Remboursement des victimes de "spoofing" : un pas de plus vers la généralisation

Les faits à l'origine du litige

En l'espèce, le client d'une banque a reçu un appel d'un fraudeur qui s'est fait passer pour l'assistante de sa conseillère bancaire, dont le numéro de téléphone s'affichait sur l'écran de son téléphone portable. Le fraudeur lui a expliqué que pour déjouer une attaque informatique, il avait été nécessaire de supprimer des bénéficiaires de virement enregistrés sur son espace en ligne et qu'il fallait désormais les réenregistrer. Le client est alors resté en ligne et a reçu sur son téléphone portable des messages l'invitant à valider des ajouts de bénéficiaires. Pour ce faire, il a communiqué ses codes confidentiels au fraudeur, grâce auxquels celui-ci a ensuite pu virer 54.000 euros vers un compte tiers.

Le client, qui affirmait avoir été trompé par le numéro qui s'était affiché sur son téléphone portable, a alors demandé à sa banque de lui rembourser cette somme, laquelle s'y est refusée en lui opposant qu'il avait commis une négligence grave au sens de l'article L. 133-19 du code monétaire et financier.

Portée de l'arrêt commenté

La Chambre commerciale de la Cour de cassation a été saisie de cette affaire et a jugé que le client n'avait pas commis de négligence grave car le mode opératoire du fraudeur décrit ci-dessus l'avait mis "en confiance" et avait "diminué sa vigilance". La Cour a donc confirmé la condamnation de la banque à rembourser son client des sommes qui lui avaient été volées.

La Cour précise dans cet arrêt que la vigilance de la victime avait été "inférieure, face à un appel téléphonique émanant prétendument de sa banque pour lui faire part du piratage de son compte, à celle d'une personne réceptionnant un courriel, laquelle aurait pu disposer de davantage de temps pour s'apercevoir d'éventuelles anomalies révélatrices de son origine frauduleuse". La solution aurait donc certainement été différente si le fraudeur avait approché la victime par email ou par courrier.

Cet arrêt renforce une jurisprudence désormais bien établie de la Cour de cassation, rigoriste à l'encontre des établissements bancaires et bienveillante à l'endroit des victimes de "spoofing".

Le "spoofing" en chiffres

Selon l'Observatoire de la sécurité des moyens de paiement, les "fraudes par manipulation", dont fait partie le "spoofing", ont permis aux fraudeurs de détourner près de 380 millions d'euros en France en 2023. Cette même année, la Banque de France dénombrait plus de 410.000 victimes du "spoofing", un chiffre en nette hausse par rapport à ceux des années précédentes (250.900 victimes comptabilisées en 2016).

Le 1er octobre 2024, une nouvelle étape a été franchie avec l'entrée en vigueur d'une loi visant à encadrer le démarchage téléphonique et à lutter contre les appels frauduleux (loi n° 2020-901), dite Naegelen, adoptée le 24 juillet 2020, laquelle impose désormais aux opérateurs téléphoniques français de bloquer automatiquement les appels dont le numéro ne peut être authentifié. Une mesure bienvenue qui pourrait toutefois rapidement montrer ses limites face à l'ingéniosité grandissante des fraudeurs.