Vous avez cliqué sur un lien frauduleux, saisi vos codes sur une fausse page de banque, dicté un code reçu par SMS à un prétendu conseiller : l’argent est parti, et votre banque vous répond que vous avez commis une négligence grave et qu’elle ne remboursera pas. Entre le 8 et le 15 octobre 2026, deux arrêts rendus à huit jours d’intervalle, l’un par la chambre commerciale de la Cour de cassation, l’autre par la première chambre de la Cour de justice de l’Union européenne, ont profondément modifié ce rapport de force : la banque doit rembourser d’abord et ne peut discuter ensuite que devant le juge, et elle ne peut plus reprocher au client une négligence commise avec un instrument de paiement que les parties n’avaient pas convenu. La Cour de cassation a statué le 8 octobre 2026 par un arrêt publié au Bulletin, pourvoi numéro 25-17.510, dans un litige opposant la société Hoenle Eleco, anciennement Eleco panacol, à la société HSBC continental Europe, anciennement HSBC France, à propos d’une fraude dite au président exécutée par télécopie avec une signature imitée. La Cour de justice a statué le 15 octobre 2026 dans l’affaire C-70/25, dite Tukowiecka, opposant une cliente polonaise à la banque PKO BP, à propos d’une fraude par hameçonnage portant sur 3 000 zlotys polonais, soit environ 705 euros. Les développements qui suivent sont de portée générale : ils décrivent les vérifications utiles et les recours ouverts dans toute situation comparable de fraude aux moyens de paiement et ne décrivent la situation d’aucune des sociétés ou banques nommées, sur laquelle l’article ne formule aucun constat.

Le point de départ reste le texte français, limpide depuis la transposition de la deuxième directive sur les services de paiement. L’article L. 133-18 du code monétaire et financier, en vigueur depuis le 18 août 2022, dispose : « En cas d’opération de paiement non autorisée signalée par l’utilisateur dans les conditions prévues à l’article L. 133-24 , le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, sauf s’il a de bonnes raisons de soupçonner une fraude de l’utilisateur du service de paiement et s’il communique ces raisons par écrit à la Banque de France. » En pratique, les services de réclamation lisaient ce texte à l’envers : le client signalait, la banque instruisait, concluait à la négligence grave et refusait, renvoyant la victime devant le juge, frais et délais à sa charge. Les deux arrêts d’octobre 2026 ferment cette lecture.

I. Ce que la CJUE et la Cour de cassation imposent aux banques depuis octobre 2026

A. La CJUE du 15 octobre 2026 : rembourser d’abord, la négligence grave vient après

L’affaire C-70/25, dite Tukowiecka, jugée par la première chambre de la Cour de justice de l’Union européenne le 15 octobre 2026 (communiqué de presse de la Cour du 15 octobre 2026), part d’un scénario devenu banal. Une cliente d’une banque polonaise, qui vendait un objet sur une plateforme d’annonces, reçoit d’un prétendu acheteur un lien présenté comme provenant de la plateforme puis de sa banque. Trompée, elle saisit ses identifiants sur un site reproduisant l’apparence de celui de sa banque, et le fraudeur vire depuis son compte une somme de 3 000 zlotys, soit environ 705 euros, en validant l’opération avec un code obtenu d’elle sous un faux prétexte. Le lendemain, la cliente signale la fraude à sa banque et à la police. La banque refuse de rembourser, en soutenant que la cliente a rendu l’opération possible par une négligence grave dans la conservation de son instrument de paiement. Saisi du litige, le tribunal d’arrondissement de Koszalin interroge la Cour de justice : l’article 74 de la directive sur les services de paiement, qui fait supporter au payeur les pertes résultant de sa négligence grave, permet-il à la banque de ne pas appliquer l’article 73, qui impose le remboursement immédiat ?

La Cour répond par la négative, et sa réponse tient en une phrase au dispositif, à reprendre dans chaque réclamation : le prestataire ne peut pas refuser le remboursement immédiat d’une opération non autorisée au motif que le payeur l’aurait rendue possible par une négligence grave commise en violation de ses obligations. Le raisonnement, développé aux points 30 à 49 de l’arrêt, mérite d’être connu parce qu’il servira dans chaque dossier. D’abord la lettre du texte : l’article 73 ne prévoit qu’une seule exception au remboursement immédiat, le cas où le prestataire a de bonnes raisons de soupçonner une fraude du client lui-même et communique ces raisons par écrit à l’autorité nationale ; aucune exception n’est prévue pour la négligence grave. Ensuite l’architecture du régime : les articles 73 et 74 organisent une répartition du risque en deux temps, le remboursement immédiat d’abord, puis, le cas échéant, une action de la banque contre le client par les voies de droit prévues à cet effet. Autrement dit, la négligence grave n’a pas disparu : elle a changé de place. Elle n’est plus un motif de refus opposé au guichet des réclamations, c’est un moyen que la banque devra soutenir, et prouver, dans une action en restitution engagée après avoir remboursé.

