ARRET N° 109

N° RG 24/00290 – N° Portalis DBV6-V-B7I-BIR2H

AFFAIRE :

S.A. CAISSE D’EPARGNE ET DE PREVOYANCE D’AUVERGNE ET DU LIMOUSIN

C/

M. [U] [Z] [I], Mme [J] [S] [P] épouse [I]

GS/IM

Demande en dommages-intérêts contre le prestataire de services pour mauvaise exécution

Grosse délivrée aux avocats

COUR D’APPEL DE LIMOGES

CHAMBRE CIVILE

— --==oOo==---

ARRÊT DU 16 AVRIL 2025

— --==oOo==---

Le SEIZE AVRIL DEUX MILLE VINGT CINQ la Chambre civile de la cour d’appel de LIMOGES a rendu l’arrêt dont la teneur suit par mise à disposition du public au greffe :

ENTRE :

S.A. CAISSE D’EPARGNE ET DE PREVOYANCE D’AUVERGNE ET DU LIMOUSIN,

élisant domicile au [Adresse 1]

représentée par M^e Olivier TOURNAIRE de la SELARL TOURNAIRE ET ASSOCIES, avocat au barreau de CLERMONT-FERRAND, M^e Paul GERARDIN, avocat au barreau de LIMOGES

APPELANTE d’une décision rendue le 28 MARS 2024 par le Tribunal Judiciaire HORS JAF, JEX, JLD, J. EXPRO, JCP DE TULLE

ET :

Monsieur [U] [Z] [I]

né le 15 Septembre 1953 à [Localité 3],

demeurant [Adresse 2]

représenté par M^e Emmanuel GARRELON de la SELARL AXIUM AVOCATS, avocat au barreau de BRIVE

Madame [J] [S] [P] épouse [I]

née le 08 Août 1956 à [Localité 3],

demeurant [Adresse 2]

représentée par M^e Emmanuel GARRELON de la SELARL AXIUM AVOCATS, avocat au barreau de BRIVE

INTIMÉS

— --==oO§Oo==---

Suivant avis de fixation du Président de chambre chargé de la mise en état, l’affaire a été fixée à l’audience du 05 Mars 2025. L’ordonnance de clôture a été rendue le 29 janvier 2025.

Conformément aux dispositions de l’article 805 du Code de Procédure Civile, Monsieur Gérard SOURY, Conseiller, magistrat rapporteur, assistée de Madame Line MALLEVERGNE, Greffier, a tenu seul l’audience au cours de laquelle il a été entendu en son rapport. Les avocats sont intervenus au soutien des intérêts de leurs clients.

Après quoi, Monsieur Gérard SOURY, Conseiller, a donné avis aux parties que la décision serait rendue le 16 Avril 2025 par mise à disposition au greffe de la cour, après en avoir délibéré conformément à la loi.

Au cours de ce délibéré, Monsieur Gérard SOURY, Conseiller, a rendu compte à la Cour, composée de M^me Corinne BALIAN, Présidente de chambre,de Monsieur Gérard SOURY, Conseiller et de Madame Stéphanie GASNIER, Conseiller. A l’issue de leur délibéré commun, à la date fixée, l’arrêt dont la teneur suit a été mis à disposition au greffe.

— --==oO§Oo==---

LA COUR

FAITS et PROCÉDURE

Les époux [I] sont titulaire d’un compte ouvert dans les livres de la Caisse d’épargne Auvergne Limousin (la Caisse) et ils ont souscrit auprès de celle-ci un « service de banque à distance » offrant la possibilité d’effectuer de manière sécurisée des opérations bancaires en ligne.

Le 2 novembre 2020, les époux [I] ont déposé une plainte pénale pour escroquerie consécutivement à un virement non autorisé d’un montant de

9 800 euros en débit de leur compte au profit d’un tiers, Mme [N] [W].

Cette plainte a été classée sans suite, l’auteur de l’infraction n’ayant pu être identifié.

La Caisse ayant refusé de leur rembourser la somme débitée de leur compte, les époux [I], par acte du 18 novembre 2021, l’ont assignée en paiement devant le tribunal judiciaire de Tulle sur le fondement des articles L.133-4 à L.133-19 du code monétaire et financier, 1231-1 et 1937 du code civil.

