N° RG 24/01962

N° Portalis DBVM-V-B7I-MING

C4

Copie exécutoire délivrée

le :

à :

la SELARL SIDONIE LEBLANC

M^e Carole GIACOMINI

AU NOM DU PEUPLE FRANÇAIS

COUR D’APPEL DE GRENOBLE

CHAMBRE CIVILE SECTION A

ARRÊT DU MARDI 25 NOVEMBRE 2025

Appel d’un jugement (N° R.G. 22/06393)

rendu par le tribunal judiciaire de Grenoble

en date du 06 mai 2024

suivant déclaration d’appel du 24 mai 2024

APPELANTE :

Mme [M] [J]

née le 16 janvier 1963 à [Localité 6] (Algérie)

[Adresse 10]

[Localité 4]

représentée et plaidant par M^e Sidonie LEBLANC de la SELARL SIDONIE LEBLANC, avocat au barreau de GRENOBLE

INTIMÉE :

LA SOCIÉTÉ ING BANK N.V., société de droit néerlandais, au capital de 525.489.557,91 euros, dont le siège social est sis, [Adresse 8] (Pays-Bas), immatriculée au Registre du Commerce d’Amsterdam sous le numéro 330 314 31, prise en sa succursale de Paris sise [Adresse 3], immatriculée au Registre du Commerce et des Sociétés de Paris sous le numéro 791 866 890, prise en la personne de son représentant légal en exercice domicilié es qualité audit siège

[Adresse 2]

[Localité 5]

représentée par M^e Carole GIACOMINI, avocat au barreau de GRENOBLE

COMPOSITION DE LA COUR LORS DES DÉBATS ET DU DÉLIBÉRÉ :

M^me Catherine Clerc, président de chambre,

M^me Raphaële Faivre, conseiller,

M. Jean – Yves Pourret, conseiller

Assistés lors des débats de M^me Claire Chevallet, greffier

DÉBATS :

A l’audience publique du 29 septembre 2025, M^me Faivre a été entendue en son rapport.

Les avocats ont été entendus en leurs observations.

Et l’affaire a été mise en délibéré à la date de ce jour à laquelle l’arrêt a été rendu.

FAITS, PROCÉDURE ET PRÉTENTIONS DES PARTIES

Mme [M] [J] est titulaire d’un compte courant ouvert dans les livres la société ING Bank France.

Les 17 et 20 mars 2022 deux virements frauduleux d’un montant respectif de 8.500 euros et de 1.500 euros ont été effectués au profit d’un compte bancaire Boursorama appartenant à un tiers.

Le 25 mars 2022, Mme [J] a indiqué à la société ING Bank ne pas être à l’origine des deux virements contestés.

Le 28 mars 2022, la société ING Bank France a effectué une demande de retour de fonds auprès de la banque Boursorama qui n’a pas donné lieu à une suite favorable.

Le 7 avril 2022, Mme [J] a signalé les virements sur son application ING et a déposé une plainte pour vol et usurpation d’identité.

Par courriel du 15 avril 2022, la banque Boursorama a informé Mme [J] que le compte au profit duquel les deux transactions ont été effectuées n’était pas ouvert dans ses livres.

Par courriel du 11 mai 2022, puis selon courriers du 7 juillet 2022 et du 11 août 2022, la société ING Bank France a refusé les demandes de remboursement de la somme de 10.000 euros formées par Mme [J], au motif qu’elle a fait preuve d’une négligence grave.

Par acte de commissaire de justice en date du 12 décembre 2022, Mme [J] a assigné la société ING Bank France devant le tribunal judiciaire de Grenoble.

Par jugement en date du 6 mai 2024, le tribunal judiciaire de Grenoble a :

débouté Mme [M] [J] de sa demande de condamnation de la société ING Bank France au paiement de la somme de 10.000 euros,

débouté Mme [M] [J] de sa demande de dommages et intérêts pour manquement à l’obligation de vigilance,

débouté Mme [M] [J] de sa demande de dommages et intérêts au titre de la responsabilité extra contractuelle,

condamné Mme [M] [J] aux entiers dépens,

condamné Mme [M] [J] à payer à la société ING Bank la somme de 2.500 euros au titre de l’article 700 du code de procédure civile.

Par déclaration du 24 mai 2024, Mme [M] [J] a interjeté appel de ce jugement.

