TRIBUNAL

JUDICIAIRE

DE [Localité 7] [1]

[1] Expéditions

exécutoires

délivrées le :

à

M^e CARTIER

M^e HUPIN

M^e METAIS

■

9ème chambre 3ème section

N° RG 24/01474

N° Portalis 352J-W-B7I-C3YOU

N° MINUTE : 2

Assignation du :

26 Janvier 2024

JUGEMENT

rendu le 06 Novembre 2025

DEMANDEURS

Monsieur [N] [I]

et

Madame [S] [X] épouse [I]

[Adresse 4]

[Localité 5]

représentés par Maître Maude HUPIN, avocat au barreau de PARIS, vestiaire #G0625

DÉFENDERESSE

Société BNP Paribas

[Adresse 2]

[Localité 3]

représentée par Maître Philippe METAIS du PARTNERSHIPS BRYAN CAVE LEIGHTON PAISNER (France) LLP, avocats au barreau de PARIS, vestiaire #R030

Société ORANGE, intervenante forcée

[Adresse 1]

[Localité 6]

représentée par Maître Marie-Laure CARTIER du Cabinet CARTIER MEYNIEL, avocats au barreau de PARIS, vestiaire #E1874

Décision du 06 Novembre 2025

9ème chambre 3ème section

N° RG 24/01474 – N° Portalis 352J-W-B7I-C3YOU

COMPOSITION DU TRIBUNAL

Par application des articles R.212-9 du Code de l’Organisation Judiciaire et 812 du Code de Procédure Civile, l’affaire a été attribuée au Juge unique.

Avis en a été donné aux avocats constitués qui ne s’y sont pas opposés.

Béatrice CHARLIER-BONATTI, Vice-présidente, statuant en juge unique, assistée de Chloé DOS SANTOS, Greffière.

DÉBATS

A l’audience du 25 Septembre 2025 tenue en audience publique, avis a été donné aux avocats des parties que la décision serait rendue le 06 Novembre 2025.

JUGEMENT

Rendu publiquement par mise à disposition au greffe

Contradictoire

En premier ressort

EXPOSE DU LITIGE

M. [N] [I] et Mme [S] [X], épouse [I] (ci-après M. et Mme [I]) sont titulaires d’un compte chèques ouvert dans les livres de la société BNP Paribas (ci-après BNP Paribas) auquel sont reliées deux cartes bancaires visa premier délivrées par cette banque.

Les 29 et 30 novembre 2023, M. et Mme [I] ont été victimes d’une fraude consistant en huit opérations bancaires effectuées sans leur consentement, quatre retraits à un distributeur automatique de billets pour un montant total de 6.000 euros, trois paiements de proximité pour un montant total de 11.051,97 euros et un paiement en ligne par carte bancaire pour un montant de 5.497,06 euros.

M. et Mme [I] ont déposé plainte le 1er décembre 2023.

Ayant contesté ces opérations bancaires par des courriers adressés à BNP Paribas des 4 et 12 décembre 2023, ils se sont vus refuser toute indemnisation par BNP Paribas.

C’est dans ce contexte que M. et Mme [I] ont assigné la BNP Paribas devant le Tribunal judiciaire de Paris en remboursement des sommes détournées par exploit de commissaire de justice du 26 janvier 2024.

Par exploit de commissaire de justice du 25 juin 2024, BNP Paribas a assigné en intervention forcée la société Orange (ci-après Orange) en sa qualité d’opérateur de téléphonie de M. et Mme [I].

Par ordonnance du 12 septembre 2024 le juge de la mise en état a ordonné la jonction des deux instances et renvoyé les parties à l’audience de mise en état du 24 octobre 2024.