Par jugement du 28 mars 2024, le tribunal judiciaire a notamment :

— condamné la Caisse à rembourser aux époux [I] la somme de 9 800 euros, avec intérêts au taux légal,

— rejeté la demande de dommages-intérêts des époux [I].

Le tribunal judiciaire a retenu que la Caisse ne démontrait pas que la fraude avait été opérée à partir du smart phone des époux [I], le fraudeur ayant très bien pu, au moyen d’un logiciel malveillant, prendre le contrôle de leur appareil.

La Caisse a relevé appel de ce jugement.

MOYENS et PRÉTENTIONS

La Caisse conclut au rejet des demandes des époux [I] en soutenant que les opérations contestées par ces derniers ont été soumises à authentification forte, qu’elles ont été enregistrées, comptabilisées et authentifiées, sans qu’une déficience technique ait été constatée, en sorte que ces opérations n’ont été permises que par la négligence grave imputable aux époux [I] dans la conservation de leurs données confidentielles. Subsidiairement, la Caisse oppose l’inapplicabilité de la majoration de quinze points prévue à l’article L.133-18 du code monétaire et financier.

Les époux [I] concluent à la confirmation du jugement, sauf à assortir la condamnation à remboursement de la somme de 9 800 euros de simples intérêts au taux légal jusqu’au 16 août 2022, date à compter de laquelle la majoration de quinze points sera applicable, et à leur allouer 3 500 euros à titre de dommages-intérêts pour résistance abusive.

MOTIFS

Les époux [I] fondent leur action, y compris sur les dispositions des articles 1937 et suivants du code civil.

Cependant, dès lors que la responsabilité d’un prestataire de services de paiement est recherchée en raison d’une opération de paiement non autorisée, seul est applicable le régime spécifique défini aux articles L.133-18 à L.133-24 du code monétaire et financier, qui transposent les articles 58, 59 et 60, paragraphe 1, de la directive 2007/64/CE, à l’exclusion de tout régime alternatif de responsabilité résultant du droit national.

Il est constant que le 27 octobre 2020, les époux [I] ont été victimes d’une fraude -communément appelée « hameçonnage » ou « phishing » consistant en des manoeuvres via internet destinées, au moyen d’une usurpation d’identité, à obtenir des renseignements confidentiels et permettre des virements, via « direct écureuil », depuis leur compte bancaire au profit de celui d’un fraudeur.

La Caisse, qui permet à ses clients d’effectuer des virements en ligne par internet, a la qualité de prestataire de service de paiement et se trouve tenue, à ce titre, à un devoir général de vigilance et de vérification qui lui impose de s’assurer, avant toute exécution d’un ordre de virement (ou de paiement), du consentement du payeur.

L’article L.133-7 du code monétaire et financier précise que le consentement est donné sous la forme convenue entre le payeur et son prestataire de services de paiement.

À cet égard, l’article L. 133-44 du même code impose au prestataire de services paiement de mettre en place une authentification forte.

En l’occurrence, l’accès au service 'Direct écureuil" est sécurisé puisque, selon les conditions générales de ce service, cet accès suppose le renseignement par le client d’un identifiant et d’un mot de passe, l’authentification se faisant par la saisie d’un code confidentiel spécifique connu de ce seul client.

Pour les virements et les opérations sensibles, comme l’ajout d’un compte bénéficiaire, une authentification plus forte est exigée par le recours au service « sécur’pass » dont l’activation suppose, en sus :

— l’identification de l’appareil informatique du client (smart phone, tablette, ordinateur) qui sera seul associé au service,

— le renseignement des chiffres aléatoires de la carte bancaire du client,

— la saisie d’un code confidentiel à six chiffres reçu par SMS afin de sécuriser le code confidentiel choisi,

— le choix d’un code confidentiel à quatre chiffres, qui sera le code « sécur’pass » connu du seul client.

En conséquence du respect de la procédure d’authentification forte par le client, l’opération bancaire sollicitée est considérée comme étant autorisée par celui-ci.

