COUR D’APPEL

DE RIOM

Troisième chambre civile et commerciale

ARRET N°81

DU : 26 Février 2025

N° RG 24/00846 – N° Portalis DBVU-V-B7I-GFZS

ACB

Arrêt rendu le vingt six Février deux mille vingt cinq

décision dont appel : Jugement au fond du tribunal judiciaire de Clermont Ferrand en date du 02 Avril 2024, enregistrée sous le n° 23/01288

COMPOSITION DE LA COUR lors des débats et du délibéré :

M^me Annette DUBLED-VACHERON, Présidente de chambre

M^me Sophie NOIR, Conseiller

Madame Anne Céline BERGER, Conseiller

En présence de : M^me Christine VIAL, Greffier, lors de l’appel des causes et M^me Valérie SOUILLAT, Greffier, lors du prononcé

ENTRE :

M. [N] [O]

[Adresse 2]

[Localité 4]

Représentant : M^e Juliette POGLIANI de la SCP LAFOND-POGLIANI-BORDAS, avocat au barreau de CLERMONT-FERRAND

APPELANT

ET :

La société BNP PARIBAS

SA immatriculée au RCS de Paris sous le n° 662 042 449 00014

[Adresse 3]

[Localité 5]

prise en son agence locale, [Adresse 1]

Représentants : M^e Lucie CLOUVEL, avocat au barreau de CLERMONT-FERRAND

(postulant) et M^e Dominique PENIN du LLP KRAMER LEVIN NAFTALIS & FRANKEL LLP, avocat au barreau de PARIS (plaidant)

INTIMÉE

DEBATS : A l’audience publique du 09 Janvier 2025 Madame BERGER a fait le rapport oral de l’affaire, avant les plaidoiries, conformément aux dispositions de l’article 804 du CPC. La Cour a mis l’affaire en délibéré au 26 Février 2025.

ARRET :

Prononcé publiquement le 26 Février 2025, par mise à disposition au greffe de la Cour, les parties en ayant été préalablement avisées dans les conditions prévues au deuxième alinéa de l’article 450 du code de procédure civile ;

Signé par M^me Annette DUBLED-VACHERON, Présidente de chambre, et par M^me Valérie SOUILLAT, Greffier, auquel la minute de la décision a été remise par le magistrat signataire.

Exposé du litige :

M. [N] [O] est titulaire d’un compte courant ouvert dans les livres de la société BNP Paribas.

Le 22 novembre 2022, il a dénoncé à sa banque quatre virements d’un montant de 5'625,65 euros et 21 achats en ligne par carte bancaire d’un montant de 12 062,16 euros, soit un montant total de 17 687,81 euros.

M. [O] a déposé plainte le même jour pour escroquerie au commissariat central de [Localité 6].

Par courrier du 16 décembre 2022, la société BNP Paribas a refusé la demande de remboursement de M. [O] au motif que les différentes opérations contestées ont été individuellement validées par clé digitale, dispositif de sécurité déployé sur son téléphone portable par la banque.

Par acte du 20 mars 2023, M. [O] a assigné la société BNP Paribas devant le tribunal judiciaire de Clermont-Ferrand afin d’obtenir le remboursement par la banque de la somme de 17 687,81 euros.

Par jugement en date du 2 avril 2024, le tribunal judiciaire de Clermont-Ferrand a :

— débouté M. [O] de ses demandes indemnitaires ;

— rejeté les demandes formées au titre de l’article 700 du code de procédure civile ;

— condamné M. [O] aux dépens.

Le jugement, après avoir rappelé les règles énoncées par les articles L. 133-16, L. 133-17, L. 133-18 et L.133-19-IV du code monétaire et financier, énonce que les relevés d’opération communiqués par la société BNP Paribas permettent de constater que le 21 novembre 2022 plusieurs connexions à l’espace personnel de M. [O] ont été réalisées à partir de 14h05 avec l’ajout de RIB bénéficiaires inconnus de M. [O] puis activation du système de clef digitale à 14h14 et 15h06 ; que de même les paiements en ligne n’ont pu être réalisés qu’avec le concours de M. [O] à l’aide de sa clé digitale; qu’il en résulte que les opérations litigieuses ont été authentifiées, enregistrées et comptabilisées et qu’elles ne proviennent d’aucune défaillance technique ; que s’il a été victime d’une escroquerie suite à la réception d’un interlocuteur se présentant comme étant de l’assurance maladie Ameli, il a communiqué ses données personnelles et validé à 25 reprises des opérations bancaires sur les seules instructions d’un interlocuteur dont il n’a pas vérifié l’identité et la véracité des propos ; qu’ainsi M. [O] a commis une négligence grave lors de l’utilisation de ses données de sécurité personnalisées pour les opérations contestées et aucun manquement n’est à relever à l’encontre de la société BNP Paribas de sorte que M. [O] est débouté de ses demandes.

