Fraude bancaire: la Cour de cassation juge que la double authentification ne suffit pas à prouver le consentement de l'utilisateur.

Fraude bancaire : la double authentification ne suffit pas à prouver le consentement. Les victimes ont enfin des raisons d'espérer ...

Un identifiant et un mot de passe, complétés par un token à usage unique généré par un boîtier physique. La procédure, dite de double authentification, était pour le moins solide. La banque pouvait-elle en déduire que son client avait exprimé son consentement au virement litigieux, rendant l’opération « autorisée » au sens juridique ?

La Cour de cassation répond par la négative : en déduisant le consentement du recours à la forme convenue contractuellement, la Cour d’appel a inversé la charge de la preuve. Cela revient à valider la conception subjective du consentement, défendue par le conseiller rapporteur, dans laquelle il faut vérifier non seulement le respect de la forme convenue mais les éléments essentiels tels que le montant ou le destinataire de l’opération.

​

Les faits

La société Lincotek Tarbes est titulaire d’un compte bancaire dans les livres du Crédit Lyonnais. Elle a souscrit un service de banque en ligne, « Identité », dont le fonctionnement repose sur trois éléments cumulés : un identifiant, un mot de passe, et un code à usage unique (« token ») généré par un boîtier électronique physique. Sa comptable et son dirigeant étaient tous deux habilités à s’en servir pour initier des virements.

Le 23 novembre 2020, trois virements sont exécutés depuis cet espace bancaire en ligne. La banque parvient à en récupérer une partie mais il subsiste un solde.

Lincotek Tarbes assigne mais par deux fois elle est déboutée. Le tribunal de commerce de Créteil, le 4 octobre 2022, puis la cour d’appel de Paris, le 22 janvier 2025, estiment en substance que les relevés informatiques prouvent l’utilisation de l’identifiant, du code d’accès et du token ; les opérations ont donc été authentifiées, dûment enregistrées et comptabilisées, sans déficience technique ; et le consentement de Lincotek est en conséquence présumé avoir été donné « conformément à la forme convenue entre les parties ».

C’est ce raisonnement que la Cour de cassation censure.

Le cadre juridique

Le point de départ n’est pas le droit français, mais la directive (UE) 2015/2366 sur les services de paiement (« DSP2 »), dont l’article 64, § 1er, pose le principe au niveau de l’ensemble du marché intérieur :

« Les États membres veillent à ce qu’une opération de paiement ne soit réputée autorisée que si le payeur a donné son consentement à l’exécution de l’opération de paiement. (…) Le consentement à l’exécution d’une opération de paiement ou d’une série d’opérations de paiement est donné sous la forme convenue entre le payeur et le prestataire de services de paiement. (…) En l’absence de consentement, l’opération de paiement est réputée non autorisée. »

Le texte distingue donc, dès l’origine, deux choses :

• Le consentement (l’exigence de fond) et
• La forme convenue pour l’exprimer (la modalité).

Cette distinction se retrouve au niveau de la preuve. L’article 72 de la directive impose au prestataire de services de paiement, lorsque le payeur nie avoir autorisé l’opération, de prouver qu’elle a été authentifiée, dûment enregistrée et comptabilisée, et qu’elle n’a pas été affectée par une déficience technique. Mais il précise aussitôt que l’utilisation de l’instrument de paiement « ne suffit pas nécessairement en tant que telle à prouver que l’opération de paiement a été autorisée par le payeur ».

L’enchainement est donc :

• Sans consentement, l’opération n’est pas « autorisée » ;
• Le consentement doit être donné selon la forme convenue ;
• La preuve de la validation technique est obligatoire dans le chef de la banque lorsque son client nie avoir autorisé l’opération, mais cet élément ne suffit pas, en tant que tel, à établir le consentement.

En droit français, la directive est transposée aux articles L. 133-6, L. 133-7 et L. 133-23 du code monétaire et financier. L’article L. 133-6 pose le principe : une opération de paiement est autorisée si le payeur a donné son consentement à son exécution. L’article L. 133-7 précise que ce consentement est donné sous la forme convenue entre les parties, et qu’à défaut, l’opération est réputée non autorisée. L’article L. 133-23 organise la charge de la preuve dans les mêmes termes que l’article 72 de la directive : « L’utilisation de l’instrument de paiement telle qu’enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l’opération a été autorisée par le payeur. »

La même logique se retrouve en droit belge, aux articles VII.32 et VII.42, § 2, du Code de droit économique, dans des termes quasiment identiques, ce qui donne à l’arrêt du 1er juillet 2026, bien que rendu par la Cour de cassation française sur le fondement du droit interne, une portée qui dépasse largement les frontières françaises.

