Le téléphone affiche le numéro de votre agence. L’interlocuteur connaît votre nom, parle de mouvements suspects, vous demande de valider un code reçu par SMS pour bloquer les opérations. Quelques heures plus tard, plusieurs milliers d’euros ont quitté votre compte. Ce scénario, appelé spoofing ou fraude au faux conseiller, a explosé ces derniers mois et remplit les prétoires. La banque refuse alors de rembourser en invoquant votre négligence grave : vous avez vous-même communiqué vos codes. Le 15 octobre 2026, la Cour de justice de l’Union européenne a rebattu les cartes dans un arrêt très attendu, l’affaire C-70/25 : même en cas de négligence grave, la banque doit d’abord rembourser, au plus tard à la fin du jour ouvrable suivant le signalement. Mais ce remboursement immédiat n’éteint pas le débat. Huit jours plus tôt, le 8 octobre 2026, la chambre commerciale de la Cour de cassation précisait dans quelles conditions la banque peut ensuite garder les fonds, et deux jugements parisiens de juin et septembre 2026 montrent où les juges placent la frontière entre la victime piégée et le client gravement négligent. Cet article décrypte le scénario du spoofing, les textes applicables et la méthode pour contester un refus de remboursement.

I. Spoofing et faux conseiller : pourquoi la banque doit rembourser immédiatement ?

A. Arrêt CJUE du 15 octobre 2026 : que dit l’affaire C-70/25 sur la négligence grave ?

Le litige à l’origine de l’arrêt CJUE, 15 octobre 2026, aff. C-70/25, N.O. contre PKO BP ressemble trait pour trait à des milliers de dossiers français. Une cliente polonaise, piégée par un faux acheteur sur internet, renseigne ses identifiants bancaires sur un site imitant celui de sa banque, puis communique un code reçu par SMS. Environ 700 euros disparaissent ; elle signale l’opération dès le lendemain. Sa banque refuse de la rembourser : en livrant elle-même ses données de sécurité, la cliente aurait commis une négligence grave qui exonère l’établissement. Le juge polonais interroge la Cour de justice sur l’articulation entre l’obligation de remboursement immédiat et la responsabilité du payeur négligent, organisées respectivement par les articles 73 et 74 de la directive (UE) 2015/2366 sur les services de paiement, dite DSP2.

La réponse de la Cour, rendue par sa première chambre, est limpide : un prestataire ne peut pas refuser le remboursement immédiat d’une opération non autorisée au motif que le payeur l’aurait rendue possible par négligence grave, en méconnaissance de ses obligations de sécurité. La négligence grave, même établie, ne joue qu’au second stade, celui de la répartition définitive des pertes ; elle n’autorise jamais la banque à retenir les fonds dans l’attente d’une décision de justice. La Cour relève d’ailleurs qu’admettre l’inverse priverait d’effet utile l’obligation de remboursement immédiat et contraindrait le client à saisir lui-même les tribunaux en avançant les frais de procédure, ce qui heurterait l’objectif de protection élevée des consommateurs poursuivi par la directive.

Deux précisions de l’arrêt méritent l’attention des praticiens. D’abord, la Cour rappelle que la preuve de la négligence grave du payeur incombe au prestataire, ce qui traduit l’économie protectrice du régime. C’est donc à la banque de démontrer, pièces à l’appui, que le client a manqué gravement à ses obligations de sécurité ; un simple relevé montrant que les codes personnels ont été utilisés ne suffit pas. Ensuite, la seule exception admise au remboursement immédiat reste le soupçon de fraude commise par le client lui-même, à condition que la banque dispose de motifs raisonnables, les communique par écrit à l’autorité nationale compétente et bloque la restitution dans ce cadre strict. Hors cette hypothèse, la formule qui résume l’arrêt tient en quelques mots : on rembourse d’abord, on discute ensuite. Le communiqué de la Cour dans l’affaire C-70/25 reprend cette solution pour le grand public.

B. Opération non autorisée : que prévoit le code monétaire et financier pour le remboursement ?

Le droit français transpose fidèlement cette architecture aux articles L. 133-18 et suivants du code monétaire et financier. Le texte central dispose que « le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, sauf s’il a de bonnes raisons de soupçonner une fraude de l’utilisateur du service de paiement et s’il communique ces raisons par écrit à la Banque de France. » Le compte débité doit être rétabli dans l’état où il se serait trouvé sans l’opération, avec une date de valeur qui n’est pas postérieure à celle du débit.