Il résulte de ce qui précède que la réalisation d’une opération soumise à authentification forte un virement comme en l’espèce suppose du client :

— qu’il se connecte à son espace « direct écureuil » avec son appareil informatique associé à ce service, en saisissant son identifiant et son mot de passe,

— qu’il saisisse l’IBAN du nouveau bénéficiaire ainsi que le nom de celui-ci,

— qu’il valide l’opération en saisissant son code « sécur’pass » à quatre chiffres.

À l’issue, un SMS de validation de l’opération, détaillant celle-ci, est adressé automatiquement par la Caisse au client, ce message précisant « si vous n’avez pas initié cette demande, veuillez contacter un conseiller Caisse d’épargne dans les meilleurs délais ».

En l’espèce, la fraude a été initiée avec la réception par les époux [I], le 27 octobre 2020 à 00h38, d’un courrier électronique d’une personne se faisant passer pour son conseiller de la Caisse, avec pour adresse « expéditeur » clairement affichée : « Caisse d’épargne service clients »". Ce courrier, sous prétexte de la vérification de la validité de leur numéro de téléphone pour des raisons de sécurité, invitait les époux [I] à suivre certaines instructions en cliquant sur un lien particulier.

Ces derniers ont alors ouvert ce lien, permettant le contact avec le fraudeur.

Or, les précautions élémentaires que l’on est en droit d’attendre de tout client normalement prudent et avisé à l’occasion de sollicitations bancaires effectuées en ligne, devaient conduire les époux [I] à vérifier l’origine de ce courrier, au besoin en le comparant avec ceux reçus de leur conseillère de clientèle habituelle, sa simple lecture révélant un certain nombre d’anomalies apparentes.

Ainsi :

— même si ce courrier prétend émaner du service clients et porte le logo de la Caisse d’épargne, l’identification de l’expéditeur, telle qu’elle figure dans son adresse, apparaît clairement douteuse puisqu’elle diverge de celle de la conseillère habituelle des époux [I],

— le courrier comporte des fautes d’orthographe ou de syntaxe grossières « la sécurité de nos client » (sans s) « … nous vous invitons de bien vouloir… » ainsi que des formules incomplètes « pour vous retirer de la newletter de sa »…

En dépit de ces anomalies pourtant bien apparentes, les époux [I] ont cliqué sur le lien de dialogue et ils ont nécessairement communiqué au fraudeur leurs données bancaires confidentielles permettant l’accès à leur espace « Direct écureuil » mais aussi leur code secret « sécur pass » à six chiffres reçu par SMS de la Caisse qui a permis à celui-ci d’activer ce service et de réaliser le virement litigieux.

Bien qu’informés par un SMS de la Caisse reçu sur leur smart phone de l’activation du service « sécur pass », les époux [I] n’ont pas réagi, alors qu’ils pouvaient encore faire bloquer l’opération en cours.

En divulguant ainsi leurs données bancaires confidentielles alors qu’un minimum de vérifications leur aurait permis de déceler l’origine douteuse du courrier électronique du 27 octobre 2020, d’autant que les banques et les pouvoirs publics alertaient déjà les usagers sur les fraudes de cette nature, les époux [I] ont commis des négligences graves au sens de l’article 1.133-19 IV du code monétaire et financier dont la Caisse est fondée à se prévaloir pour leur refuser toute indemnisation au titre du virement frauduleux.

Il s’ensuit que les époux [I] doivent être déboutés de leur action en indemnisation.

PAR CES MOTIFS

La Cour d’appel statuant publiquement, par décision contradictoire rendue par mise à disposition au greffe, en dernier ressort et après en avoir délibéré conformément à la loi ;

INFIRME le jugement rendu le 28 mars 2024 par le tribunal judiciaire de Tulle ;

Statuant à nouveau,

DÉBOUTE les époux [I] de leur action dirigée contre la Caisse d’épargne Auvergne Limousin ;

Vu l’équité,

DIT n’y avoir lieu à application de l’article 700 du code de procédure civile;

CONDAMNE les époux [I] aux dépens de première instance et d’appel.

LA GREFFIÈRE, LA PRÉSIDENTE,

Isabelle MOREAU. Corinne BALIAN.