Phishing bancaire et négligence grave : ce que change l’arrêt de la CJUE du 15 octobre 2026

Fraude bancaire

20 oct.

Vous avez reçu un SMS ou un e-mail qui ressemblait à un message de votre banque. Vous avez cliqué sur le lien, parfois saisi vos identifiants ou un code, et de l'argent a quitté votre compte. Votre banque refuse maintenant de vous rembourser au motif que vous auriez commis une négligence grave.

La banque peut effectivement invoquer votre négligence, mais dans des conditions précises qu'elle respecte rarement. Et depuis l'arrêt rendu par la Cour de justice de l'Union européenne le 15 octobre 2026, un point est tranché : la banque doit d'abord rembourser, puis prouver votre négligence grave si elle veut récupérer la somme.

Cet article répond à une question précise : que vaut l'argument de la négligence grave lorsque vous avez cliqué sur un lien frauduleux ?

Pour une présentation générale de l'escroquerie et des premières démarches, consultez notre page consacrée au phishing bancaire. Pour comprendre pourquoi cet argument revient dans presque tous les refus, lisez aussi pourquoi les banques invoquent presque toujours la négligence grave.

L'essentiel

Cliquer sur un lien frauduleux n'est pas, à lui seul, une négligence grave. Tout dépend de ce que vous avez fait ensuite et des indices que contenait le message.
Votre banque doit rembourser une opération non autorisée au plus tard à la fin du premier jour ouvrable suivant votre signalement. La CJUE a jugé le 15 octobre 2026 qu'elle ne peut pas refuser ce remboursement immédiat en invoquant votre négligence grave.
C'est à la banque de prouver la négligence grave. Le fait que l'opération ait été validée avec vos codes ne suffit pas.
Même si vous avez été négligent, la banque doit vous rembourser si elle n'a pas exigé d'authentification forte pour l'opération.
Signalez la fraude sans tarder et gardez une preuve écrite de la date du signalement : c'est souvent là que les dossiers se perdent.

La réponse courte : oui, la banque peut l'invoquer, mais pas comme elle le fait souvent

Le Code monétaire et financier prévoit que le client supporte toutes les pertes liées à des opérations non autorisées lorsqu'il n'a pas respecté, intentionnellement ou par négligence grave, deux obligations : prendre toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées (identifiants, codes, mots de passe) et signaler sans tarder toute utilisation non autorisée (articles L. 133-16, L. 133-17 et L. 133-19, IV).

L'argument de la négligence grave existe donc bel et bien. Mais il est encadré par trois règles qui changent tout :

La banque rembourse d'abord. Le remboursement est dû au plus tard à la fin du premier jour ouvrable suivant le signalement. Votre négligence supposée ne permet pas de le refuser (article L. 133-18 et CJUE, 15 octobre 2026).
La banque doit prouver. C'est à elle d'établir la négligence grave, et l'utilisation de vos codes ne suffit pas à la démontrer (article L. 133-23).
Sans authentification forte, pas de négligence opposable. Si la banque n'a pas exigé d'authentification forte pour l'opération, vous ne supportez aucune perte, sauf fraude de votre part (article L. 133-19, V).

Enfin, la négligence doit être grave. Une imprudence, une erreur d'inattention ou le fait d'avoir été trompé ne suffisent pas en eux-mêmes : les juges regardent l'ensemble des circonstances.

Ce que change l'arrêt de la CJUE du 15 octobre 2026

Une affaire de phishing par lien frauduleux

L'affaire jugée par la Cour de justice de l'Union européenne (CJUE, 15 octobre 2026, aff. C-70/25, « Tukowiecka ») est exactement celle de nombreux lecteurs de cet article. Une cliente polonaise vendait un objet sur une plateforme de petites annonces. Un prétendu acheteur lui a envoyé un lien. Elle s'est retrouvée sur une copie du site de sa banque, y a saisi ses identifiants, et un virement d'environ 700 euros a été réalisé depuis son compte, validé par un code SMS qu'elle avait été amenée à communiquer. Elle a signalé l'opération le lendemain. Sa banque a refusé de la rembourser en invoquant sa négligence grave.

La réponse de la Cour : rembourser d'abord, discuter ensuite

La Cour juge qu'une banque ne peut pas refuser le remboursement immédiat d'une opération non autorisée au motif que le client l'aurait rendue possible par une négligence grave. Elle distingue deux temps :

D'abord, le remboursement, dû au plus tard à la fin du premier jour ouvrable, dès lors que le client a signalé l'opération sans retard injustifié ;
Ensuite, la répartition définitive de la perte : si la banque estime que le client a commis une négligence grave, elle peut lui réclamer la somme, mais c'est à elle d'en apporter la preuve.

