N° RG 24/02095 – N° Portalis DBV2-V-B7I-JVZY

COUR D’APPEL DE ROUEN

CH. CIVILE ET COMMERCIALE

ARRET DU 24 AVRIL 2025

DÉCISION DÉFÉRÉE :

23/02362

Tribunal judiciaire de Rouen du 03 juin 2024

APPELANTE :

Madame [T] [H]

[Adresse 4]

[Localité 3]

représentée par M^e Simon GRATIEN de la SELARL SIERA, avocat au barreau de ROUEN

INTIMEE :

Société CAISSE REGIONALE DE CREDIT AGRICOLE MUTUEL DE NORMANDIE SEINE

[Adresse 7]

[Localité 6]

représentée par M^e Valérie GRAY de la SELARL GRAY SCOLAN, avocat au barreau de ROUEN

COMPOSITION DE LA COUR  :

En application des dispositions de l’article 805 du code de procédure civile, l’affaire a été plaidée et débattue à l’audience du 09 janvier 2025 sans opposition des avocats devant M^me MENARD-GOGIBU, conseillère, rapporteur.

Le magistrat rapporteur a rendu compte des plaidoiries dans le délibéré de la cour composée de :

M^me VANNIER, présidente de chambre

M. URBANO, conseiller

M^me MENARD-GOGIBU, conseillère

GREFFIER LORS DES DEBATS :

M^me RIFFAULT, greffière

DEBATS :

A l’audience publique du 09 janvier 2025, où l’affaire a été mise en délibéré au 10 avril 2025 puis prorogé à ce jour.

ARRET :

CONTRADICTOIRE

Prononcé publiquement le 24 avril 2025, par mise à disposition de l’arrêt au greffe de la Cour, les parties en ayant été préalablement avisées dans les conditions prévues au deuxième alinéa de l’article 450 du code de procédure civile,

signé par M^me VANNIER, présidente de chambre et par M^me RIFFAULT, greffière.

*

* *

EXPOSE DES FAITS ET DE LA PROCEDURE

Madame [T] [H] est titulaire d’un compte de dépôt n°[XXXXXXXXXX05] ouvert dans les livres de la Caisse Régionale de Crédit Agricole Normandie Seine (le Crédit Agricole).

Deux virements ont été opérés sur son compte bancaire le 15 décembre 2022 l’un de 3.500 euros X6160 Western Union Courbe 13/12, l’autre de 1.318 euros X6160 Mobiel Werkt B.V. Gro 13/12 soit au total une somme de 4.818 euros débitée.

Mme [H], estimant que ces virements étaient frauduleux a pris l’attache du Crédit agricole pour en solliciter le remboursement.

Par courrier recommandé du 27 février 2023, le conseil de Mme [H] a mis le Crédit Agricole en demeure de procéder au remboursement des virements en cause. Cette mise en demeure est restée sans effet.

Mme [H] a saisi le tribunal judiciaire par assignation délivrée au Crédit Agricole le 17 mai 2023 aux fins d’obtenir la condamnation de la banque à lui payer diverses sommes dont la somme de 4.818 euros au titre des virements frauduleux

Par jugement du 3 juin 2024, le tribunal judiciaire de Rouen a :

— débouté Madame [T] [H] de l’ensemble de ses prétentions, fins et conclusions,

— dit n’y avoir lieu à application de l’article 700 du code de procédure civile,

— dit n’y avoir lieu à écarter l’exécution provisoire,

— condamné Madame [T] [H] aux dépens.

Madame [T] [H] a interjeté appel de ce jugement par déclaration du 13 juin 2024.

L’ordonnance de clôture a été rendue le 17 décembre 2024.

EXPOSE DES PRETENTIONS

Vu les conclusions du 3 octobre 2024, auxquelles il est renvoyé pour exposé des prétentions et moyens de Madame [T] [H] qui demande à la cour de :

— infirmer le jugement attaqué en ce qu’il a :

— débouté Madame [T] [H] de toutes ses prétentions, fins et conclusions,

— condamné Madame [T] [H] aux dépens,

Statuant à nouveau

— débouter la Caisse Régionale de Crédit Agricole Normandie Seine de toutes ses demandes, fins et conclusions,

— condamner la Caisse Régionale de Crédit Agricole Normandie Seine à payer à Madame [T] [H] la somme de 4.818 euros au titre des virements frauduleux assortis d’un intérêt au taux légal majoré de 15 points à compter du 3 janvier 2023, capitalisés dans les conditions de la loi,

— condamner la Caisse Régionale de Crédit Agricole Normandie Seine à payer à Madame [T] [H] la somme de 1.500 euros au titre du préjudice moral,

— condamner la Caisse Régionale de Crédit Agricole Normandie Seine à payer à Madame [T] [H] la somme 4.000 euros à titre d’indemnité sur le fondement de l’article 700 du code de procédure civile,

— condamner la Caisse Régionale de Crédit Agricole Normandie Seine en tous les dépens.

