TRIBUNAL

JUDICIAIRE

DE PARIS [1]

[1]

Copies délivrées le 04/05/2026 à :

M^e GIRAUD–HANIN (L0009) CCC

M^e TARDIEU-CONFAVREUX (R0010) CE

■

9ème chambre 1ère section

N° RG :

N° RG 24/09277 – N° Portalis 352J-W-B7I-C5JLW

N° MINUTE :

JUGEMENT

rendu le 04 Mai 2026

DEMANDERESSE

Madame [Y] [E]

[Adresse 1]

[Localité 1]

représentée par Maître Antoine GIRAUD -- HANIN, avocat au barreau de PARIS, vestiaire #L0009

DÉFENDERESSE

S.A. CREDIT LYONNAIS

[Adresse 2]

[Localité 2]

représentée par Maître Magali TARDIEU-CONFAVREUX de l’AARPI TARDIEU GALTIER LAURENT DARMON associés, avocat au barreau de PARIS, vestiaire #R0010

Décision du 04 Mai 2026

9ème chambre 1ère section

N° RG 24/09277 – N° Portalis 352J-W-B7I-C5JLW

COMPOSITION DU TRIBUNAL

Madame Anne-Cécile SOULARD, Vice-présidente

Madame Marine PARNAUDEAU, Vice-présidente

Monsieur Patrick NAVARRI, Vice-président

assistés de Madame Chloé DOS SANTOS, Greffière lors des débats, et de Camille CHAUMONT, Greffière lors de la mise à disposition,

DÉBATS

A l’audience du 16 Février 2026 tenue en audience publique devant Madame PARNAUDEAU, juge rapporteur, qui, sans opposition des avocats, a tenu seule l’audience, et, après avoir entendu les conseils des parties, en a rendu compte au Tribunal, conformément aux dispositions de l’article 805 du Code de Procédure Civile, Avis a été donné aux avocats que la décision serait rendue le 4 mai 2026.

JUGEMENT

Rendu publiquement par mise à disposition au greffe

Contradictoire

En premier ressort

EXPOSE DU LITIGE

Mme [Y] [E] a ouvert un compte courant dans les livres de la société LCL.

Le 1er avril 2024, Mme [E] a cliqué sur le lien contenu dans un SMS ayant pour expéditeur apparent AMELI et complété les renseignements demandés pour l’obtention d’une nouvelle carte vitale – demande possible jusqu’au 25 septembre 2024 – et le prétendu règlement des frais d’envoi de cette carte par l’option Chronopost à hauteur de 1,90 euros.

Le 2 avril 2024 à 19h18, elle recevait un appel d’une ligne mobile, d’une personne se présentant comme appartenant au service anti-fraude de sa banque la société LCL, M. [Z] [Q], l’informant de l’exécution en cours d’opérations frauduleuses et lui proposant d’effectuer diverses manipulations sur son espace en ligne. Le 3 avril 2024, ce tiers la recontactait à 10h51, 14h09 et 17h40, aux fins de lui demander, dans le dessein de faire opposition, d’effectuer des virements et de remettre l’ensemble de ses cartes bancaires à un coursier qui viendrait les récupérer à son domicile. Elle reconnaissait avoir ainsi restitué ses trois cartes bancaires (LCL, AMERICAN EXPRESS et SOCIETE GENERALE) le jour même à un individu s’étant présenté en bas de son immeuble.

Six opérations financières, consistant en un retrait d’espèces, des achats en ligne et des paiements par carte bancaire, étaient réalisées depuis son compte bancaire LCL pour un montant total de 9 715,83 euros :

—  02/04/2024 : 2 247,98 euros (MGP MALT)

—  02/04/2024 : 2 997,98 euros (MGP MALT)

—  02/04/2024 : 2 149,38 euros (MGP MALT)

—  03/04/2024 : 1 818,99 euros (FNAC)

—  03/04/2024 : 1,50 euros (FNAC)

—  03/04/2024 : Retrait DAB 500 euros.

Ayant contacté le 4 avril 2024 son conseiller bancaire auprès de la SOCIETE GENERALE, ce dernier l’informait qu’elle avait été victime d’une fraude. Mme [E] déposait plainte du chef d’escroquerie.

Elle prenait l’attache de sa banque, le LCL, le 8 avril 2024 afin de contester lesdites opérations le 11 janvier 2023.

Mme [E] se heurtait au refus de la société CREDIT LYONNAIS de procéder au remboursement des opérations financières litigieuses.

Par trois actes des 9 et 10 juillet 2024, Mme [E] a fait assigner la société CREDIT LYONNAIS devant la présente juridiction en responsabilité et en indemnisation.