Aux termes de ses dernières écritures notifiées par voie dématérialisée le 8 novembre 2024, Mme [M] [J] demande à la cour de :

dire et juger son appel recevable et bien fondé,

infirmer le jugement entrepris,

Statuant par nouvelle décision :

débouter la société ING Bank France de l’ensemble de ses demandes, fins et conclusions,

A titre principal,

juger qu’elle n’a commis aucune faute,

En conséquence,

condamner la société ING Bank France à lui payer la somme de 10.000 euros au titre des opérations de paiement non autorisées,

juger que cette somme portera intérêts au taux légal à compter de la mise en demeure du 14 juin 2022 majoré de 15 points,

condamner la société ING Bank France à lui rembourser les frais bancaires liés au découvert sur son compte soit la somme de 129,12 euros,

A titre subsidiaire,

Si par extraordinaire, la cour devait considérer qu’elle a commis une négligence fautive,

juger que la société ING Bank France a manqué à son obligation de vigilance et/ou de conseil pour des mouvements de fonds anormaux,

condamner la société ING Bank France à lui payer la somme de 10.000 euros à titre de dommages et intérêts pour manquement à son obligation de vigilance,

En tout état de cause,

condamner la société ING Bank France d’avoir à lui payer la somme de 4.000 euros, en application de l’article 700 du code de procédure civile, au titre des frais irrépétibles de première instance et d’appel,

condamner la société ING Bank France aux dépens de première instance et d’appel.

Au soutien de sa demande en paiement de la somme de 10.000 euros, elle fait d’abord valoir qu’elle n’a commis aucune négligence fautive dès lors que :

aux termes des articles L.133-18 alinéa 1, L.133-23 et L.133-24 du code monétaire et financier l’organisme bancaire doit rembourser immédiatement le titulaire du compte après avoir pris connaissance de la fraude, et que si, l’utilisateur peut être tenu pour responsable par la banque et ainsi supporter toutes les pertes occasionnées par des opérations de paiement non autorisées, en cas de manquement intentionnel aux obligations prévues par la loi aux articles L.133-16 et L.133-17 du code monétaire et financier, d’agissement frauduleux de sa part ou de négligence grave de sa part, en revanche, la jurisprudence « du Quai de l’Horloge » a rappelé par cinq arrêts que c’est au prestataire qu’il incombe de rapporter la preuve que l’utilisateur, qui nie avoir autorisé une opération de paiement, a agi frauduleusement ou n’a pas satisfait, intentionnellement ou par négligence grave, à ses obligations (Cass. Com, 18 janvier 2018 n°15-18.102),

le simple fait qu’un tiers utilise les données personnelles du payeur est insuffisant pour démontrer que celui-ci a agi frauduleusement ou n’a pas satisfait intentionnellement ou par négligence grave à ses obligations (Cass. Com. 18-01-2017 n° 15-18-102 ; Cass com, 29 mai 2019, n° 17-28.271), et conformément à l’article L.133-23 du code de monétaire et financier, lorsque l’utilisateur nie avoir autorisé une opération de paiement, il incombe à son prestataire de services de paiement de prouver que l’opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre » (Cass. com. 12 novembre 2020 n° 19-12.112),

elle a reçu un appel le 17 mars 2020 d’une personne se présentant comme un conseiller de la banque ING lui demandant si elle était à l’origine d’une demande de virement de la somme de 8.500 euros, le conseiller lui ayant immédiatement confirmé que les mesures seraient prises pour la protéger et éviter toute opération frauduleuse, puis elle a reçu dix minutes plus tard un SMS pour valider un code temporaire d’enregistrement de son Iphone, ce qu’elle n’a pas fait ne possédant pas de téléphone de cette marque, outre trois SMS de demande de validation d’un virement de 8.500 euros vers un compte externe,

elle a reçu à nouveau le 20 mars 2020 un appel d’une personne se présentant comme un conseiller de la banque ING lui signalant une nouvelle demande de virement de 1.500 euros suivi d’un SMS pour validation de ce virement,

elle n’a pas communiqué ses données personnelles par mail ou par téléphone et n’a pas validé les SMS reçus dans le cadre du dispositif « 3D Secure », ainsi que les codes reçus par SMS, et soutient ne pas posséder d’Iphone alors que les codes ont été reçus sur un téléphone de cette marque,