Deux précisions de l’arrêt verrouillent ce nouvel ordre des choses. Sur la preuve, la Cour rappelle que la charge de la preuve de la négligence grave pèse sur le prestataire, ce que le droit français exprime à l’article L. 133-23 du code monétaire et financier : « L’utilisation de l’instrument de paiement telle qu’enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l’opération a été autorisée par le payeur ou que celui-ci n’a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant en la matière », et « Le prestataire de services de paiement, y compris, le cas échéant, le prestataire de services de paiement fournissant un service d’initiation de paiement, fournit des éléments afin de prouver la fraude ou la négligence grave commise par l’utilisateur de services de paiement. » Le seul constat que le code a été saisi ne suffit donc jamais. Sur la finalité, la Cour écarte l’interprétation inverse parce qu’elle priverait d’effet utile l’obligation de remboursement immédiat et contraindrait l’utilisateur à prendre lui-même l’initiative d’un procès, avec les coûts et les inconvénients qui en résultent, ce qui serait difficilement conciliable avec l’objectif de garantir un niveau élevé de protection des consommateurs. La Cour rappelle au passage la genèse du texte : la directive de 2007 ne prévoyait aucune exception explicite, et ce n’est qu’au cours du processus législatif ayant conduit à la directive de 2015 que le législateur a introduit une exception spécifique, le soupçon de fraude du client. La solution vaut pour tout prestataire établi dans l’Union, y compris en France, où elle s’ajoute à l’article L. 133-18 précité. Le communiqué de presse numéro 147/26 de la Cour, daté du 15 octobre 2026 résume la portée pratique : après avoir remboursé, le prestataire peut réclamer au client les pertes résultant d’une négligence grave établie, à charge pour lui d’en rapporter la preuve.

B. La Cour de cassation du 8 octobre 2026 : aucune négligence grave avec un instrument non convenu

Une semaine plus tôt, la chambre commerciale, financière et économique de la Cour de cassation, par un arrêt du 8 octobre 2026, pourvoi numéro 25-17.510, publié au Bulletin sous le numéro 582 FS-B, s’attaquait à l’autre pilier du refus bancaire : le contenu même de la négligence grave. Les faits, tels que les relate l’arrêt, méritent d’être lus parce qu’ils correspondent à des dossiers courants de fraude aux entreprises : « le 16 décembre 2019, l’assistante administrative du président de la société Eleco panacol devenue Hoenle Eleco (la société), contactée par une personne se faisant passer pour l’avocat de cette dernière, a transmis à la société HSBC continental Europe (la banque), par télécopie, un ordre de virement portant la fausse signature du président à destination d’une banque située en Hongrie afin de financer une prétendue opération financière. » La société, constatant avoir été victime d’une fraude dite au président, assigne la banque en remboursement du virement et en réparation de ses préjudices. La cour d’appel de Paris, par un arrêt du 28 mai 2025, rejette ses demandes en retenant une négligence grave de la société, tout en constatant elle-même que le virement litigieux du 17 décembre 2019 n’avait pas été effectué au moyen de la clé numérique dite 3S Key prévue au dispositif de sécurité personnalisé auquel la société avait souscrit le 10 mars 2017, dans le cadre du contrat dit HSBC Connect sous protocole sécurisé de télétransmission, et que la télécopie n’était plus utilisée par la société depuis mars 2017.

