Fraude bancaire : la Cour de cassation rappelle que l'authentification ne suffit pas à prouver votre consentement

Fraude bancaire : la Cour de cassation rappelle que l'authentification ne suffit pas à prouver votre consentement

Par un arrêt du 1er juillet 2026 publié au Bulletin (n° 25-13.134, F-B), la chambre commerciale de la Cour de cassation rappelle une distinction essentielle en matière d'opérations de paiement contestées : l'utilisation d'un dispositif d'authentification ne suffit pas, à elle seule, à établir que le client a consenti au virement.

Pourquoi cette décision est-elle importante ?

Quand un client conteste un virement, les banques répondent presque toujours de la même manière : le dispositif d'authentification forte a été utilisé, donc l'opération aurait nécessairement été autorisée.

Cette réponse repose sur une confusion entre deux notions différentes : l'authentification de l'opération et le consentement du client.

L'authentification permet de vérifier qu'une procédure de sécurité a été suivie. Elle peut prendre la forme d'un code reçu par SMS, d'une validation dans l'application bancaire, d'une empreinte digitale ou de l'utilisation d'un token.

Un token est un dispositif physique ou numérique qui génère ou valide un code de sécurité permettant d'accéder à un service bancaire ou de confirmer une opération. Il sert à renforcer la sécurité du paiement et à identifier l'utilisateur du dispositif.

Le consentement désigne, quant à lui, la volonté réelle du client d'autoriser l'opération de paiement. Il suppose que le payeur ait compris la nature de l'opération et qu'il ait effectivement voulu qu'elle soit exécutée.

Ces deux notions peuvent coïncider. Lorsqu'un client saisit lui-même les coordonnées d'un bénéficiaire, vérifie le montant du virement et le confirme dans son application, l'authentification accompagne normalement son consentement.

Mais elles peuvent aussi se dissocier.

C'est notamment le cas lorsqu'une victime de faux conseiller bancaire valide une opération en croyant protéger son compte, lorsqu'elle agit à la suite d'un message de phishing bancaire, ou lorsqu'un escroc utilise les données de sécurité du client pour réaliser un virement frauduleux.

Dans ces situations, le système technique peut fonctionner parfaitement alors que le client n'a jamais eu la volonté de transférer son argent au fraudeur.

L'arrêt du 1er juillet 2026 est donc important parce qu'il rappelle que la preuve du fonctionnement du dispositif d'authentification ne permet pas, à elle seule, de répondre à la question juridiquement décisive : le client a-t-il réellement consenti au virement ?

Pour comprendre la portée de cette décision, il faut revenir aux faits qui ont conduit la Cour de cassation à intervenir.

Les faits : une banque considérait que l'utilisation du token suffisait à prouver le consentement du client

L'affaire opposait la société Lincotek à sa banque, le Crédit Lyonnais.

Le 23 novembre 2020, trois virements avaient été exécutés sur le compte de la société. Celle-ci les contestait et demandait à la banque de lui restituer les sommes débitées, en soutenant qu'elle n'avait pas autorisé ces opérations.

La cour d'appel de Paris avait rejeté sa demande.

Pour les juges d'appel, les éléments techniques produits par la banque démontraient que les virements avaient été correctement authentifiés, enregistrés et comptabilisés. Ils relevaient notamment que le token associé au compte de la société avait été utilisé pour valider les opérations.

La cour d'appel en avait déduit que la société avait nécessairement consenti aux virements.

Son raisonnement pouvait être résumé de la manière suivante :

Le dispositif d'authentification attribué au client a été utilisé ; l'opération doit donc être considérée comme autorisée.

Cette analyse confondait pourtant deux questions différentes.

La première était une question technique : les virements avaient-ils été validés au moyen du dispositif de sécurité prévu par la banque ?

La seconde était une question juridique : la société avait-elle réellement voulu autoriser ces virements ?

Cette distinction est essentielle dans les fraudes modernes.

Une victime peut, par exemple, valider une notification dans son application après avoir été contactée par un faux conseiller bancaire. Le dispositif de sécurité est alors utilisé normalement, mais la victime croit parfois confirmer une mesure de protection, annuler une opération ou mettre son argent à l'abri.