il incombe donc à la société ING de prouver sa négligence, laquelle ne peut résulter de la simple utilisation de ses données personnelles, ni du fait, comme le soutient à tort la banque, d’avoir attendu 8 jours pour l’informer des opérations frauduleuses, alors que les dispositions de l’article L.133-24 du code de monétaire et financier précisent que l’utilisateur doit informer sans tarder les services bancaires ou au plus tard sous 13 mois,

rien ne permet d’attester qu’elle a saisi les codes ou les a même transmis et le juge de première instance fonde sa décision uniquement sur une opinion et plus précisément sur des hypothèses, de sorte qu’il a commis une erreur de droit,

le dispositif connu sous le nom de 3D Secure (ou 3DS) qui consiste à valider un paiement à l’aide d’un code secret à usage unique, reçu par SMS sur son mobile est un mode d’authentification qui ne remplit pas les critères récemment mis en place dans la cadre de la 2e directive sur les services de paiement (DSP2), sur la double authentification (ou authentification forte),

le fraudeur a copié sa carte SIM et cela lui a permis d’accéder à son espace bancaire personnel, enregistrer le bénéficiaire du virement frauduleux, recevoir le SMS contenant le code de sécurité et cela sans qu’elle n’ait à transmettre les SMS qu’elle a elle-même reçu puisque le fraudeur les recevait également sur son iPhone grâce au double de sa carte SIM,

il incombait donc à la société ING de prouver que l’opération en question n’avait pas été affectée par une déficience technique ou autre, ce qu’elle ne fait pas en l’espèce et les délais extrêmement courts parfois 13 secondes entre la réception du SMS, la validation sur l’espace client et l’exécution des virements permettent de constater qu’il ne peut s’agir d’une manipulation humaine.

Au soutien de sa demande subsidiaire de dommages et intérêts, elle fait valoir que la banque a manqué à son devoir de vigilance dès lors que :

en application des articles 1231-1 du code civil, L.133-17 et L.561-6 du code monétaire et financier les banques sont soumises à une obligation dite de vigilance, c’est-à-dire que chaque établissement bancaire doit être attentif aux opérations bancaires des clients et déterminer le niveau d’alerte quand une opération bancaire s’avère anormale et/ou que des anomalies évidentes sont constatées que ce soit au stade de l’ouverture du compte ou encore, en l’espèce, dans le cadre de son fonctionnement,

la fréquence anormale des mouvements importants de fonds sur un compte bancaire est un élément à retenir pour déterminer la responsabilité de la banque dans le cadre du défaut de vigilance (Cass. Com. 22 novembre 2011, n° 10-30.101 ; CA [Localité 7], 28 juillet 2020, n°17/04624),

or, en l’espèce, la fréquence des mouvements de fonds est parfaitement anormale au regard du fonctionnement habituel du compte : un premier virement le 17 mars 2022 et un deuxième virement le 21 mars 2022, et le critère de la destination des fonds sur un compte ouvert dans les livres d’un établissement de crédit français ne peut suffire à justifier de l’absence d’anomalie puisque les fraudeurs ont pour habitude de faire transiter les fonds sur différents comptes avant de les transférer à l’étranger pour justement éviter d’être identifiés,

cette négligence lui cause un préjudice alors que cette somme représente l’ensemble de ses économies, qu’elle est contrainte de faire de multiples démarches administratives pour tenter de la recouvrer, cette situation étant moralement épuisante et qu’elle est même relancée par une société de recouvrement car son compte étant débiteur, les frais de fonctionnement n’ont pas pu être payés.

Aux termes de ses dernières écritures notifiées par voie dématérialisée le 8 septembre 2025, la société ING Bank France demande à la cour de :

confirmer en toutes ses dispositions le jugement rendu par le tribunal judiciaire de Grenoble le 6 mai 2024,

débouter Mme [M] [J] de toutes ses demandes, fins et conclusions,

Y ajoutant

condamner Mme [M] [J] au paiement de la somme de 5.000 au titre des frais irrépétibles d’appel sur le fondement des dispositions de l’article 700 du code de procédure civile,

condamner la même aux entiers dépens de l’instance.