Aux termes de leurs dernières conclusions déposées le 20 février 2025, M. et Mme [I] demandent au tribunal judiciaire de :

“- DECLARER Monsieur et Madame [I] bien fondés en leurs demandes, fins et conclusions,

— DEBOUTER BNP PARIBAS et la société ORANGE de l’ensemble de leurs demandes, fins et prétentions,

— CONDAMNER BNP PARIBAS à payer à Monsieur et Madame [I] la somme de 22.549,03 euros en remboursement des sommes détournées, outre les intérêts à venir, jusqu’au parfait paiement,

— CONDAMNER la société Orange à relever et garantir BNP Paribas de toute somme à laquelle BNP Paribas pourrait être tenue vis-à-vis de Monsieur et Madame [I],

— ORDONNER la capitalisation des intérêts,

— CONDAMNER BNP PARIBAS à payer à Monsieur et Madame [I] la somme de 3.000 euros au titre du préjudice moral,

— CONDAMNER solidairement BNP PARIBAS et la société ORANGE à payer chacune à Monsieur et Madame [I] la somme de 3.000 € au titre de l’article 700 du Code de procédure civile,

— CONDAMNER BNP PARIBAS aux entiers dépens,

— ORDONNER l’exécution provisoire”

Au soutien de leurs demandes, M. et Mme [I] font valoir qu’ils ont été contactés par téléphone le 29 novembre 2023 par un faux conseiller appelant d’un numéro de téléphone indiqué au dos de leur carte visa premier, ce qui les a mis en confiance pour suivre les instructions données par leur interlocuteur selon la technique frauduleuse du spoofing.

Ils soutiennent qu’au regard de la jurisprudence de la Cour de cassation les clients d’une banque victimes de spoofing sont en droit d’obtenir de leur banque le remboursement des sommes correspondant à des opérations non autorisées en vertu des articles L. 133-18 et suivants du code monétaire et financier. Ils invoquent l’article L. 133-19 du code monétaire et financier en vertu duquel la banque ne peut opposer, comme motif de refus de remboursement des opérations querellées, que l’agissement frauduleux ou la négligence grave du payeur.

M. et Mme [I] considèrent qu’ils ont été victimes d’une fraude sophistiquée et qu’ils n’ont commis aucune négligence grave. Ils soutiennent que c’est à BNP Paribas de faire la preuve d’une négligence ayant permis la réalisation de la fraude et ils considèrent que, s’agissant de ces opérations non autorisées, BNP Paribas n’apporte pas de preuve de négligence grave de leur part.

M. et Mme [I] demandent en conséquence la condamnation de BNP Paribas à la somme de 22.549,03 euros correspondant au montant total des huit opérations frauduleuses et à la somme de 3.000 euros au titre du préjudice moral dont ils ont souffert du fait de cette situation.

Ils demandent en outre la somme de 3.000 euros au titre de l’article 700 du code de procédure civile pour les frais qu’ils ont été contraints d’exposer dans le cadre de la présente procédure.

Aux termes de leurs dernières conclusions déposées le 13 mai 2025, BNP Paribas demande au Tribunal de :

“Sur la demande formée par Monsieur et Madame [I] tendant au remboursement des opérations litigieuses

JUGER que les transactions litigieuses ont été dûment authentifiées et que BNP Paribas a parfaitement respecté ses obligations en matière de sécurisation des instruments de paiement de Monsieur et Madame [I] ;

JUGER que Monsieur [I] a commis une négligence grave au sens de l’article L.133-19, IV. du Code monétaire et financier ;

En conséquence,

DEBOUTER Monsieur et Madame [I] de leur demande de remboursement des opérations litigieuses à hauteur de 22.549,03 euros ;

Sur la demande formée par Monsieur et Madame [I] tendant au paiement de dommages et intérêts

JUGER que le régime de responsabilité des prestataires de services de paiement tel qu’issu des articles L.133-1 et suivants du Code monétaire et financier fait l’objet d’une application exclusive et autonome ;

Juger que BNP Paribas n’a commis aucune inexécution contractuelle ;