Le geste technique existe. La volonté de transférer les fonds au fraudeur, elle, peut être totalement absente.

C'est précisément cette confusion entre authentification et consentement que la Cour de cassation a censurée.

Pourquoi la Cour de cassation casse la décision de la cour d'appel

Pour comprendre l'apport de cet arrêt, il faut revenir aux règles qui encadrent les opérations de paiement.

Le Code monétaire et financier distingue clairement deux questions :

• l'opération a-t-elle été correctement authentifiée ?

• le client a-t-il réellement autorisé cette opération ?

Ces deux notions sont proches, mais elles ne se confondent pas.

Or, c'est précisément cette distinction que la cour d'appel de Paris avait perdue de vue.

Ce que prévoit le Code monétaire et financier

L'article L. 133-6 du Code monétaire et financier pose un principe simple : une opération de paiement n'est autorisée que si le payeur a donné son consentement.

L'article L. 133-7 précise que ce consentement est donné selon les modalités convenues entre la banque et son client.

Enfin, l'article L. 133-23 organise la charge de la preuve.

Il prévoit que lorsque le client conteste une opération, c'est à la banque de prouver :

• que l'opération a été authentifiée ;

• qu'elle a été correctement enregistrée ;

• qu'elle a été comptabilisée ;

• et qu'elle n'a pas été affectée par une déficience technique ou un autre dysfonctionnement.

Mais le même texte ajoute immédiatement une précision essentielle.

Le fait qu'une opération ait été authentifiée, enregistrée et comptabilisée ne suffit pas, à lui seul, à démontrer que le payeur l'a autorisée.

Autrement dit, le législateur distingue déjà la preuve du fonctionnement du système informatique de la preuve du consentement du client.

Une erreur de raisonnement de la cour d'appel

Dans cette affaire, la cour d'appel avait considéré que l'utilisation du token démontrait nécessairement que la société avait autorisé les virements.

Pour parvenir à cette conclusion, elle s'était principalement fondée sur des éléments techniques :

• les virements avaient été validés selon la procédure habituelle ;

• le token attribué au client avait été utilisé ;

• aucune anomalie informatique n'était démontrée.

Pour la Cour de cassation, ce raisonnement est insuffisant.

En assimilant l'utilisation du token à la preuve du consentement, la cour d'appel a ajouté au texte une présomption que le Code monétaire et financier ne prévoit pas.

En d'autres termes, elle a considéré que :

authentification = consentement

Alors que la loi dit seulement que l'authentification constitue un élément de preuve parmi d'autres.

Une distinction fondamentale entre preuve technique et preuve juridique

L'arrêt du 1er juillet 2026 rappelle qu'un système informatique peut parfaitement fonctionner alors que l'opération reste non autorisée.

C'est précisément ce qui se produit dans de nombreuses fraudes modernes.

Lors d'une fraude au faux conseiller bancaire, par exemple, la victime valide parfois elle-même une demande dans son application bancaire.

Le système d'authentification fonctionne parfaitement.

Le token est correctement utilisé.

Les journaux informatiques de la banque ne révèlent aucune anomalie.

Pour autant, la victime n'a jamais voulu transférer son argent à un escroc.

Elle croyait confirmer une opération de sécurité ou bloquer une fraude.

Le fonctionnement du dispositif technique ne répond donc pas à la véritable question juridique :

Le client avait-il réellement la volonté d'autoriser cette opération ?

C'est précisément cette confusion que la Cour de cassation refuse désormais.

Un arrêt qui rappelle la véritable charge de la preuve

Cette décision ne signifie pas que toutes les victimes de fraude obtiendront automatiquement le remboursement de leurs pertes.

Elle rappelle en revanche un principe essentiel : la banque ne peut pas se contenter d'invoquer l'utilisation d'un dispositif d'authentification pour considérer que le débat est clos.

Elle doit être en mesure de démontrer, au regard de l'ensemble des circonstances du dossier, que le client a effectivement autorisé l'opération litigieuse.

Cette précision est loin d'être théorique.

Elle oblige désormais les établissements bancaires à dépasser une approche purement technique du dossier et à s'interroger sur le contexte dans lequel les opérations ont été réalisées.