Au soutien de sa demande, elle fait valoir que les virements contestés ont été autorisés par Mme [J] et n’ont pas été affectés par une déficience technique au motif que :

ils ont tous été autorisés par Mme [J] conformément aux dispositions légales et contractuelles applicables,

en pratique, ce sont les codes d’accès renforcés (au sens de l’article 10 des conditions générales) envoyés par ING Bank sur le téléphone portable de Mme [J] qui ont permis d’ajouter le bénéficiaire des virements contestés sur son compte ING et de valider chacun desdits virements,

il ressort en effet de l’extraction des logs informatiques que la saisie :

le 17 mars 2022 à 15 heures 04 minutes et 24 secondes, du code d’accès renforcé « 188969 » reçu par Mme [J] sur son téléphone portable, à 15 heures 04 minutes et 03 secondes accompagné du message suivant « Validation de l’ajout d’un compte externe se terminant par 6243. Votre code temporaire est le 750752 », a permis l’ajout, à 15 heures 04 minutes et 55 secondes, du bénéficiaire des deux virements contestés,

la saisie, le 17 mars 2022 à 15 heures 06 minutes et 56 secondes, du code d’accès renforcé « 751934 » reçu par Mme [J] sur son téléphone portable, à 15 heures 06 minutes et 43 secondes accompagné du message suivant « Validation de votre virement de 8.500 euros vers un compte externe. Votre code temporaire est le 495521», a permis la validation et l’exécution à 15 heures 06 minutes et 59 secondes du premier des deux virements contestés,

la saisie, le 20 mars 2022 à 16 heures 05 minutes et 55 secondes, du code d’accès renforcé « 847264 » reçu par Mme [J] sur son téléphone portable, à 16 heures 05 minutes et 38 secondes accompagné du message suivant « Validation de votre virement de 1.500 euros vers un compte externe. Votre code temporaire est le 408167 », a permis la validation et l’exécution à 16 heures 05 minutes et 58 secondes, du second des deux virements contestés,

C’est avec une extrême mauvaise foi que Mme [J], affirme faussement qu’elle n’aurait pas communiqué ses codes confidentiels au fraudeur ou qu’elle aurait prétendument été victime d’une fraude de type SIM-swap, alors qu’il résulte des logs informatiques de connexion à son espace client :

s’agissant de la connexion à l’espace client intervenue, le 17 mars 2022, elle a saisi son code d’accès (à savoir son identifiant et son mot de passe), à 14 heures 59 minutes, ainsi que cela ressort de la mention « Validation code [Localité 9] SCA,

s’agissant de la connexion à l’espace client intervenue, le 20 mars 2022, elle a saisi son code d’accès (à savoir son identifiant et son mot de passe), à 16 heures 05 minutes, ainsi que cela ressort de la mention « Validation code [Localité 9] SCA [11] »,

l’ajout du compte bénéficiaire et les virements contestés ont chacun été validés au moyen d’une authentification forte, reposant sur deux facteurs distincts, à savoir :

un facteur de connaissance, matérialisé par la validation, sur l’espace client en ligne ING Bank de Mme [J], de son numéro client et son mot de passe, dont elle seule a connaissance, et sans lesquels l’ajout du bénéficiaire ni les deux virements n’auraient pas été possible,

un facteur de possession, matérialisé par la réception, par Mme [J], des code d’accès renforcé sur son propre téléphone portable dont elle lui a déclaré le numéro,

l’allégation de fraude de type « SIM swap » est inepte dès lors qu’il est établi que Mme [J] reconnaît avoir reçu sur son téléphone portable les codes d’accès renforcés nécessaires à la validation des virements contestés,

Mme [J] a commis des négligences graves en ne prenant pas toutes les mesures nécessaires afin de préserver la confidentialité de ses données de sécurité personnalisées, alors que les SMS reçus s’agissant de l’ajout d’un compte bénéficiaire ou de la validation d’un virement indiquaient en capital la mention « attention, ne transmettez a personne ce code »,

elle a commis une négligence grave en ne l’informant pas immédiatement de ce qu’elle soupçonnait une fraude, mais en attendant huit jours, soit le 25 mars 2022, avant de prendre contact avec elle, alors que les dispositions de l’article L.133-24 du code monétaire et financier obligent l’utilisateur de services de paiement à signaler « sans tarder, à son prestataire de services de paiement une opération de paiement non autorisée », de sorte que si elle avait immédiatement réagi, le second virement contesté aurait pu être bloqué.