M. [O] a interjeté appel de ce jugement le 21 mai 2024.

Aux termes de ses dernières conclusions notifiées par RPVA le 6 janvier 2025, M. [O] demande à la cour de :

— infirmer le jugement déféré en toutes ses dispositions ;

— statuant à nouveau :

— juger qu’il n’a pas commis de négligence grave et que la preuve d’une telle négligence n’est pas rapportée par la société BNP Paribas;

— juger que la société BNP Paribas n’établit pas que l’opération n’a pas été affectée par une déficience technique ou autre ;

— juger que la société BNP Paribas n’a pas rempli son obligation de vigilance constante et d’examen attentif des opérations effectuées sur son compte ;

— condamner en conséquence la société BNP Paribas à lui payer la somme de 21'231,99 euros en remboursement des opérations frauduleuses commises en l’espace de cinq jours sur son compte bancaire :

— juger que cette somme sera soumise aux pénalités visées à l’article L. 133-18 du code monétaire et financier ;

— débouter la société BNP Paribas de l’ensemble de ses demandes ;

— condamner la société BNP Paribas à lui payer la somme de 4 000 euros sur le fondement de l’article 700 du code de procédure civile ;

— condamner la société BNP Paribas aux dépens.

Au soutien de ses demandes, M. [O] fait valoir principalement que :

— il a été victime d’une escroquerie le 12 novembre 2022 ayant reçu un SMS lui demandant de s’identifier pour recevoir à son domicile une nouvelle carte vitale de sorte qu’il a cliqué sur le lien et a entré ses coordonnées bancaires et personnelles ;

— par la suite, entre le 18 et le 21 novembre 2022, il a reçu des appels venant d’un numéro masqué puis de celui de la BNP pour l’informer que de multiples opérations frauduleuses étaient opérées depuis son compte bancaire ; à la demande de son interlocuteur il a annulé les opérations pour être remboursé des opérations frauduleuses et n’a jamais validé de paiement, ni d’enregistrement de nouveaux bénéficiaires de virements.

— ainsi, d’une part, ayant été victime de spoofing (usurpation d’identité en étant destinataire d’appels téléphoniques en provenance de la société BNP Paribas) il n’a commis aucune négligence grave’ en rentrant son code secret sur les notifications reçues sur son téléphone portable visant annuler des opérations de paiement'; l’opérateur, auteur de l’escroquerie, s’étant présenté comme provenant du service anti-fraude il a été mis en confiance ; les escrocs ont eu accès à son espace personnel puisqu’ils ont opéré des transferts de fonds après des augmentations du plafond de la carte de paiement et la création de nouveaux bénéficiaires de sorte qu’une défaillance dans le système de sécurité est évidente.

— d’autre part la banque a manqué à son devoir de vigilance édictée par l’article L.561-6 du code monétaire et financier au regard du montant important et inhabituel des virements ainsi que des bénéficiaires des règlements, lesquels sont situés hors union européenne.

Dans ses dernières conclusions notifiées par RPVA le 18 décembre 2024, la société BNP Paribas demande à la cour de :

— juger M. [O] mal fondé en son appel ;

— débouter M. [O] de l’intégralité de ses demandes ;

— confirmer en toutes ses dispositions le jugement du tribunal judiciaire de Clermont-Ferrand rendu le 2 avril 2024 ;

— y ajoutant condamner M. [O] à lui payer la somme de 3 500 euros sur le fondement de l’article 700 du code de procédure civile ainsi qu’aux entiers dépens.

La société BNP Paribas fait valoir en substance que :

— si M. [O] a été victime d’une escroquerie suite à un SMS frauduleux prétendument envoyé par l’assurance maladie, elle est étrangère à celle-ci n’ayant pas été impliquée';

— M. [O] ne justifie pas avoir été victime d’un spoofing ;

— les quatre virements et 21 paiements irrévocables ont été réalisés au détriment de M. [O] en raison de sa seule et unique négligence, les quatre paiements ayant été réalisés à partir des numéros confidentiels de sa carte bancaire puis validés individuellement par ses soins à l’aide du mécanisme d’authentification forte via l’usage de sa clé digitale ;

— les virements n’ont pu être réalisés par les escrocs que parce que M. [O] a validé sur son téléphone l’opération libellée ' ajout d’un bénéficiaire’ ;