C'est précisément cette évolution qui explique pourquoi cet arrêt est susceptible d'influencer durablement les futurs contentieux en matière de fraude bancaire.

Qu'est-ce que cette décision change pour les victimes de fraude bancaire ?

À première vue, l'arrêt du 1er juillet 2026 peut sembler très technique. Il parle de consentement, d'authentification et de charge de la preuve.

Pourtant, ses conséquences sont très concrètes.

Dans la pratique, de nombreuses victimes reçoivent aujourd'hui des réponses presque identiques lorsqu'elles contestent un virement frauduleux.

La banque explique que :

• le code de validation a été correctement saisi ;

• le téléphone du client a été utilisé ;

• l'application bancaire a bien confirmé l'opération ;

• aucun dysfonctionnement informatique n'a été détecté.

La conclusion est alors souvent la même :

Puisque le dispositif de sécurité a fonctionné normalement, vous avez nécessairement autorisé l'opération.

C'est précisément ce raccourci que la Cour de cassation refuse désormais.

La discussion ne doit plus s'arrêter au fonctionnement du système informatique

Avant cette décision, les débats portaient souvent sur des éléments purement techniques :

• le SMS a-t-il été envoyé ?

• le token a-t-il été utilisé ?

• l'application bancaire a-t-elle validé l'opération ?

• le certificat électronique était-il correct ?

Ces éléments restent importants.

Mais ils ne répondent pas à la véritable question posée par la loi.

La question est désormais la suivante :

Quels éléments permettent d'affirmer que le client a réellement voulu effectuer cette opération ?

La nuance est essentielle.

Un dispositif d'authentification peut parfaitement fonctionner alors que le consentement du client a été obtenu par la tromperie, la manipulation ou l'usurpation d'identité.

Autrement dit, la preuve technique n'épuise pas le débat juridique.

Une décision qui modifie la manière de contester un refus de remboursement

Pour les victimes, cette décision invite à changer d'approche.

Trop souvent, les échanges avec la banque se concentrent sur des aspects techniques :

• le SMS a-t-il été reçu ?

• l'application bancaire fonctionnait-elle ?

• le téléphone était-il entre les mains du client ?

Ces questions ne sont pas inutiles.

Mais elles ne doivent plus faire oublier la question essentielle :

Comment la banque démontre-t-elle que son client avait la volonté d'effectuer ce paiement ou ce virement ?

Cette interrogation est particulièrement pertinente dans les dossiers de phishing bancaire, de faux conseiller bancaire ou de virement frauduleux, où la victime accomplit parfois elle-même certains gestes techniques sans jamais comprendre qu'elle est en train d'autoriser une fraude.

Une nouvelle manière d'analyser les arguments de la banque

En pratique, cette jurisprudence conduit également à examiner avec davantage d'attention les courriers de refus adressés par les établissements bancaires.

Lorsqu'une banque se contente d'affirmer que :

• l'opération a été authentifiée ;

• le token a été utilisé ;

• l'authentification forte a été correctement réalisée,

une question supplémentaire mérite désormais d'être posée :

Ces éléments suffisent-ils réellement à établir le consentement du client au sens des articles L. 133-6, L. 133-7 et L. 133-23 du Code monétaire et financier ?

L'arrêt du 1er juillet 2026 invite précisément à ne plus confondre ces deux démonstrations.

Une évolution qui dépasse cette seule affaire

Même si cette décision concerne un litige particulier, son intérêt dépasse largement les faits de l'espèce.

Publiée au Bulletin de la Cour de cassation, elle a vocation à guider les juridictions appelées à statuer sur des dossiers similaires.

Elle rappelle un principe qui pourrait influencer durablement les contentieux liés aux opérations de paiement :

la preuve du fonctionnement d'un dispositif de sécurité ne dispense pas la banque d'établir que le client a effectivement autorisé l'opération contestée.

Pour les victimes de fraude bancaire, cette décision ne garantit évidemment pas un remboursement automatique.

En revanche, elle recentre le débat sur la véritable question juridique : la preuve du consentement, et non la seule preuve du fonctionnement du système d'authentification.

Comment utiliser cette jurisprudence pour contester un refus de remboursement ?

L'arrêt du 1er juillet 2026 ne crée pas un nouveau droit au remboursement.