La Cour de cassation casse au visa des articles L. 133-16 et L. 133-19, IV du code monétaire et financier, lus à la lumière des articles 69 et 74 de la directive de 2015. Elle pose d’abord la règle, promise à de nombreuses citations : « Il résulte de ces textes qu’en cas d’opération de paiement non autorisée, le prestataire de services de paiement ne peut s’exonérer de sa responsabilité que lorsque l’utilisateur du service de paiement manque par négligence grave à ses obligations d’utiliser l’instrument de paiement qui lui a été délivré conformément aux conditions régissant sa délivrance et son utilisation ou ne prend pas toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées. » Puis elle applique cette règle aux faits constatés par les juges du fond : « En statuant ainsi, alors qu’elle avait relevé que la télécopie n’était plus l’instrument de paiement convenu entre les parties, de sorte que la banque, qui avait accepté d’exécuter une opération de paiement au moyen d’un tel instrument, ne pouvait pas reprocher à la société une négligence grave, la cour d’appel a violé les textes susvisés. » On ne reproche pas au client de mal utiliser un instrument que la banque n’avait pas à accepter : dès lors que les parties étaient liées depuis mars 2017 par un système sécurisé de télétransmission permettant les remises de virements au moyen d’un logiciel dédié et d’une clé de sécurité, l’exécution d’un ordre reçu par télécopie, confirmé par un simple courriel, prive la banque du droit d’invoquer la négligence de sa cliente. L’arrêt casse et annule en toutes ses dispositions l’arrêt de la cour d’appel de Paris et renvoie l’affaire devant la même cour autrement composée, en condamnant la banque aux dépens et à 3 000 euros au titre de l’article 700 du code de procédure civile.

La portée de cette solution dépasse la télécopie, instrument d’une autre époque. Le principe vaut pour tout canal abandonné ou non convenu : ordre adressé par courriel simple, consigne donnée par téléphone, lien de validation reçu par message, dès lors que le contrat de services de paiement organise un autre circuit d’authentification. L’article L. 133-16 dispose : « Dès qu’il reçoit un instrument de paiement, l’utilisateur de services de paiement prend toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées. » Il utilise « l’instrument de paiement conformément aux conditions régissant sa délivrance et son utilisation qui doivent être objectives, non discriminatoires et proportionnées ». Les données de sécurité personnalisées, définies à l’article L. 133-4 du même code comme « des données personnalisées fournies à un utilisateur de services de paiement par le prestataire de services de paiement à des fins d’authentification », sont donc celles que la banque elle-même a remises au client avec l’instrument convenu. Symétriquement, une banque qui exécute un ordre par un canal que le contrat ne prévoit plus ne peut pas transformer sa propre entorse au dispositif convenu en faute de son client. Et l’article L. 133-19, IV, seul fondement textuel de la mise à la charge du payeur de « toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17 », suppose que l’opération ait été effectuée à l’aide de l’instrument de paiement doté de données de sécurité personnalisées que le client était tenu de préserver. Pour les entreprises victimes de fraude au président ou de fraude au faux fournisseur, la question à poser à la banque n’est donc plus seulement de savoir qui a donné l’ordre, mais par quel canal l’ordre est arrivé et si c’était celui du contrat. Dans les dossiers où la banque répond « c’est vous qui avez validé », la réponse utile consiste à exiger la production du contrat, du dispositif de sécurité souscrit et de la traçabilité complète de l’ordre exécuté.

II. Obtenir le remboursement après un hameçonnage ou une fraude au président

A. La réclamation qui fait courir le remboursement : signaler vite, exiger vite

Le premier réflexe reste le signalement, et il commande tout. L’article L. 133-24 du code monétaire et financier dispose : « L’utilisateur de services de paiement signale, sans tarder, à son prestataire de services de paiement une opération de paiement non autorisée ou mal exécutée et au plus tard dans les treize mois suivant la date de débit sous peine de forclusion », sauf si la banque ne lui a pas fourni les informations relatives à l’opération, et sauf délai contractuel distinct lorsque l’utilisateur n’est pas une personne physique agissant pour des besoins non professionnels. En pratique, ce délai de treize mois n’autorise aucune attente : plus le signalement est rapide, plus la contestation de la banque sur la qualité d’opération non autorisée devient difficile, et le dépôt de plainte concomitant, pour escroquerie et accès frauduleux, fige la version des faits et déclenche les réquisitions utiles à la traçabilité des fonds. L’information aux fins de blocage de l’instrument, prévue à l’article L. 133-17 — « Lorsqu’il a connaissance de la perte, du vol, du détournement ou de toute utilisation non autorisée de son instrument de paiement ou des données qui lui sont liées, l’utilisateur de services de paiement en informe sans tarder, aux fins de blocage de l’instrument, son prestataire ou l’entité désignée par celui-ci » — doit être faite dans le même temps, par un canal traçable, et conservée avec son accusé de réception.

