Société Générale spoofing remboursement : la Cour d'appel de Paris condamne la banque
Dernière mise à jour : 23 sept.
La Cour d'appel de Paris a rendu, le 9 septembre 2026, un arrêt remarquable en matière de fraude au faux conseiller bancaire. Saisie après un jugement de première instance défavorable aux victimes, la Cour infirme cette décision et condamne la Société Générale à rembourser intégralement 9 995 euros à des clients victimes de spoofing. L'arrêt apporte deux enseignements majeurs : il rappelle avec netteté que l'authentification d'une opération ne vaut pas autorisation, et il illustre les conséquences procédurales graves d'une banque qui ne communique pas régulièrement ses pièces en appel.
Ce qu'il faut retenir
Un couple de clients de la Société Générale a été victime d'un spoofing au moyen d'un numéro affichant « Carte Visa Opposition ». La banque, déboutée en première instance, a présenté en appel des pièces et conclusions issues uniquement de la première instance, sans les communiquer régulièrement aux victimes. La Cour a jugé que la Société Générale ne rapportait donc pas la preuve que l'opération avait été authentifiée, enregistrée et exempte de déficience technique, conformément aux exigences de l'article L. 133-23 du Code monétaire et financier. Elle a condamné la banque à rembourser 9 995 euros, avec intérêts au taux légal et prise en charge des dépens des deux instances.
Les faits : une fraude au faux conseiller du service opposition
Un appel affichant le numéro dédié aux oppositions carte
M. et Mme X, titulaires d'un compte joint auprès de la Société Générale, ont reçu un appel téléphonique d'un individu se présentant comme un conseiller du service fraude de la banque. Ce que rend ce cas particulièrement significatif, c'est le numéro affiché lors de l'appel : il correspondait au numéro « Carte Visa Opposition », c'est-à-dire le numéro dédié de la Société Générale pour les mises en opposition de cartes bancaires. Pour la victime, la légitimité de l'interlocuteur semblait donc parfaitement établie : le numéro affiché n'était pas simplement celui d'un conseiller ordinaire, mais celui d'un service de sécurité spécialisé.
Le fraudeur a suivi le schéma classique du spoofing : signalement d'une prétendue tentative de fraude en cours sur la carte bancaire, mise en situation d'urgence, et proposition de procéder à une opposition. Ce discours, couplé à l'affichage du numéro officiel, a légitimement atténué la vigilance des victimes.
Une opération de 9 995 € débitée le 1er mai 2023
Le 1er mai 2023, une opération de paiement de 9 995 euros a été débitée du compte des époux X. Les victimes ont contesté cette opération auprès de la Société Générale et sollicité son remboursement. La banque a refusé. Les époux X ont alors saisi le tribunal judiciaire de Paris, qui a rendu en première instance un jugement défavorable le 3 juillet 2025. Les victimes ont interjeté appel de cette décision.
L'opération qualifiée de non autorisée
Après avoir rappelé les dispositions des articles L. 133-18 et suivants du Code monétaire et financier, la Cour d'appel considère sans ambiguïté que l'opération litigieuse constitue une opération de paiement non autorisée.
Ce point mérite d'être souligné : la Société Générale ne contestait pas, en première instance, que les époux X n'avaient pas donné leur consentement à l'opération. Cette absence de contestation sur la qualification de l'opération est un élément déterminant. Elle signifie que le débat ne portait pas sur la réalité de la fraude, mais sur la répartition de la charge financière de cette fraude entre la banque et ses clients.
Or, le principe posé par l'article L. 133-18 du Code monétaire et financier est clair : une opération de paiement non autorisée doit être remboursée par le prestataire de services de paiement. Le refus de remboursement n'est admis que si la banque établit la fraude ou la négligence grave du client, et c'est à elle d'en apporter la preuve.
La charge de la preuve : ce que la banque devait démontrer et n'a pas démontré
Les trois éléments cumulatifs imposés par l'article L. 133-23 du CMF
L'article L. 133-23 du Code monétaire et financier est au cœur de cet arrêt. Il dispose que, lorsqu'un client nie avoir autorisé une opération, il appartient au prestataire de services de paiement de démontrer trois éléments cumulatifs :
Premièrement, que l'opération a été authentifiée, c'est-à-dire que les procédures de sécurité ont été mises en œuvre.
Deuxièmement, que l'opération a été dûment enregistrée et comptabilisée.
Troisièmement, et c'est souvent le point sur lequel les banques échouent, que l'opération n'a pas été affectée par une déficience technique ou autre, ce qui inclut toute immixtion frauduleuse dans les systèmes.
Le texte précise expressément que l'utilisation de l'instrument de paiement ne suffit pas, à elle seule, à établir que l'opération a été autorisée par le payeur ou que celui-ci a commis une négligence grave. C'est précisément l'argument que les banques tentent de faire passer pour suffisant, en produisant la preuve de l'authentification forte et en s'arrêtant là.
La faute procédurale de la Société Générale en appel
C'est sur ce point que l'arrêt du 9 septembre 2026 présente un enseignement procédural particulièrement précieux, qui dépasse le seul cadre du contentieux bancaire.
En appel, la Société Générale avait transmis à la Cour des conclusions et des pièces. Mais ces éléments étaient ceux qu'elle avait déposés en première instance : elle ne les avait pas régulièrement communiqués aux époux X dans le cadre de la procédure d'appel.
La Cour en tire une conséquence implacable : ces pièces et conclusions ne peuvent pas lui être opposées. En l'absence de communication régulière, la Société Générale est réputée n'avoir produit aucun élément de preuve en appel. Elle ne rapportait donc pas la preuve que l'opération avait été authentifiée, dûment enregistrée et comptabilisée, ni qu'elle n'avait pas été affectée par une déficience technique.
