MINISTERE DE LA JUSTICE

COUR D’APPEL D’ORLÉANS

CHAMBRE COMMERCIALE, ÉCONOMIQUE ET FINANCIÈRE

GROSSES + EXPÉDITIONS : le

la SELARL CASADEI-JUNG

la SELARL LEROY AVOCATS

ARRÊT du 19 MARS 2026

N° : 64 – 26

N° RG 24/01119 – N° Portalis DBVN-V-B7I-G7R7

DÉCISION ENTREPRISE : Jugement du Tribunal Judiciaire d’ORLEANS en date du 23 février 2024, dossier N° 22/00482 ;

PARTIES EN CAUSE

APPELANTE :

La S.A. CREDIT LYONNAIS, agissant poursuites et diligences de son directeur général

[Adresse 1]

[Localité 1]

Ayant pour conseil M^e Emmanuel POTIER de la SELARL CASADEI-JUNG, avocat au barreau d’ORLEANS, postulant et M^e Magali TARDIEU CONFAVREUX, de l’AARPI TGLD Associés, avocat au barreau de PARIS, plaidant,

D’UNE PART

INTIMÉES :

La SARL JLM HOLDING, venue aux droits de la SARL CDM à la suite de la décison de l’associé unique du 19 septembre 2024 prononçant la dissolution de la SARL CDM et la transmission universelle de son patrimoine à la SARL JLM HOLDING.

[Adresse 2]

[Localité 2]

La SARL ALM GROUP, anciennement dénommée SARL AM GT CARS

[Adresse 2]

[Localité 2]

Ayant pour toutes deux pour conseil M^e Marie-odile COTEL de la SELARL LEROY AVOCATS, avocat au barreau d’ORLEANS

D’AUTRE PART

DÉCLARATION D’APPEL en date du : 10 Avril 2024

ORDONNANCE DE CLÔTURE du : 15 janvier 2026 avant l’ouverture des débats

COMPOSITION DE LA COUR

Lors des débats à l’audience publique du jeudi 15 JANVIER 2026, à 14 heures,

Madame Carole CHEGARAY, présidente de la chambre commerciale à la cour d’appel d’ORLEANS,

Madame Fanny CHENOT, conseiller,

Madame Valérie GERARD, magistrat honoraire exerçant des fonctions juridictionnelles, en charge du rapport,

ont entendu les avocats des parties en leurs plaidoiries puis ont délibéré en collégialité.

Greffier :

Monsieur Axel DURAND, Greffier lors des débats et du prononcé,

ARRÊT :

Prononcé publiquement par arrêt contradictoire le Jeudi 19 MARS 2026 par mise à la disposition des parties au Greffe de la Cour, les parties en ayant été préalablement avisées dans les conditions prévues au deuxième alinéa de l’article 450 du code de procédure civile.

EXPOSÉ DU LITIGE ET DE LA PROCÉDURE

Les SARL JLM Holding, venue aux droits de la SARL CDM, et ALM Group, anciennement dénommée AM GT Cars, détiennent divers comptes ouverts dans les livres de la SA Crédit lyonnais.

Pour réaliser des opérations sur ces comptes, la banque a mis à la disposition de ces deux sociétés un dispositif d’authentification forte à deux facteurs reposant sur la possession d’un boîtier électronique générant des codes à usage unique, dénommé « token », et sur la connaissance du code [Localité 3] attaché à celui-ci et devant être saisi à chaque usage.

Mme [N] [M], comptable de la SARL CDM, a été contactée, sur son téléphone mobile, par une personne se présentant comme un conseiller clientèle du service hotline de la banque qui l’a informée que les virements émis la veille n’avaient pu être validés et qu’ils devaient être confirmés. Il l’a convaincue de lui remettre les accès aux comptes de son fils, M. [C] [M], pour la société AM GT Cars devenue ALM Group.

En contactant sa banque le lendemain, elle a découvert que trois ordres de virement avaient été effectués frauduleusement la veille :

—  49 078,53 € sur le compte n° 704039 B de la société C.D.M. au bénéfice de M. [P] [T] ;

—  25 700 € sur le compte n° 704039 B de la société C.D.M. au bénéfice de Mme [X] [K] ;

—  21 400 € sur le compte n°705209 U de la société AM GT Cars au bénéfice de Madame [X] [K].

Le virement d’un montant de 49 078,53 euros a été rejeté et re-crédité sur le compte de la société CDM.

Mme [N] [M] a déposé plainte.

Les sociétés CDM et AM GT Cars ont sollicité vainement de la banque le remboursement des opérations, puis l’ont fait assigner en remboursement et indemnisation de leur préjudice devant le tribunal judiciaire d’Orléans par acte du 28 janvier 2022, en lui reprochant un manquement à son devoir de vigilance.