La réclamation écrite adressée à la banque ne doit plus demander un remboursement comme une faveur, elle doit constater l’expiration du délai légal. Depuis l’arrêt du 15 octobre 2026, le seul motif de refus admis est le soupçon de fraude du client lui-même, communiqué par écrit à la Banque de France : une banque qui refuse pour négligence grave sans avoir effectué cette déclaration méconnaît le texte tel que la Cour de justice l’interprète. La lettre rappelle donc l’article L. 133-18 et sa formule — remboursement « immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant » —, cite le dispositif de l’arrêt C-70/25, et met la banque en demeure de justifier soit du remboursement, soit de la déclaration écrite adressée à la Banque de France avec ses raisons objectives. Elle exige aussi le rétablissement du compte dans l’état où il se serait trouvé si l’opération n’avait pas eu lieu, avec une date de valeur non postérieure à celle du débit, comme le prévoit le même article. En cas de retard, le texte prévoit lui-même la sanction : « Les sommes dues produisent intérêt au taux légal majoré de cinq points », puis « Au-delà de sept jours de retard, les sommes dues produisent intérêt au taux légal majoré de dix points », et « Au-delà de trente jours de retard, les sommes dues produisent intérêt au taux légal majoré de quinze points. » Ces majorations courent de plein droit et doivent figurer dans la mise en demeure, puis dans l’assignation, avec les dommages et intérêts pour résistance abusive lorsque la banque a maintenu un refus devenu indéfendable.

Devant le juge, la demande principale est devenue simple : exécution de l’obligation de remboursement, intérêts majorés, dommages et intérêts. C’est à la banque, si elle veut conserver les fonds, de former une demande reconventionnelle en restitution et d’établir la négligence grave par des éléments précis, et non par le seul constat que le code a été saisi. L’article L. 133-23 l’exige depuis 2009 ; la Cour de justice vient de dire qu’il faut le prendre au sérieux. Concrètement, la banque devra démontrer que le client a manqué, intentionnellement ou par négligence grave, aux obligations des articles L. 133-16 et L. 133-17, avec des pièces : logs d’authentification, preuve de la remise des dispositifs de sécurité, démonstration que l’instrument utilisé était bien celui convenu. Le client, de son côté, établit le signalement sans tarder, la plainte, l’absence d’autorisation donnée au tiers — un tiers qui trompe n’est pas un mandataire — et, lorsque le canal d’exécution n’était pas celui du contrat, l’arrêt du 8 octobre 2026 fait le reste. Pour les opérations effectuée sans exigence d’authentification forte, l’article L. 133-19, V ajoute que, sauf agissement frauduleux de sa part, « le payeur ne supporte aucune conséquence financière si l’opération de paiement non autorisée a été effectuée sans que le prestataire de services de paiement du payeur n’exige une authentification forte du payeur », l’authentification forte étant celle que l’article L. 133-44 impose notamment lorsque le payeur initie une opération de paiement électronique ou exécute une opération par un moyen de communication à distance susceptible de comporter un risque de fraude. Chaque maillon manquant du dispositif de sécurité de la banque devient ainsi un argument du client.

B. Les parades attendues des banques : opération autorisée, vérification du bénéficiaire, soupçon de fraude

Il faut s’attendre à deux parades, et les anticiper dès la réclamation. La première consistera à requalifier l’opération en opération autorisée : si c’est le client lui-même qui a validé le virement, trompé par un faux conseiller ou un faux vendeur, la banque soutiendra que l’article L. 133-18 ne s’applique pas, puisque le payeur a donné son consentement, et déplacera la discussion sur son devoir de vigilance. La frontière entre opération autorisée et opération non autorisée devient le vrai champ de bataille des prochains contentieux. La réponse tient en deux points. D’une part, un consentement extorqué par tromperie n’est pas un consentement éclairé : le client qui compose un code sous la dictée d’un escroc ou qui valide un bénéficiaire ajouté par un tiers ne consent pas à l’opération telle qu’elle est exécutée. D’autre part, et surtout, la banque ne peut pas se contenter d’affirmer l’autorisation : l’article L. 133-23 met à sa charge la preuve que l’opération a été authentifiée, dûment enregistrée et comptabilisée, sans déficience technique, et le simple enregistrement de l’usage de l’instrument ne suffit pas. Dans les dossiers de faux conseiller, exiger la restitution intégrale des traces — horodatage, canal, dispositif d’authentification utilisé, alertes éventuellement déclenchées — permet souvent de montrer que la banque a laissé passer une opération atypique sans le moindre contrôle, alors même que ses propres systèmes de détection auraient dû se déclencher.