— si l’escroc a pu rehausser le plafond de débit de la carte bancaire pour le porter un montant de 15'000 € le 18 novembre 2022 à 17h27 c’est après avoir récupéré les coordonnées de la carte bancaire de M. [O] saisie sur un site frauduleux par M. [O] ; les achats ont pu être réalisés dès lors que M. [O] a validé les 21 achats via son téléphone mobile après réception d’une notification affichant la nature de l’opération et précisant le nom du site marchand et le montant de l’achat à valider ;

— M. [O] a été ainsi gravement négligent ; les opérations d’achat ayant été authentifiées, dûment enregistrées et comptabilisées, elles n’ont pas été affectées par une déficience ;

— sur le prétendu manquement à son devoir de vigilance, elle n’avait aucune obligation à respecter s’agissant des virements réalisés depuis le compte bancaire de l’appelant et n’avait aucune obligation de procéder à un suivi particulier en profondeur des comptes de ses clients étant tenue de s’abstenir de toute immixtion dans la gestion des affaires de M. [O].

Il sera renvoyé pour l’exposé complet des demandes et moyens des parties, à leurs dernières conclusions.

L’ordonnance de clôture est intervenue le 8 janvier 2025.

MOTIFS :

Sur la demande de remboursement au titre des paiements et des virements frauduleux :

Aux termes des articles L.133-16 et L.133-17 du code monétaire et financier, s’il appartient à l’utilisateur de services de paiement de prendre toute mesure raisonnable pour préserver la sécurité de ses dispositifs de sécurité personnalisés et d’informer sans tarder son prestataire de services de paiement de toute utilisation non autorisée de l’instrument de paiement ou des données qui lui sont liées, c’est à ce prestataire qu’il incombe, par application des articles L.133-19, IV et L.133-23 du même code, de rapporter la preuve que l’utilisateur, qui nie avoir autorisé une opération de paiement, a agi frauduleusement ou n’a pas satisfait intentionnellement ou par négligence grave à ses obligations ; cette preuve ne peut se déduire du seul fait que l’instrument de paiement ou les données personnelles qui lui sont liées ont été effectivement utilisés.

Il s’ensuit que la seule démonstration par le prestataire de services de paiement qu’un tel service, doté d’un dispositif de sécurité, a été utilisé, ne permet pas de présumer que l’utilisateur du service de paiement a donné son autorisation à l’opération de paiement litigieuse.

En cas d’utilisation d’un dispositif de sécurité personnalisé, il appartient également au prestataire de prouver que l’opération en cause a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre.

En l’espèce, il ressort des explications données par M. [O] lors de son dépôt de plainte au commissariat le 22 novembre 2022 que :

— il a reçu le 12 novembre 2022 un SMS (émanant du 06 12 04 01 00) au nom de l’assurance maladie 'Ameli’ lui demandant de mettre à jour ses coordonnées afin de recevoir sa nouvelle carte de sécurité sociale ; il a cliqué sur le lien et a rempli ses coordonnées ainsi que ses coordonnées bancaires pour l’envoi de cette carte ;

— suite à cela, il a reçu un appel, faisant apparaître le numéro de téléphone de la banque, d’une personne lui indiquant être du service des fraudes de la banque BNP où est domicilié son compte bancaire. La personne lui a demandé de valider des codes et des opérations afin qu’elle puisse procéder au remboursement des opérations frauduleuses. Voyant qu’il s’agissait de sommes importantes, il a finalement pris contact avec sa banque qui lui a confirmé qu’il venait d’être victime d’une escroquerie. Il a constaté que des bénéficiaires inconnus avaient été créés sur son compte bancaire et que plusieurs virements frauduleux et paiements par internet avaient été effectués pour un montant d’environ 10'000 euros.

Par courrier du 27 novembre 2022, M. [O] a écrit à la BNP pour dénoncer les opérations frauduleuses opérées sur son compte bancaire et a décrit les circonstances de la fraude dans les mêmes termes. Il a précisé que la personne au téléphone s’est présentée comme membre du service anti-fraude de la banque et lui a dit que pour annuler les opérations, il devait valider les annulations présentées via son application. Il a déclaré avoir ainsi reçu plusieurs appels entre les vendredis 18 novembre et lundi 21 novembre; que pour rendre les choses plus vraisemblables, son compte-courant a été alimenté de plus de 10'000 euros comme s’il s’agissait de remboursements et qu’il n’a compris qu’a posteriori que cet argent venait de son épargne personnelle. Il a, enfin, souligné que le modus operandi est exactement celui de la fraude par téléphone décrit dans un des courriels de la banque envoyé le 23 courant et que malgré le rejet d’autres opérations contestées, le préjudice global de cette escroquerie s’élève donc à 17'687,81 euros.

