Tribunal Judiciaire de Paris, 9e chambre 1re section, 8 juin 2026, n° 25/01643

TJ Paris 8 juin 2026

Résumé par Doctrine IA

Madame [N] [G] veuve [U] demandait le remboursement de 15 000 euros détournés de son compte bancaire par virement frauduleux, ainsi que des dommages et intérêts pour préjudice moral. Elle soutenait avoir été victime d'une escroquerie par "spoofing" téléphonique, où un tiers se faisant passer pour un employé de la banque l'aurait amenée à effectuer des manipulations frauduleuses.

La SA BNP PARIBAS contestait sa responsabilité, arguant que la cliente avait commis une négligence grave en divulguant des informations confidentielles et en permettant l'enrôlement de sa clé digitale sur le téléphone du fraudeur. La banque affirmait que l'opération avait été effectuée avec une authentification forte, rendant la cliente responsable des pertes.

Le tribunal a débouté Madame [N] [G] veuve [U] de ses demandes, considérant qu'elle avait fait preuve d'une négligence grave en suivant les instructions du fraudeur et en divulguant des informations personnelles. La banque n'a donc pas été tenue de rembourser les sommes détournées, et la cliente a été condamnée aux dépens et au paiement de frais de justice.

Le contenu a été généré à l’aide de l’intelligence artificielle. Pensez à vérifier son exactitude.

Commentaire • 0

Augmentez la visibilité de votre blog juridique : vos commentaires d’arrêts peuvent très simplement apparaitre sur toutes les décisions concernées.

Sur la décision

Référence :	TJ Paris, 9e ch. 1re sect., 8 juin 2026, n° 25/01643
Numéro(s) :	25/01643
Importance :	Inédit
Dispositif :	Déboute le ou les demandeurs de l'ensemble de leurs demandes
Date de dernière mise à jour :	17 juin 2026
Lire la décision sur le site de la juridiction

Sur les parties

Avocat(s) :	Maude HUPINDominique PENIN
Cabinet(s) :	MORGAN LEWIS & BOCKIUS UK LLP
Parties :	S.A. BNP PARIBAS

Texte intégral

TRIBUNAL

JUDICIAIRE

DE PARIS [1]

[1]

Copies délivrées le 08/06/2026 à :

M^e HUPIN (G0625) CCC

M^e PENIN (J0011) CE

■

9ème chambre 1ère section

N° RG :

N° RG 25/01643 – N° Portalis 352J-W-B7J-C63DB

N° MINUTE :

JUGEMENT

rendu le 08 Juin 2026

DEMANDERESSE

Madame [N] [G] veuve [U]

[Adresse 1]

[Localité 1]

représentée par Maître Maude HUPIN, avocat au barreau de PARIS, vestiaire #G0625

DÉFENDERESSE

S.A. BNP PARIBAS

[Adresse 2]

[Localité 2]

représentée par Maître Dominique PENIN du PARTNERSHIPS MORGAN LEWIS & BOCKIUS UK LLP, avocat au barreau de PARIS, vestiaire #J11

Décision du 08 Juin 2026

9ème chambre 1ère section

N° RG 25/01643 – N° Portalis 352J-W-B7J-C63DB

COMPOSITION DU TRIBUNAL

Madame Anne-Cécile SOULARD, Vice-présidente

Madame Marine PARNAUDEAU, Vice-présidente

Monsieur Patrick NAVARRI, Vice-président

assistés de Madame Camille CHAUMONT, Greffière,

DÉBATS

A l’audience du 23 Mars 2026 tenue en audience publique devant Madame PARNAUDEAU, juge rapporteur, qui, sans opposition des avocats, a tenu seule l’audience, et, après avoir entendu les conseils des parties, en a rendu compte au Tribunal, conformément aux dispositions de l’article 805 du Code de Procédure Civile, avis a été donné aux avocats que la décision serait rendue le 8 juin 2026.

JUGEMENT

Rendu publiquement par mise à disposition au greffe

Contradictoire

En premier ressort

EXPOSÉ DU LITIGE

Madame [N] [G] veuve [U] est titulaire d’un compte bancaire ouvert dans les livres de la SA BNP PARIBAS.

