Fraude bancaire au phishing : la responsabilité de la banque

Le client de la banque qui a saisi sa clef digitale suite à la réception d’un email de phishing mais qui i) n’a pas divulgué à des tiers ses éléments personnalisés de sécurité, ii) n’a pas validé l’ajout d’un nouveau bénéficiaire non plus qu’il n’a effectué les virements, ne saurait être considéré comme ayant été gravement négligent, au seul motif qu’il a obtempéré au courriel semblant provenir de sa banque lui demandant de se connecter en faisant usage de ses codes et identifiants et de la clé digitale vantée comme garantissant un degré supérieur de sécurité.

La banque est condamnée aux remboursement des sommes frauduleusement prélevées.

Nos conseils :

– Il est recommandé de ne jamais valider des documents ou effectuer des opérations bancaires en ligne suite à des courriels provenant de sources non fiables, même si l’apparence semble légitime.

– Il est conseillé de conserver tous les courriels suspects et de contacter directement sa banque en cas de doute sur une demande de validation de documents ou de virements.

– Il est recommandé de prendre des mesures de sécurité supplémentaires pour protéger ses données personnelles et ses dispositifs de sécurité personnalisés, notamment en cas de connexion à des interfaces bancaires en ligne.

→ Les points essentiels

Explications de M. [Z]

Il résulte des explications de M. [Z], qui indique être ingénieur de formation et employé de la société Orange, notamment lors de son dépôt de plainte à la gendarmerie du 31 juillet 2019, qu’il a reçu un courriel le 29 juillet 2019 semblant provenir de ‘BNP NET’ lui demandant de valider de nouveaux documents figurant sur son interface internet bancaire. Il a ‘validé ces documents via la clé digitale’ en suivant le lien proposé par le courriel, ce qui a conduit à l’ajout d’un nouveau bénéficiaire et à deux virements non autorisés.

Dispositions du code monétaire et financier

À la date des faits litigieux, les dispositions du code monétaire et financier applicables étaient encore les suivantes : article L133-18, article L133-19, article L133-16, et article L133-17. Ces articles définissent les responsabilités du prestataire de services de paiement et de l’utilisateur en cas d’opération de paiement non autorisée.

Responsabilité de la banque

La banque est, en principe, tenue de rembourser à son client les sommes virées sans son autorisation, sauf si elle peut démontrer une fraude de la part du client ou une négligence grave de sa part. En l’espèce, la banque n’a pas réussi à démontrer que M. [Z] avait agi frauduleusement ou avait été gravement négligent, et doit donc lui rembourser la somme en question.

Conclusion

En conclusion, la banque est condamnée à rembourser à M. [Z] la somme de 11 998 euros avec intérêts au taux légal. Le jugement est infirmé et la banque est également condamnée aux entiers dépens ainsi qu’à payer à M. [Z] la somme de 4 000 euros en application de l’article 700 du code de procédure civile.

Les montants alloués dans cette affaire:

– Article L133-18 du code monétaire et financier :
‘en cas d’opération de paiement non autorisée signalée par l’utilisateur dans les conditions prévues à l’article L. 133-24, le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, sauf s’il a de bonnes raisons de soupçonner une fraude de l’utilisateur du service de paiement et s’il communique ces raisons par écrit à la Banque de France. Le cas échéant, le prestataire de services de paiement du payeur rétablit le compte débité dans l’état où il se serait trouvé si l’opération de paiement non autorisée n’avait pas eu lieu.

– Article L133-19 du code monétaire et financier :
‘I. ‘ En cas d’opération de paiement non autorisée consécutive à la perte ou au vol de l’instrument de paiement, le payeur supporte, avant l’information prévue à l’article L. 133-17, les pertes liées à l’utilisation de cet instrument, dans la limite d’un plafond de 50 €.
Toutefois, la responsabilité du payeur n’est pas engagée en cas :
‘ d’opération de paiement non autorisée effectuée sans utilisation des données de sécurité personnalisées ;
‘ de perte ou de vol d’un instrument de paiement ne pouvant être détecté par le payeur avant le paiement ;
‘ de perte due à des actes ou à une carence d’un salarié, d’un agent ou d’une succursale d’un prestataire de services de paiement ou d’une entité vers laquelle ses activités ont été externalisées.
II. ‘ La responsabilité du payeur n’est pas engagée si l’opération de paiement non autorisée a été effectuée en détournant, à l’insu du payeur, l’instrument de paiement ou les données qui lui sont liées.
Elle n’est pas engagée non plus en cas de contrefaçon de l’instrument de paiement si, au moment de l’opération de paiement non autorisée, le payeur était en possession de son instrument.
III. ‘ Sauf agissement frauduleux de sa part, le payeur ne supporte aucune conséquence financière si le prestataire de services de paiement ne fournit pas de moyens appropriés permettant l’information aux fins de blocage de l’instrument de paiement prévue à l’article L. 133-17.
IV . ‘ Le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17.
V et VI Inapplicables avant le 14 septembre 2019’

– Article L133-16 du code monétaire et financier :
‘Dès qu’il reçoit un instrument de paiement, l’utilisateur de services de paiement prend toute mesure raisonnable pour préserver la sécurité de ses dispositifs de sécurité personnalisés.
Il utilise l’instrument de paiement conformément aux conditions régissant sa délivrance et son utilisation’

– Article L133-17 du code monétaire et financier :
‘I. ‘ Lorsqu’il a connaissance de la perte, du vol, du détournement ou de toute utilisation non autorisée de son instrument de paiement ou des données qui lui sont liées, l’utilisateur de services de paiement en informe sans tarder, aux fins de blocage de l’instrument, son prestataire ou l’entité désignée par celui-ci.’

Bravo aux Avocats ayant plaidé ce dossier: – Me Florence REMY, avocat au barreau de PARIS
– Me Dominique PENIN du LLP KRAMER LEVIN NAFTALIS & FRANKEL LLP, avocat au barreau de PARIS