Il ne signifie pas non plus que toutes les victimes de fraude bancaire obtiendront automatiquement gain de cause.

En revanche, il fournit une nouvelle grille d'analyse des dossiers.

Autrement dit, il permet de poser les bonnes questions à la banque et de vérifier si son refus est réellement conforme au Code monétaire et financier.

Une banque ne peut plus se contenter d'une démonstration technique

Dans de nombreux dossiers, les établissements bancaires répondent par quelques lignes seulement.

Ils indiquent notamment que :

• le téléphone du client a été utilisé ;

• le code de validation a été correctement renseigné ;

• l'application bancaire a confirmé l'opération ;

• le dispositif d'authentification forte a fonctionné normalement.

Ces éléments peuvent démontrer que le système informatique de la banque n'a pas connu de dysfonctionnement.

En revanche, ils ne répondent pas nécessairement à la question centrale rappelée par la Cour de cassation :

Quels sont les éléments qui permettent d'établir que le client avait réellement la volonté d'autoriser cette opération ?

C'est précisément sur ce point que le débat doit désormais porter.

Il faut analyser l'ensemble des circonstances de la fraude

La preuve du consentement ne peut pas être examinée de manière abstraite.

Elle suppose d'étudier l'ensemble du contexte dans lequel l'opération a été réalisée.

Par exemple :

• le client était-il victime d'un faux conseiller bancaire ?

• a-t-il reçu un SMS frauduleux ou un courriel de phishing ?

• pensait-il confirmer une opération de sécurité plutôt qu'un virement ?

• quelles explications lui ont été données au moment de la validation ?

• les opérations contestées étaient-elles cohérentes avec ses habitudes bancaires ?

• le montant, le bénéficiaire ou la fréquence des virements présentaient-ils un caractère inhabituel ?

Autant d'éléments qui peuvent contribuer à apprécier si le consentement du client était réel ou s'il a été obtenu par une manœuvre frauduleuse.

Cette décision ne fait pas disparaître les autres règles applicables

L'arrêt du 1er juillet 2026 ne remet pas en cause les dispositions du Code monétaire et financier relatives à la négligence grave.

Une banque peut toujours soutenir que son client a gravement manqué à ses obligations de sécurité et, dans certaines situations, refuser le remboursement sur ce fondement.

En revanche, cette décision rappelle que la banque ne peut pas éluder la première étape du raisonnement.

Avant même de discuter d'une éventuelle négligence grave, encore faut-il déterminer si l'opération litigieuse a été autorisée par le client.

Ces deux questions sont distinctes.

Les confondre conduit à fragiliser le raisonnement juridique.

Une décision qui renforce l'importance de l'analyse du dossier

Cette jurisprudence montre qu'un dossier de fraude bancaire ne peut pas être apprécié à partir des seuls journaux informatiques de la banque.

Il nécessite une analyse plus large, portant notamment sur :

• les circonstances de la fraude ;

• les échanges entre le client et la banque ;

• les modalités exactes de l'authentification ;

• les preuves produites par chaque partie ;

• les dispositions du Code monétaire et financier ;

• la jurisprudence applicable.

C'est souvent de cette analyse globale que dépend la stratégie à adopter pour contester un refus de remboursement, qu'il s'agisse d'une démarche amiable, d'une médiation ou d'une procédure judiciaire.

Cette décision va-t-elle modifier les futurs contentieux en matière de fraude bancaire ?

L'arrêt du 1er juillet 2026 ne mettra probablement pas fin, à lui seul, aux litiges entre les banques et leurs clients.

En revanche, il est susceptible d'influencer durablement la manière dont ces dossiers seront désormais analysés.

Cette décision a d'ailleurs été publiée au Bulletin de la Cour de cassation.

Cette publication n'est pas anodine.

Elle signifie que la Haute juridiction considère que la solution retenue présente un intérêt particulier et qu'elle est appelée à guider les juridictions confrontées à des affaires similaires.

Sans créer une règle nouvelle, cet arrêt clarifie l'interprétation des articles L. 133-6, L. 133-7 et L. 133-23 du Code monétaire et financier.

Les banques devront probablement adapter leur argumentation

Dans de nombreux dossiers, les refus de remboursement reposaient jusqu'à présent sur une démonstration essentiellement technique.