Un virement d’un montant de 15 000 euros était émis depuis le compte de Madame [N] [G] veuve [U] au profit d’un tiers bénéficiaire, " [T] ", le 20 mai 2024 à 00h59.

Le 23 mai 2024, la SA BNP PARIBAS l’avisait d’un soupçon de fraude.

Madame [N] [G] veuve [U], déposait plainte pour escroquerie le 24 mai 2024 auprès du commissariat de [Localité 3].

Elle contestait l’opération frauduleuse et sollicitait le remboursement des sommes détournées suivant lettre RAR de conseil en date du 15 juillet 2024.

La SA BNP PARIBAS refusait de lui rembourser l’opération contestée.

Par acte du 30 janvier 2025 Madame [N] [G] veuve [U] a fait assigner la SA BNP PARIBAS devant la présente juridiction en responsabilité et indemnisation.

Dans ses dernières conclusions communiquées par voie électronique le 23 octobre 2025, Madame [N] [G] veuve [U] demande au tribunal, sous bénéfice de l’exécution provisoire, de :

— CONDAMNER la SA BNP PARIBAS au paiement de la somme de 15 000 euros à Madame [N] [G] veuve [U] en remboursement des sommes détournées, avec intérêts au taux légal majorés de 15 points à compter du 21 juin 2024 ;

— CONDAMNER la SA BNP PARIBAS au paiement de la somme de 4 000 euros à Madame [N] [G] veuve [U] au titre du préjudice moral ;

— DEBOUTER la SA BNP PARIBAS de ses demandes ;

— CONDAMNER la SA BNP PARIBAS au paiement de la somme de 3 500 euros au titre de l’article 700 du code de procédure civile ainsi qu’aux dépens de l’instance.

Madame [N] [G] veuve [U] fait valoir qu’elle a reçu, le 16 mai 2024, en journée, un SMS depuis un numéro qu’elle dit avoir identifié comme étant celui de sa banque, l’invitant à vérifier le fonctionnement de sa clé digitale. Elle indique avoir été contactée, le lendemain, à deux reprises par un tiers se présentant comme travaillant au sein du service anti-fraude de sa banque et utilisant un numéro de téléphone de son établissement bancaire. Elle précise que lors du premier appel, ce tiers lui a demandé d’aller au bout du processus démarré la veille et lui a indiqué qu’il allait l’aider à finaliser la procédure. Elle expose avoir informé son interlocuteur de la nécessité d’effectuer un virement avant le blocage de sa clé digitale, ce qui lui a permis de contacter sa banque dans l’intervalle, laquelle lui a indiqué qu’aucune fraude n’était en cours. Rappelée, ensuite, par son interlocuteur, l’intéressée indique avoir activé sa clé digitale, sans avoir procédé à d’autres opérations ni divulgué d’informations personnelles (identifiant, ou code personnel d’accès à ses comptes).

La demanderesse prétend avoir été mise en confiance par ce tiers pour effectuer les manipulations requises. Elle entend se prévaloir de l’arrêt de la Cour de cassation du 23 octobre 2024, dans un cas similaire de « spoofing », où la banque a été condamnée à rembourser les opérations de paiement non autorisées. Elle ajoute qu’entre les deux appels frauduleux, elle a appelé sa conseillère bancaire qui l’a rassurée sur la normalité des faits rapportés et qu’elle a averti la banque dans le délai imparti. Elle estime donc n’avoir commis aucune négligence grave, alors que du fait de ce « spoofing » dont elle a été victime, sa vigilance a été légitiment atténuée.

Elle affirme que la banque ne prouve aucunement la moindre négligence grave de sa cliente ayant permis la réalisation de la fraude et encore moins l’authentification forte des opérations car elle ne communique aucun des SMS qu’elle lui aurait prétendument envoyés.

Elle relate avoir reçu un appel émanant du même numéro, d’un individu se présentant comme un salarié de la SA BNP PARIBAS, le lendemain, 17 mai 2024 à 17h00, lui demandant d’activer sa clé digitale afin de finaliser le processus de vérification.

