Phishing : la banque rembourse d’abord, elle discute ensuite

Le 15 octobre 2026, la Cour de justice de l’Union européenne a tranché une question qui empoisonnait des milliers de dossiers : une banque peut-elle refuser de rembourser une victime de phishing au motif qu’elle a été « gravement négligente » ? La réponse est non. Pas tout de suite, en tout cas.

L’affaire : un scénario que tout le monde connaît

Une particulière polonaise met un objet en vente sur une plateforme d’enchères. Un « acheteur » lui envoie un lien pour « confirmer la vente ». Le lien mène à une fausse page de sa banque. Elle y saisit ses identifiants, puis le code reçu par SMS.

Résultat : 3 000 zlotys (environ 705 euros) virés vers le compte du fraudeur. Elle signale la fraude dès le lendemain, à sa banque et à la police.

La banque refuse de rembourser : selon elle, la cliente a commis une négligence grave en livrant ses données de sécurité. Le tribunal de Koszalin saisit alors la Cour de justice (arrêt C-70/25, 15 octobre 2026).

Détail révélateur relevé par le juge polonais : les tribunaux voient affluer les actions de clients contre leur banque, mais jamais l’inverse. Le refus de rembourser était devenu la règle, le remboursement l’exception (point 24 de l’arrêt).

Ce que la Cour a jugé : deux temps, deux questions

La Cour sépare ce que les banques avaient fusionné : le remboursement immédiat d’un côté, la charge finale de la perte de l’autre. La négligence grave du client ne joue que sur la seconde.

Étape 1, la banque rembourse dès qu’elle est informée d’une opération non autorisée, elle recrédite le compte, au plus tard à la fin du premier jour ouvrable suivant (article 73 § 1 de la directive 2015/2366, dite « DSP2 »).

La banque peut suspendre le remboursement uniquement si elle a de bonnes raisons de soupçonner une fraude du client lui-même, et à condition de communiquer ces raisons par écrit à l’autorité nationale compétente. Le soupçon de négligence, même grave, ne suffit pas.

Etape 2, la banque peut se retourner si elle estime que le client a été gravement négligent, elle peut lui réclamer la perte ensuite (article 74 § 1). Mais c’est à elle de prouver cette négligence (article 72 § 2), et c’est à elle d’agir en justice si le client ne paie pas.
Le raisonnement de la Cour tient en une phrase : laisser la banque refuser d’emblée « priverait d’effet utile » le remboursement immédiat et forcerait le consommateur à assumer « l’initiative de faire valoir son droit », avec les frais de procédure qui vont avec (point 45).

Autrement dit, la Cour ne dit pas que le client imprudent est protégé à tout prix. Elle dit qui doit porter le procès et le fardeau change de camp.

Point important pour tous les États membres, Luxembourg compris : ces règles relèvent de l’harmonisation totale (article 107 de la DSP2). Aucune loi nationale, aucune clause de conditions générales ne peut offrir au client une protection moindre. L’interprétation de la Cour s’impose donc à toutes les juridictions saisies d’un litige similaire, y compris pour la loi luxembourgeoise modifiée du 10 novembre 2009 relative aux services de paiement, qui transpose la DSP2.

Victime de phishing : ce que l’arrêt change pour vous

Si votre banque vous a répondu « vous avez communiqué vos codes, c’est votre responsabilité », cette réponse ne suffit plus à justifier un refus de remboursement.

• Vous avez droit au remboursement immédiat, sauf si la banque soupçonne une fraude de votre part et l’a signalé par écrit à l’autorité compétente.
• La preuve pèse sur la banque et le fait que l’opération ait été validée avec vos identifiants ou un code SMS ne prouve pas, à lui seul, votre négligence grave (article 72 § 2 de la DSP2).
• Le procès, s’il y en a un, c’est à elle de l’engager. Vous n’avez plus à avancer les frais d’une action pour récupérer votre propre argent.
• Hors négligence grave, votre part reste plafonnée à 50 euros (article 74 § 1), voire nulle si la fraude n’était pas détectable avant le paiement.

Les réflexes qui comptent toujours :

Signaler sans attendre. Le droit au remboursement suppose une notification « sans retard injustifié », et au plus tard dans les 13 mois suivant le débit (article 71). La Cour l’a rappelé dans son arrêt Veracash du 1er août 2025 (C-665/23) : un signalement tardif peut faire perdre ce droit.