Vu les conclusions du 26 septembre 2024, auxquelles il est renvoyé pour exposé des prétentions et moyens de la Caisse Régionale de Crédit Agricole Mutuel de Normandie Seine qui demande à la cour de :

— déclarer Madame [T] [H] recevable en son appel,

— la débouter de toutes ses demandes, fins et conclusions,

— confirmer le jugement rendu par le tribunal judiciaire de Rouen le 3 juin 2024,

Y ajoutant,

— condamner Madame [T] [H] à payer à la Caisse Régionale de Crédit Agricole Mutuel Normandie Seine la somme de 2 500 euros sur le fondement de l’article 700 du code de procédure civile ainsi qu’aux entiers dépens de première instance et d’appel que la SELARL Gray Scolan, Avocats associés, sera autorisée à recouvrer, pour ceux-là concernant, conformément aux dispositions de l’article 699 du code de procédure civile.

MOTIFS DE LA DECISION

Sur la demande de remboursement des deux virements de 1318 euros et 3500 euros

Moyens des parties

Madame [H] soutient que :

* le 8 décembre 2022, elle a réceptionné par SMS une alerte l’invitant à acquérir, sous 48 heures, une vignette réglementaire Crit’Air sous peine de contravention ; elle s’est exécutée et a acheté ladite vignette en passant par le lien notifié dans l’alerte ; aucune négligence ne peut être retenue contre elle dans la lecture du SMS ayant initié la tromperie dont elle a été victime  ;

* le lendemain, le 9 décembre 2022, elle a été appelée à plusieurs reprises par une personne lui indiquant être un préposé de la banque ; elle a été victime de fraudeurs qui se sont fait passer pour sa propre banque ; à aucun moment elle n’a communiqué ni son numéro de compte, ni son identifiant, ni le moindre mot de passe à ses différents interlocuteurs ;

* la seule action réalisée par elle a été de se connecter à son espace client via le site internet de la banque en étant au téléphone avec un ''conseiller'' ; la seule validation par authentification opérée par elle même a consisté en une connexion simple sans qu’un quelconque règlement ou virement ne soit affiché en attente ;

* elle conteste la fiabilité du système Securipass dont la banque vante l’infaillibilité sans le démontrer ; un paiement par authentification forte n’exonère pas nécessairement la banque ; il a été jugé que la seule utilisation du système Securipass ne peut suffire à démontrer une négligence grave ;

* ses seuls interlocuteurs ont été les auteurs de la tromperie se faisant passer pour ses conseillers bancaires ;

* si le 13 décembre 2022, elle a reçu une alerte SMS provenant en apparence du Crédit Agricole au sujet d’un paiement suspect de 3.500 euros, il lui était alors été demandé de confirmer ou non si elle était à l’origine de ce paiement ; ne l’étant pas, elle a adressé un mail à sa banque à 18h36 ; elle a été contactée une nouvelle fois par une personne lui indiquant appartenir au service de la répression des fraudes ; convaincue de la provenance de ce dernier appel, elle a accepté à nouveau de se connecter à son compte en ligne à travers son application mobile.

Le Crédit Agricole réplique que :

* Mme [H] a été gravement négligente dans la sécurisation de ses accès bancaires et les moyens fournis pour réaliser un virement ;

*elle a répondu à un SMS manifestement frauduleux et communiqué à cette occasion des informations personnelles la concernant, y compris ses données de sécurité personnalisées nécessaires à la validation du paiement ;

* elle a de nouveau communiqué ses identifiants le 13 décembre lors d’un second appel permettant au fraudeur de régulariser deux virements ; elle a confirmé et autorisé les virements depuis son téléphone par le biais de l’application bancaire, le système d’authentification forte de la banque ne démontrant aucune anomalie ;