La société BNP Paribas verse aux débats un document en date du 22 avril 2022 du site 'Service public.fr’ (pièce 3) lequel décrit le mode opératoire des escrocs : à réception d’un message par SMS de l’assurance-maladie demandant de renouveler ou de mettre à jour sa carte, en cliquant sur le lien reçu par SMS la personne est conduite vers une page internet similaire à celle de l’assurance-maladie. Il lui est demandé de renseigner son nom, son adresse et ses coordonnées bancaires afin d’obtenir une nouvelle carte vitale moyennant quelques centimes d’euros. Les fraudeurs peuvent aussi contacter par téléphone la personne en se faisant passer pour son banquier. Il lui est précisé que le but est de mettre fin à l’arnaque alors que l’escroc est en réalité en train de la finaliser.

Ainsi, il apparaît que M. [O], en répondant au sms frauduleux et en se connectant sur un faux site de l’assurance maladie, a été victime d’un hameçonage (phising) qui a permis aux escrocs de récupérer les données liées à son compte bancaire via le paiement effectué.

Dans un second temps, M. [O] a été contacté par téléphone à plusieurs reprises par les escrocs. S’il a affirmé, tant lors de sa plainte que dans sa lettre à la BNP, qu’il a été trompé par le fait qu’un numéro masqué puis celui de la BNP Paribas se sont affichés (utilisation du 'spoofing', soit littéralement une usurpation d’identité), force est de constater que M. [O] ne produit pas de justificatif (relevé d’appel téléphonique, copie d’écran..) de ce que le numéro qui l’a appelé était similaire à celui de son agence bancaire ou d’une agence BNP Paribas.

La société BNP Paribas verse aux débats une capture d’écran des 16 achats réalisés les 16, 18, et 21 novembre 2022 (pièce 25). Il est manifeste que ces achats ont été réalisés par l’escroc grâce aux coordonnées bancaires récupérées précédemment. La banque justifie que ces achats ont été validés par M. [O] avec sa clé digitale enregistrée sur son téléphone portable, chaque transaction portant le sigle 'authentification forte’ et la mention 'CD’ (clé digitale). A cet égard, si M. [O] affirme qu’il lui a été demandé de valider des annulations d’opération et non des achats, il convient de relever qu’il ne justifie pas avoir reçu de telles notifications sur son portable à l’occasion des différentes opérations. Il n’est pas contesté que ces transactions se sont déroulées à l’occasion de différents appels téléphoniques survenus sur plusieurs jours.

En revanche, la banque ne justifie pas que d’autres achats par carte bancaire durant la même période notamment ceux en date du 21 novembre 2022 pour 466,75 euros puis du 23 novembre 2022 pour 3 073,44 euros ont été validés par M. [O] avec sa clé digitale.

De même, quatre virements ont été faits le 21 novembre 2022 pour un montant de 5'625,65 euros. L’appelant affirme n’avoir jamais ajouté l’IBAN puis validé ces bénéficiaires. Cependant, le relevé télématique produit par la banque (pièce 17) établit que trois nouveaux bénéficiaires ont été validés par M. [O] à l’aide de sa clé digitale le 21 novembre 2022 à 14h14 puis à 15h05 et enfin à 17h07. Celui-ci a nécessairement reçu une notification sur son téléphone portable afin de valider les bénéficiaires. Ainsi, celui-ci aurait dû être alerté en constatant que les demandes de validation concernaient trois nouveaux bénéficiaires inconnus de lui.

Si le fait d’avoir cliqué sur le lien frauduleux constitue seulement une imprudence, il convient en revanche de considérer que M. [O] a commis des négligences graves en validant à 16 reprises des transactions sur la simple demande de son interlocuteur.

En supposant même que M.[O] ait été persuadé d’avoir en ligne un conseiller de la BNP, ces négligences sont caractérisées par le fait de ne pas avoir vérifié auprès de son agence bancaire la réalité de ses demandes successives et par le fait de valider à trois reprises la demande de nouveaux bénéficiaires avec sa clé digitale.

Dès lors que les paiements et les virements litigieux ont été authentifiés par clé digitale activée sur le téléphone portable de M. [O], s’agissant d’un dispositif de sécurité personnalisé, il appartient au prestataire de paiement de prouver que les opérations en cause ont été authentifiées, dûment enregistrées et comptabilisées et qu’elles n’ont pas été affectées par une déficience technique ou autre.

