes et de la distribution de la presse. L’Arcep a défini les spécifications techniques du mécanisme MAN, calquées sur le modèle des standards internationaux d’authentification cryptographique des flux vocaux. Comme le détaille l’Arcep dans sa fiche pratique relative à l’authentification des numéros de téléphone fixe ou mobile par les opérateurs téléphoniques, chaque opérateur d’accès ou de transit doit signer cryptographiquement le jeton d’authentification attestant du droit d’usage du numéro. Lorsqu’un appel se présente à l’interconnexion sans cette signature ou avec une signature invalide, l’opérateur de terminaison a l’obligation légale de bloquer purement et simplement la communication.

Malgré l’entrée en vigueur de ces dispositifs techniques, les signalements de consommateurs victimes d’usurpations téléphoniques n’ont pas cessé. Cette persistance s’explique par des failles architecturales et des exceptions de transit international que les réseaux criminels exploitent méthodiquement. Dans sa communication officielle du 29 janvier 2026, l’Arcep a mis en exergue les difficultés posées par les appels provenant de l’étranger. De nombreux flux de communications transitent par des opérateurs internationaux situés hors de l’Union européenne ou dans des juridictions qui n’imposent pas le protocole d’authentification cryptographique des identifiants d’appel. Pour contourner les contrôles, les fraudeurs font entrer sur le territoire national des appels utilisant des passerelles VoIP non soumises aux mêmes exigences d’audit ou exploitent des failles au niveau des commutateurs privés d’entreprises interconnectées.

En réponse à ces lacunes persistantes, l’autorité de régulation a dû durcir les obligations de filtrage aux frontières numériques. Dans son communiqué sur la protection des consommateurs du 29 janvier 2026, l’Arcep a enjoint aux opérateurs de bloquer systématiquement les appels entrants provenant de pays tiers lorsqu’ils présentent un numéro du plan national de numérotation français sans respecter les conditions strictes d’exception technique. Malgré ce renforcement réglementaire, les fraudeurs recourent à des méthodes hybrides en combinant des services d’hébergement cloud, des cartes SIM prépayées et des serveurs mandataires vocaux. La persistance de ces canaux de communication falsifiés démontre que la technologie MAN, bien qu’indispensable, ne constitue pas un rempart absolu et que le consommateur demeure exposé à des sollicitations téléphoniques apparemment authentiques.

La doctrine administrative et les guides d’alerte publiés par les autorités de régulation confirment cette fragilité. Comme l’indique l’Arcep dans sa fiche d’information sur l’usurpation de numéro de téléphone fixe ou mobile, aucun système de vérification d’appelant ne saurait dispenser l’écosystème bancaire d’une vigilance renforcée. L’usurpation de l’identité numérique de la banque sur l’écran d’un smartphone n’est pas une simple anomalie téléphonique : elle constitue le vecteur déclencheur d’une machination criminelle conçue pour annihiler la méfiance de l’usager et capter ses moyens financiers.

B. La qualification pénale de la fraude au faux conseiller bancaire et l’atteinte à la confiance légitime

Sur le plan pénal, les agissements perpétrés dans le cadre d’un appel téléphonique falsifié relèvent sans équivoque du délit d’escroquerie défini à l’article 313-1 du Code pénal. Cette disposition réprime le fait, par l’usage d’un faux nom ou d’une fausse qualité, ou par l’emploi de manœuvres frauduleuses, de tromper une personne physique ou morale et de la déterminer ainsi, à son préjudice ou au préjudice d’un tiers, à remettre des fonds, des valeurs ou un bien quelconque, à fournir un service ou à consentir un acte opérant obligation ou décharge. L’usurpation de la qualité de préposé bancaire, combinée à l’affichage frauduleux du véritable numéro de téléphone de l’agence, caractérise pleinement ces manœuvres frauduleuses.

À cette infraction principale s’ajoute l’atteinte spécifique réprimée par l’article 226-4-1 du Code pénal, qui sanctionne l’usurpation d’identité. L’affichage illégitime des coordonnées téléphoniques appartenant à un établissement bancaire ou à une personne morale déterminée répond à la définition de l’utilisation de données permettant d’identifier un tiers en vue de troubler sa tranquillité ou celle d’autrui, ou de porter atteinte à son honneur ou à sa considération. Dans le schéma du spoofing bancaire, l’usurpation de l’identité de l’établissement bancaire sert directement d’instrument pour capter la confiance légitime que le client accorde à son partenaire contractuel de longue date.