Par dernières conclusions récapitulatives communiquées par voie électronique le 11 septembre 2025, Mme [E] demande au tribunal, au visa des articles L. 133-3, L. 133-6, L. 133-18, L. 133-19, L. 133-23 et L. 133-24 du code monétaire et financier et des articles 1217, 1231-1 et 1937 du code civil, de :

À titre principal

— DIRE ET JUGER que les opérations de paiement référencées « MGP*Malt » pour un montant de 2.997,98 euros, « MGP*Malt » pour un montant de 2.247,98 euros, « MGP*Malt » pour un montant de 2.149,38 euros, « FNAC » pour un montant de 1.818,99 euros, « FNAC » pour un montant de 1,50 euros et « CB Retrait du 03/04 [Localité 3] » pour un montant de 500 euros exécutées au débit du compte bancaire numéroté n°[XXXXXXXXXX01], sont des opérations de paiement non autorisées au sens de l’article L.133-18 du Code monétaire et financier ;

En conséquence,

— CONDAMNER la société Crédit Lyonnais à rembourser à Madame [Y] [E] le montant total de ces six opérations de paiement non autorisées, soit la somme totale de 9.715,83 euros, avec intérêts de retard au taux légal majoré de cinq points du 9 avril 2024 au 16 avril 2024, de dix points du 17 avril 2024 au 9 mai 2024, de quinze points du 10 mai 2024 à la date du jugement ;

À titre subsidiaire

— DIRE ET JUGER que la société Crédit Lyonnais a manqué à son devoir général de vigilance dans l’exécution de ses obligations contractuelles à l’égard de Mme [Y] [E] en exécutant les opérations de paiement référencées « MGP*Malt » pour un montant de 2.997,98 euros, « MGP*Malt » pour un montant de 2.247,98 euros, « MGP*Malt » pour un montant de 2.149,38 euros, « FNAC » pour un montant de 1.818,99 euros, « FNAC » pour un montant de 1,50 euros et « CB Retrait du 03/04 [Localité 3] » pour un montant de 500 euros, et a engagé à ce titre sa responsabilité contractuelle à l’égard de Madame [Y] [E] ;

En conséquence,

— CONDAMNER la société Crédit Lyonnais à rembourser à Madame [Y] [E] le montant total des six opérations de paiement effectuées au mépris de son devoir de vigilance, soit la somme totale de 9.715,83 euros à titre de dommages et intérêts ;

En tout état de cause

— CONDAMNER la société Crédit Lyonnais à indemniser Madame [Y] [E] à hauteur de 5.000 euros pour le préjudice moral qu’elle a subi en raison de l’anxiété et du stress que lui ont causé le défaut d’assistance et la résistance abusive de la société Crédit Lyonnais ;

— CONDAMNER la société Crédit Lyonnais au paiement d’une somme d’un montant de 3.000 euros sur le fondement de l’article 700 du Code de procédure civile et aux entiers dépens.

Mme [E] affirme que les opérations litigieuses sont des opérations non autorisées. Elle estime que les faits dont elle a été victime sont similaires à ceux ayant donné lieu à l’arrêt de la cour d’appel de Versailles du 28 mars 2023 (RG : 21/07299), dont le pourvoi a été rejeté par un arrêt de la Cour de cassation du 23 octobre 2024 (chambre commerciale, 23-16.267). Elle indique qu’elle était convaincue d’être en relation avec un salarié de la société CREDIT LYONNAIS. Elle en conclut que sa vigilance a été réduite, outre que son interlocuteur avait un discours structuré et précis et connaissait des informations personnelles la concernant. Elle soutient également que la société CREDIT LYONNAIS a manqué à son obligation de sécurisation des fonds puisqu’un fraudeur a réussi à avoir accès à ses comptes et que son système d’alerte a été défectueux. Elle relève enfin que la société CREDIT LYONNAIS ne justifie pas qu’elle aurait agi frauduleusement, ou par négligence grave à ses obligations.

Par conclusions du 4 mars 2025, la société CREDIT LYONNAIS demande au tribunal, au visa des articles L. 133-6, L. 133-7, L. 133-16 et L. 133-19 du code monétaire et financier, de :

— DÉBOUTER Madame [Y] [E] de l’intégralité de ses demandes, fins et conclusions ;

— CONDAMNER Madame [Y] [E] au paiement d’une somme de 5.000 € au titre de l’article 700 du Code de procédure civile ;

— CONDAMNER Madame [Y] [E] à supporter l’intégralité des dépens ;

En toute hypothèse,

— ÉCARTER l’exécution provisoire de la décision à intervenir ou, subsidiairement, la subordonner à la constitution par Madame [Y] [E] d’une garantie émanant d’un établissement bancaire de premier ordre et d’un montant suffisant pour répondre de toutes restitutions dues en cas d’infirmation du jugement.