Pour s’opposer à la demande subsidiaire en dommages et intérêts de Mme [J] fondée sur les articles 1231-1 et 1240 du code civil et L.133-17 et L.561-6 du code monétaire et financier, la banque expose que :

la Cour de cassation, reprenant la jurisprudence de la Cour de Justice de l’Union Européenne du 16 mars 2023 a considéré que dès lors que la responsabilité d’un prestataire de services de paiement est recherchée en raison d’une opération de paiement non autorisée ou mal exécutée, seul est applicable le régime de responsabilité défini aux articles L.133-18 à L.133-24 du code monétaire et financier, qui transposent les articles 58, 59 et 60, paragraphe 1, de la directive 2007/64/CE, à l’exclusion de tout régime alternatif de responsabilité résultant du droit national. » (Cour de cassation, 27 mars 2024, n°22-21-200),

ainsi, en l’espèce, Mme [J] qui nie avoir autorisé les virements contestés est strictement mal fondée à se prévaloir, à son encontre, de tout autre régime de responsabilité que celui prévu aux articles L.133-18 à L.133-24 du code monétaire et financier,

en tout état de cause, Mme [J] ne rapporte pas la preuve d’un quelconque préjudice (qui ne saurait en toute hypothèse exister en l’absence de toute responsabilité de sa part au titre des virements contestés), seules les négligences graves qui lui sont imputables sont à l’origine des virements contestés dont l’entière responsabilité lui incombe.

Conformément aux dispositions de l’article 455 du code de procédure civile, la cour se réfère, pour un plus ample exposé des moyens et prétentions des parties, à leurs conclusions écrites précitées.

L’ordonnance de clôture a été rendue le 23 septembre 2025.

MOTIFS

Sur la demande en restitution des fonds

Selon l’article L.133-18 alinéa 1er du code monétaire et financier, en cas d’opération de paiement non autorisée signalée par l’utilisateur dans les conditions prévues à l’article L.133-24, le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, sauf s’il a de bonnes raisons de soupçonner une fraude de l’utilisateur du service de paiement et s’il communique ces raisons par écrit à la Banque de France. Le cas échéant, le prestataire de services de paiement du payeur rétablit le compte débité dans l’état où il se serait trouvé si l’opération de paiement non autorisée n’avait pas eu lieu.

Conformément à l’article L.133-19 II et IV du code monétaire et financier, la responsabilité du payeur (le titulaire du compte ou de la carte bancaire) n’est pas engagée si l’opération de paiement non autorisée a été effectuée en détournant, à son insu, l’instrument de paiement ou les données qui lui sont liées. Le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L.133-16 et L.133-17.

Par ailleurs, l’article L.133-23 du même code dispose en son alinéa 1 que lorsqu’un utilisateur de services de paiement nie avoir autorisé une opération de paiement qui a été exécutée, ou affirme que l’opération de paiement n’a pas été exécutée correctement, il incombe à son prestataire de services de paiement de prouver que l’opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre. L’alinéa 2 du même texte précise que l’utilisation de l’instrument de paiement telle qu’enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l’opération a été autorisée par le payeur ou que celui-ci n’a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant en la matière. Le prestataire de services de paiement, y compris, le cas échéant, le prestataire de services de paiement fournissant un service d’initiation de paiement, fournit des éléments afin de prouver la fraude ou la négligence grave commise par l’utilisateur de services de paiement.

La charge de la preuve de la régularité de l’autorisation pèse donc sur le prestataire de services de paiement, qui doit établir que l’ordre émane bien de l’utilisateur du service.

La Cour de cassation juge de manière constante que si, aux termes des articles L.133-16 et L.133-17 du code monétaire et financier, il appartient à l’utilisateur de services de paiement de prendre toute mesure raisonnable pour préserver la sécurité de ses dispositifs de sécurité personnalisés et d’informer sans tarder son prestataire de tels services de toute utilisation non autorisée de l’instrument de paiement ou des données qui lui sont liées, c’est à ce prestataire qu’il incombe, par application des articles L.133-19, IV, et L.133-23 du même code, de rapporter la preuve que l’utilisateur, qui nie avoir autorisé une opération de paiement, a agi frauduleusement ou n’a pas satisfait intentionnellement ou par négligence grave à ses obligations et cette preuve ne peut se déduire du seul fait que l’instrument de paiement ou les données personnelles qui lui sont liées ont été effectivement utilisés ( Com., 18 janvier 2017, n°15-18.102; n°15-26.058 ; 15-18.224 ; 15-22.783 ;15-18.466 ; Com., 28 mars 2018, n° 16-20.018 ).