Porter plainte et conserver le récépissé.

Tout garder : SMS, e-mails, captures du faux site, historique des connexions, échanges avec la banque.

Demander le remboursement par écrit, en visant expressément l’obligation de remboursement immédiat.

En cas de refus motivé par la seule négligence grave, mettre la banque en demeure. Au Luxembourg, une réclamation peut aussi être portée devant la CSSF dans le cadre de sa procédure de résolution extrajudiciaire, avant une action en justice.

Et les refus déjà essuyés ?

Un arrêt préjudiciel interprète le texte tel qu’il existe depuis son entrée en vigueur. Les refus opposés ces dernières années pour « négligence grave » peuvent donc mériter un réexamen, à condition que la fraude ait été signalée à temps et que l’action ne soit pas prescrite. Chaque dossier doit être vérifié au cas par cas.

Banques et établissements de paiement : ce qu’il faut revoir maintenant

L’arrêt ne prive pas les banques de leurs droits. Il change l’ordre des opérations, et donc la manière de bâtir un dossier. Les établissements qui s’adaptent vite limiteront à la fois leurs pertes et leur risque contentieux.

• Procédures de réclamation : Un process qui refuse par défaut pour « négligence grave » expose désormais à des condamnations, des intérêts et des frais. Le remboursement sous J+1 ouvrable doit devenir le circuit standard.
• L’exception de fraude, mode d’emploi : C’est la seule porte de sortie pour différer le remboursement. Elle suppose des soupçons sérieux, documentés, et une communication écrite à l’autorité nationale. Il faut une procédure interne pour l’actionner en moins d’un jour, et pas un usage détourné.
• Constituer la preuve de la négligence grave : Logs d’authentification, messages d’alerte affichés, campagnes de sensibilisation, caractère grossier ou non de la contrefaçon : c’est ce dossier qui permettra, dans un second temps, de récupérer les sommes.
• Stratégie de recouvrement : Mise en demeure, puis action en justice si nécessaire. Le débit unilatéral du compte du client après remboursement est risqué : l’avocat général a écarté cette piste, et la Cour renvoie aux « voies de droit prévues à cet effet » (point 38).
• Conditions générales : Les clauses qui conditionnent le remboursement à l’absence de négligence du client sont à relire : la DSP2 interdit de déroger à ses règles au détriment de l’utilisateur.
• Provisionnement et stock de litiges : Les dossiers en cours et les refus récents doivent être réévalués à la lumière de l’arrêt.
  L’avocat général Rantos reconnaît lui-même les difficultés pratiques : distinguer fraude et négligence en 24 heures n’a rien d’évident (note 21 de ses conclusions). C’est précisément là qu’un accompagnement juridique en amont fait la différence.

Les zones grises qui feront les prochains contentieux

L’arrêt règle le « quand ». Il ne règle pas le « qui paie au final ». Les vrais débats vont se déplacer sur le terrain du second temps.

• Le phishing est-il toujours une négligence grave ? La Cour ne le dit pas. Tout dépend du degré de sophistication de l’attaque, des alertes reçues, du profil du client. Un faux site quasi parfait n’appelle pas la même analyse qu’un SMS truffé de fautes.
• La sécurité de la banque elle-même. La DSP2 préserve la responsabilité du prestataire pour la sécurité technique de ses produits (considérant 71). Qualité de l’authentification forte, détection d’opérations atypiques, réactivité : autant d’arguments en défense pour le client.
• Fraude ou négligence ? Une banque qui invoque la fraude du client sans signalement écrit à l’autorité, ou sur des soupçons fragiles, s’expose à la contestation de ce report.
• Le recouvrement après remboursement. Les actions des banques contre leurs propres clients, quasi inexistantes jusqu’ici, vont apparaître. Elles poseront la question de la preuve et de la proportionnalité.
• Autorisée ou non autorisée ? Quand le client a validé lui-même l’opération sous l’effet d’une tromperie, la frontière devient décisive : elle conditionne l’application de tout le régime de remboursement.

