Boursorama condamnée par le Tribunal judiciaire de Lyon malgré l'authentification forte : le spoofing intégré dans l'analyse judiciaire

Le Tribunal judiciaire de Lyon a condamné Boursorama à rembourser 13 638,77 euros à une victime de spoofing dans sa décision du 13 janvier 2026 — et ce malgré l'authentification forte des opérations. Cette décision particulièrement éclairante apporte deux apports majeurs : l'enrôlement d'un nouvel appareil le jour des faits révèle une immixtion frauduleuse possible que la banque doit écarter, et cliquer sur un lien SMS sous pression psychologique ne constitue pas une négligence grave.

Boursorama condamnée spoofing

Boursorama condamnée spoofing Lyon : les faits

Une cliente de Boursorama, titulaire de plusieurs comptes, a reçu en fin d'après-midi un appel d'une personne se présentant comme un conseiller de sa banque. Son interlocuteur l'alertait sur l'existence de prétendus virements frauduleux en cours et lui décrivait une procédure d'urgence destinée à sécuriser ses comptes. La cliente, inquiète mais attentive, a suivi les instructions données.

Trois virements ont été effectués pour un montant total de 22 000 euros vers des bénéficiaires inconnus. Très rapidement, elle a contesté les opérations, contacté la banque, adressé un courrier de dénonciation et déposé plainte. Malgré ces démarches immédiates, Boursorama a refusé de rembourser — considérant que les opérations avaient été valablement autorisées ou résultaient d'une négligence grave de la cliente.

Le cadre juridique rappelé par le tribunal

Le Tribunal judiciaire de Lyon a rappelé avec rigueur le cadre légal applicable. Lorsqu'un client nie avoir autorisé une opération, il appartient au prestataire de démontrer non seulement que l'opération a été authentifiée, enregistrée et comptabilisée, mais également qu'elle n'a été affectée par aucune déficience technique ou immixtion frauduleuse. L'utilisation de l'instrument de paiement et la validation par authentification forte ne suffisent pas, à elles seules, à établir le caractère autorisé de l'opération.

Premier apport — L'enrôlement d'un nouvel iPhone révèle une immixtion frauduleuse possible

Si la cliente ne contestait pas avoir validé les opérations via l'authentification forte, le tribunal a constaté que la banque échouait à démontrer l'absence d'immixtion frauduleuse dans ses systèmes.

L'examen du journal des connexions a révélé un élément déterminant : le jour même des faits, un nouvel appareil de type iPhone avait été enrôlé et utilisé via un navigateur web pour initier un premier virement significatif — alors que l'appareil habituel de la cliente fonctionnait exclusivement via l'application bancaire. Ces manipulations étaient contemporaines des appels frauduleux dénoncés.

Le tribunal en a déduit que l'hypothèse selon laquelle un tiers aurait pu initier les virements, en laissant à la cliente le seul soin de les valider sous la contrainte psychologique de l'urgence, ne pouvait pas être écartée. Faute pour la banque d'apporter la preuve contraire, les opérations ne pouvaient pas être qualifiées d'autorisées.

Deuxième apport — Cliquer sur un lien SMS sous pression ne constitue pas une négligence grave

Boursorama soutenait que la cliente avait manqué à ses obligations de vigilance en ne vérifiant pas l'identité de son interlocuteur et en validant les opérations malgré certains signaux d'alerte — notamment en cliquant sur un lien reçu par SMS.

Le tribunal a rejeté cette analyse en tenant compte de l'ensemble des circonstances concrètes.

L'usurpation du numéro officiel dans le contexte d'une banque en ligne

Le faux conseiller avait utilisé le numéro officiel du service client de Boursorama. Dans le contexte d'une banque en ligne — où le client ne dispose pas d'un conseiller dédié et communique habituellement à distance — l'usurpation du numéro officiel est de nature à lever les derniers doutes d'un client pourtant vigilant. Le tribunal a relevé que Boursorama elle-même reconnaissait être la cible de ce type de fraude et en alertait ses clients dans ses conditions générales.

Les emails d'alerte ne constituent pas des signaux d'alerte exploitables

Les courriels invoqués par Boursorama comme autant d'alertes que la cliente aurait dû identifier ont été jugés ambigus — tant sur l'identité réelle des bénéficiaires que sur la nature exacte des opérations. Leur réception dans un laps de temps extrêmement resserré, alors que la cliente était sous l'influence directe du discours anxiogène du faux conseiller, ne permet pas de caractériser un comportement gravement fautif.

