Maître Lionel Fouquet nous rappelle que dans une décision du 23 octobre 2024 (pourvoi n° 23-16.267), la Cour de cassation vient préciser de nouvelles règles dans les relations banque / client lorsque celui-ci est victime de spoofing* téléphonique.
Pour mémoire, le spoofing est une escroquerie malheureusement très courante : un faux conseiller bancaire parvient lors d’un appel téléphonique à convaincre une personne de lui remettre ses codes d’accès ou effectuer un virement à son profit.
La Cour indique :
« Après avoir exactement énoncé qu’il incombe au prestataire de services de paiement de rapporter la preuve d’une négligence grave de son client, l’arrêt constate que le numéro d’appel apparaissant sur le téléphone portable de M. [J] s’était affiché comme étant celui de Mme [Y], sa conseillère BNP et retient qu’il croyait être en relation avec une salariée de la banque lors du réenregistrement et nouvelle validation qu’elle sollicitait de bénéficiaires de virement sur son compte qu’il connaissait et qu’il a cru valider l’opération litigieuse sur son application dont la banque assurait qu’il s’agissait d’une opération sécurisée. Il ajoute que le mode opératoire par l’utilisation du « spoofing » a mis M. [J] en confiance et a diminué sa vigilance, inférieure, face à un appel téléphonique émanant prétendument de sa banque pour lui faire part du piratage de son compte, à celle d’une personne réceptionnant un courriel, laquelle aurait pu disposer de davantage de temps pour s’apercevoir d’éventuelles anomalies révélatrices de son origine frauduleuse. »
Après avoir rappelé qu’il appartient à la banque de prouver la négligence grave de son client, la Cour considère donc que le client qui se fait piéger au téléphone par un faux conseiller bancaire ne peut se voir reprocher par sa banque d’avoir commis une négligence grave. Il a donc le droit d’être remboursé par sa banque des virements frauduleux.
* Qu’est-ce que le spoofing ?
Le spoofing regroupe l’ensemble des cyberattaques qui consiste dans le vol de l’identité électronique telle que l’adresse mail, le nom de domaine ou l’adresse IP; et a pour but, le plus souvent, d’obtenir des informations bancaires et confidentielles.