Le législateur a assorti ce délai de sanctions dissuasives, renforcées par la loi du 16 août 2022 sur le pouvoir d’achat et codifiées à l’article L. 133-18 du code monétaire et financier : « Les sommes dues produisent intérêt au taux légal majoré de cinq points » ; « Au-delà de sept jours de retard, les sommes dues produisent intérêt au taux légal majoré de dix points » ; « Au-delà de trente jours de retard, les sommes dues produisent intérêt au taux légal majoré de quinze points. » Ces majorations courent de plein droit et doivent être réclamées dans toute mise en demeure : une banque qui retient 6 000 euros pendant deux mois s’expose à des intérêts dont le montant dépasse largement le préjudice initial.

Pour manier ces textes sans contresens, deux définitions posées par l’article L. 133-4 du code monétaire et financier sont indispensables. D’abord, « Un instrument de paiement s’entend, alternativement ou cumulativement, de tout dispositif personnalisé et de l’ensemble de procédures convenu entre l’utilisateur de services de paiement et le prestataire de services de paiement et utilisé pour donner un ordre de paiement » : l’instrument ne se réduit donc pas à la carte ou à l’application, il englobe le canal convenu pour transmettre les ordres, ce qui explique pourquoi la Cour de cassation sanctionne la banque qui exécute un ordre reçu par un canal abandonné depuis des années. Ensuite, l’authentification forte repose sur au moins deux facteurs indépendants choisis parmi la connaissance, la possession et l’inhérence, de sorte qu’un code unique dicté par téléphone, hors de tout dispositif à double facteur, ne satisfait pas à cette exigence. Enfin, le même article précise qu’« Un jour ouvrable est un jour au cours duquel le prestataire de services de paiement du payeur ou celui du bénéficiaire exerce une activité permettant d’exécuter des opérations de paiement » : le remboursement promis pour la fin du premier jour ouvrable suivant le signalement se compte donc en jours d’activité bancaire effective, samedis, dimanches et jours fériés restant en dehors du décompte lorsque la banque ne traite pas les opérations ces jours-là.

Ce régime protecteur suppose toutefois que la victime signale l’opération dans le délai légal. Aux termes de l’article L. 133-24 du même code, « L’utilisateur de services de paiement signale, sans tarder, à son prestataire de services de paiement une opération de paiement non autorisée ou mal exécutée et au plus tard dans les treize mois suivant la date de débit sous peine de forclusion à moins que le prestataire de services de paiement ne lui ait pas fourni ou n’ait pas mis à sa disposition les informations relatives à cette opération de paiement conformément au chapitre IV du titre 1er du livre III. » Retenez l’essentiel : treize mois à compter de la date du débit, sous peine de forclusion, sauf défaut d’information de la banque ; pour les professionnels, un délai contractuel différent peut être convenu. Signaler le lendemain, comme la cliente de l’affaire C-70/25, place donc la victime dans le délai le plus sûr. Et lorsqu’il a connaissance d’une utilisation non autorisée de son instrument ou de ses données, l’utilisateur doit en outre prévenir « sans tarder, aux fins de blocage de l’instrument, son prestataire ou l’entité désignée par celui-ci », conformément à l’article L. 133-17 du code monétaire et financier : l’opposition immédiate fige les opérations à venir et démontre la bonne foi.

II. Négligence grave et spoofing : quand la banque peut-elle refuser de rembourser ?

A. Fraude au président, faux conseiller, carte remise à un tiers : où les juges placent-ils la frontière en 2026 ?

Le remboursement immédiat n’éteint pas le contentieux : la banque peut ensuite réclamer au client les pertes définitives en invoquant sa négligence grave. L’article L. 133-19, IV du code monétaire et financier organise ce second stade : « Le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17. » Ces obligations sont connues : l’article L. 133-16 dispose que « Dès qu’il reçoit un instrument de paiement, l’utilisateur de services de paiement prend toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées », et l’article L. 133-17 impose le signalement sans tarder aux fins de blocage. Toute la question est de savoir ce qu’un client piégé par un faux conseiller aurait dû déceler, et c’est là que la jurisprudence de 2026 apporte des réponses très concrètes.