La seule exception au remboursement immédiat est celle où la banque a de bonnes raisons de soupçonner une fraude du client lui-même et communique ces raisons par écrit à l'autorité compétente. En France, l'article L. 133-18 du Code monétaire et financier prévoit déjà cette règle et désigne la Banque de France comme destinataire. Un soupçon de négligence n'entre pas dans cette exception.

Ce que cela signifie pour vous

Le droit français disait déjà que le remboursement doit intervenir au plus tard le premier jour ouvrable suivant. Mais beaucoup de banques refusaient immédiatement en invoquant la négligence grave, laissant au client le soin d'engager une procédure. La CJUE condamne cette pratique : elle reporte sur la banque la charge d'agir, et non l'inverse. Les juridictions françaises doivent appliquer cette interprétation.

Concrètement, dans votre réclamation, vous pouvez rappeler l'article L. 133-18 et l'arrêt de la CJUE du 15 octobre 2026 (C-70/25), et exiger le remboursement sans attendre l'issue du débat sur votre comportement. Le même article prévoit des pénalités en cas de retard : les sommes dues produisent intérêt au taux légal majoré de 5 points, puis de 10 points au-delà de 7 jours de retard et de 15 points au-delà de 30 jours.

Deux limites à garder en tête. D'une part, l'arrêt ne dit pas que la cliente n'était pas négligente : le débat sur la négligence est déplacé, il ne disparaît pas, et la banque peut ensuite vous réclamer la somme si elle prouve une négligence grave. D'autre part, il concerne les opérations non autorisées, c'est-à-dire réalisées par l'escroc avec vos données. Un virement que vous avez vous-même ordonné vers l'escroc relève d'un autre régime (voir plus bas).

Vous avez cliqué : ce qui compte, c'est ce que vous avez fait ensuite

Le clic en lui-même n'est presque jamais ce qui est reproché. La banque se fonde sur ce qui a suivi : données saisies, code transmis, opération validée. Votre situation se range généralement dans l'une des lignes suivantes.

Ce que vous avez fait après le clic	Ce que la banque vous opposera	Ce qu'il faut vérifier
Vous avez seulement cliqué, sans rien saisir	Rien de sérieux en principe : sans données communiquées, le lien entre le clic et les opérations reste à démontrer	D'où viennent les opérations ? Vos données ont-elles pu être obtenues autrement ?
Vous avez saisi votre identifiant et votre mot de passe sur un faux site	La communication de données de sécurité personnalisées	Les indices du message et du faux site. Un virement vers un nouveau bénéficiaire exige normalement une validation supplémentaire : qui l'a donnée, et comment ?
Vous avez saisi le numéro, la date et le cryptogramme de votre carte	La communication de vos données de carte	La banque a-t-elle exigé une authentification forte (3D Secure) pour chaque paiement ? Voir aussi notre article sur la carte bancaire piratée
Vous avez transmis un code reçu par SMS ou validé une notification dans l'application	C'est son argument principal : vous auriez vous-même validé l'opération	Le libellé exact du message de validation (paiement ? ajout de bénéficiaire ? « sécurisation » ?), la mise en scène et la pression subies
Vous avez activé l'application ou un moyen de paiement sur un nouvel appareil	Vous auriez permis à l'escroc de prendre le contrôle	Le message affiché lors de l'activation, les alertes envoyées par la banque, leur réception effective

Cette distinction est essentielle : deux victimes du même faux SMS peuvent se trouver dans des situations juridiques très différentes. Les faux messages de remboursement d'impôts fonctionnent sur le même schéma ; nous les avons analysés dans un article dédié au faux SMS de remboursement d'impôts (DGFiP).

Comment les juges apprécient la négligence grave en cas de phishing

Le critère : un utilisateur normalement attentif aurait-il douté ?

La Cour de cassation a posé le critère de référence dans un arrêt du 28 mars 2018 (Cass. com., n° 16-20.018, publié). Commet une négligence grave le client qui communique ses données de sécurité en réponse à un courriel contenant des indices permettant à un utilisateur normalement attentif de douter de sa provenance, qu'il ait été ou non informé des risques d'hameçonnage.

