Arnaque en ligne: votre banque ne devra probablement pas vous rembourser même si vous avez été piraté

Dans une nouvelle décision, la Cour de cassation a considéré que la banque, qui avait autorisé un virement alors que l'IBAN avait été piraté, n'avait pas à rembourser son client.

La justice durçit le ton... envers les victimes d'arnaques en ligne. Dans deux arrêts rendus le 15 janvier dernier, la chambre commerciale de la Cour de cassation a donné raison aux banques, pourtant condamnées en appel à rembourser en partie les victimes d'arnaques bancaires.

Concrètement, le code monétaire et financier indique qu'une banque a l’obligation de rembourser ses clients victimes d’escroquerie (art. L 133-18). En revanche, cette responsabilité est levée dès lors que le client a commis une négligence grave (art L.133-19).

Alors que les arnaques se multiplient, notamment la fameuse arnaque au conseiller bancaire, la justice hésitait encore sur les décisions à rendre: la banque doit-elle rembourser des virements effectués lorsque la victime est manifestement trompée?

L'enjeu de la négligence grave

En octobre dernier, la Cour de cassation a indiqué que la banque ne pouvait pas évoquer la négligence grave du client qui avait été trompé par un faux conseiller bancaire, dès lors que l'escroc utilisait la technique du "spoofing". Cette technique consiste à appeler la victime en utilisant le véritable numéro de la banque, pour mieux tromper la cible.

"Dans cette affaire, au regard des circonstances dans lesquelles l’escroquerie a eu lieu, il ne peut être reproché au client d’avoir commis une négligence grave" avait ainsi annoncé la Cour de cassation.

Mais derrière ce qui semblait être un changement jurisprudentiel important au profit des victimed, cette même cour a tout de même restreint sa portée dans de nouvelles décisions.

S'il n'est pas question de "spoofing", cette fois-ci, il s'agit tout de même d'arnaques en ligne. Dans la première affaire, deux entreprises avaient effectué par erreur six virements (pour un montant cumulé de 498.266 euros) vers des tiers inconnus. En pratique, un comptable a ouvert un email qui contenait un cheval de Troie, c'est-à-dire un virus qui permet de prendre le contrôle d'un ordinateur à distance. L'escroc avait ensuite effectué les virements.

Pour la Cour de cassation, la négligence grave était finalement d'ouvrir ce mail - rédigé en anglais et suspect - et d'être infecté, rejetant la responsabilité de la banque malgré "l'anormalité" des transferts de fonds, dans un contexte de cyberattaque contre ces deux entreprises.

Le piratage n'exclut pas la responsabilité

Dans une deuxième affaire, un couple comptait acheter un véhicule. Il a donc effectué deux virements. Problème, l'IBAN avait été piraté. En réalité, un hacker avait réussi à pirater leur messagerie pour remplacer l'IBAN du vendeur par un autre. Les acheteurs ont donc envoyé l'argent à la mauvaise personne, sans le savoir.

La cour d'appel avait statué sur un partage des responsabilités dans cette affaire considérant que la banque restait tenue à une obligation de vigilance d'autant que l’IBAN "présentait des anomalies apparentes".

La cassation a finalement tranché en faveur de la banque. La haute juridiction estime ainsi que, ni le piratage, ni le fait que l'IBAN présentait des anomalies, ne rendaient la banque responsable d'une négligence.

Ces décisions, qui vont faire jurisprudence, donnent une indication sur le sort de nombreuses affaires d'arnaques bancaires. Si elles ne préjugent pas des futures décisions, elles annoncent la couleur: les victimes piratées auront finalement peu de chances de se retourner contre leurs banques.

Thomas Leroy