Les juridictions du fond ont appréhendé avec une grande netteté la dynamique matérielle et psychologique de ce stratagème. Ainsi, le Tribunal judiciaire, dans une décision rendue le 21 août 2026, pourvoi ou référence RG n° 26/02347, a synthétisé ce phénomène dans les termes suivants : « le procédé dit du « spoofing » ou du faux conseiller bancaire consiste à contacter le client d’un prestataire de services de paiement en se faisant passer pour son conseiller bancaire, ou un salarié de l’organisme bancaire, par usurpation d’identité, cette dernière pouvant être effectuée par mail, SMS ou encore appel téléphonique. En gagnant la confiance de sa victime, l’escroc la convainc de lui communiquer ses données personnelles de sécurité. Cet escroc est ensuite en mesure de lui soutirer de l’argent en effectuant ou en faisant effectuer par la victime elle-même une ou plusieurs opérations bancaires. » (décision consultable sur le portail de la Cour de cassation).

Cette description judiciaire met en lumière le pivot de l’escroquerie : la mise en condition de la victime. Contrairement à une tentative d’hameçonnage transmise par courrier électronique ou par message textuel, l’interaction téléphonique directe plonge l’usager dans un état d’urgence émotionnelle immédiat. L’interlocuteur, s’exprimant dans un français impeccable et adoptant le ton professionnel et feutré d’un agent de la sécurité financière, annonce au titulaire du compte qu’une opération hautement suspecte est en cours d’exécution. Il fait état de débits imminents, cite souvent des informations exactes déjà glanées sur le client lors de fuites de données antérieures, et prétend agir dans le seul but de bloquer ces transferts illicites.

L’affichage sur le combiné téléphonique du numéro exact de la banque produit un effet de sidération rationnelle. Le consommateur, qui a souvent enregistré le numéro de son conseiller dans le répertoire de son téléphone ou qui peut immédiatement vérifier sur Internet que les chiffres affichés correspondent à l’agence bancaire de son quartier, n’a aucune raison apparente de douter de la véracité de l’appel. La combinaison de la panique générée par l’annonce d’un vol de fonds et de la réassurance procurée par l’identité officielle affichée crée un biais cognitif total. L’escroc demande alors à la victime de valider des opérations d’annulation sur son interface bancaire ou de renouveler l’enrôlement de ses dispositifs de sécurité. En réalité, chaque validation déclenche le virement des fonds vers des comptes rebonds tenus par des complices ou autorise l’émission de nouveaux moyens de paiement dématérialisés.

L’atteinte à la confiance légitime est ici absolue. Le client ne remet pas ses fonds à un tiers dans le cadre d’un investissement hasardeux ou d’un achat imprudent ; il croit accomplir un acte de sauvegarde sous la conduite de l’institution même à laquelle il a confié la garde de ses avoirs. Lorsque la fraude est découverte, souvent quelques heures plus tard lors de la consultation des soldes ou d’un appel ultérieur à l’agence, le préjudice financier se double d’un choc psychologique sévère. C’est à ce moment précis que s’enclenche la phase contentieuse civile contre l’établissement financier, qui cherche invariablement à convertir le statut de victime en statut de débiteur fautif.

II. Le régime de responsabilité bancaire, l’appréciation de la négligence grave et les voies d’action de la victime

A. L’obligation de remboursement immédiat de la banque sous l’article L. 133-18 du Code monétaire et financier et la charge probatoire

Le régime juridique gouvernant la contestation des opérations de paiement non autorisées est rigoureusement encadré par le Code monétaire et financier, transposant les directives européennes sur les services de paiement. Le principe fondamental de cette législation est l’obligation de restitution intégrale et immédiate pesant sur le prestataire de services de paiement dès qu’une opération non autorisée lui est signalée.

Ce principe a été rappelé avec force par la Cour d’appel de Paris, dans son arrêt du 3 juin 2026, RG n° 25/01173, qui cite textuellement les prescriptions du texte législatif : « L’article L. 133-18, alinéa 1, du code monétaire et financier pose le principe du remboursement par la banque des opérations non autorisées dans les termes suivants : « En cas d’opération de paiement non autorisée signalée par l’utilisateur dans les conditions prévues à l’article L. 133-24, le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, sauf s’il a de bonnes raisons de soupçonner une fraude de l’utilisateur du service de paiement et s’il communique ces raisons par écrit à la Banque de France. Le cas échéant, le prestataire de services de paiement du payeur rétablit le compte débité dans l’état où il se serait trouvé si l’opération de paiement non autorisée n’avait pas eu lieu. » » (décision accessible sur le site de la Cour de cassation ; texte de l’article L. 133-18 du Code monétaire et financier sur Légifrance).

