Fraude au virement : les codes ne prouvent pas le consentement

Par Pierre-Louis Roquet, Avocat au Barreau de Lyon | 28 juillet 2026 | Lecture : 9 min
Illustration vectorielle : token de sécurité bancaire et chaîne d'authentification rompue

Cass. com., 1er juillet 2026 : l'usage enregistré des codes de sécurité ne prouve pas le consentement du payeur. Analyse et conséquences pour les entreprises.

Analyse d'un arrêt Cass. com., 1er juillet 2026, n° 25-13.134, par Pierre-Louis Roquet, avocat en droit des affaires à Lyon.

Le 23 novembre 2020, trois virements quittent le compte d'une société industrielle ouvert dans les livres du Crédit lyonnais. La société soutient qu'elle ne les a jamais ordonnés. Les relevés informatiques de la banque racontent une autre histoire : identifiant saisi, code d'accès à l'espace en ligne validé, « token » généré par le boîtier de sécurité attribué à une salariée. Vu du système, tout est régulier.

C'est cette régularité apparente qui a fait perdre son procès à la société devant la cour d'appel de Paris. Le raisonnement des juges parisiens tenait en une ligne : puisque l'instrument de paiement a été utilisé selon la forme convenue au contrat, le consentement du titulaire du compte est présumé.

La chambre commerciale a censuré ce raccourci. L'arrêt du 1er juillet 2026, publié au Bulletin, casse la décision parisienne du 22 janvier 2025 en toutes ses dispositions et renvoie l'affaire devant la cour d'appel de Versailles. Le motif est net : en déduisant le consentement du recours à la forme convenue contractuellement, la cour d'appel a inversé la charge de la preuve.

Le mécanisme des articles L. 133-6 et L. 133-7 du code monétaire et financier est pourtant limpide. Une opération de paiement est autorisée si le payeur a consenti à son exécution. Ce consentement est donné sous la forme convenue entre le payeur et son prestataire de services de paiement. À défaut, l'opération est réputée non autorisée. La forme convenue est le canal du consentement, elle n'en est pas la preuve.

L'article L. 133-23 complète le dispositif. Lorsque l'utilisateur nie avoir autorisé une opération exécutée, il incombe au prestataire de prouver que celle-ci a été authentifiée, dûment enregistrée et comptabilisée, et qu'elle n'a pas été affectée par une déficience technique ou autre. Le même texte ajoute une phrase que les établissements préfèrent parfois laisser dans l'ombre : l'utilisation de l'instrument de paiement telle qu'enregistrée par le prestataire ne suffit pas nécessairement, en tant que telle, à prouver que l'opération a été autorisée par le payeur.

Le journal de connexion n'est pas une signature

Toute la difficulté tient dans cette distinction. La banque qui produit ses relevés techniques satisfait la première exigence du texte, celle de l'authentification. Elle démontre que ses systèmes ont fonctionné. Elle ne démontre pas qu'une volonté se tenait derrière la commande. Confondre les deux revient à faire peser sur l'entreprise victime une preuve négative qu'elle ne peut par hypothèse rapporter, celle de n'avoir pas voulu l'opération.

La solution n'est pas une rupture. Elle prolonge Cass. com., 18 janvier 2017, n° 15-18.102, qui jugeait déjà que la preuve de la négligence grave du payeur ne peut se déduire du seul fait que l'instrument de paiement ou les données qui lui sont liées ont été effectivement utilisés. En 2017, la Cour tenait le second étage du raisonnement, celui de la faute de l'utilisateur. En 2026, elle tient le premier, celui de l'autorisation même de l'opération. Les deux verrous sont désormais posés, et ils se ferment dans le même sens.

L'effet pratique est considérable. Une banque ne gagnera plus un contentieux de fraude au virement en versant aux débats la seule trace informatique de la connexion. Le débat technique se déplace vers ce que ses journaux ne disent pas : l'adresse IP d'origine, l'appareil utilisé, l'horodatage, la cohérence du bénéficiaire avec l'historique du compte, l'existence d'une alerte de sécurité restée sans suite.

Ce que cela change pour les entreprises et leurs conventions de compte

Pour les entreprises lyonnaises confrontées à un détournement, la séquence utile commence avant le procès. L'article L. 133-18 impose au prestataire de rembourser le montant de l'opération non autorisée immédiatement après en avoir eu connaissance, et au plus tard à la fin du premier jour ouvrable suivant, sauf s'il a de bonnes raisons de soupçonner une fraude de l'utilisateur, raisons qu'il doit alors communiquer par écrit à la Banque de France. Ce remboursement est un préalable, non l'issue d'un débat judiciaire. Le rappeler par écrit, texte en main, change souvent le ton de la discussion.

Une réserve mérite d'être posée, et elle est de taille pour les personnes morales. L'article L. 133-2 autorise les parties à déroger par contrat à l'article L. 133-23, comme aux articles L. 133-19 et L. 133-20, dès lors que l'utilisateur n'est pas une personne physique agissant pour des besoins non professionnels. La règle probatoire que la Cour de cassation vient de faire respecter est donc supplétive à l'égard d'une société. La définition de l'opération autorisée, aux articles L. 133-6 et L. 133-7, échappe en revanche à cette faculté de dérogation.