C’est ici qu’intervient le deuxième apport textuel récent : la vérification du bénéficiaire. Le règlement européen 2024/886 sur les virements instantanés en euros impose aux prestataires un service assurant la vérification du bénéficiaire auquel le payeur a l’intention d’envoyer un virement, avant que le payeur ne se voie offrir la possibilité d’autoriser le virement. Une banque qui exécute vers un faux fournisseur ou un faux vendeur un virement dont elle avait signalé elle-même la discordance de bénéficiaire, ou qu’elle a exécuté sans vérification alors qu’elle la devait, s’expose à voir sa responsabilité recherchée sur ce terrain complémentaire. Pour les victimes de fraude au faux RIB et de fraude au président par virement que la banque présente comme validé par le client, la question à poser devient donc double : l’opération était-elle vraiment autorisée, et la vérification du bénéficiaire a-t-elle été effectuée et restituée ? Les lecteurs confrontés à l’hypothèse voisine du virement que la victime a elle-même ordonné sous l’emprise d’un manipulateur, notamment dans les arnaques aux faux placements, trouveront l’analyse complémentaire de cette frontière dans notre décryptage des virements autorisés extorqués et des recours contre la banque : arnaque au trading, virement autorisé par la victime manipulée, que peut encore la banque et comment contester son refus de remboursement.

La seconde parade consistera à multiplier les déclarations de soupçon de fraude du client à la Banque de France, seule exception admise par l’article L. 133-18, pour rouvrir un refus que l’arrêt du 15 octobre 2026 vient de fermer. Une telle déclaration ne se présume pas : elle doit reposer sur de bonnes raisons, objectives et vérifiables, communiquées par écrit à la Banque de France, et le client est en droit d’en exiger la justification. Une déclaration de pure complaisance, sans élément objectif, formulée après coup pour couvrir un refus déjà opposé, expose la banque à voir son refus jugé fautif et à supporter les intérêts majorés de l’article L. 133-18 et des dommages et intérêts. En pratique, dès que la banque invoque cette exception, il faut lui demander la date exacte de la déclaration, son destinataire et les raisons objectives qu’elle contient, puis, à défaut de réponse circonstanciée, saisir le médiateur bancaire sans attendre — la saisine du médiateur n’interrompt pas les délais judiciaires — et préparer l’assignation. Le rapport de force a changé de sens : pendant dix ans, la victime a dû prouver qu’elle n’avait pas été négligente pour récupérer son argent ; désormais, elle récupère son argent, et c’est à la banque de prouver, devant le juge et après avoir remboursé, qu’elle avait le droit de le reprendre.

Conclusion

Les arrêts du 8 et du 15 octobre 2026 ne créent pas un droit nouveau, ils obligent à appliquer le droit existant dans l’ordre que les textes prévoyaient depuis l’origine : remboursement immédiat de l’opération non autorisée, puis discussion, devant le juge, sur la négligence grave ou la fraude du client. Pour toute victime d’hameçonnage, de faux conseiller ou de fraude au président, la méthode tient en quatre gestes : signaler sans tarder à la banque et faire bloquer l’instrument, déposer plainte, exiger par écrit le remboursement en citant l’article L. 133-18 et l’arrêt C-70/25, et refuser tout débat sur la négligence grave tant que le remboursement n’est pas intervenu. Si la banque oppose une négligence, vérifier qu’elle porte sur l’instrument convenu au contrat, comme l’exige l’arrêt du 8 octobre 2026 ; si elle oppose une autorisation, exiger la preuve complète de l’authentification et le résultat de la vérification du bénéficiaire ; si elle oppose un soupçon de fraude, exiger la déclaration écrite adressée à la Banque de France. Chaque réponse dilatoire fait courir les intérêts majorés, chaque refus mal fondé prépare les dommages et intérêts. Les banques adapteront leurs argumentaires, les contentieux déplaceront la bataille vers la frontière de l’autorisation et vers la vérification du bénéficiaire, mais l’acquis d’octobre 2026 demeure : ce n’est plus à la victime de financer la discussion, c’est à la banque de rembourser d’abord et de prouver ensuite.