Le délai imparti à l’utilisateur pour contester une opération non autorisée est fixé par l’article L. 133-24 du Code monétaire et financier à un maximum de treize mois suivant la date de débit, sous peine de forclusion. Dès lors que cette notification est effectuée dans le délai légal, la banque a l’obligation impérative de recréditer le compte au plus tard à la fin du premier jour ouvrable suivant. L’unique exception permettant à la banque de surseoir à ce remboursement immédiat réside dans l’existence de soupçons documentés de fraude imputable à l’utilisateur lui-même, soupçons qui doivent alors obligatoirement faire l’objet d’une transmission écrite immédiate à la Banque de France. La simple supposition d’une imprudence ou d’une négligence du client ne constitue en aucun cas un motif légitime de blocage du remboursement à ce stade.

La question du consentement est au cœur de ce contentieux. En vertu de l’article L. 133-6 du Code monétaire et financier, une opération de paiement n’est considérée comme autorisée que si le payeur a donné son consentement à son exécution. Lorsque ce prétendu consentement a été extorqué au moyen de manœuvres dolosives par un escroc se faisant passer pour la banque elle-même, la réalité d’un consentement éclairé fait totalement défaut. L’opération doit juridiquement être requalifiée en opération non autorisée, déclenchant de plein droit le mécanisme protecteur de l’article L. 133-18.

Face à cette obligation de restitution, les établissements bancaires invoquent régulièrement l’article L. 133-19 du Code monétaire et financier, dont le paragraphe IV prévoit que le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou de la négligence grave avec laquelle il a manqué à ses obligations de sécurité prévues à l’article L. 133-16 du même code.

Toutefois, la charge de la preuve d’une telle négligence pèse exclusivement sur le prestataire de services de paiement. L’article L. 133-23 du Code monétaire et financier énonce expressément que lorsqu’un utilisateur nie avoir autorisé une opération, il incombe au prestataire de prouver que l’opération a été authentifiée, dûment enregistrée et comptabilisée. Le texte ajoute de manière catégorique que l’utilisation du moyen de paiement telle qu’enregistrée par le prestataire ne suffit pas nécessairement en elle-même à prouver que l’opération a été autorisée par le payeur ou que celui-ci a agi frauduleusement ou a manqué délibérément ou par négligence grave à ses obligations. La banque ne peut donc pas se contenter de produire ses journaux informatiques attestant de l’utilisation d’une clé d’authentification forte pour s’exonérer ; elle doit démontrer positivement le comportement fautif du client au regard des circonstances concrètes de l’espèce.

B. L’exclusion prétorienne de la négligence grave face au spoofing et la stratégie contentieuse de recouvrement

La notion de négligence grave au sens du droit bancaire implique une défaillance inexcusable, caractérisée par une insouciance grave ou un manquement grossier aux règles élémentaires de prudence. La jurisprudence apprécie cette notion de manière in concreto en prenant pour étalon la réaction prévisible d’un utilisateur normalement attentif placé dans les mêmes circonstances matérielles.

Cette norme d’appréciation a été parfaitement synthétisée par le Tribunal judiciaire de Paris dans son jugement du 5 juin 2026, RG n° 25/03887 : « Si la négligence grave du payeur ne saurait résulter de la seule utilisation de son moyen de paiement, elle peut en revanche être déduite de son comportement à l’occasion d’une telle utilisation et des circonstances de l’espèce. Elle s’apprécie en tenant compte de sa vigilance à réception de messages ou d’informations lui demandant la communication des données censées protéger les ordres de paiement. Le critère permettant de déterminer le degré de vigilance requis du payeur est celui de  » l’utilisateur normalement attentif  » » (décision disponible sur le site officiel de la Cour de cassation).

