Les distributeurs automatiques de billets demeurent un point de vulnérabilité majeur pour les porteurs de cartes bancaires. Dans sa fiche pratique actualisée en avril 2026, le ministère de l’Intérieur rappelle sur le portail officiel Ma Sécurité que la fraude à la carte bancaire a représenté 1,19 milliard d’euros de préjudice en France selon l’Observatoire de la sécurité des moyens de paiement de la Banque de France, et que les automates de retrait concentrent trois modes opératoires récurrents : le blocage mécanique des coupures, le piégeage matériel de la carte appelé « collet marseillais » et la copie de la piste magnétique associée à la captation du code confidentiel, désignée sous le terme de « skimming ». Une synthèse publiée par Selectra à partir des données de la Banque de France souligne que le montant moyen d’un retrait frauduleux effectué sur un distributeur automatique atteint 405 euros, soit plus du triple d’un retrait d’espèces ordinaire, les auteurs cherchant à saturer immédiatement le plafond de retrait de la carte interceptée ou clonée.
Lorsqu’un titulaire découvre sur son relevé de compte un ou plusieurs retraits d’espèces qu’il conteste avoir ordonnés, la banque lui oppose fréquemment les journaux électroniques de l’automate et les certificats d’authentification monétique attestant que la carte à puce a été lue et que le code confidentiel à quatre chiffres a été composé sans erreur. Sur le fondement de cette trace informatique, de nombreux établissements soutiennent soit que l’opération a été autorisée par le porteur, soit que l’utilisation conjointe de la carte et du code secret démontre nécessairement une négligence grave du client dans la garde de ses données de sécurité personnalisées.
Cette position se heurte toutefois aux règles d’ordre public du Code monétaire et financier ainsi qu’à la jurisprudence de la chambre commerciale de la Cour de cassation rendue entre 2022 et 2026. D’une part, la Haute juridiction distingue l’initiation matérielle d’une opération sur un automate et le consentement effectif du payeur au montant débité, tout en encadrant l’application de la franchise de 50 euros (I). D’autre part, le législateur et le juge de cassation interdisent au prestataire de services de paiement de déduire la faute lourde du payeur de la seule saisie du code secret et précisent le point de départ de l’obligation de signalement « sans tarder » dans le délai de forclusion de treize mois (II).
I. La qualification juridique des fraudes au distributeur automatique et le droit au remboursement immédiat
Le traitement juridique d’un retrait d’espèces frauduleux dépend de la mécanique matérielle de la fraude subie par l’utilisateur, selon qu’un tiers intervient pendant l’utilisation de l’automate, piège la carte dans le lecteur ou en duplique les données techniques.
A. Du retrait extorqué par distraction ou agression au consentement effectif du payeur sur le montant
Une première série de litiges concerne les cas où le titulaire de la carte se présente devant un distributeur automatique, insère lui-même son instrument et compose son code confidentiel, avant qu’un tiers n’intervienne par ruse, distraction ou agression pour prendre le contrôle de l’écran, saisir un montant élevé et s’emparer des billets. Le système informatique enregistre alors une transaction validée par la carte originale et le code secret saisi par le client lui-même.
La chambre commerciale de la Cour de cassation juge qu’une telle opération demeure non autorisée au regard des articles L. 133-3 et L. 133-6 du Code monétaire et financier. Aux termes du I de l’article L. 133-3 du Code monétaire et financier, une opération de paiement est une action consistant à verser, transférer ou retirer des fonds, tandis que le I de l’article L. 133-6 du Code monétaire et financier dispose qu’une opération de paiement est autorisée si le payeur a donné son consentement à son exécution.
Dans un arrêt du 30 novembre 2022 (Chambre commerciale, pourvoi n° 21-17.614, Cour de cassation, 30 novembre 2022, n° 21-17.614), un porteur soutenait qu’après avoir introduit sa carte dans le distributeur et composé son code secret, un tiers avait saisi à son insu un retrait de 900 euros et pris les billets. Le tribunal judiciaire avait rejeté sa demande en retenant que « le fait qu’après que le titulaire d’une carte de paiement a introduit celle-ci dans un distributeur automatique de billets et a composé son code secret, un tiers compose à son insu le montant du retrait et s’empare des billets de banque, ne constitue pas un cas d’exemption de la responsabilité du payeur prévu par l’article L. 133-19 du code monétaire et financier. » (Cour de cassation, Chambre commerciale, 30 novembre 2022, n° 21-17.614). La Cour de cassation censure cette décision : « En se déterminant ainsi, sans rechercher, ainsi que cela lui était demandé, si l’opération de paiement avait été autorisée par M. [Z], en particulier quant à son montant, et, dans la négative, sans constater que la responsabilité du payeur était engagée en application du I ou du IV de l’article L. 133-19 du code monétaire et financier, le tribunal a privé sa décision de base légale. » (Cour de cassation, Chambre commerciale, 30 novembre 2022, n° 21-17.614).