Cliquer sur un lien SMS n'est pas une négligence grave dans ce contexte

Même le fait d'avoir cliqué sur un lien reçu par SMS — pourtant reconnu par la cliente — ne suffit pas, dans ce contexte précis, à établir une négligence grave au sens du Code monétaire et financier.

La condamnation : 13 638,77 euros remboursés avec intérêts au taux légal à compter de la mise en demeure, frais de procédure à la charge de Boursorama.

Ce que cette décision apporte aux victimes de spoofing chez Boursorama

Le journal des connexions est une pièce à demander systématiquement

L'examen du journal des connexions a été déterminant dans cette décision. Si un nouvel appareil a été enrôlé le jour de la fraude — alors que vous utilisez habituellement un appareil différent ou un autre mode de connexion — c'est un indice d'immixtion frauduleuse que la banque doit écarter. Demandez à Boursorama de produire le journal complet des connexions et des enrôlements sur votre compte à la date des faits.

Le contexte de banque en ligne renforce votre position

Dans une banque en ligne sans conseiller dédié, il est encore plus légitime de faire confiance à quelqu'un qui appelle depuis le numéro officiel du service client. Le tribunal l'a expressément reconnu — ce contexte spécifique renforce la légitimité de la confiance accordée et exclut la négligence grave.

Avoir cliqué sur un lien SMS ne vous prive pas de vos droits

Si Boursorama invoque le fait que vous avez cliqué sur un lien SMS comme preuve de votre négligence grave, contestez cet argument. Le tribunal a expressément jugé que ce comportement, dans un contexte de pression psychologique intense, ne suffit pas à caractériser une négligence grave.

Pour comprendre comment l'immixtion frauduleuse dans les systèmes de la banque engage sa responsabilité : Responsabilité de la banque en cas de défaut d'authentification des opérations

Pour comprendre comment contester le refus de remboursement de Boursorama : Refus de remboursement fraude bancaire : comment contester efficacement ?

Pour comprendre l'ensemble des recours disponibles : Fraude bancaire et faux conseiller : comment obtenir gain de cause ?

À retenir sur la condamnation de Boursorama par le TJ Lyon

• Boursorama a été condamnée à rembourser 13 638,77 euros par le TJ Lyon le 13 janvier 2026 malgré l'authentification forte

• L'enrôlement d'un nouvel appareil le jour des faits révèle une immixtion frauduleuse possible que la banque doit écarter

• Dans une banque en ligne sans conseiller dédié, l'usurpation du numéro officiel exclut encore plus fortement la négligence grave

• Cliquer sur un lien SMS sous pression psychologique ne constitue pas une négligence grave

• Les emails d'alerte reçus pendant la fraude ne peuvent pas être retenus comme signaux d'alerte exploitables si leur réception est contemporaine des échanges avec le fraudeur

FAQ — Boursorama spoofing et authentification forte

Boursorama dit que j'ai validé les opérations par authentification forte — peut-elle refuser mon remboursement ? Non si un tiers a pu initier les virements depuis un appareil inconnu enrôlé le jour des faits. Le TJ Lyon l'a rappelé le 13 janvier 2026 : l'authentification forte ne suffit pas si la banque ne peut pas écarter l'immixtion frauduleuse dans ses systèmes. Demandez le journal des connexions.

Un nouvel appareil a été enrôlé sur mon compte le jour de la fraude — est-ce un argument ? Oui, c'est un argument déterminant. L'enrôlement d'un nouvel appareil contemporain des appels frauduleux révèle une immixtion possible d'un tiers dans les systèmes de la banque. C'est à la banque de démontrer que cet enrôlement n'a pas permis l'initiation des virements — pas à vous.

J'ai cliqué sur un lien SMS pendant l'appel du fraudeur — Boursorama peut-elle invoquer ma négligence grave ? Non dans les conditions retenues par le TJ Lyon. Si vous étiez sous l'influence directe du discours anxiogène du faux conseiller au moment où vous avez cliqué, ce comportement ne constitue pas une négligence grave au sens du Code monétaire et financier.

Boursorama m'a envoyé des emails d'alerte pendant la fraude — est-ce que cela me prive de mes droits ? Non si ces emails étaient ambigus et reçus pendant les échanges avec le fraudeur. Le TJ Lyon a expressément jugé que des emails reçus dans un laps de temps extrêmement resserré, alors que la victime est sous l'influence du discours frauduleux, ne peuvent pas être retenus comme des signaux d'alerte exploitables.

Boursorama refuse de vous rembourser après un spoofing en invoquant l'authentification forte ?

Nos avocats analysent votre dossier et vous exposent vos recours lors d'une première consultation téléphonique gratuite.

Etre rappelé par Me AUDINOT