En conséquence,

DEBOUTER Monsieur et Madame [I] de leur demande de dommages et intérêts à hauteur de 3.000,00 euros ;

Sur la responsabilité délictuelle de Orange à l’égard de BNP Paribas

JUGER que la demande en intervention forcée formée par la société BNP Paribas à l’encontre de la société Orange est recevable et bien fondée ;

CONDAMNER la société Orange à relever et garantir BNP Paribas de toute somme à laquelle BNP Paribas pourrait être tenue vis-à-vis de Monsieur et Madame [I] ;

En tout état de cause

DEBOUTER Monsieur et Madame [I] de l’intégralité de leurs demandes, fins et conclusions à l’encontre de BNP Paribas ;

CONDAMNER in solidum Monsieur et Madame [I] à verser à BNP Paribas la somme de 2.500 euros au titre de l’article 700 du Code de procédure civile ainsi qu’aux entiers dépens;

CONDAMNER la société Orange à verser à BNP Paribas la somme de 3.000 euros au titre de l’article 700 du Code de procédure civile ;

ECARTER l’exécution provisoire de la décision à intervenir”

Au soutien de ses demandes, BNP Paribas fait valoir que M. et Mme [I] sont restés en ligne plus de deux heures avec le fraudeur dans la soirée du 29 novembre et que la première opération querellée, consistant en un achat en ligne, a eu lieu dans le laps de temps de cette conversation téléphonique. En produisant les traces informatiques de cette opération, BNP Paribas soutient que cette opération n’a pu se faire qu’au moyen de la clé digitale de M. [I] et que la concomitance entre l’appel du fraudeur et l’exécution de cette opération frauduleuse exclut l’hypothèse d’une déficience technique du système de sécurisation de l’espace en ligne de l’établissement bancaire.

BNP Paribas considère que M. et Mme [I] ont commis quatre négligences graves, en remettant leurs deux cartes visa, intactes et fonctionnelles, ainsi que l’ipad de Mme [I] à un coursier envoyé par le fraudeur dans la nuit du 29 novembre, en livrant des codes confidentiels qui ont servi aux sept opérations de retrait et de paiement de proximité les 29 et 30 novembre 2023, authentifiées par des traces informatiques de la banque, en validant l’opération de paiement en ligne et en négligeant d’appeler leur conseiller habituel.

BNP Paribas soutient que la fraude du spoofing n’exclut pas la reconnaissance d’une négligence grave du client et qu’en l’espèce cette négligence grave est établie.

BNP [Localité 7] affirme également avoir informé régulièrement ses clients, avant la date des faits, des fraudes par téléphone. En conséquence BNP Paribas demande au Tribunal judiciaire de Paris de débouter M. et Mme [I] de leur demande de remboursement de la somme de 22.549,03 euros au titre des opérations frauduleuses que M. [I] a lui-même permises, par application de l’article L. 133-19 IV du code monétaire et financier.

BNP Paribas fait valoir que les faits du litige sont postérieurs à l’entrée en vigueur, le 25 juillet 2023, de la loi du 24 juillet 2020 qui met à la charge des opérateurs de téléphonie l’obligation de confirmer l’authenticité des appels utilisant le numéro d’une banque et de les couper en cas de défaut d’authentification.

Ayant attrait Orange en intervention forcée, BNP Paribas soutient qu’Orange s’est abstenue de couper l’appel litigieux, a commis de ce fait une faute délictuelle et doit garantir la banque au cas où elle serait condamnée à payer une somme à M. et Mme [I].

