Escroquerie bancaire : moins d’indulgence pour les clients

Comment les banques doivent-elles rembourser leurs clients victimes d’escroquerie depuis que seul le régime de responsabilité « spécial », défini aux articles L. 133-18 à L. 133-24 du code monétaire et financier, doit être appliqué, et non plus, aussi, celui de la responsabilité contractuelle de droit commun, prévu en France par le code civil, qui aurait pour effet de les soumettre à un régime plus sévère que leurs concurrentes ?

La chambre commerciale de la Cour de cassation répond à cette question petit à petit, au fil des arrêts qu’elle rend, accompagnés de communiqués de presse explicatifs. Mercredi 15 janvier 2025, elle a apporté des précisions sur le cas où le client a commis une « négligence grave », comme dans l’affaire suivante.

Le 23 juin 2015, deux sociétés, Artemis Group et Artemis Security, constatent que six virements bancaires, d’un montant cumulé de près de 500 000 euros, ont été passés depuis l’ordinateur de leur comptable, au profit de bénéficiaires inconnus, sur des comptes ouverts à l’étranger. Elles portent plainte pour escroquerie.

Une expertise permet de comprendre que la comptable a reçu deux fichiers PDF et un fichier Word infectés par un « cheval de Troie ». Lorsqu’elle les a ouverts, un escroc a pris le contrôle de son ordinateur.

La BRED Banque populaire refuse de rembourser les sommes qu’elle ne parvient pas à récupérer. Elle considère que la comptable a fait preuve de négligence en laissant commettre l’intrusion. En effet, alors que les courriels qui comportaient les pièces jointes infectées étaient censés provenir du responsable d’exploitation, ils étaient rédigés en anglais (« Good day ! Please note that our department needs several documents… »), ce qui aurait dû lui mettre la puce à l’oreille et l’empêcher de les ouvrir.

Cheval de Troie

Les sociétés saisissent la justice. Le 18 janvier 2023, la cour d’appel de Paris considère que les torts sont partagés, les clients ayant certes fait preuve de négligence, mais la banque ayant aussi manqué à son obligation de vigilance : elle n’a tenu compte ni de l’avertissement du Centre gouvernemental de veille, d’alerte et de réponse aux attaques informatiques sur la circulation du cheval de Troie, ni de nombreuses tentatives de connexion le jour des faits. La cour condamne la BRED à rembourser 50 % des pertes subies. La cour opère donc un partage de responsabilité, sur le fondement de l’article 1147 du code civil.

Il vous reste 52.74% de cet article à lire. La suite est réservée aux abonnés.