TRIBUNAL

JUDICIAIRE

DE [Localité 7] [1]

[1]

Expéditions

exécutoires

délivrées le :

à

M^e BARBELANE

Me [Localité 8]

■

9ème chambre 1ère section

N° RG 24/00828

N° Portalis 352J-W-B7I-C3K4A

N° MINUTE : 3

Assignation du :

20 Décembre 2023

JUGEMENT

rendu le 27 Octobre 2025

DEMANDEUR

Monsieur [G] [J]

[Adresse 2]

[Localité 4]

représenté par Maître Alexandre BARBELANE de la SELARL BFB Avocats, avocats au barreau de PARIS, vestiaire #G0169

DÉFENDERESSE

S.A. BNP PARIBAS

[Adresse 1]

[Localité 3]

représentée par Maître Dominique PENIN du PARTNERSHIPS MORGAN LEWIS & BOCKIUS UK LLP, avocats au barreau de PARIS, vestiaire #J11

Décision du 27 Octobre 2025

9ème chambre 1ère section

N° RG 24/00828 – N° Portalis 352J-W-B7I-C3K4A

COMPOSITION DU TRIBUNAL

Anne-Cécile SOULARD, Vice-présidente

Marine PARNAUDEAU, Vice-présidente

Patrick NAVARRI, Vice-président

assistés de Chloé DOS SANTOS, Greffière.

DÉBATS

A l’audience du 01 Septembre 2025 tenue en audience publique devant Marine PARNAUDEAU, juge rapporteur, qui, sans opposition des avocats, a tenu seule l’audience, et, après avoir entendu les conseils des parties, en a rendu compte au Tribunal, conformément aux dispositions de l’article 805 du Code de Procédure Civile. Avis a été donné aux avocats des parties que la décision serait rendue le 27 Octobre 2025.

JUGEMENT

Rendu publiquement par mise à disposition au greffe

Contradictoire

En premier ressort

EXPOSE DU LITIGE

M. [G] [J] a ouvert un compte courant dans les livres de la BNP PARIBAS. Il dispose d’un espace en ligne et bénéficie pour ses opérations sensibles (l’ajout d’un bénéficiaire de virement ou la validation d’un achat par exemple) d’un système d’authentification forte, la « clé digitale » installée sur son téléphone.

Le 22 janvier 2023, M. [J] a reçu un SMS adressé prétendument par le Service Public afin de renouveler sa vignette Crit’Air. En réalité, ce SMS n’émanait pas d’un site du service public mais d’escrocs dont le but est de récupérer les données bancaires par le biais d’hameçonnage en conduisant les victimes vers un site internet frauduleux.

Le 27 janvier 2023, M. [J] a été contacté par téléphone par une personne se présentant comme appartenant au service anti-fraude de sa banque, lui signalant des opérations suspectes sur son compte bancaire.

Aux fins de bénéficier d’une nouvelle carte bancaire, son interlocuteur lui demandait de changer son mot de passe sans le dire à haute voix et de faire un virement sur un autre compte ouvert à son nom

C’est ainsi que deux virements vers un seul et même bénéficiaire étaient opérés :

o un de 2 000 euros le 30 janvier 2023

o un de 7 500 euros le 31 janvier 2023.

Ayant réalisé qu’il avait été victime d’une fraude, M. [J] faisait opposition sur sa carte bancaire le 3 février 2023, et déposait plainte du chef d’escroquerie au commissariat de [Localité 9] le même jour.

M. [J] se heurtait au refus de la BNP PARIBAS de procéder au remboursement des opérations financières litigieuses.

Par acte du 20 décembre 2023, M. [J] a fait assigner la BNP PARIBAS devant la présente juridiction, afin qu’elle soit condamnée, sous le bénéfice de l’exécution provisoire, à lui payer la somme de 9 500 euros au titre de son préjudice financier, celle de 5 000 euros à titre de dommages-intérêts en réparation de son préjudice moral, outre la somme de 3 000 euros au titre des frais irrépétibles ainsi qu’aux dépens.