Les établissements bancaires produisaient les journaux d'authentification, les traces informatiques ou les validations réalisées au moyen du téléphone du client pour soutenir que l'opération était nécessairement autorisée.

À la lumière de cette décision, cette démonstration risque désormais d'apparaître insuffisante lorsqu'elle ne s'accompagne d'aucun élément permettant d'établir le véritable consentement du client.

Les banques devront donc probablement développer une argumentation plus complète, tenant compte des circonstances dans lesquelles la fraude est intervenue.

Les victimes devront elles aussi adapter leur stratégie

Cette évolution concerne également les victimes.

Pendant longtemps, beaucoup de contestations se limitaient à expliquer que le client n'était pas à l'origine de l'opération.

L'arrêt du 1er juillet 2026 invite à aller plus loin.

Il devient essentiel de reconstituer précisément le déroulement de la fraude.

Comment les escrocs sont-ils entrés en contact avec la victime ?

Quelles informations lui ont été communiquées ?

Que croyait-elle valider au moment où elle a utilisé son téléphone ou son application bancaire ?

Pourquoi a-t-elle agi de cette manière ?

Autant d'éléments qui permettront d'apprécier si le consentement invoqué par la banque correspond réellement à la volonté du client.

Une décision qui ne dispense pas d'une analyse complète du dossier

Cette jurisprudence constitue un apport majeur.

Elle ne doit toutefois pas être interprétée comme une solution automatique.

Chaque dossier reste soumis à une analyse individualisée.

Le juge continuera notamment à examiner :

• les circonstances précises de la fraude ;

• les preuves produites par les parties ;

• les éventuels manquements de la banque ;

• les obligations de vigilance du client ;

• et, lorsque la question se pose, l'existence d'une négligence grave.

En pratique, cette décision renforce surtout une idée essentielle : un dossier de fraude bancaire ne peut pas être résolu par une simple lecture des journaux informatiques de la banque.

Il nécessite une analyse juridique complète des faits, des preuves et des textes applicables.

Ce que je retiens de cette décision

À mes yeux, le principal apport de cet arrêt est de remettre le consentement au centre du débat.

Depuis plusieurs années, de nombreux contentieux semblaient se concentrer sur les outils techniques utilisés pour sécuriser les opérations de paiement : authentification forte, token, validation par SMS ou application bancaire.

La Cour de cassation rappelle que ces outils ont pour fonction de sécuriser les opérations, mais qu'ils ne permettent pas, à eux seuls, de démontrer qu'un client a réellement voulu réaliser un paiement ou un virement.

Cette distinction est fondamentale.

Elle invite à revenir à la question que pose le Code monétaire et financier depuis l'origine :

La banque est-elle en mesure de prouver que son client a effectivement autorisé l'opération litigieuse ?

C'est autour de cette interrogation que devront probablement s'articuler de nombreux contentieux dans les années à venir.

Questions fréquentes sur l'arrêt de la Cour de cassation du 1er juillet 2026

Cette décision signifie-t-elle que toutes les victimes de fraude bancaire seront désormais remboursées ?

Non.

L'arrêt du 1er juillet 2026 ne crée pas un droit automatique au remboursement.

La Cour de cassation rappelle simplement que la banque ne peut pas déduire le consentement du client de la seule utilisation d'un dispositif d'authentification.

Chaque dossier continue d'être examiné au regard de ses circonstances propres, des preuves produites et des dispositions du Code monétaire et financier.

Cette décision concerne-t-elle uniquement les entreprises ?

Non.

L'affaire concernait une société, mais le raisonnement adopté par la Cour de cassation repose sur les règles générales applicables aux opérations de paiement.

Les principes dégagés par cette décision sont donc susceptibles d'être invoqués dans de nombreux litiges opposant des particuliers à leur banque.

Ma banque affirme que j'ai validé le code reçu par SMS. Peut-elle refuser automatiquement de me rembourser ?

Non.

Le fait qu'un code SMS, une validation dans l'application bancaire ou un token ait été utilisé ne suffit pas, à lui seul, à démontrer que vous avez autorisé l'opération.

La banque doit être en mesure d'établir que vous avez effectivement consenti au paiement ou au virement contesté.

