Sommaire
DÉCISION MAJEURE · DROIT BANCAIRE
Virement frauduleux : l’authentification de l’opération ne prouve pas votre consentement
Cass. com., 1er juillet 2026, n° 25-13.134 — publié au Bulletin — ECLI:FR:CCASS:2026:CO00369
Par Maître Cointet, avocat au barreau de Paris — droit bancaire et défense des victimes de fraude
C’est une décision majeure pour tous les clients de banque. Par un arrêt publié au Bulletin — la marque des décisions que la Cour de cassation juge importantes — rendu le 1er juillet 2026 (Cass. com., n° 25-13.134), la chambre commerciale pose une règle d’une portée considérable pour les victimes de fraude bancaire : le fait qu’une banque démontre qu’un virement a été correctement « authentifié » ne suffit pas, à lui seul, à prouver que le client y a consenti.
L’enjeu est capital. Face à l’explosion des fraudes aux moyens de paiement, les banques opposent presque systématiquement aux victimes le même argument : l’opération ayant été validée au moyen des identifiants et dispositifs de sécurité du client, elle serait autorisée, et aucun remboursement ne serait dû.
Cet arrêt referme cette porte et rééquilibre nettement le rapport de forces en faveur des consommateurs comme des entreprises.
L’essentiel
La preuve que l’authentification d’un virement a techniquement fonctionné ne prouve pas que le client a autorisé l’opération. C’est à la banque — et non à la victime — de démontrer le consentement réel du payeur. À défaut, elle doit restituer les fonds.
Virement contesté : ce que prévoit le code monétaire et financier
Lorsqu’un client conteste un virement qu’il affirme n’avoir jamais voulu, la question décisive est celle de la charge de la preuve : qui doit prouver quoi ?
Le code monétaire et financier apporte des repères clairs. Selon les articles L. 133-6 et L. 133-7, une opération de paiement n’est autorisée que si le payeur a donné son consentement à son exécution, sous la forme convenue avec son prestataire de services de paiement (la banque). À défaut d’un tel consentement, l’opération est réputée non autorisée.
L’article L. 133-23 précise le régime probatoire. Lorsqu’un utilisateur nie avoir autorisé une opération qui a pourtant été exécutée, il incombe à la banque de prouver que cette opération a été authentifiée, dûment enregistrée et comptabilisée, et qu’elle n’a pas été affectée d’une déficience technique ou autre. Surtout, ce texte pose une réserve essentielle : l’utilisation de l’instrument de paiement telle qu’enregistrée par la banque ne suffit pas nécessairement, en tant que telle, à prouver que l’opération a été autorisée par le payeur.
C’est précisément la portée de cette réserve que l’arrêt du 1er juillet 2026 vient éclairer.
Les faits : trois virements contestés par une entreprise
Une société titulaire d’un compte professionnel soutenait avoir été victime de trois virements frauduleux exécutés le même jour depuis son compte. Elle a assigné sa banque en restitution des fonds.
Pour justifier que les opérations avaient été régulièrement passées, la banque produisait ses relevés informatiques : ceux-ci établissaient l’utilisation de l’identifiant et du code d’accès à l’espace en ligne, ainsi que d’un jeton (« token ») généré par le boîtier de sécurité attribué à une préposée de la société — soit exactement la forme d’authentification convenue entre les parties.
La cour d’appel de Paris a rejeté les demandes de l’entreprise. Elle a retenu que la banque démontrait que les opérations avaient été authentifiées, dûment enregistrées et comptabilisées, et qu’elles n’avaient pas été affectées d’une déficience technique. Elle en a déduit que le consentement de la cliente était présumé avoir été donné, conformément à la forme convenue entre les parties.
La décision de la Cour de cassation : authentifier n’est pas autoriser
La Cour de cassation casse cette décision, au visa des articles L. 133-6, L. 133-7 et L. 133-23 du code monétaire et financier.
Son raisonnement est le suivant : la cliente contestait précisément avoir consenti aux opérations et soutenait que ses données de sécurité personnalisées avaient été utilisées à son insu. En déduisant le consentement de la seule circonstance que l’authentification convenue contractuellement avait été utilisée, la cour d’appel a inversé la charge de la preuve. Elle a fait peser sur la cliente ce qui pesait sur la banque.
Autrement dit, la preuve que l’instrument de paiement a été utilisé selon les modalités convenues établit que l’authentification a eu lieu — elle ne suffit pas à établir que le titulaire a voulu l’opération.
La cassation est totale : l’affaire est renvoyée devant la cour d’appel de Versailles, et la banque est condamnée aux dépens ainsi qu’à verser 3 000 euros à la société au titre des frais de procédure.
Pourquoi cette distinction est essentielle
L’apport de l’arrêt tient à une distinction fondamentale, trop souvent gommée par les banques dans les courriers de refus : l’authentification et l’autorisation ne se confondent pas.
L’authentification est une question technique : l’instrument de paiement a-t-il été utilisé correctement, avec les bons identifiants et le bon dispositif de sécurité ? L’autorisation est une question de volonté : le titulaire du compte a-t-il réellement consenti à l’opération ?
Or une fraude bien menée — hameçonnage, usurpation du numéro de la banque, manipulation du client, captation des données de sécurité — produit précisément une opération techniquement valide que le titulaire n’a jamais voulue. Admettre que la régularité technique vaut preuve du consentement reviendrait à faire supporter au client tout le risque de la fraude. C’est ce que la Cour refuse.