Par dernières conclusions récapitulatives communiquées par voie électronique le 22 novembre 2024, M. [J] maintient ses demandes.

M. [J] estime que les faits dont il a été victime sont similaires à ceux ayant donné lieu à l’arrêt de la cour d’appel de Versailles du 28 mars 2023 (RG : 21/07299), dont le pourvoi a été rejeté par un arrêt de la Cour de cassation du 23 octobre 2024 (chambre commerciale, 23-16.267). Il indique qu’il était convaincu d’être en relation avec un salarié de la BNP PARIBAS, car le numéro d’appel était celui du service anti-fraude de sa banque comme cela figure sur son site internet (0440140300). Il en conclut que sa vigilance a été réduite, outre que son interlocuteur avait un discours structuré et précis et connaissait des informations personnelles le concernant. Il soutient également que la BNP PARIBAS a manqué à son obligation de vigilance en favorisant cette escroquerie puisque cette banque ne l’a pas informé de ces opérations litigieuses et suspectes. Il relève enfin que la BNP PARIBAS ne justifie pas qu’il aurait agi frauduleusement, ou par négligence grave à ses obligations.

Par conclusions du 28 février 2025, la BNP PARIBAS demande au tribunal, à titre principal, de débouter M. [J] de ses demandes, de le condamner à lui payer la somme de 5 000 euros au titre de l’article 700 du code de procédure civile et d’écarter l’exécution provisoire de droit de la décision à intervenir.

La BNP PARIBAS soutient que M. [J] ne rapporte pas la preuve d’avoir été victime d’un spoofing téléphonique consistant pour une personne mal intentionnée à appeler le client d’une banque en se faisant passer pour un conseiller bancaire. Elle souligne que M. [J] reconnait devant les services de police, avoir cliqué sur le lien contenu dans le SMS et avoir pensé, après avoir inscrit ses coordonnées bancaires sur le faux site internet, ordonner le paiement de la somme de 2,35 euros pour renouveler le « certificat qualité de l’air ». Elle observe qu’un nouveau bénéficiaire de virement a été ajouté le 27 janvier 2023 au moyen de l’identifiant et du mot de passe de M. [J] et de la validation par clé digitale sur le téléphone portable de M. [J]. Elle note qu’en dépit de la sommation de communiquer qui lui a été adressée, le demandeur se refuse à communiquer les mails de la BNP PARIBAS concernant les demandes d’ajout de bénéficiaire qu’il a admis avoir reçu dans sa plainte. Elle remarque que les virements ont pu être réalisés également au moyen de la clé digitale et que M. [J] a permis au fraudeur d’enrôler la clé digitale sur son propre téléphone. Elle considère que les opérations litigieuses ont été effectuées au moyen d’une authentification forte. Elle en conclut que M. [J] a commis une négligence grave à l’origine de son préjudice en ne préservant pas la confidentialité de ses données personnelles.

Conformément aux dispositions de l’article 455 du code de procédure civile, il est fait expressément référence aux écritures des parties visées ci-dessus quant à l’exposé de leurs moyens.

L’ordonnance de clôture est intervenue le 28 avril 2025.

MOTIFS

Sur la demande de remboursement des virements litigieux

L’article L. 133-7 alinéa 1 du code monétaire et financier dispose que « Le consentement est donné sous la forme convenue entre le payeur et son prestataire de services de paiement. (…) En l’absence d’un tel consentement, l’opération ou la série d’opérations de paiement est réputée non autorisée ».

L’article L.133-18 alinéa 1 du code monétaire et financier, dans sa rédaction applicable au litige, dispose que : « En cas d’opération de paiement non autorisée signalée par l’utilisateur dans les conditions prévues à l’article L. 133-24, le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, sauf s’il a de bonnes raisons de soupçonner une fraude de l’utilisateur du service de paiement et s’il communique ces raisons par écrit à la Banque de France. Le cas échéant, le prestataire de services de paiement du payeur rétablit le compte débité dans l’état où il se serait trouvé si l’opération de paiement non autorisée n’avait pas eu lieu. »

En cas d’opération de paiement non autorisée signalée par l’utilisateur dans les délais prévus par l’article L. 133-24 du même code, le prestataire de services de paiement du payeur rembourse à ce dernier le montant de l’opération non autorisée sauf s’il a de bonnes raisons de soupçonner une fraude de l’utilisateur du service de paiement.

