Spoofing : le CIC Sud Ouest condamné à rembourser sa cliente malgré la communication de ses codes

Condamnation du CIC

Observations sous TJ Dax (Pôle de proximité), 16 juin 2026, n° 25/00069

Vous avez vous-même communiqué vos codes et validé les opérations pendant un appel frauduleux, et votre banque estime que cela vous prive de tout remboursement ? Le Tribunal judiciaire de Dax vient de juger le contraire : le 16 juin 2026, il condamne le CIC Sud Ouest à rembourser sa cliente, alors même qu'elle avait communiqué ses données de sécurité. Une imprudence, oui. Une négligence grave, non.

Ce qu'il faut retenir

Par ce jugement, le Tribunal judiciaire de Dax condamne la Banque CIC Sud Ouest à rembourser 7 642,14 euros à une cliente victime de spoofing téléphonique. La banque soutenait que la cliente avait nécessairement communiqué ses codes et validé les opérations, comportement qui devait, selon elle, faire obstacle à tout remboursement. Le tribunal reconnaît l'imprudence, mais refuse d'y voir une négligence grave au sens de l'article L. 133-19 du Code monétaire et financier, en raison de la manipulation particulièrement élaborée dont la cliente a été victime. Une décision qui confirme, pour les personnes cherchant à obtenir le remboursement d'une fraude bancaire, que communiquer un code ne signifie pas renoncer à ses droits.

Les faits : une fraude sophistiquée reposant sur le spoofing

L'affaire débute par un SMS classique invitant la cliente à régler 2,26 euros pour recevoir un colis. Peu après ce paiement, elle reçoit un appel provenant, en apparence, du numéro de son agence bancaire. Son interlocuteur, se présentant comme membre du service fraude du CIC, l'informe qu'une escroquerie est en cours sur son compte et lui demande d'effectuer plusieurs manipulations censées protéger ses avoirs.

Au terme d'une conversation d'environ une heure, plusieurs virements internes sont réalisés, suivis d'un virement instantané vers un compte tiers et de quatre paiements par carte bancaire, pour un montant total supérieur à 9 000 euros. Après avoir obtenu le remboursement de deux opérations, la cliente sollicite la restitution du solde. La banque refuse, considérant que les opérations avaient été validées au moyen des dispositifs d'authentification forte et devaient donc être regardées comme autorisées.

L'authentification ne vaut pas consentement

Le tribunal rappelle une distinction essentielle du droit des services de paiement. En application des articles L. 133-3, L. 133-6 et L. 133-18 du Code monétaire et financier, une opération n'est autorisée que si le payeur a effectivement consenti au montant et au bénéficiaire du paiement. Or le recours à l'authentification forte, ou la validation technique d'une opération, ne démontre pas à lui seul l'existence de ce consentement.

En l'espèce, même à supposer que la cliente ait personnellement validé les opérations litigieuses, elle croyait accomplir des démarches destinées à empêcher une fraude, et non transférer volontairement des fonds à un escroc. Son consentement était donc entièrement vicié par les manœuvres frauduleuses. Cette motivation s'inscrit dans le prolongement de la jurisprudence de la Cour de cassation, qui considère de manière constante que l'utilisation des dispositifs de sécurité personnalisés n'établit pas, à elle seule, que l'opération a été régulièrement autorisée par le payeur. C'est le même raisonnement que celui retenu par le Tribunal judiciaire de Rennes dans l'affaire BforBank.

Une appréciation concrète de la négligence grave

L'intérêt principal du jugement réside dans l'analyse de la négligence grave. La banque faisait valoir que la cliente avait nécessairement communiqué plusieurs codes confidentiels et validé les opérations, comportement qui devait faire obstacle à tout remboursement en application de l'article L. 133-19 du Code monétaire et financier.

Le tribunal adopte une analyse sensiblement différente. Certes, il relève que la cliente a probablement communiqué certaines données de sécurité ou validé les opérations : une telle attitude constitue bien une négligence. Mais le juge refuse d'y voir une négligence grave. Pour parvenir à cette conclusion, il procède à une appréciation particulièrement concrète des circonstances : réception préalable d'un faux SMS crédible, usurpation du numéro de téléphone de la banque, connaissance par le fraudeur de certaines données personnelles, climat d'urgence entretenu pendant près d'une heure et crainte permanente de voir le compte intégralement vidé.