Concrètement, la banque ne peut pas se libérer de son obligation de restitution en démontrant seulement que l’opération a été correctement authentifiée. Il lui appartient de rapporter la preuve du consentement effectif du payeur, que le simple enregistrement des données de sécurité ne suffit pas à présumer.
Un arrêt d’une importance capitale pour les consommateurs
La portée de cette décision dépasse largement le dossier qui l’a suscitée.
Publiée au Bulletin, elle a vocation à s’imposer comme une référence dans l’ensemble des litiges de fraude aux paiements. Bien que l’affaire jugée concernât une entreprise, la règle posée repose sur des textes — les articles L. 133-6, L. 133-7 et L. 133-23 du code monétaire et financier — qui protègent tous les utilisateurs de services de paiement. Son importance est donc capitale pour les consommateurs, premières cibles des fraudeurs, à qui l’on opposait trop souvent un refus de remboursement au seul motif que l’opération avait été « authentifiée ».
Concrètement, cet arrêt rééquilibre le contentieux. Il replace la charge de la preuve là où la loi l’a fixée — sur la banque — et prive les établissements d’un argument commode. Invoquer le bon fonctionnement de l’authentification forte ne suffit plus : c’est le consentement réel du client qui doit désormais être démontré.
Il faut toutefois rester précis, et c’est là qu’un accompagnement juridique fait la différence. L’arrêt ne signifie pas que toute victime sera automatiquement remboursée : la banque conserve la possibilité de s’exonérer en démontrant une négligence grave du client dans la conservation de ses données de sécurité (article L. 133-19, IV, du code monétaire et financier). Mais cette négligence grave doit, elle aussi, être prouvée par la banque — elle ne se présume pas et ne se déduit pas du seul constat que l’authentification a fonctionné.
Victime d’un virement que vous n’avez pas autorisé : les bons réflexes
Si vous constatez un virement que vous n’avez pas voulu, quelques réflexes sont déterminants :
- Contester sans délai, par écrit, auprès de votre banque. La loi impose un délai maximal de treize mois pour signaler une opération non autorisée (article L. 133-24 du code monétaire et financier), au-delà duquel toute réclamation devient irrecevable.
- Conserver l’ensemble des preuves : courriels et SMS reçus, historique des appels, notamment ceux d’un prétendu conseiller bancaire, captures d’écran, relevés.
- Déposer plainte auprès des services de police ou de gendarmerie.
- Ne pas vous laisser opposer un refus fondé sur la seule affirmation que l’opération a été « authentifiée » : la loi et, désormais, l’arrêt du 1er juillet 2026 imposent à la banque de prouver bien davantage.
- Vous faire accompagner par un avocat rompu au contentieux bancaire, pour obtenir la restitution des sommes détournées.
Votre avocat en droit bancaire à Paris
Le cabinet de Maître Cointet a développé une pratique dédiée au droit bancaire et à la défense des victimes de fraude aux moyens de paiement. Maîtrisant le régime des opérations non autorisées et la jurisprudence la plus récente — dont cet arrêt du 1er juillet 2026 —, le cabinet accompagne particuliers et entreprises pour contester les virements frauduleux, engager la responsabilité de la banque et obtenir la restitution des sommes détournées, au stade amiable comme devant les juridictions.
Vous avez été victime d’un virement que vous n’avez pas autorisé ? Un refus de remboursement fondé sur l’« authentification » de l’opération n’est pas une fatalité.
Contactez le cabinet pour un examen de votre dossier.
Tél : 01.83.64.69.78
Mail : info@cointet-avocat-paris.fr
Questions fréquentes
La banque peut-elle refuser de me rembourser au motif que le virement a été « authentifié » ?
Non, pas sur ce seul fondement. Depuis l’arrêt du 1er juillet 2026, la preuve que l’opération a été authentifiée ne suffit pas à établir que vous l’avez autorisée. La banque doit prouver votre consentement effectif.
Qui doit prouver que j’ai autorisé le virement ?
La charge de la preuve pèse sur la banque. C’est à elle de démontrer que l’opération a été authentifiée, enregistrée, comptabilisée, non affectée d’une déficience technique — et, si elle entend s’exonérer, que vous avez commis une négligence grave.
Dans quel délai dois-je contester un virement non autorisé ?
Dans un délai maximal de treize mois à compter de la date de débit (article L. 133-24 du code monétaire et financier). Passé ce délai, la contestation n’est plus recevable. Il est donc impératif d’agir rapidement.
Cette décision concerne-t-elle aussi les particuliers ?
Oui. Bien que l’affaire concernait une société, le régime probatoire des articles L. 133-6, L. 133-7 et L. 133-23 s’applique aux opérations de paiement en général et bénéficie aussi aux particuliers victimes de fraude.
À PROPOS DE L’AUTEUR
Maître Alice Flore Cointet, avocat au barreau de Paris. Le cabinet intervient en droit bancaire et assiste les particuliers comme les entreprises victimes de fraudes aux moyens de paiement — virements frauduleux, hameçonnage, usurpation de l’identité de la banque. www.cointetavocatparis.fr
Cet article est publié à titre d’information générale et ne constitue pas une consultation juridique. Chaque situation étant particulière, il est recommandé de consulter un avocat pour l’analyse de votre dossier.
