Le 15 juin 2026, la quatrième chambre commerciale de la Cour d’appel de Bordeaux a rendu un arrêt appelé à nourrir la réflexion sur le régime de la responsabilité bancaire en matière de fraude aux virements. Une société, cliente d’un établissement de crédit, avait été victime d’une fraude dite de » spoofing « . Sa secrétaire comptable, abusée par un appel téléphonique usurpant l’identité de la banque, avait communiqué ses identifiants et codes confidentiels. Le fraudeur avait alors réalisé huit virements pour un montant total de 92 470 euros, dont une partie vers des comptes ouverts en Allemagne. La société assigna la banque en remboursement sur le fondement de l’article L. 133-18 du code monétaire et financier, ainsi qu’en responsabilité pour manquement à son devoir de vigilance. Le tribunal judiciaire la débouta de l’ensemble de ses demandes. En cause d’appel, la société maintint ses prétentions. La banque sollicita la confirmation du jugement. La question de droit soumise à la cour était double : d’une part, dans quelle mesure la présomption d’autorisation d’une opération de paiement, issue d’une clause contractuelle dérogeant à l’article L. 133-23 du code monétaire et financier, peut-elle écarter le bénéfice du remboursement prévu à l’article L. 133-18 ? D’autre part, la banque engage-t-elle sa responsabilité pour manquement à son devoir de vigilance lorsqu’elle exécute des virements pourtant frauduleux, mais dépourvus d’anomalies apparentes ? La cour d’appel a confirmé le jugement en toutes ses dispositions. Elle a jugé que les opérations litigieuses étaient des opérations de paiement autorisées en application de la clause contractuelle opposable à la société, et qu’aucun manquement au devoir de vigilance ne pouvait être retenu en l’absence d’anomalie apparente. L’intérêt de cet arrêt réside dans la mise en œuvre des clauses de preuve dérogatoires dans les relations entre professionnels, et dans la définition des limites du devoir de vigilance bancaire. Il convient d’examiner successivement l’imputabilité des opérations frauduleuses à l’utilisateur du service de paiement (I), puis l’étendue contrôlée de l’obligation de vigilance du prestataire (II).
I. L’imputabilité des opérations litigieuses à l’utilisateur du service de paiement
La Cour d’appel de Bordeaux écarte d’abord l’application du régime de responsabilité de plein droit prévu à l’article L. 133-18 du code monétaire et financier en validant une clause contractuelle qui renverse la charge de la preuve de l’autorisation. Elle retient ensuite que la société cliente ne peut invoquer sa propre négligence grave comme limite à cette présomption.
A. La validité de la clause de preuve conventionnelle dérogeant au régime légal
L’arrêt rappelle que, conformément à l’article L. 133-2 du code monétaire et financier, il peut être dérogé par contrat aux dispositions de l’article L. 133-23 du même code lorsque l’utilisateur n’est pas une personne physique agissant pour des besoins non professionnels. La cour constate que la société cliente, personne morale, avait adhéré au service de banque à distance » Filbanque « et que les conditions générales référencées CI.06.00 07/15 lui étaient opposables, le gérant ayant reconnu en avoir pris connaissance. L’article 5.3 de ces conditions stipule que » toute interrogation ou opération […] précédée de la tabulation de l’identifiant et du mot de passe […] sera réputée émaner, quelle qu’en soit l’origine du souscripteur lui-même « . La cour en déduit que ces clauses » dérogent valablement aux dispositions de l’article L. 133-23 du code monétaire et financier et permettent de présumer par la seule utilisation du dispositif de sécurité personnalisé, que l’opération litigieuse a été valablement effectuée sous la responsabilité du client « . En l’espèce, il est constant que les virements ont été initiés depuis le service » Filbanque « avec les identifiants et mots de passe de la société. Dès lors, conformément à la clause, les opérations sont réputées autorisées. La Cour de cassation, dans un arrêt du 30 avril 2025, avait déjà souligné l’importance pour le juge de vérifier » si les opérations de paiement litigieuses avaient été authentifiées, dûment enregistrées et comptabilisées « (Cass. com., 30 avril 2025, n°24-10.149). La solution bordelaise s’inscrit dans cette logique probatoire tout en rappelant que la convention peut aménager la preuve de l’authentification. Ainsi, la clause contractuelle permet d’écarter le mécanisme de remboursement automatique de l’article L. 133-18, applicable seulement aux opérations non autorisées.