La Cour de cassation a, dans un second temps, précisé qu’il résulte des articles L.133-19, IV, et L.133-23 du code monétaire et financier, dans leur rédaction issue de l’ordonnance n° 2009-866 du 15 juillet 2009, que s’il entend faire supporter à l’utilisateur d’un instrument de paiement doté d’un dispositif de sécurité personnalisé les pertes occasionnées par une opération de paiement non autorisée rendue possible par un manquement de cet utilisateur, intentionnel ou par négligence grave, aux obligations mentionnées aux articles L.133-16 et L.133-17 de ce code, le prestataire de services de paiement doit aussi prouver que l’opération en cause a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre (Com., 12 novembre 2020, n°19-12.112 ; (Com, 20 novembre 2024, n° 23-15.099 ; Com., 30 avril 2025, n° 24-10.149 ).

L’appréciation d’une telle preuve relève du pouvoir souverain des juges du fond.

En l’espèce, il est constant que deux virements frauduleux ont été opérés sur le compte bancaire de Mme [J], le 17 mars 2020 d’un montant de 8.500 euros, puis le 20 mars 2020 d’un montant de 1.500 euros.

La société ING Bank produit des extractions des logs informatiques relatifs aux opérations contestées par Mme [J]. Si le premier document visé en pièce 2a est totalement illisible et partant, inexploitable, l’analyse des logs informatiques versés en pièce 2 b et 3 révèle :

la confirmation le 17 mars 2022 à 15h 04 de l’ajout d’un compte externe finissant par 6243, en provenance d’un Iphone,

la validation le 17 mars à 15h 06 en provenance d’un Iphone du code OTP SCA et du code [Localité 9] et la confirmation de la réussite du virement de 8.500 euros,

la validation le 20 mars 2022 à 16h05 en provenance d’un IPhone du code OTP SCA et du code [Localité 9] et la confirmation de la réussite du virement de 1.500 euros.

Il ressort également des copies écran de SMS reçus par Mme [J] qu’elle verse aux débats en pièce n°4 les éléments suivants :

un SMS le 17 mars 2022 à 14 h 45 indiquant « ING : pour valider l’enregistrement de votre appareil Iphone, utilisez le code temporaire 188969 »,

un SMS reçu le 17 mars 2022 à 15h04, indiquant : « ING validation de l’ajout d’un compte externe se terminant 6243. Votre code temporaire est le 750752. Attention ne transmettez à personne ce code »,

un SMS reçu le 17 mars 2022 indiquant : « Validation de votre virement de 8.500 euros sur un compte externe. Votre code temporaire est le 495521. Attention ne le transmettez à personne»,

un SMS reçu le 20 mars 2022 indiquant : « Validation de votre virement de 1.500 euros sur un compte externe. Votre code temporaire est le 408167. Attention ne le transmettez à personne»,

Ainsi, comme le relèvent justement les premiers juges, les opérations en cause ont été authentifiées, dûment enregistrées et comptabilisées et n’ont pas été affectées par une déficience technique ou autre, dès lors que les logs informatiques précités démontrent que les opérations d’ajout d’un bénéficiaire externe et de virements ont été authentifiés par un moyen d’authentification forte, à savoir, un accès à l’espace client personnel et la saisie d’un code temporaire adressé sur le téléphone portable de la cliente.

En revanche, si la société ING Bank établie que les opérations ont été validées et si Mme [J], tout en niant être propriétaire d’un téléphone de marque IPhone, admet néanmoins avoir reçu les codes temporaires aux fins de validation des opérations litigieuses, il est également établi par l’examen du journal d’appel de celle-ci que le numéro d’appel apparaissant sur son téléphone portable le 17 mars 2022 à 14h 40, 14h 41 et 15 h 03, ainsi que le 20 mars 2022 à 16h 03, soit aux dates et horaires des opérations litigieuses, s’est affiché comme étant celui de la banque ING soit le [XXXXXXXX01], de sorte que l’utilisation de ce mode opératoire du « spoofing » permettant aux fraudeurs d’afficher un numéro de téléphone qui n’est pas le leur,mais le vrai numéro de la banque, a mis Mme [J] en confiance s’agissant d’un appel émanant prétendument de sa banque, l’alertant sur un possible piratage de ses comptes et la rassurant quant aux mesures prises pour éviter que cette tentative n’aboutisse.