Ce principe a été réaffirmé par la chambre commerciale le 15 janvier 2025 (pourvoi n° 23-18.906, Cour de cassation, 15 janvier 2025, n° 23-18.906). Un client exposait qu’après avoir introduit sa carte dans un distributeur d’une agence de la BRED Banque Populaire et composé son code confidentiel, il avait été agressé par plusieurs individus et qu’un retrait de 900 euros avait été effectué sur son compte après un premier retrait régulier de 70 euros. Au visa des articles L. 133-3, L. 133-6, L. 133-18 et L. 133-19 du Code monétaire et financier, la Cour de cassation rappelle que « une opération de paiement initiée par le payeur, qui donne un ordre de paiement à son prestataire de services de paiement, est réputée autorisée uniquement si le payeur a également consenti au montant de l’opération. » (Cour de cassation, Chambre commerciale, 15 janvier 2025, n° 23-18.906). Elle casse le jugement qui avait rejeté la demande de remboursement : « En se déterminant ainsi, sans rechercher, comme il lui était demandé, si l’opération de paiement avait été autorisée par M. [F], en particulier quant à son montant, et, dans la négative, sans constater que la responsabilité du payeur était engagée en application du I ou du IV de l’article L. 133-19 du code monétaire et financier, le tribunal n’a pas donné de base légale à sa décision. » (Cour de cassation, Chambre commerciale, 15 janvier 2025, n° 23-18.906).
Ainsi, la composition du code confidentiel par le titulaire ne suffit pas à rendre le retrait autorisé si un tiers sélectionne un montant auquel le porteur n’a pas consenti au sens de l’article L. 133-6 du Code monétaire et financier. De même, en cas de blocage mécanique des billets (« cash trapping ») décrit sur Ma Sécurité, où une réglette posée sur la trappe de distribution retient les coupures pendant que le client croit à une panne et s’éloigne, l’opération est affectée d’une déficience matérielle liée au sabotage de l’automate et ouvre droit à restitution en vertu des articles L. 133-18 et L. 133-23 du Code monétaire et financier.
B. Collet marseillais, skimming et articulation entre la franchise de 50 euros et l’exonération totale
Lorsque la fraude consiste à intercepter la carte ou à en copier la piste magnétique, la répartition des pertes avant opposition relève de l’article L. 133-19 du Code monétaire et financier. Comme le détaillent le portail Ma Sécurité et l’Institut national de la consommation dans son dossier consacré au skimming et au clonage de carte bancaire, le « collet marseillais » repose sur un dispositif inséré dans la fente du distributeur qui retient prisonnière la carte authentique pendant qu’un complice ou une micro-caméra capte le code secret composé par le client ; une fois la victime partie, le fraudeur récupère la carte originale et effectue des retraits. À l’inverse, dans le « skimming », la carte originale est normalement rendue à son titulaire, mais un lecteur pirate (« skimmer ») et une caméra ou un faux clavier ont copié les données de la piste magnétique et le code secret pour fabriquer une carte contrefaite (« white card »).
Cette différence technique gouverne l’application de la franchise légale de 50 euros prévue au I de l’article L. 133-19 du Code monétaire et financier. En cas d’opération non autorisée consécutive à la perte ou au vol de l’instrument de paiement avec utilisation du code secret avant l’information de blocage prévue à l’article L. 133-17 du Code monétaire et financier, le payeur exempt de négligence grave ne supporte les pertes que dans la limite d’un plafond de 50 euros. Qui plus est, le second alinéa du I de l’article L. 133-19 du Code monétaire et financier écarte même cette franchise de 50 euros lorsque la perte ou le vol ne pouvait pas être détecté par le payeur avant le paiement. Surtout, en cas de skimming, le II de l’article L. 133-19 du Code monétaire et financier exclut toute franchise de 50 euros lorsque l’opération a été réalisée en détournant à l’insu du payeur les données liées à l’instrument ou en cas de contrefaçon de la carte alors que le payeur était en possession de son instrument au moment de l’opération litigieuse.
Conformément à l’article L. 133-18 du Code monétaire et financier, dès lors que l’opération non autorisée est signalée dans le délai prévu à l’article L. 133-24 du Code monétaire et financier, le prestataire de services de paiement doit rembourser au payeur le montant de l’opération immédiatement après en avoir pris connaissance ou après en avoir été informé, et au plus tard à la fin du premier jour ouvrable suivant, sauf s’il a de bonnes raisons de soupçonner une fraude de l’utilisateur communiquées par écrit à la Banque de France. À défaut de remboursement dans ce délai légal expirant à la fin du premier jour ouvrable suivant, l’article L. 133-18 du Code monétaire et financier assortit de plein droit les sommes dues d’intérêts au taux légal majoré de cinq points dès le premier jour de retard, de dix points au-delà de sept jours et de quinze points au-delà de trente jours. En cas de refus persistant, l’appui d’un avocat en contentieux commercial et bancaire à Paris permet d’exiger tant le principal que ces majorations légales.