Il faut être lucide sur la portée de cet arrêt : dire « je ne savais pas que le phishing existait » ne suffit pas. Ce qui compte, ce sont les indices objectifs du message : adresse de l'expéditeur, adresse du lien, fautes, demande inhabituelle, incohérences. À l'inverse, un message soigné, sans faute, reprenant fidèlement la présentation de la banque, arrivé au moment où vous attendiez justement une opération, est un argument fort en votre faveur. Si le faux SMS est apparu dans le fil de conversation habituel de votre banque, faites-en une capture d'écran : c'est un élément concret à faire valoir.

Un message de validation clair peut se retourner contre vous

Dans un arrêt du 4 mars 2026 (Cass. com., n° 24-19.588, publié), la Cour de cassation a censuré un jugement qui avait écarté la négligence grave d'un client appelé par un faux conseiller depuis le numéro de son agence. Le tribunal aurait dû rechercher si, en recevant le message de la banque indiquant qu'il allait confirmer un paiement, et non annuler une opération, le client n'était pas en mesure de suspecter la fraude.

La leçon vaut pour le phishing : le libellé exact des messages de validation est décisif. S'il était ambigu ou présentait l'opération comme une mesure de sécurité, c'est un argument pour vous. S'il était explicite, il faut l'anticiper et l'expliquer par le contexte. Dans tous les cas, demandez à la banque le contenu exact et horodaté de chaque message affiché.

Un e-mail laisse plus de temps de réflexion qu'un appel

Dans un dossier de faux conseiller, la Cour de cassation a approuvé une cour d'appel qui avait écarté la négligence grave en relevant que l'usurpation du numéro de la conseillère avait mis le client en confiance, et que sa vigilance face à un appel était moindre que celle d'une personne qui reçoit un courriel et dispose de plus de temps pour repérer des anomalies (Cass. com., 23 octobre 2024, n° 23-16.267, publié).

Ce raisonnement est à double tranchant : un phishing par e-mail est souvent jugé plus sévèrement qu'un appel. Mais beaucoup d'escroqueries combinent les deux : un faux SMS, puis un appel d'un faux conseiller bancaire qui « confirme » l'alerte. Il faut alors décrire toute la séquence, et pas seulement le clic.

Un simple clic sur un SMS : une imprudence ordinaire

Les juges du fond rappellent régulièrement qu'un clic n'est pas une faute lourde. Selon le commentaire publié de cette décision, la cour d'appel de Besançon (10 février 2026, n° 24/01852) a confirmé la condamnation d'une banque à rembourser 4 998 euros à une cliente qui avait cliqué sur un faux SMS annonçant le blocage de sa carte. La banque se bornait à déduire la négligence de la validation de l'opération ; la cour a jugé que ce raisonnement présomptif ne suffisait pas et que le fait de ne pas avoir vérifié l'expéditeur relevait d'une imprudence ordinaire. Il s'agit d'une décision d'appel : d'autres juridictions peuvent apprécier différemment des faits proches.

La preuve pèse sur la banque

L'article L. 133-23 du Code monétaire et financier précise que l'utilisation de l'instrument de paiement telle qu'enregistrée par la banque ne suffit pas nécessairement à prouver la négligence grave du client, et que la banque doit fournir des éléments pour la démontrer. La Cour de cassation en déduit que cette preuve ne peut se déduire du seul fait que vos données ont été utilisées (Cass. com., 28 mars 2018, précité). Une lettre de refus qui se contente d'indiquer que l'opération a été « authentifiée avec vos codes » ne démontre donc pas votre négligence. Sur ce point, voir aussi notre article : l'authentification ne suffit pas à prouver votre consentement.

Même négligent, vous êtes remboursé si la banque n'a pas exigé d'authentification forte

Depuis le 14 septembre 2019, les banques doivent appliquer une authentification forte pour les paiements à distance. L'article L. 133-19, V, du Code monétaire et financier en tire une conséquence radicale : sauf agissement frauduleux de votre part, vous ne supportez aucune conséquence financière si l'opération non autorisée a été effectuée sans que la banque exige cette authentification forte.

La Cour de cassation impose aux juges de vérifier ce point avant d'examiner la négligence grave (Cass. com., 30 août 2023, n° 22-11.707, publié). Et elle l'applique même lorsque la négligence est caractérisée : dans un arrêt du 22 octobre 2025 (Cass. com., n° 24-19.749), un client avait répondu à un faux courriel l'invitant à communiquer des informations pour activer l'authentification forte. Le tribunal avait retenu sa négligence grave, le message présentant des anomalies grossières, mais la banque ne justifiait pas avoir exigé l'activation de l'authentification forte. Elle a été condamnée à rembourser, et la Cour de cassation a rejeté son pourvoi.