Les quelques minutes séparant la réception de ces appels alarmistes et la réalisation des opérations, ont également atténué la vigilance de Mme [J], lui ôtant la possibilité de considérer la situation avec le recul nécessaire que lui aurait permis la réception d’un écrit, notamment d’un email, pour prendre conscience des éventuelles anomalies de ces opérations.

Enfin, contrairement à ce qu’ont encore retenu les premiers juges, Mme [J] qui a signalé pour la première fois à la société ING Bank les opérations frauduleuses sur son compte le 24 mars 2022, soit 7 jours après le premier virement et 4 jours après le second, n’a commis aucune négligence fautive, alors que, croyant répondre aux appels de la banque, l’alertant d’une tentative de fraude et lui affirmant que le risque serait évité, elle pouvait légitimement penser que la tentative de prélèvement frauduleux avait échouée.

Il résulte de ces constatations, que la négligence grave de Mme [J] aux obligations des articles L.133-16 et L.133-17 précités du code monétaire et financier n’est pas caractérisée, de sorte qu’elle est bien fondée à réclamer paiement à la société ING Bank de la somme de 10.000 euros correspondant au montant total frauduleusement prélevé sur son compte bancaire, laquelle somme portera intérêt au taux légal à compter du présent arrêt, non majoré de 15 points comme sollicité, dès lors qu’il n’y a pas lieu d’anticiper une éventuelle inexécution par la banque à son obligation de paiement. Le jugement déféré est infirmé.

Sur la demande en paiement de la somme de 129,12 euros

Madame [J] sollicite paiement par la société ING Bank de la somme de 129,50 euros au titre des frais bancaires liés au découvert de son compte bancaire. Toutefois, outre que l’obligation mise à la charge de la banque par l’article L.133-18 alinéa 1er du code monétaire et financier, en cas d’opération de paiement non autorisée signalée par l’utilisateur consiste en un remboursement au payeur le montant de l’opération non autorisée, en tout état de cause, l’avis de cession de créance de la société EOS du 1er juin 2023 et le courrier de la société EOS de dernière relance amiable du 22 juin 2023, lui réclamant paiement de cette somme n’établissent ni le paiement ni que cette créance concerne un découvert en compte courant lié au prélèvement frauduleux de 10.000 euros sur son compte bancaire, faute de toute indication quant à la nature de ladite créance. Mme [J] doit donc être déboutée de cette demande qui n’est pas fondée.

Sur l’article 700 du code de procédure civile et sur les dépens

La société ING Bank doit supporter les dépens de première instance et d’appel comme la totalité des frais irrépétibles exposés et verser à Mme [J] la somme de 2.500 euros sur le fondement de l’article 700 du code de procédure civile au titre de la première instance et en cause d’appel. Il y a également lieu de débouter la société ING Bank de sa demande au titre de l’article 700 du code de procédure civile.

Les mesures accessoires de première instance sont par ailleurs infirmées.

PAR CES MOTIFS

La cour, statuant publiquement, par arrêt contradictoire,

Infirme le jugement en toutes ses dispositions,

Statuant à nouveau et ajoutant,

Condamne la société ING Bank à payer à Mme [M] [J] la somme de 10.000 euros en remboursement des sommes frauduleusement prélevées sur son compte, avec intérêts au taux légal à compter du présent arrêt,

Déboute Mme [M] [J] de sa demande en paiement de la somme de 129,12 euros au titre de frais bancaires,

Déboute la société ING Bank de sa demande au titre de l’article 700 du code de procédure civile,

Condamne la société ING Bank à payer à Mme [J] la somme de 2.500 euros sur le fondement de l’article 700 du code de procédure civile au titre de la première instance et en cause d’appel,

Condamne la société ING Bank aux dépens de première instance et d’appel.

Prononcé par mise à disposition de l’arrêt au greffe de la cour, les parties en ayant été préalablement avisées dans les conditions prévues au deuxième alinéa de l’article 450 du code de la procédure civile,

Signé par madame Clerc, président, et par madame Burel, greffier auquel la minute de la décision a été remise par le magistrat signataire.

LE GREFFIER LA PRÉSIDENTE