Cette carence procédurale illustre une réalité que les praticiens connaissent : en appel, les règles de communication des pièces ne sont pas un formalisme secondaire. Leur non-respect peut conduire à l'irrecevabilité de l'ensemble du dossier de preuves de la partie défaillante.
Société Générale condamnée : spoofing, remboursement intégral et frais de procédure
Compte tenu de ces éléments, la Cour d'appel de Paris infirme le jugement rendu par le tribunal judiciaire de Paris le 3 juillet 2025 et condamne la Société Générale à :
Rembourser 9 995 euros aux époux X, avec intérêts au taux légal à compter du 16 mai 2024, date de l'assignation.
Verser 2 000 euros au titre de l'article 700 du Code de procédure civile, correspondant aux frais engagés par les victimes pour leur défense.
Supporter l'intégralité des dépens de première instance et d'appel.
La demande de 1 000 euros de dommages intérêts supplémentaires formulée par les victimes a en revanche été rejetée. La Cour considère que les victimes ne démontrent pas l'existence d'un préjudice distinct de celui déjà réparé par le remboursement du capital détourné.
Enseignements pour les victimes : spoofing, remboursement et charge de la preuve
Authentification et autorisation : deux notions que les banques confondent trop souvent
L'apport central de cet arrêt, comme de nombreuses décisions récentes, est de rappeler la distinction fondamentale entre authentification et autorisation. Prouver qu'une opération a été authentifiée, c'est-à-dire réalisée au moyen des dispositifs de sécurité du client, n'est pas suffisant pour établir que cette opération a été librement et consciemment autorisée. Dans le cas d'un spoofing, les codes de sécurité sont utilisés sous l'effet d'une manipulation : le consentement est vicié par la tromperie, et ne traduit aucune volonté libre du titulaire du compte.
Les banques qui persistent à opposer la seule authentification forte comme preuve du consentement s'exposent à une argumentation désormais constamment rejetée par les juridictions, comme l'illustre la jurisprudence récente en matière de spoofing.
Un appel infirmant un jugement défavorable : ce que cela signifie pour les victimes
Cet arrêt est important pour une raison supplémentaire souvent méconnue : il démontre qu'un jugement de première instance défavorable n'est pas une fin de non-recevoir. Les victimes de spoofing déboutées en première instance disposent de la voie de l'appel, et les chances d'infirmation sont réelles lorsque le dossier est correctement constitué et présenté. Dans cette affaire, c'est précisément la voie de l'appel qui a permis aux époux [I] d'obtenir gain de cause, après un premier jugement qui leur avait été défavorable.
La charge de la preuve, pierre angulaire du contentieux
La charge de la preuve est le terrain sur lequel se joue l'essentiel du contentieux bancaire en matière de fraude. Ce n'est pas à la victime de prouver qu'elle n'a pas autorisé l'opération : c'est à la banque de démontrer qu'elle l'a été, dans les conditions exigées par l'article L. 133-23 du CMF, c'est-à-dire en rapportant les trois éléments cumulatifs, authentification, enregistrement, et absence de déficience technique. La Société Générale n'en a rapporté aucun en appel, faute d'avoir régulièrement communiqué ses pièces. C'est cette défaillance, à la fois procédurale et substantielle, qui a conduit à sa condamnation.
Questions fréquentes
La Société Générale rembourse-t-elle en cas de spoofing ?
Comme tous les établissements bancaires, la Société Générale est légalement tenue de rembourser les opérations de paiement non autorisées, sauf à prouver la fraude ou la négligence grave du client. L'arrêt du 9 septembre 2026 rappelle que cette preuve lui incombe intégralement, selon trois critères cumulatifs imposés par l'article L. 133-23 du Code monétaire et financier.
Que faire si le tribunal judiciaire a rejeté ma demande en première instance ?
Un jugement de première instance défavorable n'est pas définitif. La voie de l'appel reste ouverte et peut aboutir à une infirmation complète, comme dans l'affaire jugée par la Cour d'appel de Paris le 9 septembre 2026. Le délai d'appel est d'un mois à compter de la signification du jugement.
L'affichage du numéro officiel de la banque suffit-il à exclure la négligence grave ?
C'est un élément déterminant dans l'appréciation des circonstances de la fraude. Lorsque le fraudeur affiche le numéro dédié aux oppositions carte de la banque, la victime dispose d'une raison supplémentaire et légitime de faire confiance à son interlocuteur, ce qui tend à exclure la négligence grave.
Qu'est-ce que l'article L. 133-23 du Code monétaire et financier impose à la banque ?
Il impose à la banque de démontrer trois éléments cumulatifs : que l'opération a été authentifiée, dûment enregistrée et comptabilisée, et qu'elle n'a pas été affectée par une déficience technique ou une immixtion frauduleuse. La seule preuve de l'authentification forte ne suffit pas.
Peut-on obtenir des frais de procédure en plus du remboursement ?
Oui. En cas de condamnation de la banque, le juge peut lui ordonner de prendre en charge tout ou partie des frais de procédure engagés par la victime, au titre de l'article 700 du Code de procédure civile. Dans cet arrêt, la Société Générale a été condamnée à verser 2 000 euros à ce titre, en plus des dépens des deux instances.
Vous avez été victime d'un spoofing ?
Cet arrêt illustre qu'une condamnation de la banque est possible, y compris après un premier refus ou un jugement défavorable en première instance. Le Cabinet Audinot Avocats, dirigé par Maître Virginie Audinot, avocate au Barreau de Paris, accompagne les victimes de fraude bancaire par spoofing et faux conseiller. Contactez le cabinet pour un premier échange téléphonique gratuit et confidentiel afin d'évaluer votre situation et vos recours.
Commentaires