* elle a reçu un SMS le 13 décembre 2022 à 18h13 l’informant de la fraude dont elle a été victime ; contrairement à ce qu’elle prétend, ce SMS émanait bien du Crédit Agricole ; il vise à permettre le blocage des opérations en ligne frauduleuses ; elle a répondu à 18h15, c’est-à-dire après qu’elle ait eu le fraudeur au téléphone ;

* Mme [H] a bien validé depuis son téléphone les opérations le 13 décembre ; la validation se fait par l’utilisation d’un élément appartenant à Madame [H] (son téléphone) combiné à ce qu’elle « est » : une reconnaissance digitale ou faciale, ou ce qu’elle « sait » à savoir ses identifiants et mot de passe ;

* la banque n’a fait qu’exécuter l’ordre ainsi transmis et autorisé grâce aux actions de Mme [H] ; elle utilisera d’ailleurs le même système d’authentification via ce même téléphone pour valider des opérations postérieures.

Réponse de la cour

Aux termes des articles L. 133-16 et L. 133-17 du code monétaire et financier, il appartient à l’utilisateur de services de paiement de prendre toute mesure raisonnable pour préserver la sécurité des dispositifs de sécurité personnalisés et d’informer sans tarder son prestataire de tels services de toute utilisation non autorisée de l’instrument de paiement ou des données qui lui sont liées.

Cependant, c’est à ce prestataire qu’il appartient en application des articles L. 133-19 IV et L. 133-23 du même code de rapporter la preuve que l’utilisateur qui nie avoir autorisé une opération de paiement, a agi frauduleusement ou n’a pas satisfait intentionnellement ou par négligence grave, à ses obligations.

Il est admis que cette preuve ne peut se déduire du seul fait que l’instrument de paiement ou les données personnelles qui lui sont liées ont été effectivement utilisés.

En cas d’utilisation d’un dispositif de sécurité personnalisé, il appartient également au prestataire de prouver que l’opération en cause a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre.

S’agissant de la relation des faits, il est constant que Mme [H], n’a pas déposé plainte auprès des services de police.

Le déroulement des faits et le mode opératoire sont décrits par Mme [H] dans la déclaration qu’elle a adressée à la banque le 21 décembre 2022 et qui est produite par le Crédit Agricole.

Mme [H] a décrit comme suit le mode opératoire des fraudeurs :

'' 8/12/2022 : réception d’un message Crit’Air (capture écran en PJ) me demandant d’acheter la vignette réglementaire, achat que j’ai réalisé.

9/12/2022 : appel des fraudeurs insistant (3 fois, capture écran en PJ) vers 14h m’expliquant que j’ai été victime d’une fraude de commande par internet. Ces derniers m’ont demandé de me connecter à mon application bancaire CA afin de vérifier sur mon compte si les achats apparaissaient sur l’historique. Les achats n’apparaissant pas les escrocs m’ont expliqué que c’était normal qu’ils avaient bloqué les paiements internet, et fait opposition sur ma CB.

13/12/2022 : appel insistant (3 fois, capture écran en PJ) vers 17h30, nouvel appel des fraudeurs se faisant passer cette fois pour la répression des fraudes. M’expliquant que j’avais été victime d’une arnaque sur internet. Nous avons abordé l’appel du 9/12, ils m’ont confirmé que j’avais été victime d’une fraude, que le 1er appel était des fraudeurs mais que l’appel dont je faisais l’objet à cet instant était honnête, que je pouvais leur faire confiance. A ce titre il me donne mon adresse, le nom de ma conseillère et me font parvenir un message pour me le prouver (capture d’écran en PJ).

M’ayant convaincu, il me demande alors de me connecter sur mon application. Chose faite, ils ont meublé la conversation par des futilités le temps de procéder à leurs achats.

Ce n’est que quelques heures après, lorsque j’ai voulu les joindre de mon côté que j’ai réalisé la supercherie.

Ils ont à mon sens pris la main sur mon compte grâce à toutes les informations glanées par leurs messages et appels précédents.''

Mme [H] a signé sa déclaration en attestant ''sur l’honneur avoir donné la vérité des faits tel qu’ils se sont produit.''