Aux termes de ses dernières conclusions déposées le 18 juin 2025, Orange demande au Tribunal judiciaire de Paris de :

“A TITRE PRINCIPAL

— JUGER que les conditions d’une responsabilité de la société ORANGE ne sont pas réunies ;

— REJETER en conséquence, l’appel en garantie formé par BNP PARIBAS ;

— DEBOUTER BNP PARIBAS de l’intégralité de ses demandes, fins et conclusions ;

SUBSIDIAIREMENT,

— JUGER que Monsieur et Madame [I] ont commis plusieurs négligences graves de nature à exclure la responsabilité de BNP PARIBAS ;

— JUGER que BNP PARIBAS a manqué à ses obligations ;

— DECLARER en conséquence, sans objet l’appel en garantie dirigé contre la société ORANGE ;

ENFIN,

— CONDAMNER BNP PARIBAS au paiement de la somme de 15.000 euros à la société ORANGE au titre de l’article 700 du Code de procédure civile ;

— LA CONDAMNER aux entiers dépens”.

Au soutien de ses demandes, Orange fait valoir que la preuve du spoofing n’est pas établie, BNP Paribas ne fournissant aucun document authentifiant l’appel du fraudeur sur le téléphone de M. [I] ou la réception de sms de la banque par ce dernier.

Orange considère que la capture d’écran fournie par BNP Paribas de l’appel litigieux du fraudeur ne fait pas apparaître le numéro de M. [I] et ne constitue une copie fiable permettant d’attester l’authenticité du contenu de cet appel.

BNP Paribas fait valoir que le numéro de provenance de l’appel litigieux correspond à une multiplicité d’utilisateurs, internes ou externes à la banque, et que l’utilisation de ce numéro par le salarié d’un prestataire externe de BNP Paribas ne peut être exclue.

Orange soutient qu’en qualité d’opérateur de terminaison elle n’était pas tenue d’authentifier les appels de M. et Mme [I] et qu’en vertu de la loi du 24 juillet 2020, l’opérateur d’arrivée doit transmettre l’appel authentifié par l’opérateur d’origine. En conséquence, Orange considère qu’elle n’a manqué à aucune des ses obligations et que le tribunal doit rejeter l’appel en garantie formé par la banque.

Orange fait valoir que BNP Paribas a manqué à son devoir de vigilance, en ne contrôlant pas la régularité des ordres de paiement et en ne décelant pas une anomalie apparente, en violation de l’article L. 133-15 du code monétaire et financier. En l’espèce Orange considère que les retraits et les paiements effectués par le fraudeur devaient paraître suspects à la banque du fait de leurs montants inhabituels et de leur mise en œuvre concertée dans un espace de 48h.

Orange fait aussi valoir que BNP Paribas n’a pas bien informé ses clients sur l’usage de la clé digitale et n’apporte pas la preuve de l’absence d’une défaillance technique de son système de sécurité.

Orange en conclut que le manquement de BNP Paribas à ses obligations doit conduire le Tribunal à rejeter sa demande d’appel en garantie.

Orange fait en outre valoir que M. et Mme [I] ont commis une négligence grave en suivant les instructions du fraudeur et particulièrement en remettant leurs cartes bancaires et un ipad à une personne se présentant comme coursier. Dans ces conditions, la société Orange soutient que la responsabilité de la banque doit être écartée en raison de cette négligence grave de ses clients et que l’opérateur téléphonique ne saurait être tenu de garantir la société BNP Paribas.

Conformément aux dispositions de l’article 455 du code de procédure civile, il est fait expressément référence aux écritures des parties visées ci-dessus quant à l’exposé du surplus de leurs prétentions et moyens.

L’instruction a été close par ordonnance du 4 septembre 2025 et l’affaire a été renvoyée pour plaidoirie au 25 septembre 2025. L’affaire a été mise en délibéré au 6 novembre 2025.

SUR CE

I. Sur les responsabilités respectives de la banque et de ses clients

La responsabilité d’un prestataire de services de paiement en raison d’une opération de paiement non autorisée ou mal exécutée relève exclusivement du régime de responsabilité défini aux articles L. 133-18 à L. 133-24 du code monétaire et financier, qui transposent les articles 58, 59 et 60, paragraphe premier, de la Directive du 13 novembre 2007, à l’exclusion de tout autre régime de responsabilité résultant du droit national.