L’apport décisif de la Cour de cassation sur cette question est intervenu dans un arrêt retentissant rendu par la Chambre commerciale le 23 octobre 2024, pourvoi n° 23-16.267. Dans cette décision majeure, la Haute juridiction a définitivement écarté la qualification de négligence grave à l’encontre d’un client victime de spoofing téléphonique. La Cour de cassation a statué en ces termes : « le mode opératoire par l’utilisation du « spoofing » a mis M. [J] en confiance et a diminué sa vigilance, inférieure, face à un appel téléphonique émanant prétendument de sa banque pour lui faire part du piratage de son compte, à celle d’une personne réceptionnant un courriel, laquelle aurait pu disposer de davantage de temps pour s’apercevoir d’éventuelles anomalies révélatrices de son origine frauduleuse. » La Cour suprême a formellement conclu que : « De ces constatations et appréciations, la cour d’appel a pu déduire que la négligence grave de M. [J] n’était pas caractérisée. » (arrêt publié et accessible sur le portail de la Cour de cassation).

Cette motivation prétorienne consacre une distinction fondamentale entre les fraudes asynchrones, comme les courriels d’hameçonnage dans lesquels le destinataire a le loisir d’examiner l’adresse de l’expéditeur et les fautes d’orthographe, et les fraudes synchrones par appel vocal. Lors d’un appel téléphonique en direct, l’affichage du numéro officiel de la banque altère directement le consentement du client. La Cour de cassation reconnaît que même la validation d’opérations d’authentification ou la réinscription de bénéficiaires sur l’application mobile ne saurait constituer une négligence grave dès lors que le client est convaincu de réaliser une manœuvre de sécurisation guidée par son conseiller bancaire légitime.

Face au refus quasi systématique opposé par les services contentieux des banques au stade amiable, la victime doit adopter une stratégie procédurale rigoureuse. La première démarche consiste à notifier sans délai la contestation des débits par lettre recommandée avec demande d’avis de réception, valant mise en demeure sous le visa de l’article L. 133-18 du Code monétaire et financier. Ce courrier doit être accompagné du dépôt de plainte pénale préalable pour escroquerie et usurpation d’identité, ainsi que des captures d’écran du journal d’appels attestant de l’affichage du numéro usurpé.

Si la banque persiste dans son refus de remboursement à l’expiration d’un délai raisonnable de huit à quinze jours, la phase contentieuse doit être engagée. Selon le montant du litige, l’action sera portée devant le juge des contentieux de la protection ou devant la chambre civile du tribunal judiciaire. Le fondement principal de la demande repose sur la responsabilité contractuelle et le manquement à l’obligation légale de restitution immédiate sous l’article L. 133-18, assorti d’une demande d’intérêts moratoires au taux légal majoré.

À titre complémentaire, la victime peut actionner la responsabilité civile de droit commun sur le fondement de l’article 1240 du Code civil en soulevant la violation par la banque de son devoir de vigilance. En effet, l’exécution anormale d’une série de virements inhabituels vers des comptes tiers non répertoriés, sans déclenchement d’un blocage préventif par les algorithmes de sécurité bancaire, caractérise une faute du prestataire ayant concouru à la réalisation du dommage. L’assistance d’un cabinet rompu au contentieux commercial et bancaire permet de surmonter les arguments techniques opposés par les services juridiques des banques et d’obtenir le rétablissement intégral des fonds détournés ainsi que la condamnation de l’établissement aux frais irrépétibles au titre de l’article 700 du Code de procédure civile.

Conclusion

Le spoofing téléphonique illustre le décalage persistant entre la sophistication technique des réseaux de fraude et l’efficacité des boucliers réglementaires. Alors que le mécanisme d’authentification des numéros prévu par le Code des postes et des communications électroniques peine encore à endiguer l’intégralité des flux vocaux manipulés en raison des failles de transit international, le contentieux judiciaire s’est affirmé comme l’ultime bastion de protection des épargnants et des usagers.

L’évolution jurisprudentielle initiée par la Cour de cassation et relayée avec cohérence par les juridictions du fond marque une étape décisive : l’illusion d’authenticité conférée par l’usurpation du numéro officiel de la banque neutralise l’argument de la négligence grave. Les établissements financiers ne peuvent plus se retrancher derrière la seule traçabilité technique d’une authentification forte pour priver les consommateurs de leur droit impératif à la restitution sous l’article L. 133-18 du Code monétaire et financier. La rigueur de la preuve, la rapidité de la réaction procédurale et l’articulation méthodique des moyens de droit civil et bancaire constituent les garanties essentielles permettant aux victimes de recouvrer l’intégralité de leurs avoirs.