Mme [H] déclare dans ses conclusions avoir reçu une alerte SMS le 13 décembre 2022 provenant en apparence du Crédit Agricole au sujet d’un paiement suspect de 3.500 euros lui demandant de confirmer ou non si elle était à l’origine de ce paiement. Elle ajoute avoir alors adressé un mail à sa banque à 18h36 pour ''avoir une discussion sur une fraude au paiement en ligne dont j’ai été victime…'' et que contactée une nouvelle fois par une personne lui indiquant appartenir au service de la répression des fraudes et pensant être prise en charge par les services de la banque, elle a accepté à nouveau de se connecter à son compte en ligne à travers son application mobile.

Mme [H] verse aux débats le SMS du 13 décembre 2022 reçu à 18h13 provenant effectivement du Crédit Agricole ainsi que démontré par ce dernier par sa pièce n° 5 qui est l’historique de ce SMS dit interactif. Il en ressort que le Crédit Agricole a informé Mme [H] à 18h12 qu’une fraude était suspectée sur sa carte, lui demandant si elle est à l’origine du paiement à distance de 3500 euros pour Western Union le 13 décembre 2022 et de répondre ''1'' si elle a initié l’opération sinon ''2'' pour confirmer la fraude. A 18h16, Madame [H] a répondu ''2'' et elle a été immédiatement informée que les prochains paiements à distance sont bloqués, un numéro de téléphone lui étant communiqué afin de mettre en opposition sa carte et obtenir les modalités de contestation de l’opération fraudée.

Les paiements à distance à venir ont dès lors été bloqués.

Il convient de relever que le numéro de téléphone à partir duquel Madame [H] a répondu ''2'' à l’alerte de la banque faite par SMS le 13 décembre 2022 est identique à celui mentionné par Madame [H] dans un courriel du même jour adressé à 18h36 à la banque via la messagerie sécurisée de l’application Crédit Agricole.

Le 4 janvier 2023, Madame [H] a été informée par sa conseillère dédiée de la réponse négative du siège à sa demande de remboursement des deux paiements sécurisés au motif qu’elle a été contactée par une personne se faisant passer pour le service fraude du Crédit Agricole, qu’il s’agit d’un scénario d’escroquerie connu, que les opérations ont été validées par Sécuripass qui est une méthode d’authentification forte impliquant que les opérations ont été validées sur le téléphone enrôlé au dispositif de sécurité avec un code personnel et confidentiel qui n’est connu que du client, seul utilisateur du dispositif.

Dans ses conclusions, Madame [H] confirme s’être connectée à son espace client via le système internet de la banque pendant qu’elle était au téléphone avec une personne qu’elle croyait être un préposé de la banque. Elle ajoute dans ses écritures avoir validé l’authentification forte à la demande du ''conseiller'' « non pas pour valider des paiements mais pour, d’après ses dires, (du conseiller) que la banque puisse reprendre la main et faire opposition aux paiements. »

Quand bien même Mme [H] affirme ne pas avoir communiqué à son interlocuteur ses données personnelles, elle admet avoir validé l’authentification forte demandée par le ''conseiller''. Elle ne peut dès lors pas sérieusement contester la fiabilité du système Securipass. Par ailleurs la banque produit un document intitulé ''historique des opérations Sécuripass/Sécuricode'' qui précise que l’historique porte sur les authentifications fortes et qui fait ressortir que les opérations querellées ont fait l’objet d’une authentification Sécuripass le 13 décembre 2022 à 17h34 pour un montant de 1318 euros puis à 18h10 pour un montant de 3500 euros et ceci de l’appareil Huawei Ane-LX1. Ce document est corroboré par le relevé de l’outil ASC analysant les authentifications fortes utilisées qui porte sur ces mêmes opérations effectuées avec l’appareil Huawei Ane-LX1 qui retient l’absence d’anomalie. Il y est mentionné quant à la transaction de 3500 euros que ''le résultat final de l’authentification confirme une authentification forte sans anomalie sur le terminal normalement utilisé. Cette transaction a déclenché un SMS interactif bloquant les futures tentatives suite à la réponse de la cliente (une autre tentative de 4500 euros bloquée). Et ainsi que dit plus haut Mme [H] a bien reçu un SMS interactif du Crédit Agricole le 13 décembre 2022 à 18h12 pour l’informer qu’une fraude était suspectée et à laquelle elle a répondu à 18h15 qu’elle n’était pas à l’origine du paiement de 3500 euros. Enfin Mme [H] ne conteste pas avoir procédé à trois nouveaux paiements les 28 et 29 décembre 2022 après réinitialisation de son code CAEL qui ont fait l’objet d’une authentification forte comme indiqué sur le document intitulé '' historique des opérations Sécuripass/Sécuricode''.