II. La charge de la preuve de la négligence grave et l’encadrement des délais de contestation
Pour refuser le remboursement prescrit par l’article L. 133-18 du Code monétaire et financier, les banques invoquent le IV de l’article L. 133-19 du Code monétaire et financier, selon lequel le payeur supporte toutes les pertes résultant d’un manquement intentionnel ou par négligence grave aux obligations de sécurité et d’alerte mentionnées aux articles L. 133-16 et L. 133-17 du Code monétaire et financier. La jurisprudence récente soumet toutefois le banquier à un régime probatoire très strict.
A. L’obligation probatoire préalable de la banque et l’insuffisance de la seule saisie du code confidentiel
L’article L. 133-23 du Code monétaire et financier impose une double exigence au prestataire de services de paiement : son premier alinéa l’oblige à prouver que l’opération contestée a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre ; son second alinéa précise que l’utilisation enregistrée de l’instrument de paiement ne suffit pas nécessairement en tant que telle à prouver que l’opération a été autorisée ou que le payeur a commis une négligence grave.
Dans un arrêt du 20 novembre 2024 (Chambre commerciale, pourvoi n° 23-15.099, Cour de cassation, 20 novembre 2024, n° 23-15.099), la Cour de cassation impose le respect de cet ordre d’examen : « s’il entend faire supporter à l’utilisateur d’un instrument de paiement doté d’un dispositif de sécurité personnalisé les pertes occasionnées par une opération de paiement non autorisée rendue possible par un manquement de cet utilisateur, intentionnel ou par négligence grave, aux obligations mentionnées aux articles L. 133-16 et L. 133-17 de ce code, le prestataire de services de paiement doit au préalable prouver que l’opération en cause a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre. » (Cour de cassation, Chambre commerciale, 20 novembre 2024, n° 23-15.099).
Surtout, même lorsque la banque produit les certificats d’authentification établissant que la carte originale a été utilisée et que le code confidentiel a été composé à chaque retrait en distributeur automatique, le juge ne peut en déduire une négligence grave du client dans la garde de ses dispositifs de sécurité au sens de l’article L. 133-16 du Code monétaire et financier. La Cour de cassation l’a jugé dans un arrêt du 26 mars 2025 (Chambre commerciale, pourvoi n° 23-21.299, Cour de cassation, 26 mars 2025, n° 23-21.299), à propos de 3 290 euros de retraits d’espèces contestés sur des distributeurs automatiques au moyen de quatre cartes successives. Cassant le jugement qui avait débouté la cliente au motif que les cartes n’avaient pas été falsifiées et que le code secret avait été saisi lors de chaque retrait, la Haute juridiction énonce : « Il résulte de la combinaison de ces textes qu’il appartient au prestataire de services de paiement de rapporter la preuve que l’utilisateur, qui nie avoir autorisé une opération de paiement, a agi frauduleusement ou n’a pas satisfait intentionnellement ou par négligence grave à son obligation de prendre toute mesure raisonnable pour préserver la sécurité des données de sécurité personnalisées. La négligence grave ne peut se déduire du seul fait que l’instrument de paiement ou les données personnelles qui lui sont liées ont été effectivement utilisés. » (Cour de cassation, Chambre commerciale, 26 mars 2025, n° 23-21.299). La même règle a entraîné la cassation d’un jugement ayant retenu l’imprudence d’une cliente au seul vu des traces informatiques d’enrôlement de sa clé digitale dans un arrêt du 5 mars 2025 (Chambre commerciale, pourvoi n° 23-22.687, Cour de cassation, 5 mars 2025, n° 23-22.687) : « En statuant ainsi, le tribunal, qui a déduit la négligence grave de Mme [P] de la seule utilisation de ses données de sécurité personnalisées, a violé les textes susvisés. » (Cour de cassation, Chambre commerciale, 5 mars 2025, n° 23-22.687).