B. L’absence de négligence grave comme limite à la présomption contractuelle
La cour examine ensuite si la société cliente peut échapper à cette présomption en démontrant une négligence grave de la banque ou en invoquant le défaut d’authentification forte. L’arrêt relève que la secrétaire comptable a reconnu dans son dépôt de plainte avoir » communiqué, par téléphone, les codes confidentiels permettant l’accès au service Filbanque ainsi que les codes confidentiels permettant la création d’un nouveau bénéficiaire et la validation d’une opération de virement externe « . La cour en déduit que c’est la société elle-même qui, par la faute de sa préposée, a permis à l’auteur des virements d’accéder à l’interface et de réaliser les opérations litigieuses. Or, la clause contractuelle stipule que » le souscripteur est responsable vis-à-vis de la Banque du contrôle de l’utilisation du Service par ses mandataires, ou tiers ou préposés « . La société ne peut donc se prévaloir de sa propre négligence pour contester les opérations. La comparaison avec un arrêt de la Cour d’appel de Toulouse du 18 mars 2025 est éclairante : cette juridiction avait retenu que, dans un contexte de spoofing, la simple communication d’éléments à un interlocuteur se faisant passer pour la banque » ne peut caractériser à l’encontre de [la victime] de négligence grave « (CA Toulouse, 18 mars 2025, n°23/03180). La différence de solution tient ici au fait que la salariée a non seulement communiqué ses identifiants, mais a également validé la création d’un nouveau bénéficiaire en saisissant le code reçu par SMS, participant ainsi activement à la réalisation des virements. La négligence est donc manifeste et la présomption contractuelle d’autorisation ne peut être renversée. Les opérations sont donc autorisées, ce qui exclut l’application de l’article L. 133-18.
II. L’étendue contrôlée de l’obligation de vigilance du prestataire de services de paiement
Après avoir écarté le fondement spécial du remboursement des opérations non autorisées, la cour se prononce sur la responsabilité de la banque au titre de son devoir général de vigilance. Elle exclut l’application du régime de la lutte anti-blanchiment et cantonne la responsabilité aux seules hypothèses d’anomalies apparentes.
A. L’exclusion du fondement légal spécial de la lutte anti-blanchiment
La société appelante invoquait à titre subsidiaire le manquement de la banque à ses obligations de vigilance et de contrôle issues des articles L. 561 et suivants du code monétaire et financier. Elle estimait que les opérations litigieuses présentaient des anomalies apparentes justifiant un contrôle renforcé. La cour oppose une fin de non-recevoir en rappelant une jurisprudence constante : » les obligations de vigilance et de déclarations imposées aux organismes financiers en application des articles L. 561-5 à L. 561-22 du code monétaire et financier ont pour seule finalité la lutte contre le blanchiment de capitaux et le financement du terrorisme « . Elle cite l’arrêt de la Chambre commerciale de la Cour de cassation du 28 avril 2004, et précise que » la victime d’agissements frauduleux ne peut se prévaloir de l’inobservation de ces obligations de vigilance et de déclarations pour réclamer des dommages et intérêts « . Ce rappel est conforme à une jurisprudence bien établie qui réserve ces obligations à un intérêt général, non à la protection individuelle des clients. La cour écarte donc ce fondement de manière limpide. La société ne peut pas utiliser les dispositifs anti-blanchiment pour engager la responsabilité de sa banque. Ce faisant, l’arrêt rappelle que la responsabilité bancaire doit être recherchée sur le terrain du droit commun de la responsabilité contractuelle, et non sur celui d’une réglementation spécifique aux finalités répressives.