Il s’ensuit que la banque démontre par ces documents que l’opération en cause a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre, aucun élément contraire n’étant produit par Mme [H] pour contester ceux produits par la banque sur le système Sécuripass que l’appelante admet avoir activé pensant par là même, mais à tort, avoir permis à la banque de faire opposition aux paiements.

Selon les captures d’écran du téléphone portable telles que communiquées aux débats par Mme [H], elle a répondu le 8 décembre 2022 à un SMS de Crit’Air l’invitant à effectuer un achat en urgence avant le 23 décembre 2022 sous peine d’une contravention dont il est acquis qu’il s’agit d’un message d’hameçonnage frauduleux. Mme [H] a conclu avoir procédé à l’achat de la vignette en passant par le lien notifié. Elle a ainsi nécessairement donné à ce site pirate des données personnelles liées à sa carte bancaire sur lesquelles elle est taisante. La capture d’écran mentionnant que le SMS a été reçu le 8 décembre 2022 indique un numéro de téléphone [XXXXXXXX01] sans aucune précision de son titulaire. La capture d’écran du numéro de téléphone + 33 [XXXXXXXX02] que l’appelante désigne comme ayant été le numéro du premier appel du 9 décembre 2022 est donc celui qu’elle supposait être de la banque sans pour autant démontrer que ce numéro affiché était effectivement celui du Crédit Agricole.

Dans la déclaration faite à la banque le 21 décembre 2022 et citée plus haut, Mme [H] précise avoir reçu trois appels le 9 décembre puis trois appels le 13 décembre suivant qu’elle a qualifiés d’insistants.

S’il n’est pas contestable que l’interlocuteur ou les interlocuteurs de Mme [H] ont réussi à la mettre suffisamment en confiance afin de lui faire valider le 13 décembre 2022 par authentification forte des opérations de paiement qu’elle pensait être d’opposition, force est de relever que l’appelante a dans un premier temps répondu à un SMS l’invitant à effectuer un achat en urgence via un lien comportant des anomalies d’orthographe comme relevé par le premier juge et alors que la menace d’une contravention était mentionnée sans aucune référence aux textes applicables, que contactée le lendemain Mme [H] a une nouvelle fois manqué de vigilance en répondant favorablement aux consignes de ses interlocuteurs lui disant qu’elle avait fait l’objet d’une arnaque à la vignette et lui demandant de se connecter à son application bancaire alors que le numéro de téléphone affiché le 9 décembre lui était inconnu, qu’il s’agissait d’un numéro de téléphone portable et non du numéro de son agence bancaire ou de celui de son conseiller dédié tel qu’il est mentionné notamment dans le message du 4 janvier 2023 et que le 13 décembre, elle a réitéré ce manque de vigilance, son interlocuteur s’étant fait passer pour une personne de la répression des fraudes et ayant selon les propres déclarations de Madame [H] ''meublé la conversation par des futilités''.

Il s’ensuit que ces éléments conjugués sur plusieurs jours tout comme le nombre d’appels téléphoniques soit six qu’elle a qualifiés d’insistants auraient dû alerter Mme [H] qui a ainsi disposé de temps pour prendre conscience du caractère frauduleux de l’opération de sorte qu’elle a fait preuve de négligence grave au sens de l’article L 139 IV du code monétaire et financier justifiant qu’elle soit privée de la garantie de remboursement prévue à l’article L. 133-18 du même code.

Le jugement sera confirmé en ce qu’il a débouté Mme [H] de ses demandes de remboursement des deux virements frauduleux et de dommages et intérêts pour préjudice moral.

Sur les mesures accessoires

Pour le surplus de ses dispositions le jugement sera confirmé et les dépens de l’appel seront mis à la charge de Mme [H] qui est la partie perdante. Chacune des parties gardera cependant à sa charge ses frais non compris dans les dépens.

PAR CES MOTIFS

La cour, statuant par arrêt contradictoire, par mise à disposition au greffe,

Confirme le jugement entrepris en toutes ses dispositions,

Condamne Madame [T] [H] aux dépens avec droit de recouvrement au profit de la SELARL Gray Scolan.

Déboute Madame [T] [H] et la Caisse Régionale de Crédit Agricole Normandie Seine de leurs demandes présentées sur le fondement de l’article 700 du code de procédure civile.

La greffière, La présidente,