Le jugement retient que cet environnement anxiogène était de nature à altérer le discernement d'une personne normalement prudente. La cliente a certes manqué de vigilance, mais cette imprudence ne présente pas le degré de gravité exigé par l'article L. 133-19. Le tribunal relève enfin que la victime a immédiatement fait opposition, signalé les faits à sa banque puis déposé plainte, comportement peu compatible avec l'idée d'une négligence particulièrement grave.

Une décision conforme à l'évolution de la jurisprudence

Cette décision s'inscrit dans un mouvement jurisprudentiel désormais perceptible tant devant les juridictions du fond que devant la Cour de cassation. Depuis plusieurs années, les juges refusent de déduire automatiquement l'existence d'une négligence grave de la seule communication de codes confidentiels ou de la validation d'opérations d'authentification forte. L'appréciation est devenue résolument in concreto : elle prend en compte le degré de sophistication des techniques employées, les circonstances psychologiques dans lesquelles se trouvait la victime, et sa réaction immédiate après la découverte de l'escroquerie. Cette évolution est d'autant plus justifiée que les techniques de spoofing permettent désormais aux escrocs d'afficher le véritable numéro de téléphone de la banque, renforçant considérablement la crédibilité de leurs manœuvres.

Une condamnation logique de la banque

Faute d'établir une négligence grave de sa cliente, la Banque CIC Sud Ouest est condamnée à rembourser 7 642,14 euros, assortis des intérêts légaux à compter du 7 mars 2025. Le tribunal condamne également l'établissement au paiement de 1 500 euros au titre de l'article 700 du Code de procédure civile, ainsi qu'aux dépens. En revanche, la demande de réparation d'un préjudice moral est rejetée, le juge estimant que la cliente ne démontrait pas l'existence d'un dommage distinct du seul refus de remboursement.

Portée de la décision

Par ce jugement, le Tribunal judiciaire de Dax confirme que les fraudes par spoofing imposent une appréciation nuancée de la négligence grave. La communication de données de sécurité personnalisées ne suffit plus, à elle seule, à exonérer la banque de son obligation de remboursement. Lorsque le fraudeur parvient, grâce à des techniques d'ingénierie sociale élaborées, à obtenir l'adhésion de la victime en lui faisant croire qu'elle protège son patrimoine, le consentement fait défaut et la négligence du client peut demeurer insuffisante pour le priver de la protection instaurée par les articles L. 133-18 et suivants du Code monétaire et financier.

Questions fréquentes

J'ai moi-même communiqué mes codes : puis-je quand même être remboursé ?

Oui, c'est possible. Ce jugement le confirme : communiquer ses codes constitue une imprudence, mais pas nécessairement une négligence grave. Le juge apprécie l'ensemble des circonstances, notamment la sophistication de la manipulation et le contexte de pression. La seule communication de codes ne suffit pas à vous priver de remboursement.

Quelle différence entre imprudence et négligence grave ?

L'imprudence est un simple manque de vigilance. La négligence grave suppose un comportement d'une gravité particulière, apprécié concrètement. Seule la négligence grave permet à la banque de refuser le remboursement. Un tribunal peut donc reconnaître une imprudence tout en condamnant la banque, comme ici.

La banque peut-elle refuser au motif que l'opération a été validée par authentification forte ?Non. La validation technique d'une opération ne prouve pas le consentement du client. Une opération peut être authentifiée tout en ayant été validée sous l'effet d'une manœuvre frauduleuse, auquel cas le consentement libre fait défaut.

Le fait d'avoir vu le vrai numéro de ma banque s'afficher change-t-il quelque chose ?

Au contraire. Les techniques de spoofing permettent d'afficher le véritable numéro de l'agence, ce qui renforce la crédibilité de la fraude. Les juges en tiennent compte : cet affichage rend la manœuvre plus trompeuse et joue en faveur de la victime dans l'appréciation de la négligence.

Victime d'un spoofing après avoir communiqué vos codes ?

Avoir communiqué ses codes ne signifie pas avoir renoncé à ses droits. Si votre banque refuse de vous rembourser après un spoofing, découvrez comment contester ce refus. Nos avocats analysent les circonstances de la manipulation et vous exposent vos recours lors d'une première consultation grauite.

Contactez gratuitement le Cabinet