Par conclusions communiquées par voie électronique le 28 juillet 2025, la SA BNP PARIBAS demande au tribunal de :

A TITRE PRINCIPAL,

— DEBOUTER Madame [N] [G] veuve [U] de ses demandes ;

A TITRE SUBSIDIAIRE,

— CONDAMNER la SA BNP PARIBAS aux pénalités de retard à compter du prononcé de la décision à intervenir ;

— ECARTER l’exécution provisoire en faveur de Madame [N] [G] VEUVE [U] ;

EN TOUT ETAT DE CAUSE,

— CONDAMNER Madame [N] [G] VEUVE [U] à lui payer la somme de 2 500 euros au titre de l’article 700 du code de procédure civile et aux dépens de l’instance.

La banque réfute le « spoofing » arguant que la demanderesse ne justifie pas avoir été appelée par un numéro attribué à BNP PARIBAS.

La banque fait valoir que le seul fait que la cliente ait été victime d’un « spoofing » n’exclut pas sa négligence grave qui doit être appréciée in concreto rappelant que les faits étaient antérieurs à la loi numéro 2020- 901 du 24 juillet 2020 dite « NAEGELEN » adoptée pour lutter contre le « spoofing » et sont intervenus à une période où les utilisateurs n’étaient pas encore sensibilisés sur les risques et mode opératoire en matière de fraude. Elle précise avoir alerté ses clients sur le risque de « spoofing » à compter de décembre 2022 via son site internet.

La banque considère que les opérations litigieuses ont été effectuées au moyen d’une authentification forte. Elle observe que la clé digitale a été transférée et enrôlée sur le téléphone du fraudeur le 17 mai 2024 à 16h03, que le RIB du bénéficiaire du virement litigieux a été ajouté le 18 mai 2024 à 20h01 et que le virement de 15 000 euros a été ordonné et validé par clé digitale le 20 mai 2024 à 00h59.

La banque soutient qu’il convient de l’exonérer de son obligation de remboursement en raison des négligences graves commises par Madame [N] [G] veuve [U]. Elle remarque que le virement a pu être réalisé au moyen de la clé digitale et que la cliente a permis au fraudeur d’enrôler la clé digitale sur son propre téléphone. Elle considère qu’en agissant ainsi la cliente a commis une négligence grave à l’origine de son préjudice en ne préservant pas la confidentialité de ses données personnelles.

La SA BNP PARIBAS conclut par ailleurs à l’impossibilité pour Madame [N] [G] veuve [U] d’obtenir l’indemnisation d’un préjudice moral, le régime de responsabilité des prestataires de services de paiement à l’égard de l’utilisateur en cas d’opérations non autorisées prévues par le code monétaire et financier étant exclusif de tout autre régime de responsabilité.

Conformément à l’article 455 du code de procédure civile il est renvoyé aux écritures susvisées pour l’exposé complet des prétentions respectives des parties et de leurs moyens.

La clôture de l’instruction a été prononcée le 19 janvier 2026.

MOTIFS DE LA DECISION

Sur la demande de remboursement de l’opération de paiement non autorisée

L’article L. 133-7 alinéa 1 du code monétaire et financier dispose que « Le consentement est donné sous la forme convenue entre le payeur et son prestataire de services de paiement. (…) En l’absence d’un tel consentement, l’opération ou la série d’opérations de paiement est réputée non autorisée ».

L’article L.133-18 alinéa 1 du code monétaire et financier, dans sa rédaction applicable au litige, dispose que : « En cas d’opération de paiement non autorisée signalée par l’utilisateur dans les conditions prévues à l’article L. 133-24, le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, sauf s’il a de bonnes raisons de soupçonner une fraude de l’utilisateur du service de paiement et s’il communique ces raisons par écrit à la Banque de France. Le cas échéant, le prestataire de services de paiement du payeur rétablit le compte débité dans l’état où il se serait trouvé si l’opération de paiement non autorisée n’avait pas eu lieu. »

En cas d’opération de paiement non autorisée signalée par l’utilisateur dans les délais prévus par l’article L. 133-24 du même code, le prestataire de services de paiement du payeur rembourse à ce dernier le montant de l’opération non autorisée sauf s’il a de bonnes raisons de soupçonner une fraude de l’utilisateur du service de paiement.