B. Le cantonnement du devoir de vigilance aux anomalies apparentes
Sur le fondement de l’article 1231-1 du code civil, la cour rappelle le principe de non-ingérence de la banque dans les affaires de son client, qui n’est tenue à une obligation de contrôle qu’en présence d’une anomalie apparente. Elle définit cette anomalie comme une irrégularité » matérielle ou intellectuelle, soit des documents qui lui sont fournis, soit de la nature elle-même de l’opération ou encore du fonctionnement du compte « . En l’espèce, la cour examine méthodiquement les griefs de la société. Les libellés des virements ( » VIR ANCIEN FOURNISSEURS « , » VIR RGT FACT FRS « , » VIR FOURNISSEURS « ) étaient parfaitement banals. Certains virements ont été réalisés vers de réels bénéficiaires de la société, comme l’a reconnu la plaignante. Le compte présentait une provision suffisante, sans risque de découvert. Seuls trois virements sur huit étaient destinés à un compte étranger, en Allemagne, pays membre de l’Union européenne. La cour estime que » le fait que tous les virements aient été réalisés le même jour, alors que l’agence bancaire était fermée et vers de nouveaux bénéficiaires est insuffisant à caractériser l’existence d’anomalies apparentes « . La société ne rapportait pas la preuve d’une prétendue interdiction de virements vers l’étranger. Aucune anomalie flagrante ne justifiait que la banque s’immisce dans les affaires de son client. Dès lors, » la responsabilité du CIC pour manquement à son obligation de vigilance ne saurait être retenue « . La solution s’inscrit dans la droite ligne de la jurisprudence de la Cour de cassation, notamment de l’arrêt du 14 janvier 2026 (Com., 14 janvier 2026, n°24-19.102) qui rappelle que l’obligation de vigilance ne trouve à s’appliquer qu’en présence d’une anomalie apparente. En l’absence d’une telle anomalie, la banque n’a pas à contrôler l’opportunité des opérations, même frauduleuses.
Jurisprudences utilisées pour enrichir le commentaire
Fondements juridiques
Article L. 133-18 du Code monétaire et financier En vigueur
En cas d’opération de paiement non autorisée signalée par l’utilisateur dans les conditions prévues à l’article L. 133-24, le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, sauf s’il a de bonnes raisons de soupçonner une fraude de l’utilisateur du service de paiement et s’il communique ces raisons par écrit à la Banque de France. Le cas échéant, le prestataire de services de paiement du payeur rétablit le compte débité dans l’état où il se serait trouvé si l’opération de paiement non autorisée n’avait pas eu lieu.
Lorsque l’opération de paiement non autorisée est initiée par l’intermédiaire d’un prestataire de services de paiement fournissant un service d’initiation de paiement, le prestataire de services de paiement gestionnaire du compte rembourse immédiatement, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, au payeur le montant de l’opération non autorisée et, le cas échéant, rétablit le compte débité dans l’état où il se serait trouvé si l’opération de paiement non autorisée n’avait pas eu lieu. La date de valeur à laquelle le compte de paiement du payeur est crédité n’est pas postérieure à la date à laquelle il avait été débité.
En cas de manquement du prestataire de services de paiement aux obligations prévues aux deux premiers alinéas du présent article, les pénalités suivantes s’appliquent :
1° Les sommes dues produisent intérêt au taux légal majoré de cinq points ;
2° Au-delà de sept jours de retard, les sommes dues produisent intérêt au taux légal majoré de dix points ;
3° Au-delà de trente jours de retard, les sommes dues produisent intérêt au taux légal majoré de quinze points.
Si le prestataire de services de paiement qui a fourni le service d’initiation de paiement est responsable de l’opération de paiement non autorisée, il indemnise immédiatement le prestataire de services de paiement gestionnaire du compte, à sa demande, pour les pertes subies ou les sommes payées en raison du remboursement du payeur, y compris le montant de l’opération de paiement non autorisée.
Le payeur et son prestataire de services de paiement peuvent décider contractuellement d’une indemnité complémentaire.
Article L. 133-23 du Code monétaire et financier En vigueur
Lorsqu’un utilisateur de services de paiement nie avoir autorisé une opération de paiement qui a été exécutée, ou affirme que l’opération de paiement n’a pas été exécutée correctement, il incombe à son prestataire de services de paiement de prouver que l’opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre.
L’utilisation de l’instrument de paiement telle qu’enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l’opération a été autorisée par le payeur ou que celui-ci n’a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant en la matière. Le prestataire de services de paiement, y compris, le cas échéant, le prestataire de services de paiement fournissant un service d’initiation de paiement, fournit des éléments afin de prouver la fraude ou la négligence grave commise par l’utilisateur de services de paiement.
Article L. 133-2 du Code monétaire et financier En vigueur
Sauf dans les cas où l’utilisateur est une personne physique agissant pour des besoins non professionnels, il peut être dérogé par contrat aux dispositions de l’article L. 133-1-1, des deux derniers alinéas de l’article L. 133-7, des articles L. 133-8, L. 133-19, L. 133-20, L. 133-22, L. 133-23, L. 133-25, L. 133-25-1, L. 133-25-2 et aux I et III de l’article L. 133-26.
Article 1231-1 du Code civil En vigueur
Le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure.
Transmettez les pièces de votre dossier au cabinet. Maître Hassan KOHEN vous répond personnellement sous 24 heures avec une première analyse stratégique.