La question, reformulée par le conseiller rapporteur : Qu’est-ce qui permet de qualifier une opération de paiement d’autorisée ? »

L’intérêt de cette affaire tient en partie à la clarté du rapport du conseiller rapporteur qui formule le point de droit soumis à la Cour en une phrase : « Qu’est-ce qui permet de qualifier une opération de paiement d’autorisée ? »

Sur cette question, deux courants s’affrontent :

• La thèse subjective met l’utilisateur au centre : s’il croyait payer son créancier mais que, à la suite d’une manipulation, les fonds ont été versés sur le compte d’un tiers, il n’a pas consenti à l’opération telle qu’elle a été exécutée : celle-ci est dite non autorisée.
• La thèse objective met l’opération au centre : si la banque établit que telclient a validé tel versement sur tel compte, pour tel montant et à telmoment, l’utilisateur est réputé avoir consenti à cette opération-là, même si elle ne correspond pas à celle qu’il croyait effectuer.

Quel est l’enjeu ?

La question n’est pas théorique du tout !

Selon que l’opération est autorisée ou non, les parties sont dans une situation tout à fait différente. Le conseiller rapporteur l’exprime ainsi :

• Si l’opération est qualifiée d’opération de paiement autorisée, la responsabilité de la banque ne peut pas être recherchée sur le fondement des dispositions relatives aux opérations non autorisées prévues aux articles L. 133-18 et L. 133-23 du code monétaire et financier, mais elle peut l’être en cas de manquement à son obligation de vigilance. (Com., 12 juin 2025, n° 24-13.697)
• À l’inverse, si l’opération est non autorisée, c’est le régime protecteur des articles L. 133-18 à L. 133-24 qui s’applique, avec en principe l’obligation pour la banque de rembourser immédiatement le client.

La thèse subjective du consentement l’emporte

Le conseiller rapporteur suggérait de retenir la thèse subjective :

« Il conviendra de vérifier non seulement que le consentement a été donné sous la forme convenue entre le payeur et son prestataire de services de paiement (Com., 21 avril 2022, n° 20-18.859) mais aussi que ce consentement porte sur les éléments essentiels tels que le montant (Com., 15 janvier 2025, n° 23-18.906) ou le destinataire de l’opération (Com., 1er juin 2023, n° 21-19.289). »

La Cour de cassation commence par résumer le raisonnement de la Cour d’appel dont l’arrêt lui était soumis : « Pour juger les opérations de paiement autorisées, après avoir retenu que les relevés informatiques produits par la banque établissaient l’utilisation de l’identifiant et du code d’accès à l’espace en ligne et l’utilisation d’un « token » généré par un boîtier, l’arrêt en déduit, d’une part, que l’opération en question avait été authentifiée, dûment enregistrée et comptabilisée, d’autre part qu’elle n’avait pas été affectée par une déficience technique. Il ajoute que le consentement de la société Lincotek est présumé en conséquence avoir été donné conformément à la forme convenue entre les parties. »

Ceci étant fait, elle censure :

« En statuant ainsi, alors que la société Lincotek contestait avoir consenti à ces opérations et soutenait que ses données de sécurité personnalisées avaient été utilisées à son insu, la cour d’appel, en déduisant le consentement des opérations litigieuses du recours à la forme convenue contractuellement, a inversé la charge de la preuve et violé les textes susvisés. » (§ 6)

La Cour de cassation est prudente :

Elle ne reprend pas, noir sur blanc, la thèse du conseiller rapporteur selon laquelle il faut aussi vérifier « que ce consentement porte sur les éléments essentiels tels que le montant (Com., 15 janvier 2025, n° 23-18.906) ou le destinataire de l’opération (Com., 1er juin 2023, n° 21-19.289). »

Elle arrive toutefois à un résultat similaire via la charge de la preuve : en déduisant le consentement du recours à la forme convenue contractuellement (autrement dit : en ne vérifiant pas aussi « les éléments essentiels tels que le montant ou le destinataire »), la Cour d’appel inverse la charge de la preuve.

Réflexions

Deux éléments donnent à cet arrêt une portée qui dépasse le cas d’espèce.

D’abord, il est publié au Bulletin, signe que la chambre commerciale entend fixer une position de principe.

Ensuite, la solution est affirmée dans un dossier où, sur le plan technique, la banque disposait d’outils de sécurité particulièrement forts. Si la Cour a pu se montrer aussi résolue concernant une authentification par token, l’enseignement vaut a fortiori pour des dispositifs moins robustes.

Cass. com., 1er juillet 2026, n° 25-13.134, publié au Bulletin

Arrêt et rapport du conseiller rapporteur sont joints en annexe.