La société CREDIT LYONNAIS affirme tout d’abord que les relevés des opérations contestées démontrent la validation par le porteur de la carte des opérations financières querellées depuis son espace bancaire en ligne. Elle en déduit le caractère autorisé desdites opérations. Elle souligne également que la demanderesse ne rapporte pas la preuve d’une défaillance technique de son système informatique. Elle soutient ensuite que Mme [E] a réalisé un paiement via le lien transmis par SMS au nom de l’AMELI, qu’elle a communiqué son code secret et ses coordonnées bancaires. Elle ajoute qu’elle s’est dépossédée de ses cartes bancaires et ce alors que ce type de fraude par SMS avait fait l’objet d’alertes de la part de l’AMELI et alors que ses conversations téléphoniques avec le faux conseiller bancaire auraient dû éveiller ses soupçons (usage d’une ligne téléphonique en « 06 » et nature des opérations sollicitées par ce tiers). Elle rappelle que depuis le 13 avril 2023, une alerte est diffusée sur le site internet pour informer les clients de la société LCL de ce type de fraude. Elle en conclut que Mme [E] a commis une négligence grave à l’origine de son préjudice en ne préservant pas la confidentialité de ses données personnelles.

Conformément aux dispositions de l’article 455 du code de procédure civile, il est fait expressément référence aux écritures des parties visées ci-dessus quant à l’exposé de leurs moyens.

L’ordonnance de clôture est intervenue le 24 novembre 2025.

MOTIFS

Sur la demande de remboursement des virements litigieux

L’article L. 133-7 alinéa 1 du code monétaire et financier dispose que “Le consentement est donné sous la forme convenue entre le payeur et son prestataire de services de paiement. (…) En l’absence d’un tel consentement, l’opération ou la série d’opérations de paiement est réputée non autorisée”.

En l’espèce, Mme [E] contestant être à l’origine des six opérations financières d’un montant total de 9 715,83 euros débités de son compte bancaire et faute pour la banque d’en apporter la preuve contraire, il convient de juger que les opérations litigieuses constituent des opérations non autorisées.

L’article L.133-18 alinéa 1 du code monétaire et financier, dans sa rédaction applicable au litige, dispose que : “En cas d’opération de paiement non autorisée signalée par l’utilisateur dans les conditions prévues à l’article L. 133-24, le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, sauf s’il a de bonnes raisons de soupçonner une fraude de l’utilisateur du service de paiement et s’il communique ces raisons par écrit à la Banque de France. Le cas échéant, le prestataire de services de paiement du payeur rétablit le compte débité dans l’état où il se serait trouvé si l’opération de paiement non autorisée n’avait pas eu lieu.”

En cas d’opération de paiement non autorisée signalée par l’utilisateur dans les délais prévus par l’article L. 133-24 du même code, le prestataire de services de paiement du payeur rembourse à ce dernier le montant de l’opération non autorisée sauf s’il a de bonnes raisons de soupçonner une fraude de l’utilisateur du service de paiement.

Dans cette hypothèse, il incombe au prestataire de paiement de prouver que l’opération litigieuse a été effectuée après une authentification forte, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre, l’utilisation de l’instrument de paiement telle qu’enregistrée par le prestataire de services de paiement, à savoir l’utilisation des identifiants du client et l’absence de déficience technique ou autre, notamment par le biais de la production d’un relevé de ses connexions, ne suffisant pas nécessairement en tant que telle à prouver que l’opération a été autorisée par le payeur.

L’article L. 133-4 (f) du même code précise qu’une authentification forte s’entend d’une authentification reposant sur l’utilisation de deux éléments ou plus appartenant aux catégories « connaissance » (quelque chose que seul l’utilisateur connaît telle qu’un mot de passe, un code secret, une question secrète, etc…), « possession » (quelque chose que seul l’utilisateur possède telle qu’un téléphone portable, une montre connectée, une clé USB etc…) et « inhérence » (quelque chose que l’utilisateur est, telle que la reconnaissance faciale ou vocale, la reconnaissance par empreinte digitale, etc…) et indépendants en ce sens que la compromission de l’un ne remet pas en question la fiabilité des autres, et qui est conçue de manière à protéger la confidentialité des données d’authentification. L’authentification forte repose donc sur l’utilisation de deux de ces éléments, voire plus.

