La banque est dispensée de l'obligation de remboursement de son client victime d’escroquerie en cas de négligence grave de son client ou en cas de virement effectué sur la base d’un identifiant bancaire fourni par le client mais qui ne vise pas le bon bénéficiaire.
Dans deux arrêts rendus le 15 janvier 2025, la Cour de cassation a été amenée à se prononcer sur l'obligation de la banque de rembourser son client victime d'escroquerie bancaire.
Dans la première affaire, deux sociétés se sont rendues compte que six virements bancaires avaient été ordonnés depuis l’ordinateur de leur comptable, au profit de bénéficiaires qu’elles ne connaissaient pas, sur des comptes ouverts à l’étranger.
Une expertise a fait apparaître qu'un courriel contenant un cheval de Troie avait été envoyé au service comptabilité des deux sociétés et, à la suite de l'ouverture du message par un salarié, les systèmes informatiques avaient été infectés et l’escroc avait pu prendre le contrôle de l’ordinateur du comptable pour ordonner les virements.
La cour d’appel de Paris a condamné la banque à rembourser 50 % des pertes subies par les deux sociétés, estimant que les torts étaient partagés :
- une négligence grave des deux sociétés : le courriel malveillant paraissait manifestement trompeur, rédigé en langue anglaise sans raison ;
- un manquement de la banque à son obligation de vigilance : elle n’a tenu compte ni des alertes d’un organisme de surveillance des attaques informatiques, ni de nombreuses tentatives de connexion le jour des faits.
Dans un arrêt du 15 janvier 2025 (pourvoi n° 23-13.579), la Cour de cassation casse l'arrêt d'appel en jugeant au contraire que la négligence grave du client libère la banque de tout partage de responsabilité.
Elle précise en effet que si, selon l'article L. 133-18 du code monétaire et financier, la banque a l’obligation de rembourser ses clients victimes d’escroquerie, cette obligation de remboursement est levée si le client a commis une négligence grave qui l’a conduit à se faire escroquer, en vertu de l'article L. 133-19 du même code.
Dans la seconde affaire, un couple a acheté un véhicule sur internet.
Pour procéder au paiement, le couple a effectué deux virements bancaires, en se basant sur l’IBAN qui leur avait été transmis par courriel :
- un premier virement, à distance ;
- un second, en se déplaçant à la banque, ordonné au guichet.
Le vendeur n'a reçu aucun des deux virements.
Les acheteurs se sont aperçus qu’au cours de leurs échanges par courriel avec le vendeur, ils avaient été victimes d’un piratage informatique : dans l’un de ces courriels, un escroc était parvenu à substituer son propre IBAN à celui du vendeur, récupérant ainsi l’argent de la vente.
La cour d'appel de Nîmes a condamné la banque à rembourser une partie des sommes versées par les acheteurs.
Le juges du fond ont retenu que si la banque ne pouvait voir sa responsabilité engagée lorsque son client lui fournit un mauvais IBAN, elle restait néanmoins tenue à une obligation de vigilance. Or, en l'espèce, l’IBAN transmis par courriel présentait des anomalies apparentes.
La Cour de cassation censure cette analyse dans son arrêt du 15 janvier 2025 (pourvoi n° 23-15.437).
Elle indique en effet que selon l'article L. 133-21 du code monétaire et financier, une banque qui exécute un virement en se basant sur un identifiant (RIB/IBAN) fourni par son client ne peut être tenue responsable de l’opération de paiement lorsque l’identifiant n’oriente pas le transfert de fonds vers le bénéficiaire souhaité. Ces dispositions excluent tout partage de responsabilité entre la banque et son client.
En l'espèce, l’origine de l’IBAN dont disposait le client (un piratage informatique), comme le fait que la banque n’ait pas relevé les anomalies que laissait apparaître l’identifiant, ne sont pas des circonstances envisagées par le code monétaire et financier comme ouvrant la possibilité d’un partage de responsabilité.