Par jugement contradictoire du 23 février 2024, le tribunal judiciaire d’Orléans a :

— condamné la société Crédit Lyonnais à payer la somme de 25 700 € à la société C.D.M. et celle de 21 400 € à la société AM GT Cars en réparation de leur préjudice financier,

— condamné la société Crédit Lyonnais à payer à chacune des sociétés C.D.M. et AM GT Cars la somme de 2 000 € à titre de dommages et intérêts complémentaires pour les troubles et tracas occasionnés,

— condamné la même aux entiers dépens de 1'instance et à payer à chacune des sociétés C.D.M. et AM GT Cars la somme de 1 500 € par application des dispositions de l’article 700 du code de procédure civile,

— débouté la société Crédit Lyonnais de ses demandes au titre des dépens et de l’article 700 du code de procédure civile, '

— dit n’y avoir lieu à écarter l’exécution provisoire,

— débouté la société Crédit Lyonnais de sa demande tendant à subordonner l’exécution provisoire à la constitution d’une garantie.

La SA Crédit lyonnais a relevé appel de cette décision par déclaration du 10 avril 2024, en critiquant les chefs du jugement ayant prononcé une condamnation à son encontre.

Dans ses dernières conclusions notifiées le 16 décembre 2025, la SA Crédit lyonnais demande à la cour de :

Vu les articles L. 133-1 et suivants du code monétaire et financier,

Vu la jurisprudence citée,

Vu les pièces versées aux débats,

— infirmer le jugement entrepris rendu le 23 février 2024 par le tribunal judiciaire d’Orléans en toutes ses dispositions,

Et statuant à nouveau,

— débouter les sociétés C.D.M. et AM GT Cars de l’intégralité de leurs demandes, fins et conclusions,

— condamner les sociétés C.D.M. et AM GT Cars au paiement d’une somme de 8 000 € au titre de l’article 700 du code de procédure civile,

— condamner les sociétés C.D.M. et AM GT Cars à supporter l’intégralité des dépens.

Dans leurs dernières conclusions notifiées le 7 janvier 2026, les SARL JLM Holding et ALM Group demandent à la cour de :

Vu l’exposé qui précède et les pièces à l’appui,

Vu notamment les articles L 133-18, L 133-16 et L 133-23 du code monétaire et financier,

Vu les articles 1231-1 et suivants du code civil,

— juger la SARL JLM Holding, venant aux droits de la société C.D.M., et la société ALM Group SARL anciennement dénommée AM GT Cars recevables et bien fondées tant en leur action qu’en leurs demandes, fins et prétentions,

— juger la S.A Crédit lyonnais mal fondée en son appel, l’en débouter intégralement,

En conséquence,

— confirmer le jugement entrepris en toutes ses dispositions,

— débouter la S.A Crédit lyonnais de toutes ses demandes, fins ou conclusions plus amples ou contraires,

Y ajoutant,

— condamner la S.A Crédit lyonnais à payer la somme de 4 500 € à chacune des sociétés JLM Holding SARL venant aux droits de la société C.D.M. et ALM Group SARL anciennement dénommée AM GT Cars par application des dispositions de l’article 700 du code de procédure civile,

— condamner la même aux entiers dépens d’instance d’appel.

Pour un plus ample exposé des faits et des moyens des parties, il convient de se reporter à leurs dernières conclusions récapitulatives.

L’instruction a été clôturée par ordonnance du 15 janvier 2026 avant l’ouverture des débats, pour l’affaire être plaidée le même jour à 14 heures et mise en délibéré à ce jour.

SUR CE, LA COUR

À titre liminaire, il est rappelé que le régime de responsabilité s’appliquant aux opérations non autorisées énoncé par les articles L.133-16 et suivants du code monétaire et financier est exclusif de tout autre régime de responsabilité et qu’en conséquence les intimés ne sont pas fondés à rechercher, fut-ce à titre subsidiaire, la responsabilité contractuelle de la banque sur le fondement d’un manquement à son devoir de vigilance quant aux opérations litigieuses qu’ils estiment non autorisées.

Au soutien de son appel, la SA Crédit lyonnais fait valoir que l’opération, réalisée à l’aide d’un dispositif d’authentification forte, à deux facteurs, selon les dispositions convenues entre les parties a nécessairement été autorisée au sens de ces textes et que dès lors elle n’encourt aucune responsabilité. Elle ajoute que les opérations ont été dûment enregistrées et comptabilisées et que contrairement à ce que soutiennent les intimées, elle n’a pas à vérifier l’adresse IP de l’utilisateur.