Par ailleurs, la responsabilité du payeur n’est pas engagée si l’opération de paiement non autorisée a été effectuée en détournant, à son insu, l’instrument de paiement ou les données qui lui sont liées. Cependant, il supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’agissements frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L.133-16 et L.133-17 du code précité.

Ainsi, pour échapper au remboursement de l’opération contestée, le prestataire de services de paiement doit démontrer, soit que l’ordre émanait bel et bien du client dûment authentifié dans son espace personnel, soit que le vol des identifiants de connexion (ou d’autres données) n’est que la conséquence d’une faute grave de sa part consistant à ne pas avoir satisfait intentionnellement aux obligations lui incombant en la matière ou à les avoir gravement négligées.

Il ressort de l’exploitation des traces informatiques recueillies par le CREDIT LYONNAIS (pièces n°2 à 4 de la banque) que les achats en ligne datés du 2 avril 2024 ont été réalisés au moyen de l’identification du porteur de la carte par la lecture de la puce et la validation du code confidentiel, que le paiement d'1,50 euros a été effectué sans contact, que le retrait DAB a été réalisé par l’identification du porteur de la carte par la lecture de la puce et la validation du code confidentiel. Ces copies d’écran, issues du système informatique de la banque, doivent être regardées comme un commencement de preuve dès lors que, d’une part, la partie adverse dispose de toute latitude pour en contester les termes et que, d’autre part, il s’agit des seuls documents justificatifs dont peut valablement disposer l’établissement bancaire. Dénier toute valeur probante, même relative, aux pièces fournies par l’établissement bancaire reviendrait, de fait, à priver ce dernier de toute possibilité de prouver l’authentification et l’enregistrement des opérations litigieuses.

Ces opérations ont donc été exécutées selon une procédure d’authentification forte au sens des textes précités, à savoir l’utilisation physique, supposant sa possession, du téléphone sur lequel un code à usage unique confidentiel est envoyé ainsi que la connaissance du code secret qui permet d’accéder à l’espace en ligne, ou l’utilisation physique, supposant sa possession, de la carte bancaire présentée dans les DAB ou les commerces ainsi que la connaissance du code secret.

Il découle de ce qui précède que les opérations financières litigieuses n’étaient pas affectées par une déficience technique, sauf à ce que la demanderesse rapporte la preuve contraire, ce qu’elle s’abstient de faire.

Cependant, il ne peut se déduire du seul fait que l’instrument de paiement et/ou les données personnelles qui lui sont liées ont été effectivement utilisés qu’en l’espèce, Mme [E] a autorisé les opérations contestées.

Au cas particulier, la banque ne conteste d’ailleurs pas la qualité de victime de la demanderesse et ne discute pas le fait que cette dernière n’est pas à l’origine des paiements et retraits réalisés avec la carte bancaire que Mme [E] reconnaît avoir remise à un tiers.

Il appartient donc à la société CREDIT LYONNAIS d’apporter la preuve que les virements contestés ont été exécutés par suite du manquement intentionnel ou provoqué par une négligence grave du titulaire du compte à son obligation de prendre toute mesure raisonnable pour préserver la sécurité des dispositifs de sécurité personnalisés d’accès au compte bancaire sur lequel les virements ont été opérés.

Si Mme [E] conteste avoir communiqué des informations personnelles et confidentielles à son interlocuteur, elle admet cependant avoir cliqué sur le lien du SMS frauduleux l’invitant à solliciter l’envoi d’une nouvelle carte vitale et à régler les frais d’envoi de cette carte, ce dont il se déduit qu’elle a nécessairement à cette occasion transmis à son insu ses données de sécurité personnalisées bancaires, ce qui constitue une première négligence, l’AMELI n’envoyant jamais de SMS au particulier pour le règlement de frais d’envoi d’une nouvelle carte vitale, et le caractère frauduleux de ce type de message étant régulièrement porté à la connaissance du public par les autorités. Il est par ailleurs relevé qu’aux termes de sa plainte, Mme [E] reconnaît explicitement avoir suivi les instructions du fraudeur lors des appels reçus, qui lui affirmait « qu’en brouillant les pistes, nous allions arrêter les escrocs », permettant ainsi la réalisation des opérations litigieuses. La teneur des propos énoncés par ce tiers fraudeur aurait dû éveiller l’attention et la prudence de Mme [E] dès lors que pour bloquer les opérations frauduleuses, il lui a été demandé de faire des « virements vers quatre IBAN différents » et plusieurs manipulations sur son espace bancaire en ligne. Or, une opposition ne saurait nécessiter la réalisation de nouvelles opérations au débit de son compte bancaire, et de surcroît par téléphone, comme l’illustrent les messages d’alerte du LCL diffusés régulièrement depuis le 13 avril 2023.