Dans cette hypothèse, il incombe au prestataire de paiement de prouver que l’opération litigieuse a été effectuée après une authentification forte, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre, l’utilisation de l’instrument de paiement telle qu’enregistrée par le prestataire de services de paiement, à savoir l’utilisation des identifiants du client et l’absence de déficience technique ou autre, notamment par le biais de la production d’un relevé de ses connexions, ne suffisant pas nécessairement en tant que telle à prouver que l’opération a été autorisée par le payeur.

L’article L. 133-4 (f) du même code précise qu’une authentification forte s’entend d’une authentification reposant sur l’utilisation de deux éléments ou plus appartenant aux catégories « connaissance » (quelque chose que seul l’utilisateur connaît telle qu’un mot de passe, un code secret, une question secrète, etc…), « possession » (quelque chose que seul l’utilisateur possède telle qu’un téléphone portable, une montre connectée, une clé USB etc…) et « inhérence » (quelque chose que l’utilisateur est, telle que la reconnaissance faciale ou vocale, la reconnaissance par empreinte digitale, etc…) et indépendants en ce sens que la compromission de l’un ne remet pas en question la fiabilité des autres, et qui est conçue de manière à protéger la confidentialité des données d’authentification. L’authentification forte repose donc sur l’utilisation de deux de ces éléments, voire plus.

Par ailleurs, la responsabilité du payeur n’est pas engagée si l’opération de paiement non autorisée a été effectuée en détournant, à son insu, l’instrument de paiement ou les données qui lui sont liées. Cependant, il supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’agissements frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L.133-16 et L.133-17 du code précité.

Ainsi, pour échapper au remboursement de l’opération contestée, le prestataire de services de paiement doit démontrer, soit que l’ordre émanait bel et bien du client dûment authentifié dans son espace personnel, soit que le vol des identifiants de connexion (ou d’autres données) n’est que la conséquence d’une faute grave de sa part consistant à ne pas avoir satisfait intentionnellement aux obligations lui incombant en la matière ou à les avoir gravement négligées.

Dès lors que la responsabilité d’un prestataire de services de paiement est recherchée en raison d’une opération de paiement non autorisée ou mal exécutée, seul est applicable le régime de responsabilité défini aux articles L. 133-18 à L. 133-24 du code monétaire et financier, à l’exclusion de tout régime alternatif de responsabilité résultant du droit national (Com., 27 mars 2024, pourvoi n° 22-21.200).

En l’espèce, il n’est pas contesté que l’opération financière litigieuse n’a pas été autorisée par Madame [N] [G], veuve [U].

En l’espèce, il ressort de l’exploitation des traces informatiques recueillies par la banque que :

— Le 17 mai 2024 à 16:01, Madame [N] [G] veuve [U] s’est connectée à son espace client ;

— Le 17 mai 2024 à 16:02, une demande d’enrôlement d’une clé digitale a été initiée depuis l’appareil I Phone " de [N] " dont le numéro de mobile est le [XXXXXXXX01], ligne orange, appartenant à Madame [N] [G] et déclaré comme appareil de confiance auprès de la banque ;

— Le 17 mai 2024 à 16:03, une nouvelle clé digitale est enrôlée sur l’appareil du tiers fraudeur, après la composition du code confidentiel envoyé par SMS sur le téléphone de l’intéressée ;

— Le 18 mai 2024 à 20:01, un nouveau RIB est ajouté et le compte bénéficiaire activé ;

— Le 20 mai 2024 à 00:58, une demande de virement SEPA est initiée depuis un nouvel appareil Bouygues ;

— Le 20 mai 2024 à 00:59, le virement est exécuté après validation par la clé digitale, c’est-à-dire en utilisant le code confidentiel envoyé sur l’appareil de confiance.

Contrairement à ce que soutient la banque, la validation du bénéficiaire tiers a été authentifiée depuis l’appareil de confiance de Madame [N] [G] veuve [U] (ligne orange) le 18 mai 2024 (et non pas le 17 mai) et validée par clé digitale.

Le virement frauduleux a été passé via l’interface internet depuis l’appareil utilisé par le fraudeur (ligne Bouygues) et validé par clé digitale.