Il résulte de la combinaison notamment des articles L. 133-4, L. 133-15, L.133-18 et L. 133-23 du code monétaire et financier qu’un dispositif de paiement sécurisé se définit comme tout moyen technique affecté par un prestataire de services de paiement à un utilisateur client et communiqué pour l’utilisation et le fonctionnement tant des instruments de paiement que le fonctionnement même du compte. Ce dispositif, dont le prestataire de services de paiement doit s’assurer qu’il n’est pas accessible à d’autres personnes que l’utilisateur client, est placé sous la garde de ce dernier qui l’authentifie lui-même avec un identifiant unique, constitué d’une combinaison de lettres/chiffres/symboles. Pour procéder à la gestion des opérations sur son compte, l’utilisateur client crée des codes personnels qui lui sont demandés à l’occasion des opérations qu’il souhaite effectuer sur son compte bancaire. Lors du fonctionnement du compte avec l’identifiant unique et les codes personnels, la banque envoie à son client un SMS ou un mail pour l’informer des opérations sur son compte. Dès qu’il reçoit un instrument de paiement, l’utilisateur de services de paiement se doit de prendre toute mesure raisonnable pour préserver la sécurité de ses dispositifs de sécurité personnalisés.

En cas d’opération de paiement non autorisée signalée par l’utilisateur dans les délais prévus par l’article L. 133-24 du même code, le prestataire de services de paiement du payeur rembourse à ce dernier le montant de l’opération non autorisée sauf s’il a de bonnes raisons de soupçonner une fraude de l’utilisateur du service de paiement. Dans cette hypothèse, il incombe au prestataire de paiement de prouver que l’opération litigieuse a été effectuée après une authentification forte, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre.

L’article L. 133-4 (f) du code précité précise qu’une authentification forte s’entend d’une authentification reposant sur l’utilisation de deux éléments ou plus appartenant aux catégories « connaissance » (quelque chose que seul l’utilisateur connaît telle qu’un mot de passe, un code secret, une question secrète, etc…), « possession » (quelque chose que seul l’utilisateur possède telle qu’un téléphone portable, une montre connectée, une clé USB etc…) et « inhérence » (quelque chose que l’utilisateur est, telle que la reconnaissance faciale ou vocale, la reconnaissance par empreinte digitale, etc…) et indépendants en ce sens que la compromission de l’un ne remet pas en question la fiabilité des autres, et qui est conçue de manière à protéger la confidentialité des données d’authentification. L’authentification forte repose donc sur l’utilisation de deux de ces éléments, voire plus.

Par ailleurs, la responsabilité du payeur n’est pas engagée si l’opération de paiement non autorisée a été effectuée en détournant, à son insu, l’instrument de paiement ou les données qui lui sont liées. Cependant, il supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’agissements frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17 du code précité.

Ainsi, pour échapper au remboursement de l’opération contestée, le prestataire de services de paiement doit démontrer, soit que l’ordre émanait bel et bien du client dûment authentifié dans son espace personnel, soit que le vol des identifiants de connexion (ou d’autres données) n’est que la conséquence d’une faute grave de sa part consistant à ne pas avoir satisfait intentionnellement aux obligations lui incombant en la matière ou à les avoir gravement négligées.

Au cas présent, M. [I] a admis dans sa plainte avoir, conformément aux instructions données par son interlocuteur téléphonique dans la soirée du 29 novembre 2023, remis à un coursier quatre cartes bancaires, dont deux cartes visa qui lui avaient été délivrées par BNP Paribas, l’une de ces cartes ayant été ensuite utilisée pour des retraits à des distributeurs automatiques de billets et pour des achats avec présentation physique de cet instrument de paiement.