Premier jalon, l’arrêt de la chambre commerciale du 8 octobre 2026, pourvoi n° 25-17.510 (ECLI:FR:CCASS:2026:CO00582, arrêt n° 582 FS-B), rendu dans une fraude dite « au président ». Le 16 décembre 2019, l’assistante du dirigeant d’une société, contactée par un individu se faisant passer pour l’avocat de l’entreprise, transmet à sa banque, par télécopie, un ordre de virement revêtu d’une fausse signature du président vers une banque hongroise, afin de financer une prétendue opération financière. La cour d’appel de Paris rejette la demande de remboursement en retenant la négligence grave de la société, alors même qu’elle constate que la télécopie n’est plus l’instrument de paiement convenu depuis la souscription, en mars 2017, d’un système sécurisé de télétransmission. La Cour de cassation censure ce raisonnement et pose un principe de portée générale : la banque ne peut s’exonérer qu’en démontrant que l’utilisateur a manqué par négligence grave soit à son obligation d’utiliser l’instrument délivré conformément aux conditions convenues, soit à son devoir de préserver la sécurité de ses données personnalisées. Ayant constaté que la télécopie n’était plus l’instrument convenu entre les parties, la cour d’appel ne pouvait pas admettre que la banque, qui avait accepté d’exécuter l’opération par ce canal, reproche une négligence grave à sa cliente : la cassation est prononcée pour violation des textes. L’enseignement dépasse la fraude au président et vise directement le spoofing : quand l’escroc fait sortir le client du canal sécurisé convenu — faux site imitant la banque, lien reçu par SMS, code dicté par téléphone — la banque qui exécute sans l’authentification forte prévue par l’article L. 133-44 du code monétaire et financier se prive du droit d’opposer la négligence du client. Rappelons que pour les opérations à distance, l’authentification forte « comporte des éléments qui établissent un lien dynamique entre l’opération, le montant et le bénéficiaire donnés » : un code générique validé hors de ce cadre ne vaut pas autorisation.

Deuxième jalon, le jugement du tribunal judiciaire de Paris du 5 juin 2026 (pôle civil de proximité, RG 25/03887), qui décrit le spoofing comme une prise de contact avec le client en se faisant passer pour son conseiller ou un salarié de sa banque, par usurpation d’identité par courriel, SMS ou appel téléphonique, l’escroc gagnant ensuite la confiance de sa victime pour lui soutirer ses données de sécurité. Dans cette affaire, une cliente avait validé, le 4 mars 2025, deux virements et trois paiements pour un total de 6 691,90 euros après authentification par le dispositif de sécurité de son téléphone, qu’elle ne contestait pas. Le tribunal rappelle d’abord les verrous protecteurs : une opération n’est autorisée que si le payeur a donné son consentement à son exécution, conformément à l’article L. 133-6 du code monétaire et financier, et la Cour de cassation juge qu’une opération initiée par le payeur n’est réputée autorisée que s’il a consenti au montant et au bénéficiaire ; l’utilisation des identifiants ne suffit pas à prouver l’autorisation, et c’est à la banque de rapporter cette preuve. Le tribunal admet ensuite que le spoofing diminue la vigilance d’un utilisateur normalement attentif — le critère posé par la chambre commerciale le 28 mars 2018 — face à un appel prétendument émanant de sa banque, davantage que face à un simple courriel. Mais il retient finalement la négligence grave, pour un faisceau de raisons que tout dossier doit méditer : l’appel provenait d’un numéro masqué et non du numéro de la banque, de sorte que le spoofing n’était pas caractérisé ; le SMS initial émanait d’un mobile banal, sans caractère professionnel, et réclamait 0,99 euro et des coordonnées bancaires pour reprogrammer un colis jamais prouvé ; la cliente n’a vérifié l’identité d’aucun interlocuteur, alors que le courriel de réassurance venait d’une adresse sans rapport avec le nom de domaine de sa banque ; surtout, elle avait ajouté deux bénéficiaires, réalisé deux virements vers le même IBAN, déplacé son épargne vers son compte courant, augmenté ses plafonds puis validé trois paiements importants auprès de commerçants chez qui elle n’avait jamais acheté. Le tribunal retient la négligence grave au vu du faisceau suivant : ajout de bénéficiaires puis virements vers le même IBAN à la demande de l’escroc, augmentation des plafonds, déplacement de l’épargne vers le compte courant et validation de plusieurs paiements importants auprès de commerçants inconnus, sans qu’aucune étape n’ait suscité de vérification malgré des indices de fraude manifestes.

