Opérations frauduleuses et spoofing : la responsabilité bancaire de nouveau mise à l’épreuve

I. En résumé :

Le 14 novembre 2025, le Tribunal judiciaire de Toulouse se prononce sur une fraude au « spoofing » impliquant BNP Paribas et des clients victimes d’opérations non autorisées.
La banque invoquait la négligence grave des clients, estimant que la transmission d’un code SMS constituait une faute justifiant le refus de remboursement.
Le tribunal rejette cette argumentation, rappelle que l’authentification forte ne suffit pas à démontrer l’autorisation d’une opération et que la négligence grave doit être strictement prouvée.
BNP Paribas est condamnée à rembourser 10 600 € avec intérêts et à verser 4 000 € au titre de l’article 700 CPC, soulignant la protection des usagers face aux escroqueries sophistiquées et la charge de preuve pesant sur les banques.

II. Une escroquerie minutieusement orchestrée : reconstitution des faits

Le 22 août 2022, l’un des époux [K], titulaires d’un compte joint au sein de BNP Paribas, reçoit un appel téléphonique d’un individu prétendant appartenir à l’équipe de leur conseillère bancaire. Grâce à un procédé de « spoofing », le numéro affiché sur le téléphone correspond exactement à celui de l’agence, renforçant l’illusion d’un échange authentique. Sous couvert d’une prétendue mise à jour urgente du dispositif de sécurité, le fraudeur transmet un lien à la cliente.

Celle-ci, pensant agir dans l’intérêt de la protection de son compte, clique sur ce lien. Cette action permet au fraudeur d’activer, depuis son propre terminal, une nouvelle « clé digitale » associée au compte des époux, outil indispensable à la validation des paiements en ligne.

Quelques heures plus tard, une opération de 10 600 € est exécutée pour l’achat d’une montre de luxe. Un second débit, d’un montant moindre, intervient dès le lendemain. Les époux contestent immédiatement l’ensemble des opérations, indiquant n’avoir validé aucune transaction de ce type.

BNP Paribas refuse pourtant le remboursement, estimant que la cliente a commis une négligence grave, notamment en communiquant le code reçu par SMS permettant l’activation de la clé frauduleuse.

III. L’argumentation de BNP Paribas : l’authentification forte et la faute alléguée du client

Pour s’exonérer de son obligation de remboursement, l’établissement bancaire avance deux fondements :

L’opération litigieuse a été validée au moyen d’une authentification forte, conforme aux exigences techniques, ce qui, selon la banque, confirme qu’elle n’a pas été réalisée à son insu mais via un dispositif de sécurité régulier.
La cliente aurait volontairement transmis un code confidentiel, composante essentielle de l’activation de la clé digitale frauduleuse, ce qui constituerait une négligence grave au sens de l’article L. 133-19 IV du Code monétaire et financier.

L’établissement estime ainsi que cette faute du client suffit à rompre la chaîne de sécurité et à l’exonérer de toute obligation de remboursement.

IV. La réponse du Tribunal judiciaire de Toulouse : rejet de la négligence grave et reconnaissance de la responsabilité de la banque

Dans son jugement du 14 novembre 2025 (n° 23/00493), le tribunal va rejeter l’argumentation de BNP Paribas.

a) Sur les identifiants de connexion

Le tribunal constate qu’il est impossible de déterminer comment le fraudeur a obtenu les identifiants bancaires. Les analyses, notamment issues d’une expertise amiable et de la procédure pénale, évoquent de possibles techniques sophistiquées de piratage. Dès lors, aucune divulgation d’identifiants par les clients n’est établie.

b) Sur la communication du code SMS

S’il est admis que la cliente a transmis un code de sécurité, les juges replacent cet acte dans le contexte global de la fraude : usurpation du numéro de l’agence, maîtrise d’informations personnelles non publiques, discours convaincant et climat d’urgence.

Cette communication ne procède donc pas d’une négligence, mais d’une manœuvre frauduleuse particulièrement élaborée. Le tribunal refuse en conséquence la qualification de négligence grave, qui doit être appréciée strictement.

c) Sur l’argument de la double indemnisation

La banque soutenait que les clients pourraient être indemnisés ensuite dans le cadre de la procédure pénale visant l’auteur de l’escroquerie. Le tribunal écarte cet argument : les actions pénale et civile ne poursuivent ni le même objet, ni ne concernent les mêmes parties.

V. Le dispositif : condamnation de BNP Paribas

Le Tribunal judiciaire condamne BNP Paribas à :

Rembourser la somme de 10 600 € ;
Y ajouter les intérêts au taux légal conformément à l’article L133-18 CMF ;
Verser 4 000 € au titre de l’article 700 du Code de procédure civile.

La demande de réparation d’un préjudice moral est rejetée, faute pour les époux d’avoir démontré une faute spécifique de la banque dans le traitement de leur dossier.

VI. Un enseignement clair : l’exigence de preuve s’impose à la banque

Cette décision rappelle que :

L’authentification forte, en elle-même, ne suffit pas à démontrer l’autorisation d’une opération contestée ;
La banque ne peut s’exonérer qu’en prouvant une négligence grave du client, ce qui, en pratique, exige une démonstration rigoureuse et circonstanciée ;
Les techniques de spoofing fragilisent particulièrement les usagers, et la seule transmission d’un code, obtenue par tromperie, ne constitue pas automatiquement une faute grave.

VII. Conclusion

La décision du Tribunal de Toulouse s’inscrit dans une jurisprudence de plus en plus attentive à la vulnérabilité des consommateurs face aux escroqueries sophistiquées. Elle rappelle que la protection des usagers demeure au cœur du régime légal applicable aux services de paiement, et que la charge de la preuve incombe pleinement aux établissements bancaires lorsqu’ils invoquent la faute du client.