L’activation de la clé digitale sur le nouvel appareil du fraudeur s’est opérée par un SMS envoyé au numéro de l’appareil de confiance appartenant à la cliente, nécessitant une action de sa part.

Ces copies d’écran, issues du système informatique de la banque, doivent être regardées comme un commencement de preuve dès lors que, d’une part, la partie adverse dispose de toute latitude pour en contester les termes et que, d’autre part, il s’agit des seuls documents justificatifs dont peut valablement disposer l’établissement bancaire. Dénier toute valeur probante, même relative, aux pièces fournies par l’établissement bancaire reviendrait, de fait, à priver ce dernier de toute possibilité de prouver l’authentification et l’enregistrement des opérations litigieuses.

Les données informatiques communiquées par la SA BNP PARIBAS (pièce n°1) démontrent que l’opération de virement litigieuse a fait l’objet d’une authentification forte reposant sur deux éléments indépendants et conformes : un élément de possession, le téléphone de la cliente et un élément de connaissance, le code secret de validation de la clef digitale. Cette authentification forte prouve également que le virement en question a été dûment enregistré et comptabilisé et n’était pas affecté par une déficience technique, sauf à ce que la demanderesse rapporte la preuve contraire, ce qu’elle s’abstient de faire.

Il appartient donc à la BNP PARIBAS d’apporter la preuve que les virements contestés ont été exécutés par suite du manquement intentionnel ou provoqué par une négligence grave du titulaire du compte à son obligation de prendre toute mesure raisonnable pour préserver la sécurité des dispositifs de sécurité personnalisés d’accès au compte bancaire sur lequel le virement a été opéré.

Cependant, il ne peut se déduire du seul fait que l’instrument de paiement et/ou les données personnelles qui lui sont liées ont été effectivement utilisés qu’en l’espèce, Madame [N] [G] veuve [U] a autorisé l’opération contestée.

Il ressort de la plainte du 24 mai 2024 que :

— Elle a reçu un SMS de sa banque l’invitant à vérifier le bon fonctionnement de sa clé digitale,

— Le tiers a mis en confiance Madame [N] [G] veuve [U] lors de ses deux appels téléphoniques,

— Lors du premier appel, elle indique avoir été rassurée d’être épaulée pour effectuer les manipulations requises,

— Lors du second appel téléphonique, elle s’est connectée à son application en ligne, a activé sa clé digitale à la demande de son interlocuteur qui lui indiquait que cette action permettait de vérifier si tout fonctionnait,

Décision du 08 Juin 2026

9ème chambre 1ère section

N° RG 25/01643 – N° Portalis 352J-W-B7J-C63DB

— L’intéressée affirme avoir eu accès à ses comptes puis avoir fermé aussitôt l’application sans effectuer une autre opération.

Si Madame [N] [G] veuve [U] conteste avoir communiqué des informations personnelles et confidentielles à son interlocuteur et si elle ne donne aucune indication sur l’action qu’elle a accomplie lors de la réception du SMS litigieux, elle admet cependant avoir suivi l’intégralité des instructions émanant de son interlocuteur lors des deux appels et permis à ce tiers d’avoir accès à son espace en ligne (« il m’affirme être en train de faire le nécessaire et que je devais activer ma clef digitale pour voir si tout fonctionne ») grâce à l’enrôlement d’un nouvel appareil de confiance, ce dont il se déduit qu’elle a nécessairement à cette occasion transmis à son insu ses données de sécurité personnalisées bancaires, ce qui constitue une première négligence, la banque n’envoyant jamais de SMS au particulier pour demander à ses clients de vérifier le bon fonctionnement de la clé digitale qui est un mode d’authentification forte. La teneur des propos énoncés par ce tiers fraudeur ont éveillé l’attention et la prudence de Madame [N] [G] veuve [U] dès lors que d’une part, le premier appel a pris fin quand elle a indiqué à ce tiers qu’elle devait effectuer un virement alors qu’il venait de lui indiquer qu’elle ne pourrait pas utiliser sa clé digitale durant 3 à 4 jours et d’autre part, qu’après le premier appel litigieux, l’intéressée a pris l’attache de sa conseillère bancaire pour s’assurer de l’absence de fraude. Or, la vérification du bon fonctionnement d’une clé digitale suppose nécessairement que celle-ci ait été préalablement activée, rendant ainsi totalement inutile l’action requise par le fraudeur, à savoir l’activation de la clé digitale. De même, les messages d’alerte de la banque relativement aux fraudes, sont diffusés régulièrement depuis le mois de décembre 2022.