La conséquence pour l'audit et la négociation des conventions de compte est immédiate. Il faut relire les stipulations relatives à la preuve des ordres, aux présomptions attachées à l'usage des dispositifs de sécurité personnalisés et à la force probante des enregistrements de la banque. Une clause habilement rédigée par l'établissement peut neutraliser une part de l'apport de l'arrêt. Une clause maladroite, qui prétendrait faire du seul usage du dispositif la preuve du consentement, se heurtera au socle impératif des articles L. 133-6 et L. 133-7. Cet examen relève de la pratique bancaire courante d'un cabinet lyonnais, au même titre que les conditions tarifaires ou les dates de valeur.

Ce que l'arrêt laisse en suspens

La cassation n'est pas la victoire. Devant la cour d'appel de Versailles, la banque conserve deux terrains. Celui de la preuve du consentement, qu'elle peut tenter d'établir autrement que par ses journaux. Celui de la négligence grave de l'utilisateur au sens de l'article L. 133-19, IV, qui la libère de toute obligation de remboursement, à charge pour elle d'en rapporter la preuve. La chambre commerciale n'a pas examiné la seconde branche du moyen et ne dit rien de l'imputation à la société des agissements de la salariée détentrice du boîtier. Savoir dans quelles conditions le comportement d'un préposé vaut consentement du payeur reste une question ouverte.

Une dernière frontière décide souvent du sort du dossier. Le régime des opérations de paiement non autorisées suppose que l'ordre n'émane pas du client. Dans la fraude au faux fournisseur ou au faux dirigeant, où un salarié abusé émet lui-même le virement, l'opération est autorisée et l'article L. 133-18 ne s'applique pas. Le débat se déplace alors sur le devoir de vigilance du banquier et sur l'anomalie apparente, avec un régime de preuve nettement moins favorable au client. Tracer cette ligne dès la première lettre de réclamation est déterminant.

Questions fréquentes

Ma banque refuse de me rembourser un virement frauduleux, que faire ?

Adressez sans délai une réclamation écrite contestant formellement avoir autorisé l'opération, en visant les articles L. 133-18 et L. 133-23 du code monétaire et financier. Demandez la communication intégrale des éléments techniques d'authentification. Le refus doit être motivé. Si la banque persiste, la saisine de la juridiction compétente doit être engagée rapidement, sans attendre l'expiration des délais de contestation.

La banque produit des journaux montrant l'usage de mes codes, l'affaire est-elle perdue ?

Non. Depuis l'arrêt du 1er juillet 2026, l'usage de l'instrument de paiement dans la forme prévue au contrat ne prouve pas à lui seul que le payeur a consenti. Ces relevés établissent l'authentification, pas la volonté. Il appartient à la banque de compléter sa démonstration, à condition que vous ayez contesté expressément le consentement dès vos premières écritures.

Dans quel délai faut-il contester un virement frauduleux ?

L'article L. 133-24 impose de signaler l'opération sans tarder et au plus tard dans les treize mois suivant la date de débit. Passé ce terme, l'action en remboursement est fermée. En pratique, le signalement doit intervenir dès la découverte, car tout retard nourrit le reproche de négligence adressé à l'entreprise.

La banque doit-elle rembourser avant que le litige soit tranché ?

Oui, en principe. L'article L. 133-18 prévoit un remboursement immédiat et au plus tard à la fin du premier jour ouvrable suivant la connaissance de l'opération contestée. La seule échappatoire est le soupçon motivé de fraude de l'utilisateur, que l'établissement doit signaler par écrit à la Banque de France. Ce remboursement n'est pas suspendu à une expertise.

Mon entreprise bénéficie-t-elle de la même protection qu'un particulier ?

Pas nécessairement. L'article L. 133-2 permet d'écarter par contrat plusieurs règles protectrices, dont celle relative à la charge de la preuve, lorsque l'utilisateur n'est pas une personne physique agissant à des fins non professionnelles. La convention de compte doit donc être lue avant toute décision de stratégie contentieuse.

La fraude au président relève-t-elle du même régime ?

Non. Lorsqu'un salarié trompé émet lui-même le virement, l'opération est autorisée au sens des textes et l'article L. 133-18 ne s'applique pas. La responsabilité de la banque ne peut alors être recherchée que sur le terrain de son devoir de vigilance face à une anomalie apparente, ce qui suppose une démonstration bien plus lourde.

Le détournement des codes d'un salarié engage-t-il la société ?

La question n'est pas définitivement tranchée. L'arrêt du 1er juillet 2026 ne se prononce pas sur l'imputation au payeur des agissements du détenteur du dispositif de sécurité. Le débat portera sur l'organisation interne des habilitations, la séparation des fonctions et la diligence de l'entreprise dans la conservation de ses données de sécurité personnalisées.

Sources

Un dossier sur ce sujet ? Contentieux civil et commercial — Contacter le cabinet