Ces opérations ont nécessairement été réalisées avec l’utilisation du code associé à cette carte dont seul M. [I] avait connaissance, ce dont il se déduit, sauf démonstration contraire qui n’est pas apportée par M. et Mme [I], soit qu’il a été remis en même temps que la carte par M [I], soit qu’il a été appréhendé via l’espace en ligne des demandeurs rendu accessible par la négligence de M. [I], soit qu’il a été reconstitué à partir de la puce de la carte récupérée intacte par le fraudeur.

Dès lors, il doit être considéré que M. [I], en remettant volontairement à un coursier des cartes bancaires intactes, n’a pas satisfait aux obligations mises à sa charge par les articles L. 133-16 et L. 133-17 du code monétaire et financier et qu’il a ainsi commis une négligence grave au sens de l’article L. 133-19 du même code, cette négligence grave le privant de la possibilité de faire supporter à BNP Paribas les pertes occasionnées par les sept opérations de retrait à un distributeur de billets et de paiement de proximité non autorisées.

Réalisées avec la carte et les codes de M. [I], ces opérations ne présentaient pas d’anomalie apparente et leur montant, comme leur succession, n’étaient pas de nature à faire déroger BNP Paribas à son obligation de non-immixtion dans les affaires de ses clients.

Par ailleurs, il n’est pas contesté que le paiement en ligne, le 29 novembre au soir, d’un achat pour un montant de 5.497, 06 euros est concomitant de la longue conversation entre M. [I] et le fraudeur.

Si la banque n’apporte pas la preuve que la technique utilisée a été celle du spoofing, les historiques de connexion fournis par BNP Paribas ont une valeur probante sur la réalité de cette opération de paiement en ligne concomitante de la conversation téléphonique par le fraudeur. Cette concomitance induit que M. [I] a concouru à la réalisation des opérations litigieuses, dûment enregistrées et comptabilisées, et exclut l’hypothèse d’une déficience technique du système de sécurisation de l’espace en ligne de BNP Paribas. Par l’historique de connexion, BNP Paribas apporte la preuve de l’usage de la clé digitale de M. [I]. Il en résulte que M. [I] a commis une négligence grave qui exonère PNB Paribas du paiement du remboursement de cette opération frauduleuse.

En conséquence, le tribunal déboutera M. et Mme [I] de leur demande de remboursement des huit opérations querellées, comme de leurs demandes de dommages-intérêts pour préjudice moral en l’absence de toute faute de BNP Paribas.

II. Sur l’appel en garantie d’Orange par BNP Paribas

La négligence grave de M. [I] sur l’ensemble des huit opérations querellées excluant BNP Paribas de toute responsabilité, l’appel en garantie d’Orange n’a plus d’objet. En tout état de cause, si la loi du 24 juillet 2020 est susceptible de s’appliquer au litige, son application n’engage pas la responsabilité de l’opérateur d’arrivée qui a transmis un appel téléphonique authentifié par l’opérateur d’origine.

En conséquence, le tribunal déboutera BNP Paribas de sa demande en garantie contre Orange.

III. Sur les autres demandes

M. et Mme [I] qui succombent supporteront les entiers dépens du procès et seront condamnés au paiement à la BNP Paribas de la somme de 2.000 euros au titre de l’article 700 du code de procédure civile

PAR CES MOTIFS

Le tribunal statuant publiquement, par mise à disposition de la décision au greffe de la juridiction, par jugement contradictoire et rendu en premier ressort,

DEBOUTE Monsieur [C] [I] et Madame [S] [X] épouse [I] de l’ensemble de leurs demandes ;

CONDAMNE Monsieur [C] [I] et Madame [S] [X] épouse [I] aux dépens ;

CONDAMNE Monsieur [C] [I] et Madame [S] [X] épouse [I] à payer à la SA BNP Paribas la somme de 2.000 euros en application des dispositions de l’article 700 du code de procédure civile ;

DEBOUTE les parties de leurs autres demandes.

Fait et jugé à [Localité 7] le 06 Novembre 2025.

LA GREFFIERE LE PRÉSIDENT