Dans cette hypothèse, il incombe au prestataire de paiement de prouver que l’opération litigieuse a été effectuée après une authentification forte, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre, l’utilisation de l’instrument de paiement telle qu’enregistrée par le prestataire de services de paiement, à savoir l’utilisation des identifiants du client et l’absence de déficience technique ou autre, notamment par le biais de la production d’un relevé de ses connexions, ne suffisant pas nécessairement en tant que telle à prouver que l’opération a été autorisée par le payeur.

L’article L. 133-4 (f) du même code précise qu’une authentification forte s’entend d’une authentification reposant sur l’utilisation de deux éléments ou plus appartenant aux catégories « connaissance » (quelque chose que seul l’utilisateur connaît telle qu’un mot de passe, un code secret, une question secrète, etc…), « possession » (quelque chose que seul l’utilisateur possède telle qu’un téléphone portable, une montre connectée, une clé USB etc…) et « inhérence » (quelque chose que l’utilisateur est, telle que la reconnaissance faciale ou vocale, la reconnaissance par empreinte digitale, etc…) et indépendants en ce sens que la compromission de l’un ne remet pas en question la fiabilité des autres, et qui est conçue de manière à protéger la confidentialité des données d’authentification. L’authentification forte repose donc sur l’utilisation de deux de ces éléments, voire plus.

Par ailleurs, la responsabilité du payeur n’est pas engagée si l’opération de paiement non autorisée a été effectuée en détournant, à son insu, l’instrument de paiement ou les données qui lui sont liées.

Cependant, il supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’agissements frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L.133-16 et L.133-17 du code précité.

Ainsi, pour échapper au remboursement de l’opération contestée, le prestataire de services de paiement doit démontrer, soit que l’ordre émanait bel et bien du client dûment authentifié dans son espace personnel, soit que le vol des identifiants de connexion (ou d’autres données) n’est que la conséquence d’une faute grave de sa part consistant à ne pas avoir satisfait intentionnellement aux obligations lui incombant en la matière ou à les avoir gravement négligées.

En l’espèce, il n’est pas discuté que les opérations litigieuses n’ont pas été autorisées par le requérant.

Les virements contestés ont été exécutés selon une procédure d’authentification forte au sens des textes précités mais M. [J] soutient avoir été victime d’une escroquerie par le biais d’hameçonnage.

Il appartient donc à la BNP PARIBAS d’apporter la preuve que les virements contestés ont été exécutés par suite du manquement intentionnel ou provoqué par une négligence grave du titulaire du compte à son obligation de prendre toute mesure raisonnable pour préserver la sécurité des dispositifs de sécurité personnalisés d’accès au compte bancaire sur lequel les virements ont été opérés.

Il ressort de la plainte du 3 février 2023 que :

— M. [J] a été destinataire, le 22 janvier 2023, d’un SMS de Crit’air contenant un lien ;

— Il admet s’être connecté sur ce lien, complétant ses coordonnées bancaires et réglant 2,35 euros sur ce site ;

— Il a reçu, le 27 janvier 2023, un appel téléphonique d’une personne se présentant comme appartenant au service anti-fraude de sa banque, lui signalant des opérations suspectes sur ses comptes bancaires, caractérisées par des connexions à [Localité 6], [Localité 5] et en Chine ;

— Il souligne que son interlocuteur lui a demandé de changer son mot de passe sans le dire à haute voix, ce qu’il reconnait avoir fait ;

— Son interlocuteur lui a dit qu’un virement devait être effectué sur un compte ouvert à son nom aux fins de bénéficier d’une nouvelle carte bancaire ;

— Deux virements d’un montant respectif de 7500 euros et 2000 euros ont été exécutés avec des bénéficiaires au nom de M. [J] ;

— M. [J] a en sa possession les mails reçus par la BNP PARIBAS concernant les demandes d’ajout de bénéficiaire qu’il n’a pas effectuées ;

— Le 3 février 2023, après avoir constaté qu’il ne pouvait pas ajouter un bénéficiaire, M. [J] a pris l’attache de son établissement bancaire.