Troisième jalon, le jugement du même pôle du 8 septembre 2026 (RG 26/00404) : une cliente invoquait un spoofing caractérisé, le numéro affiché correspondant selon elle à son agence, et affirmait n’avoir jamais communiqué son code de carte. La banque démontre que les plafonds avaient été modifiés par authentification forte, que la carte avait été remise en main propre à un tiers et que les retraits litigieux supposaient la lecture de la puce avec saisie du code confidentiel. Déboutée, la cliente apprend à ses dépens que remettre physiquement sa carte à un inconnu, même présenté comme un coursier de la banque, constitue l’archétype de la négligence grave. La leçon des trois décisions se résume ainsi : le spoofing avéré protège la victime qui a cédé un code dans un scénario crédible et vérifié à première vue ; il ne protège ni celle qui ignore une accumulation d’indices grossiers, ni celle qui confie son instrument de paiement lui-même. Chaque dossier se joue donc sur les preuves : captures des messages, numéro affiché, historique des vérifications effectuées, journaux d’authentification que la banque doit produire.

B. Banque qui refuse de rembourser après un spoofing : comment contester et récupérer les fonds ?

La méthode commence dans l’heure qui suit la découverte. Faites opposition sans tarder aux fins de blocage de l’instrument, puis signalez par écrit chaque opération non autorisée en exigeant le remboursement immédiat au visa de l’article L. 133-18, avec rétablissement du compte et intérêts majorés en cas de retard. Conservez la preuve de ce signalement : le délai d’un jour ouvrable court à compter de l’information de la banque, et toute discussion ultérieure portera sur cette date. Déposez plainte pour escroquerie en joignant les messages, le numéro affiché, les captures du faux site et le relevé des opérations ; la plainte ne conditionne pas le remboursement mais elle objective la fraude et écarte d’emblée le soupçon qui seul autoriserait la banque à retenir les fonds. Si la banque oppose votre négligence grave, demandez-lui par écrit les éléments sur lesquels elle fonde ce grief : journaux d’authentification, enregistrement des opérations, absence de déficience technique. Souvenez-vous que la charge de cette preuve lui incombe et que l’utilisation de vos identifiants ne prouve ni votre consentement au montant et au bénéficiaire, ni votre négligence.

Le calendrier protège le client diligent mais sanctionne l’attentiste. Vous disposez de treize mois à compter de la date du débit pour signaler l’opération, sous peine de forclusion, sauf si la banque ne vous a pas fourni les informations requises sur l’opération. Au-delà du remboursement, vérifiez si l’authentification forte a été correctement appliquée : pour les paiements à distance, elle doit établir un lien dynamique entre l’opération, le montant et le bénéficiaire ; à défaut, la banque ne peut pas vous faire supporter les pertes, sauf fraude de votre part. En cas de refus persistant, saisissez le médiateur bancaire, puis le tribunal : à Paris et en Île-de-France, les litiges de montants modestes relèvent du pôle civil de proximité du tribunal judiciaire de Paris, qui a rendu en 2026 les deux jugements détaillés plus haut et connaît parfaitement ces scénarios. Les victimes parisiennes y trouveront une juridiction rompue aux dossiers de faux conseiller, avec des audiences rapprochées et des décisions motivées sur chaque indice de fraude. Pour situer votre dossier dans son cadre général, lisez notre analyse de l’arrêt CJUE du 15 octobre 2026 sur la négligence grave et le remboursement bancaire ainsi que notre décryptage de la fraude au faux conseiller et de l’obligation de remboursement de la banque : ensemble, ces trois lectures couvrent le principe européen, le scénario du faux conseiller et le cas particulier du spoofing avec usurpation du numéro.

Conclusion

Le spoofing bancaire ne se résume ni à une fatalité ni à une faute systématique de la victime. Depuis l’arrêt de la Cour de justice du 15 octobre 2026, la règle procédurale est fixée : la banque rembourse immédiatement l’opération non autorisée, au plus tard à la fin du jour ouvrable suivant le signalement, et ne peut pas retenir les fonds au motif d’une négligence grave dont elle devra ensuite rapporter la preuve devant le juge. Le débat se déplace alors sur le terrain des faits, où la jurisprudence française de 2026 trace une frontière lisible : le client piégé par un numéro usurpé et un scénario crédible, qui signale vite et n’a confié ni sa carte ni des validations en cascade, obtient gain de cause ; celui qui ignore des indices grossiers, modifie ses plafonds et valide des paiements à des inconnus, ou qui remet sa carte en main propre, supporte définitivement les pertes. Votre dossier se gagnera donc avec des preuves datées — messages, numéro affiché, journaux d’authentification réclamés à la banque — et avec les délais en tête : opposition sans tarder, signalement écrit immédiat, contestation dans les treize mois du débit, intérêts majorés comptés dès le premier jour de retard. Face à un refus de remboursement, faites vérifier sans attendre si l’authentification forte comportait le lien dynamique entre l’opération, le montant et le bénéficiaire, car c’est souvent là que la résistance de la banque cède.