En pratique, demandez à votre banque, opération par opération, comment chaque paiement ou virement a été authentifié. Une réponse vague ou globale est déjà un indice.

Ce que vous pouvez obtenir concrètement

Le remboursement des opérations non autorisées, avec rétablissement du compte dans l'état où il se serait trouvé sans la fraude (article L. 133-18) : cela inclut les frais et agios générés par les débits frauduleux.
Des intérêts majorés si la banque tarde à rembourser : taux légal majoré de 5, 10 puis 15 points selon la durée du retard.
Une indemnité pour vos frais de procédure (article 700 du Code de procédure civile), laissée à l'appréciation du juge. Dans l'affaire du 22 octobre 2025, la banque a ainsi été condamnée à verser 3 000 euros à ce titre devant la Cour de cassation.
Des dommages-intérêts si vous justifiez d'un préjudice distinct. Dans l'affaire jugée le 23 octobre 2024, la cour d'appel avait accordé 1 500 euros au titre du préjudice moral en plus des 54 500 euros remboursés, et le pourvoi de la banque a été rejeté. Ce poste reste apprécié au cas par cas.

Dans de nombreux dossiers, une réclamation précise, qui rappelle l'obligation de remboursement immédiat et demande à la banque ses éléments de preuve, suffit à faire évoluer sa position. Rien n'est garanti pour autant : l'issue dépend des faits et des pièces.

Votre banque refuse de vous rembourser après un phishing ? Faites analyser le refus et vos pièces avant de répondre.

Prendre rendez-vous

Ce que les juges n'accordent pas

Un remboursement sans preuve du signalement. Dans un arrêt du 4 février 2026 (Cass. com., n° 22-22.609, publié), des clients ont été déboutés parce qu'ils ne justifiaient pas de la date à laquelle ils avaient signalé la fraude à leur banque. Signalez par écrit et gardez la preuve.
Une contestation hors délai. Au-delà de treize mois après le débit, vous êtes forclos (article L. 133-24), sauf si la banque ne vous a pas fourni les informations sur l'opération.
Le régime des opérations non autorisées pour un virement que vous avez vous-même ordonné. Si l'escroc vous a convaincu de faire le virement vous-même, l'opération est en principe autorisée : les recours existent, mais sur d'autres fondements (voir notre page virement frauduleux).
Une indemnisation fondée sur la vigilance anti-blanchiment. La Cour de cassation a rappelé le 4 mars 2026 que la victime d'une fraude ne peut pas se prévaloir des obligations de vigilance anti-blanchiment de la banque (article L. 561-6) pour obtenir des dommages-intérêts.
L'oubli des indices évidents. Lorsque le message comportait des indices manifestes et que vous avez communiqué vos codes alors que la banque a exigé une authentification forte, la négligence grave peut être retenue, même si vous ignoriez tout du phishing.

Votre dossier mérite-t-il d'être examiné ?

Plusieurs signes indiquent qu'un refus de remboursement mérite d'être contesté :

la banque ne vous a pas remboursé dans le premier jour ouvrable et a directement opposé la négligence grave ;
son refus repose uniquement sur le fait que l'opération a été « validée » ou « authentifiée » avec vos codes ;
le faux message était soigné, sans faute, ou est apparu dans le fil habituel des SMS de votre banque ;
vous n'avez rien validé, ou le message de validation était ambigu ou présenté comme une mesure de sécurité ;
les opérations étaient inhabituelles (montant, rafale de paiements, nouveau bénéficiaire) et la banque ne les a pas bloquées ;
vous avez signalé la fraude rapidement et pouvez le prouver ;
la banque ne répond pas à vos demandes de pièces techniques.

Que faire maintenant ?

Si vous venez de cliquer

Si vous avez saisi des données de carte, faites opposition immédiatement (serveur interbancaire : 0 892 705 705, ou numéro de votre banque).
Changez votre mot de passe de banque en ligne depuis l'application ou le site officiel, jamais depuis le lien reçu.
Appelez votre banque au numéro habituel, puis confirmez le signalement par écrit (messagerie sécurisée, courriel ou lettre recommandée) : c'est la preuve de la date.
Faites des captures d'écran du SMS ou de l'e-mail (expéditeur, heure, adresse du lien), du faux site si vous l'avez encore, et des messages de validation reçus. Ne recliquez pas sur le lien.
Déposez plainte ou signalez les faits en ligne. La plainte n'est pas une condition légale du remboursement, mais elle renforce votre dossier.