La banque produit le relevé télématique des opérations précisant le type de connexion, l’heure et l’adresse IP utilisée. Il convient de relever, ce qui est reconnu par la banque, que l’escroc a augmenté le 18 novembre 2022 à 17 h27 le plafond de débit de la carte bancaire de l’appelant en la portant à 15 000 euros. Or, cette opération a été validée à partir d’une adresse IP différente de celle de M. [O] (pièce 18). En outre, cette opération fait suite à un déclenchement d’une 'authentification forte’ le 18 novembre 2022 à 17h24 sans numéro télématique identifié, ni adresse IP reconnue. De même, il n’est pas contesté que l’escroc a opéré un transfert du LEP de M. [O] sur son compte courant le 16 novembre 2022 (pièce 11).

Si ces opérations ne requièrent pas l’usage de la clef digitale ni l’intervention d’un conseiller clientèle, cette opération suppose d’être connecté à l’espace client. Contrairement à ce que soutient la société BNP Paribas, il n’est pas établi que M. [O] aurait transmis, lors de l’échange téléphonique avec la tierce personne non identifiée, son identifiant et son code lui permettant de se connecter à son espace en ligne, ce qu’au demeurant celui-ci conteste. Force est de constater la banque ne donne aucune explication à ces mouvements bancaires survenus sur son compte à son insu, sauf à affirmer que M. [O] a nécessairement dû donner son identifiant et son mot de passe. Néanmoins, la banque ne produit aux débats aucun élément objectif démontrant de façon certaine que M. [O] soit à l’origine de la fuite de ses données de sécurité personnalisées permettant d’accéder à son espace personnel.

Or, sans ces transferts de fonds, les virements et achats opérés n’auraient pu prospérer faute de fonds disponibles sur le compte de M. [O]. Il apparaît ainsi que cette escroquerie a été rendue possible par ces failles techniques.

Enfin, il apparaît également que le 21 novembre 2022 à 15h16, 15h17, 15h24 et 17h10 des demandes de virements ont été sollicitées et n’ont pu aboutir . Or, il s’agit de virements frauduleux initiés par l’escroc les motifs notés étant toujours les mêmes 'urgence cause décès’ ou 'envoi famille cause décès'. Enfin un 'déclenchement authentification forte’ est à nouveau observé le 21 novembre 2022 à 16h02 puis le 22 novembre à 10h48 sans numéro télématique identifié, ni adresse IP reconnue.

Ainsi, même si ces opérations n’ont pas été débitées du compte de M. [O] et si les connexions n’ont pu aboutir, il est établi, sans que la banque ne puisse l’expliquer, un fonctionnement anormal du compte de façon concomitante aux achats contestés et virements frauduleux laissant présumer un piratage du compte.

Il s’en déduit qu’en présence d’une déficience technique en application des dispositions de l’article L.133-23 du code monétaire et financier, la banque devra rembourser les sommes, objets des virements et paiements litigieux.

Le jugement sera donc infirmé en ce qu’il a débouté M. [O] sa demande en remboursement.

Il ressort des pièces produites que le montant des paiements et virements frauduleux s’élève à la somme totale de 21'231,99 euros (12 062,16 euros + 5 625,65 + 3'544,18).

La société BNP Paribas sera donc condamnée à rembourser à M. [O] la somme de 21 231,99 euros avec intérêts au taux légal à compter de la signification du présent arrêt.

Cette somme sera soumise aux pénalités prévues à l’article L. 133-18 du code monétaire et financier.

Sur les frais irrépétibles et les dépens :

Partie perdante, la société BNP Paribas supportera la charge des dépens de première instance et d’appel.

La société BNP Paribas sera également condamnée à payer à M. [O] la somme de 2'500 euros sur le fondement de l’article 700 du code de procédure civile.

PAR CES MOTIFS,

La cour, statuant publiquement, par arrêt contradictoire, après en avoir délibéré conformément à la loi,

Infirme le jugement entrepris

Statuant à nouveau :

Condamne la société BNP Paribas à payer à M. [N] [O] la somme de 21'231,99 euros au titre de son obligation de restitution avec intérêts au taux légal à compter de la signification du présent arrêt ;

Dit que cette somme sera soumis aux pénalités prévues à l’article L. 133-18 du code monétaire et financier ;

Condamne la société BNP Paribas à payer à M. [N] [O] la somme de 2 500 euros sur le fondement de l’article 700 du code de procédure civile ;

Condamne la société BNP Paribas aux dépens de première instance et d’appel.

Le greffier La présidente