C’est à tort que M. [J] soutient avoir été légitimement mis en confiance par le fraudeur, se prévalant à cet égard d’un arrêt de la cour d’appel de Versailles du 28 mars 2023. En effet, dans les faits ayant donné lieu à cet arrêt, la victime, lors de l’appel du fraudeur, croyait être en relation avec sa conseillère financière de la BNP PARIBAS, puisqu’elle avait préalablement enregistré ce numéro, de sorte que s’est affiché sur son portable le nom de cette conseillère lorsqu’elle a été contactée.

Or, en l’espèce, il n’est pas démontré que lorsque M. [J] a été contacté téléphoniquement, il a immédiatement, et non a posteriori, su qu’il s’agissait du numéro de son agence bancaire, faisant d’ailleurs état sur ce point d’une recherche sur internet permettant de vérifier le service attribué à ce numéro, à savoir le service d’opposition de la BNP PARIBAS. A l’occasion de cet appel, M. [J] a pourtant modifié, à la demande son interlocuteur, son mot de passe et validé la demande d’ajout d’un bénéficiaire.

En outre, le processus frauduleux n’a nullement débuté par cet appel téléphonique, mais par l’envoi d’un lien par SMS, supposément du site Crit’Air, sur lequel M. [J] a cliqué, communiquant alors ses coordonnées bancaires, sans vérifier au préalable sur le site officiel « Crit’Air » s’il lui incombait effectivement de renouveler un « certificat qualité de l’air » et si le coût de cette démarche était réellement de 2,35 euros.

Sont donc caractérisées des négligences graves de M. [J], s’opposant à sa demande de remboursement des opérations non autorisées.

M. [J] sera par conséquent débouté de ses demandes.

Sur l’obligation de vigilance

Dès lors que la responsabilité d’un prestataire de services de paiement est recherchée en raison d’une opération de paiement non autorisée ou mal exécutée, seul est applicable le régime de responsabilité défini aux articles L. 133-18 à L. 133-24 du code monétaire et financier, à l’exclusion de tout régime alternatif de responsabilité résultant du droit national. (Com., 27 mars 2024, pourvoi n° 22-21.200)

En l’espèce, il n’est pas contesté par les parties que les opérations litigieuses n’ont pas été autorisées par M. [J].

Dans ces conditions, seul est applicable le régime de responsabilité défini aux articles L.133-18 à L.133-24 du code monétaire et financier.

Il en résulte que les demandes de M. [J] fondées sur le manquement de la banque à son obligation de vigilance seront rejetées.

Sur les demandes accessoires

Partie perdante au procès, M. [J] sera condamné aux dépens.

Pour ce motif, M. [J] sera débouté de sa demande formée au titre de l’article 700 du code de procédure civile.

L’équité commande de condamner M. [J] à régler à la BNP PARIBAS la somme de 2500 euros au titre des frais irrépétibles.

La présente décision est revêtue de droit de l’exécution provisoire conformément à l’article 514 du code de procédure civile dans sa version applicable dès le 1er janvier 2020. Aucun élément ne commande de l’écarter.

PAR CES MOTIFS

Le tribunal, statuant publiquement, contradictoirement et en premier ressort, par mise à disposition au greffe,

DÉBOUTE M. [G] [J] de ses demandes ;

CONDAMNE M. [G] [J] à régler à la BNP PARIBAS la somme de 2500 euros au titre de l’article 700 du code de procédure civile ;

CONDAMNE M. [G] [J] aux dépens ;

RAPPELLE que l’exécution provisoire de la présente décision est de droit.

Fait et jugé à [Localité 7] le 27 Octobre 2025.

LA GREFFIERE LA PRÉSIDENTE