Si la banque refuse de rembourser

Réclamation écrite et motivée : demandez le remboursement immédiat en citant l'article L. 133-18 et l'arrêt de la CJUE du 15 octobre 2026 (C-70/25), et rappelez les intérêts majorés en cas de retard.
Demande de pièces précise : mode d'authentification de chaque opération, journal des connexions, appareil utilisé, contenu exact et horodaté des messages de validation et des alertes. Notre article sur les preuves que la banque doit apporter détaille ce point.
Médiateur bancaire : gratuit, il peut être saisi après la réponse du service réclamations. Son avis ne s'impose pas.
Action en justice : si la banque maintient son refus, le juge appréciera la négligence grave au vu des preuves apportées par la banque, et non de ses seules affirmations.

Comment le cabinet vous accompagne

Camille Cohen, avocate au barreau de Marseille, accompagne les victimes de fraude bancaire face à leur banque, à Marseille et à distance partout en France.

Analyse du dossier : reconstitution de la chronologie, examen du faux message, des opérations, de la lettre de refus et des pièces techniques.
Réclamation ou mise en demeure fondée sur le remboursement immédiat, la charge de la preuve et l'authentification forte, avec une demande de pièces ciblée.
Médiation ou action en justice lorsque la banque maintient un refus contestable.

Préparez pour le premier échange : la lettre de refus, vos relevés, les captures du faux message et des messages de validation, la preuve de votre signalement et, le cas échéant, le récépissé de plainte. Pour aller plus loin, consultez notre guide de la fraude bancaire.

Un refus pour négligence grave après un clic sur un lien frauduleux ? Le cabinet examine votre dossier et vous dit ce qu'il est réaliste d'obtenir.

Prendre rendez-vous

Questions fréquentes

Cliquer sur un lien de phishing est-il une négligence grave ?

Non, pas à lui seul. La banque doit démontrer une négligence grave, c'est-à-dire un manquement caractérisé à la protection de vos données de sécurité. Les juges examinent ce que vous avez fait après le clic et si le message contenait des indices permettant à un utilisateur normalement attentif de douter de sa provenance.

La banque peut-elle refuser de me rembourser le temps d'enquêter ?

Non. Elle doit rembourser une opération non autorisée au plus tard à la fin du premier jour ouvrable suivant votre signalement. La CJUE a jugé le 15 octobre 2026 qu'un soupçon de négligence grave ne permet pas de refuser ce remboursement immédiat. Seul un soupçon de fraude de votre part, signalé par écrit à la Banque de France, le permet.

J'ai donné le code reçu par SMS : ai-je perdu d'avance ?

Non. La banque doit prouver que cette transmission constitue une négligence grave au regard des circonstances : contenu du faux message, libellé du code ou du message de validation, pression subie. Elle doit aussi justifier avoir exigé une authentification forte ; à défaut, vous devez être remboursé même en cas de négligence.

Dans quel délai dois-je signaler la fraude ?

Sans tarder dès que vous en avez connaissance, et au plus tard dans les treize mois suivant le débit. Signalez par écrit et conservez la preuve de la date : un signalement tardif ou impossible à dater peut vous faire perdre le remboursement.

La banque peut-elle me reprendre l'argent après m'avoir remboursé ?

Oui, si elle prouve ensuite que vous avez commis une négligence grave ou agi frauduleusement. C'est précisément ce que prévoit l'arrêt de la CJUE : la banque rembourse d'abord, puis peut agir contre vous, à ses frais et avec la charge de la preuve.

Dois-je porter plainte pour être remboursé ?

La loi ne fait pas de la plainte une condition du remboursement. Elle est néanmoins recommandée : elle date et décrit les faits, et la banque la demande souvent.

Le lien venait d'un faux acheteur sur un site de petites annonces : est-ce la même chose ?

Oui, c'est d'ailleurs la situation jugée par la CJUE le 15 octobre 2026. Si l'escroc a utilisé vos identifiants pour réaliser lui-même l'opération, elle est non autorisée et les règles de cet article s'appliquent. Notre article sur l'arnaque Leboncoin détaille les variantes de cette escroquerie.