En revanche, la négligence grave est retenue lorsque la banque prouve une faute caractérisée par des éléments extrinsèques tels que les propres déclarations du porteur. Ainsi, la cour d’appel de Nouméa, dans un arrêt du 27 avril 2026 (Chambre civile, n° 24/00214, Cour d’appel de Nouméa, 27 avril 2026, n° 24/00214), rappelle : « Il est de jurisprudence constante que la charge de la preuve de la négligence grave commise par le titulaire de la carte pèse sur l’établissement bancaire. En ce sens, la circonstance que la carte a été utilisée par un tiers avec composition du code confidentiel n’est pas à elle seule susceptible de constituer la preuve d’une telle faute. En revanche, laisser sa carte et son code secret inscrit sur un papier dans un même lieu ( voiture par exemple) constitue une grave négligence. » (Cour d’appel de Nouméa, Chambre civile, 27 avril 2026, n° 24/00214), avant de relever que le client avait lui-même reconnu lors de l’opposition avoir laissé son code écrit dans la sacoche volée. De son côté, la cour d’appel de Paris, dans un arrêt du 22 janvier 2026 (Pôle 4, Chambre 9, A, n° 25/01632, Cour d’appel de Paris, 22 janvier 2026, n° 25/01632), à propos de deux retraits en distributeur de 1 500 euros et 500 euros après remise physique de la carte à un faux coursier, précise que « Les deux transactions ont été réalisées par un usage physique de l’instrument de paiement, de sorte que les développements concernant les obligations des banques en termes d’authentification forte liées à des opérations réalisées à distance sont sans objet. » (Cour d’appel de Paris, Pôle 4 – Chambre 9 – A, 22 janvier 2026, n° 25/01632).
B. L’articulation entre l’obligation de signalement « sans tarder » et le délai de forclusion de treize mois
Sur le terrain des délais, l’article L. 133-17, I, du Code monétaire et financier impose à l’utilisateur, dès qu’il a connaissance de la perte, du vol, du détournement ou de toute utilisation non autorisée de son instrument de paiement, d’en informer « sans tarder » son prestataire aux fins de blocage, tandis que l’article L. 133-24 du Code monétaire et financier prévoit que l’utilisateur signale « sans tarder » une opération non autorisée et au plus tard dans les treize mois suivant la date de débit sous peine de forclusion.
À la suite de l’arrêt Veracash de la Cour de justice de l’Union européenne du 1er août 2025 (C-665/23), la chambre commerciale de la Cour de cassation a fixé la portée exacte de ces deux textes dans un arrêt du 14 janvier 2026 (pourvoi n° 22-14.822, Cour de cassation, 14 janvier 2026, n° 22-14.822), relatif à des retraits quotidiens non autorisés contestés près de deux mois après le premier débit. La Haute juridiction juge que l’obligation de signaler « sans tarder » prévue aux articles L. 133-17 et L. 133-24 du Code monétaire et financier naît uniquement à compter du moment où l’utilisateur a effectivement pris connaissance de l’opération non autorisée, et que le payeur agissant dans le délai de treize mois suivant la date de débit fixé par l’article L. 133-24 du Code monétaire et financier n’est privé du remboursement des pertes évitables que s’il a retardé son signalement de manière délibérée ou par négligence grave.
Elle casse en conséquence l’arrêt d’appel sur le point de départ du délai de signalement « sans tarder » : « En se déterminant ainsi, sans rechercher, comme il lui incombait dès lors qu’il était soutenu que le signalement était tardif, la date à laquelle M. [E] avait eu connaissance de la première opération de paiement, la cour d’appel n’a pas donné de base légale à sa décision. » (Cour de cassation, Chambre commerciale, 14 janvier 2026, n° 22-14.822), ainsi que sur la caractérisation de la faute lourde : « En se déterminant ainsi, par des motifs insuffisants à caractériser la négligence grave que M. [E] aurait commise, faute notamment de préciser dans quelles conditions le tiers avait eu accès à son identifiant et à sa clé secrète, la cour d’appel n’a pas donné de base légale à sa décision. » (Cour de cassation, Chambre commerciale, 14 janvier 2026, n° 22-14.822). L’assistance d’un cabinet d’avocats en droit des affaires et contentieux commercial à Paris permet ainsi de contester efficacement tout refus bancaire qui confondrait la date de débit en compte et la date de prise de connaissance effective de la fraude.
Conclusion
Le régime applicable aux arnaques aux distributeurs automatiques de billets protège fermement le porteur contre les refus de remboursement fondés sur la seule lecture de la puce et la saisie du code confidentiel. Par ses arrêts des 30 novembre 2022 (n° 21-17.614) et 15 janvier 2025 (n° 23-18.906), la Cour de cassation exige la vérification du consentement du payeur au montant même du retrait conformément aux articles L. 133-3 et L. 133-6 du Code monétaire et financier.
De même, les arrêts des 20 novembre 2024 (n° 23-15.099), 5 mars 2025 (n° 23-22.687), 26 mars 2025 (n° 23-21.299) et 14 janvier 2026 (n° 22-14.822) imposent à la banque, en vertu de l’article L. 133-23 du Code monétaire et financier, d’établir l’absence de déficience technique, les circonstances concrètes d’accès du tiers au code secret et, dans le délai de forclusion de treize mois prévu à l’article L. 133-24 du Code monétaire et financier, la date effective de découverte du premier retrait contesté.