Si Madame [N] [G] veuve [U] affirme avoir été victime d’une escroquerie de type « spoofing téléphonique », elle ne produit aucun journal d’appel justifiant qu’elle ait reçu un SMS ni été appelée depuis le numéro de sa banque, dont elle avait pourtant préalablement enregistré le numéro sur son téléphone portable, et ce alors même que la banque justifie avoir sollicité la preuve de ces allégations.

Madame [N] [G] veuve [U] ne saurait dès lors se prévaloir de la solution adoptée par la chambre commerciale de la Cour de cassation dans un arrêt du 23 octobre 2024 et d’un arrêt de la cour d’appel de Versailles du 28 mars 2023 dont les faits d’espèce diffèrent en ce que le client avait été contacté avec le numéro de téléphone affiché de sa conseillère clientèle, la simple mise en confiance de l’intéressée par le fraudeur au regard de la teneur des informations bancaires confidentielles qu’il lui a communiquées étant insuffisante à justifier le manque de vigilance de l’intéressée et à l’exonérer automatiquement de toute responsabilité, et ce d’autant plus au regard des instructions données par son interlocuteur quant à à la vérification du bon fonctionnement de sa clé digitale.

Par ailleurs, si la requérante soutient avoir contacté sa conseillère bancaire le 17 mai 2024 afin de lui exposer le déroulement des faits,à savoir la réception du SMS puis l’appel du fraudeur, et que celle-ci lui aurait indiqué que ce processus était normal, elle produit certes un journal d’appel mentionnant un appel le 17 mai 2024 à 17h49, mais ne justifie pas que ce numéro est bien celui de sa conseillère bancaire.

Il ressort des pièces communiquées aux débats et du processus susvisé que la requérante a nécessairement divulgué des informations confidentielles ayant permis au fraudeur d’enregistrer son téléphone comme appareil de confiance et de valider l’opération de virement litigieuse à l’aide du code. Ainsi en suivant les instructions d’un tiers dont elle ne démontre pas avoir vérifié la qualité Madame [N] [G] veuve [U] a fait preuve d’une négligence compromettant la sécurité de ces données de sécurité personnalisées et revêtant ainsi un caractère grave au sens de l’article L 133-19 IV qui prive la demanderesse de son droit à remboursement

La négligence grave de la cliente est donc constituée de sorte qu’il convient de la débouter de sa demande de remboursement.

En l’absence de responsabilité de la banque, la demande de Madame [N] [G] veuve [U] au titre du préjudice moral sera également rejetée.

Sur les autres demandes

Partie perdante au procès, Madame [N] [G] veuve [U] sera condamnée aux dépens.

Pour ce motif, Madame [N] [G] veuve [U] sera déboutée de sa demande formée au titre de l’article 700 du code de procédure civile.

L’équité commande de condamner Madame [N] [G] veuve [U] à régler à la SA BNP PARIBAS la somme de 2500 euros au titre des frais irrépétibles.

La présente décision est revêtue de droit de l’exécution provisoire conformément à l’article 514 du code de procédure civile dans sa version applicable dès le 1er janvier 2020. Aucun élément ne commande de l’écarter.

PAR CES MOTIFS

Le tribunal, statuant publiquement par jugement contradictoire, en premier ressort et par mise à disposition au greffe,

DEBOUTE Madame [N] [G] veuve [U] de l’ensemble de ses demandes ;

CONDAMNE Madame [N] [G] veuve [U] à payer à la SA BNP PARIBAS la somme de 2 500 euros au titre de l’article 700 du code de procédure civile ;

CONDAMNE Madame [N] [G] veuve [U] aux dépens.

RAPPELLE que l’exécution provisoire de la présente décision est de droit.

Fait et jugé à Paris, le 08 Juin 2026.

La Greffière Le Président