Cette décision remet-elle en cause la notion de négligence grave ?

Non.

L'arrêt du 1er juillet 2026 ne supprime pas les dispositions de l'article L. 133-19 du Code monétaire et financier relatives à la négligence grave.

Il rappelle simplement qu'avant d'examiner cette question, il convient d'apprécier si la banque démontre que l'opération a été autorisée par son client.

Les deux analyses sont distinctes.

Pour mieux comprendre cette notion, vous pouvez consulter notre page consacrée à la [négligence grave].

Cette décision est-elle applicable aux fraudes au faux conseiller bancaire ?

Oui, elle est particulièrement intéressante dans ce type de dossier.

Lors d'une fraude au faux conseiller bancaire, la victime réalise parfois elle-même certaines manipulations techniques, tout en croyant protéger son compte bancaire.

L'arrêt rappelle que l'utilisation d'un dispositif d'authentification ne suffit pas, à elle seule, à établir que la victime avait la volonté d'autoriser le virement frauduleux.

Puis-je invoquer cette décision dans mon dossier ?

Oui, lorsque les faits de votre dossier présentent des similitudes avec ceux examinés par la Cour de cassation.

Toutefois, une jurisprudence ne s'applique jamais automatiquement.

Il est nécessaire de vérifier que les circonstances de la fraude, les arguments de la banque et les preuves disponibles permettent utilement de s'appuyer sur cette décision.

Pourquoi cette décision est-elle publiée au Bulletin de la Cour de cassation ?

La publication au Bulletin signifie que la Cour de cassation considère que cette décision présente un intérêt particulier pour l'interprétation du droit.

Sans créer une nouvelle règle, elle a vocation à guider les juridictions appelées à statuer sur des affaires similaires et constitue donc une référence importante en matière de fraude bancaire.

L'authentification forte prouve-t-elle toujours le consentement du client ?

Non.

C'est précisément l'enseignement principal de l'arrêt du 1er juillet 2026.

L'authentification forte permet de sécuriser les opérations de paiement et de vérifier qu'un dispositif de sécurité a été utilisé.

En revanche, elle ne démontre pas, à elle seule, que le titulaire du compte avait la volonté d'autoriser l'opération litigieuse.

Une décision importante, mais qui ne dispense jamais d'une analyse complète du dossier

L'arrêt rendu par la Cour de cassation le 1er juillet 2026 marque une évolution importante en matière de fraude bancaire. Il rappelle qu'une banque ne peut pas assimiler automatiquement l'utilisation d'un dispositif d'authentification à la preuve du consentement de son client.

Pour autant, cette décision ne signifie pas que toute victime de fraude bancaire obtiendra automatiquement le remboursement des sommes détournées.

Chaque dossier reste unique.

Les circonstances de la fraude, les échanges entre le client et la banque, les modalités de l'authentification, les éléments de preuve disponibles ainsi que la jurisprudence applicable doivent être analysés dans leur ensemble afin d'apprécier si le refus de remboursement est juridiquement fondé.

En tant qu'avocat en droit bancaire, j'accompagne les particuliers, les professionnels et les dirigeants confrontés à un refus de remboursement après une fraude bancaire.

Mon intervention ne consiste pas uniquement à vérifier si un code SMS a été utilisé ou si un token apparaît dans les journaux informatiques de la banque.

Elle consiste à reconstituer précisément le déroulement de la fraude, à analyser les preuves produites par chacune des parties, à confronter les arguments de la banque aux dispositions du Code monétaire et financier et à la jurisprudence la plus récente, puis à définir la stratégie la plus adaptée à votre situation.

L'arrêt du 1er juillet 2026 illustre parfaitement l'importance de cette démarche.

Derrière une question qui peut sembler technique - l'utilisation d'un token ou d'un dispositif d'authentification - se cache en réalité une interrogation beaucoup plus fondamentale : la banque est-elle réellement en mesure de démontrer que vous avez autorisé l'opération contestée ?

C'est souvent la réponse à cette question qui détermine l'issue d'un litige.

Vous êtes victime d'une fraude bancaire ou votre banque refuse de vous rembourser ? lisez le guide sur la fraude et prenez rendez-vous ?