Le mouvement de fond : de la faute du client au risque du professionnel

L’arrêt C-70/25 n’est pas un coup isolé. C’est le dernier acte d’un basculement engagé depuis vingt ans, que le futur règlement européen sur les services de paiement (PSR) va achever : le risque de fraude glisse du client vers celui qui maîtrise la sécurité du système.

DSP3 ou PSR ?

Le nouveau paquet est scindé en deux. La DSP3, une directive, traite de l’agrément et de la supervision des établissements. Le PSR, un règlement, reprend toutes les règles de conduite : remboursements, fraude, authentification, responsabilité. C’est lui qui prendra le relais de la DSP2 sur la question tranchée par la Cour, sans transposition nationale et donc sans divergence entre États membres.

Le PSR codifie d’ailleurs la solution de l’arrêt. Dans sa proposition, la Commission ne permettait de refuser le remboursement qu’en cas de soupçon raisonnable de fraude, avec l’obligation de motiver ce refus et d’indiquer au client les organismes de recours. L’avocat général le relève lui-même (note 10 de ses conclusions).

La vraie frontière : la fraude « autorisée »

La DSP2 ne protège que les opérations non autorisées. Or la fraude moderne repose sur la manipulation : faux conseiller bancaire, faux RIB, arnaque à l’investissement. C’est le client lui-même qui ordonne le virement, et il se retrouve aujourd’hui presque sans recours. Le PSR change la donne :

• Usurpation de l’identité de la banque. Lorsqu’un fraudeur se fait passer pour la banque (numéro falsifié, faux conseiller), celle-ci devra rembourser la victime, sous conditions de signalement rapide et de plainte.
• Vérification nom / IBAN. Déjà obligatoire pour les virements en euros depuis le règlement sur les virements instantanés (octobre 2025), elle est étendue aux autres virements. Un défaut de vérification engage la responsabilité du prestataire.
• Surveillance des transactions. Elle devient une obligation renforcée, y compris en temps réel pour les virements instantanés. Une défaillance pèsera directement sur l’issue des demandes de remboursement.
• Partage d’informations sur la fraude entre prestataires de services de paiement.
• Plateformes en ligne. Les très grandes plateformes devront vérifier que les annonceurs de services financiers sont agréés. Les banques pourront se retourner contre une plateforme qui n’a pas retiré un contenu frauduleux signalé. Le régime de responsabilité générale des opérateurs télécoms et des réseaux sociaux, réclamé par les banques, n’a en revanche pas été retenu.

Le Royaume-Uni est allé plus loin : depuis octobre 2024, le remboursement des victimes de fraude au virement autorisé y est obligatoire, jusqu’à 85 000 livres, à parts égales entre banque émettrice et banque réceptrice. L’Union n’en est pas là, mais la direction est la même.

Pourquoi ce basculement

La logique est celle de la répartition des risques. La banque voit l’ensemble des flux, peut détecter une opération atypique en temps réel et investit à grande échelle. Le client, lui, ne voit qu’un SMS. En lui faisant supporter d’abord le coût de la fraude, le droit pousse le professionnel à investir dans sa sécurité : une banque dont les clients sont souvent piégés paiera davantage.

Le revers est identifié par l’avocat général lui-même : la tentation de reporter ces coûts sur les clients, par des plafonds abaissés, des délais supplémentaires ou la restriction de certains moyens de paiement (note 21 de ses conclusions).

Ce qui va suivre

• Le contentieux se déplace. Moins sur l’obligation de rembourser que sur la qualification de l’opération et sur la qualité du dispositif de sécurité de la banque.
• Les banques deviennent demanderesses. Les actions en recouvrement contre leurs propres clients vont apparaître, avec un véritable enjeu de preuve.
• Les recours groupés deviennent crédibles. Des refus systématiques sur un même schéma de fraude se prêtent aux actions représentatives prévues par le droit européen.
• Une fenêtre de conformité s’ouvre jusqu’en 2028 pour revoir procédures de réclamation, conditions générales, outils de surveillance et clauses de responsabilité.

Un dossier de fraude au paiement ?

Victime d’un refus de remboursement, ou établissement qui souhaite sécuriser ses procédures à la lumière de l’arrêt C-70/25 : nous accompagnons particuliers et prestataires de services de paiement sur ces questions, de la réclamation au contentieux.