Virement frauduleux : la banque doit prouver l'autorisation

Lorsqu'un client conteste un virement qu'il dit ne pas avoir autorisé, la banque peut-elle se contenter de montrer que ses identifiants et son dispositif d'authentification ont été utilisés ? Par un arrêt du 1er juillet 2026 publié au Bulletin, la chambre commerciale de la Cour de cassation répond par la négative et censure une cour d'appel qui avait inversé la charge de la preuve.

Les faits et la procédure

Une société titulaire d'un compte bancaire constate que trois virements ont été exécutés depuis ce compte le 23 novembre 2020. Elle soutient ne pas les avoir autorisés et que ses données de sécurité ont été utilisées à son insu. Elle assigne sa banque en restitution des fonds.

Pour s'opposer à la demande, la banque produit des relevés établissant l'utilisation de l'identifiant et du code d'accès à l'espace de banque en ligne, ainsi que d'un code à usage unique (« token ») généré par un boîtier attribué à une salariée de la société.

Par un arrêt du 22 janvier 2025, la cour d'appel de Paris rejette les demandes de la société. Elle retient que ces relevés établissent l'authentification des opérations et l'absence de déficience technique, et en déduit que le consentement doit être présumé donné selon la forme convenue. La société forme un pourvoi.

La question posée à la Cour

Le code monétaire et financier organise précisément ce contentieux :

• selon les articles L. 133-6 et L. 133-7, une opération de paiement n'est autorisée que si le payeur y a consenti sous la forme convenue avec son prestataire ; à défaut, elle est réputée non autorisée ;
• selon l'article L. 133-23, lorsque l'utilisateur nie avoir autorisé une opération, il incombe au prestataire de prouver que l'opération a été authentifiée, dûment enregistrée et comptabilisée, et qu'elle n'a pas été affectée par une déficience technique.

La question était donc la suivante : la preuve de l'authentification et du bon fonctionnement technique suffit-elle à établir que le payeur a autorisé l'opération ?

La solution retenue

La Cour casse l'arrêt en toutes ses dispositions. Elle rappelle, en reprenant la lettre de l'article L. 133-23, que l'utilisation de l'instrument de paiement telle qu'enregistrée par le prestataire « ne suffit pas nécessairement en tant que telle à prouver que l'opération a été autorisée par le payeur ».

Or la cour d'appel, après avoir constaté que la société contestait avoir consenti aux virements et soutenait que ses données avaient été utilisées à son insu, avait déduit ce consentement du seul recours à la forme convenue contractuellement. Ce faisant, elle a inversé la charge de la preuve. L'affaire est renvoyée devant la cour d'appel de Versailles, et la banque est condamnée aux dépens et au paiement de 3 000 euros au titre de l'article 700 du code de procédure civile.

Il faut bien distinguer deux étapes. L'authentification démontre qu'un dispositif de sécurité a été utilisé ; elle ne démontre pas, à elle seule, que c'est le titulaire du compte qui a voulu l'opération. La preuve de l'authentification est une condition nécessaire à la défense de la banque, mais elle n'épuise pas le débat.

Portée et conseils pratiques

L'arrêt ne crée pas une règle nouvelle : il applique strictement le texte du code monétaire et financier, en sanctionnant un raisonnement qui transformait la preuve technique en présomption de consentement. Sa publication au Bulletin lui donne toutefois une valeur de rappel à l'attention des juridictions du fond.

Sa portée doit être appréciée avec mesure :

• la banque n'est pas condamnée à rembourser : la Cour se prononce sur la charge de la preuve, et c'est la juridiction de renvoi qui statuera de nouveau ;
• la question de la négligence grave est distincte : même en présence d'une opération non autorisée, le prestataire peut, dans les conditions prévues par le code, faire valoir que le payeur a agi frauduleusement ou n'a pas satisfait, intentionnellement ou par négligence grave, à ses obligations de sécurité. Cette preuve lui incombe également et ne se déduit pas davantage de la seule utilisation de l'instrument ;
• le statut du client compte : le code permet, lorsque l'utilisateur n'est pas un consommateur, d'écarter contractuellement certaines de ces règles. L'arrêt ne se prononce pas sur ce point ; il convient donc de vérifier la convention de compte.

En pratique, pour le client qui découvre une opération qu'il n'a pas voulue :

• signaler l'opération à la banque sans tarder et par écrit, les délais de contestation étant encadrés par l'article L. 133-24 du code monétaire et financier, et pouvant être aménagés contractuellement pour les clients professionnels ;
• conserver tous les éléments utiles : relevés, échanges avec la banque, plainte éventuelle, éléments sur les circonstances de la fraude (appel frauduleux, usurpation, etc.) ;
• ne pas tenir pour acquis qu'une « authentification forte » ferme tout recours : c'est précisément ce que l'arrêt écarte.

Pour l'établissement bancaire, l'arrêt invite à constituer, au-delà des journaux techniques, les éléments permettant de discuter du consentement effectif ou d'une éventuelle négligence grave de l'utilisateur.

Lorsque le litige est porté devant la Cour de cassation, le pourvoi doit être formé dans des délais stricts ; nous les détaillons dans notre article sur le délai de pourvoi en cassation. Sur la procédure devant la Cour, voir aussi notre page Cour de cassation.

Si vous êtes confronté à une contestation d'opération bancaire et envisagez un recours, vous pouvez contacter le cabinet.

Référence : Cass. com., 1er juillet 2026, n° 25-13.134, publié au Bulletin. Article à jour au 26 octobre 2026 ; il ne remplace pas une consultation.