Si Mme [E] affirme avoir été victime d’une escroquerie de type « spoofing téléphonique », elle verse aux débats son relevé d’appels et son procès-verbal d’audition rapportant la preuve des numéros de téléphone avec lesquels le fraudeur l’a contactée, étant relevé d’une part qu’il s’agit de deux numéros différents commençant par 06, associés à la mention « clientèle LCL », tandis que le 4 avril 2024 le numéro associé à « LCL » débute par 09 et que le numéro de son conseiller bancaire commence par 01.

Mme [E] ne saurait dès lors se prévaloir de la solution adoptée par la chambre commerciale de la Cour de cassation dans un arrêt du 23 octobre 2024 et d’un arrêt de la cour d’appel de Versailles du 28 mars 2023 dont les faits d’espèce diffèrent en ce que le client avait été contacté avec le numéro de téléphone affiché de sa conseillère clientèle, la simple mise en confiance de l’intéressée par le fraudeur au regard de la teneur des informations bancaires confidentielles qu’il lui a communiquées étant insuffisante à justifier le manque de vigilance de Mme [E] et à l’exonérer automatiquement de toute responsabilité, et ce d’autant plus au regard des instructions données par son interlocuteur quant à la remise de sa carte bancaire, mode opératoire qui n’est jamais proposé à leurs clients par les établissements bancaires.

En effet, le fait de remettre sa carte bancaire, qui est le support nécessaire à toute opération de retrait dans un DAB ou tout paiement auprès d’un commerçant en boutique, à un coursier agissant prétendument pour le compte de sa banque constitue une négligence grave, aucune banque n’agissant de la sorte.

En outre, le processus frauduleux n’a nullement débuté par cet appel téléphonique, mais par l’envoi d’un lien par SMS, supposément du site AMELI, sur lequel Mme [E] a cliqué, communiquant alors ses coordonnées bancaires, sans vérifier au préalable sur le site officiel AMELI s’il lui incombait effectivement de solliciter la délivrance d’une nouvelle carte vitale et de régler les frais d’envoi, ce d’autant que des messages informant les usagers de l’envoi de messages frauduleux figurent sur ce site officiel dès le 2 décembre 2021.

Sont donc caractérisées des négligences graves de Mme [E], s’opposant à sa demande de remboursement des opérations non autorisées.

Mme [E] sera par conséquent déboutée de ses demandes.

Le caractère non autorisé des opérations litigieuses ayant été retenu par la présente juridiction conformément à la demande principale de Mme [E], sa demande subsidiaire est dès lors sans objet et sera rejetée, ce d’autant que le régime de responsabilité s’appliquant aux opérations non autorisées énoncé par ces articles est exclusif de tout autre régime de responsabilité, notamment sur le fondement d’un manquement à l’obligation générale de vigilance.

Compte tenu de la solution apportée au litige et de la négligence grave dont a fait preuve Mme [E] qui est à l’origine exclusive des préjudices matériel et moral qu’elle allègue subir – notamment quant au retard de la délivrance d’une nouvelle carte bancaire -, aucune somme ne saurait lui être allouée à titre de dommages-intérêts. Sa demande formée à ce titre en tout état de cause, sera rejetée.

Sur les demandes accessoires

Partie perdante au procès, Mme [E] sera condamnée aux dépens.

Pour ce motif, Mme [E] sera déboutée de sa demande formée au titre de l’article 700 du code de procédure civile.

L’équité commande de condamner Mme [E] à régler à la société CREDIT LYONNAIS la somme de 2500 euros au titre des frais irrépétibles.

La présente décision est revêtue de droit de l’exécution provisoire conformément à l’article 514 du code de procédure civile dans sa version applicable dès le 1er janvier 2020. Aucun élément ne commande de l’écarter.

PAR CES MOTIFS

Le tribunal, statuant publiquement, contradictoirement et en premier ressort, par mise à disposition au greffe,

DÉBOUTE Mme [Y] [E] de ses demandes ;

CONDAMNE Mme [Y] [E] à régler à la société CREDIT LYONNAIS la somme de 2500 euros au titre de l’article 700 du code de procédure civile,

CONDAMNE Mme [Y] [E] aux dépens ;

RAPPELLE que l’exécution provisoire de la présente décision est de droit.

Fait et jugé à Paris, le 4 mai 2026.

La Greffière Le Président