À titre subsidiaire, elle invoque la négligence grave des intimées qui ont permis la saisie sur le token des numéros dictés par le fraudeur, qui ont communiqué à quatre reprises au fraudeur les numéros générés sur le token et qui ont divulgué un mot de passe au fraudeur alors que ce dernier appelait d’un numéro masqué et qu’elle avait averti ses clients du risque de fraude et de la conduite à tenir dans une telle hypothèse.

Les sociétés JLM Holding et ALM Group répliquent que les opérations litigieuses n’ont pas été autorisées, que les fichiers de preuve produits par la SAS Crédit lyonnais sont sibyllins, ne permettent pas de vérifier si les opérations ont été authentifiées, enregistrées et comptabilisées ; qu’à aucun moment des opérations Mme [M] n’a été invitée à renseigner le RIB des prétendus bénéficiaires et qu’elle n’a jamais donné son consentement aux virements puisqu’il s’agissait selon son interlocuteur de refaire les virements réalisés la veille.

Elles contestent toute négligence grave puisqu’il n’est pas démontré que Mme [M] a donné un mot de passe de connexion ou saisi le montant des virements.

À titre subsidiaire elles invoquent la responsabilité pour faute de la banque qui s’est abstenu de toute vérification alors que les virements litigieux ont eu pour effet de rendre débiteur le solde des comptes.

En application de l’article L 133-6 I du code monétaire et financier, une opération de paiement est autorisée si le payeur a donné son consentement à son exécution.

L’article L 133-7 précise que le consentement est donné sous la forme convenue entre le payeur et son prestataire de services de paiement. ('). En l’absence d’un tel consentement, l’opération ou la série d’opérations de paiement est réputée non autorisée.

Les articles L 133-16 et L 133-17 du même code précisent qu’il incombe à l’utilisateur de services de paiement de prendre toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées, et d’informer sans tarder son prestataire lorsqu’il a connaissance de la perte, du vol, du détournement ou de toute utilisation non autorisée de son instrument de paiement ou des données qui lui sont liées, aux fins de blocage de l’instrument.

Selon les dispositions de l’article L 133-18, en cas d’opération de paiement non autorisée signalée par l’utilisateur dans les conditions prévues à l’article L. 133-24, le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, sauf s’il a de bonnes raisons de soupçonner une fraude de l’utilisateur du service de paiement et s’il communique ces raisons par écrit à la Banque de France. Le cas échéant, le prestataire de services de paiement du payeur rétablit le compte débité dans l’état où il se serait trouvé si l’opération de paiement non autorisée n’avait pas eu lieu.

L’article L 133-19 dispose enfin que :

IV. Le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17.

V. Sauf agissement frauduleux de sa part, le payeur ne supporte aucune conséquence financière si l’opération de paiement non autorisée a été effectuée sans que le prestataire de services de paiement du payeur n’exige une authentification forte du payeur prévue à l’article L. 133-44.

Sur le caractère autorisé des opérations contestées :

En l’espèce, la comptable des deux sociétés, Mme [M], a reçu sur son téléphone un appel d’un numéro masqué, son interlocuteur se présentant comme un conseiller clientèle du service hotline de la banque et l’informant qu’à la suite d’un dysfonctionnement les virements qu’elle avait émis la veille n’avaient pu être validés et devaient être confirmés.

Elle s’est, à la demande de son interlocuteur, connectée avec son boîtier sécurisé (token) et a communiqué à son interlocuteur le code à six chiffres s’affichant sur le boîtier et permettant à ce dernier de se connecter sur l’interface des comptes des sociétés. Elle indique qu’après ces manipulations, son interlocuteur lui a confirmé le montant des virements émis la veille et leur heure d’émission ce qui l’a mise en confiance.

Elle a ajouté qu’elle avait été rappelée plus tard et que son interlocuteur lui avait demandé si elle était la seule à se connecter sur les comptes et à sa demande lui a communiqué le mot de passe de son fils.

Les fichiers de preuve (relevés informatiques des opérations litigieuses) communiqués en pièces 4 et 5 par la SA Crédit lyonnais montrent que, pour chaque virement, elle a manipulé le token pour générer des codes de validation des opérations à la demande de son interlocuteur afin de valider les opérations.

Les sociétés intimées ne sont pas fondées à reprocher à la banque le caractère sibyllin ou incompréhensible de ces fichiers, quand il en ressort clairement que chacune des opérations litigieuses a été validée par la signature électronique générée par le token.

Il n’est pas discutable que la validation de l’ensemble de ces opérations a été obtenue selon la forme convenue entre le payeur et le prestataire de service d’investissement conformément aux dispositions du texte précité, au moyen des codes générés par le token sur lequel Mme [M] s’était régulièrement identifiée, de même que n’est pas démontrée l’existence d’une défaillance technique du système de sécurité de la banque, cette défaillance ne résultant d’aucune pièce.

Pour autant, il résulte des art. L. 133-3 et L. 133-6 qu’une opération de paiement initiée par le payeur, qui donne un ordre de paiement à son prestataire de services de paiement, n’est réputée autorisée que si le payeur a consenti au montant de l’opération et à son bénéficiaire.

Or, la SA Crédit lyonnais convient, dans la description du parcours d’authentification forte pages 4 et 5 de ses conclusions, que la validation de l’opération n’intervient pas en saisissant le montant du virement ou son bénéficaire, mais un code, et c’est bien de cette manière que les opérations ont été effectuées.

Mme [M] n’a donc ni consenti aux bénéficiaires, ni aux montants des virement litigieux dans le contexte de la fraude tel que rappelé ci-dessus, ces informations n’étant pas visibles sur le token que Mme [M] avait en sa possession.

Il y a lieu de considérer dans ces conditions que les opérations litigieuses n’ont pas été autorisées au sens des dispositions du code monétaire et financier.

Sur la négligence grave :

Il résulte des propres déclarations de Mme [M] que celle-ci a consenti aux manipulations qui lui étaient demandées sans aucune vérification de l’identité de son interlocuteur dont le numéro était masqué, ce qui aurait pourant dû l’inciter à la prudence la plus élémentaire, et qui l’a appelée à plusieurs reprises. Elle admet n’avoir sollicité des informations sur l’identité de son interlocuteur que le lendemain matin à la suite un énième appel masqué. Elle admet tout autant avoir, à la simple demande d’un interlocuteur dont elle n’avait pas vérifié l’identité, divulgué le mot de passe permettant d’accéder aux comptes de la société ALM Group et détenu par son fils, reconnaissant également auprès dudit interlocuteur qu’elle « ne devait jamais donner mon numéro de passe » et que, sans que ce dernier n’insiste outre mesure, lui rappelant seulement qu’il fallait tout réinitialiser, « du coup » elle le lui avait donné.

Enfin, la SA Crédit lyonnais justifie avoir le 27 mars 2020, soit peu de temps avant la fraude, adressé un courriel à ses clients professionnels, les sociétés intimées figurant au rang des destinataires, rappelant l’existence de fraudes en cours et que ni un conseiller, ni personne de chez Crédit lyonnais 'ne sera amené à vous demander vos mots de passe de connexion ou de CB'.

Aussi, en l’absence de toute précaution raisonnable pour garantir la sécurité de leurs données de sécurité personnalisées, telle que la vérification de l’identité de son interlocuteur par un contre-appel par exemple, et en ayant ignoré les mesures de précautions rappelées par la banque, les sociétés intimées ont, par la divulgation d’un mot de passe de connexion, commis une négligence grave qui les prive de tout droit à remboursement en application de l’article L. 133-19 IV du code monétaire et financier.

Le jugement déféré est infirmé en toutes ses dispositions.

Les sociétés JLM Holding et ALM Group, qui succombent au sens de l’article 696 du code de procédure civile, devront supporter les dépens et seront déboutées de leurs demandes fondées sur les dispositions de l’article 700 du code de procédure civile.

Sur ce dernier fondement, les sociétés JLM Holding et ALM Group seront condamnées à régler à la SA Crédit lyonnais, à qui il serait inéquitable de laisser la charge de la totalité des frais qu’elle a exposés et qui ne sont pas compris dans les dépens, une indemnité de procédure de 3 000 euros.

PAR CES MOTIFS

INFIRME en toutes ses dispositions critiquées la décision déférée à la cour,

Statuant à nouveau :

DÉBOUTE les sociétés JLM Holding et ALM Group de toutes leurs demandes,

Y ajoutant,

CONDAMNE les sociétés JLM Holding et ALM Group aux dépens de première instance et d’appel,

CONDAMNE les sociétés JLM Holding et ALM Group à payer à la SA Crédit lyonnais la somme de 3 000 euros en application des dispositions de l’article 700 du code de procédure civile,

REJETTE la demande des sociétés JLM Holding et ALM Group formée sur le même fondement.

Arrêt signé par Madame Carole CHEGARAY, présidente de la chambre commerciale à la Cour d’Appel d’ORLEANS, présidant la collégialité et Monsieur Axel DURAND, greffier auquel la minute de la décision a été remise par le magistrat signataire.

LE GREFFIER LE PRÉSIDENT