Spoofing, phishing : la CJUE oblige les banques à rembourser immédiatement

« Vous avez donné vos codes, c’est de la négligence grave : nous ne vous rembourserons pas. » Cette réponse, des milliers de victimes de spoofing (faux conseiller bancaire) ou de phishing (faux site, faux SMS) l’ont reçue de leur banque. Par un arrêt du 15 octobre 2026 (affaire C-70/25), la Cour de justice de l’Union européenne y met un coup d’arrêt : la banque doit rembourser immédiatement son client, et ce n’est qu’ensuite, preuve à l’appui, qu’elle pourra discuter d’une éventuelle négligence grave.

1. Ce que la Cour a décidé

La réponse de la Cour tient en une phrase. Une banque « ne peut pas refuser de rembourser immédiatement à un payeur le montant d’une opération de paiement non autorisée, au motif que ce payeur aurait rendu possible cette opération par une négligence grave » (lire l’arrêt).

Concrètement, lorsque vous signalez à votre banque un virement ou un paiement que vous n’avez pas autorisé, elle doit vous rembourser immédiatement, et au plus tard à la fin du premier jour ouvrable suivant. Elle ne peut plus vous opposer d’emblée un refus en vous reprochant d’avoir communiqué vos identifiants ou validé une opération sous l’effet d’une tromperie.

À voir · JT de 13H de TF1 « Arnaques : les remboursements des banques automatiques »

Le 16 octobre 2026, Caroline Laverdet décrypte l’arrêt de la CJUE et ce qu’il change pour les victimes de fraude bancaire.

Voir le reportage

2. L’affaire à l’origine de l’arrêt

L’affaire vient de Pologne. Une cliente met en vente un objet sur un site d’enchères en ligne. Un faux acheteur lui envoie un lien présenté comme une confirmation de la vente. Elle arrive sur un site qui imite parfaitement celui de sa banque, y saisit ses identifiants, puis communique, toujours trompée, le code reçu par SMS. L’escroc vire aussitôt 3 000 zlotys (environ 705 euros) sur son propre compte.

Dès le lendemain, la cliente découvre la fraude et la signale à sa banque et à la police. La banque refuse de la rembourser : selon elle, la cliente a commis une négligence grave en ne protégeant pas ses données de sécurité. Le tribunal polonais saisi du litige interroge alors la Cour de justice : la banque peut-elle refuser le remboursement immédiat en invoquant une telle négligence ?

Le tribunal relevait un constat qui parlera à toutes les victimes françaises : dans la pratique, ce ne sont jamais les banques qui agissent en justice pour démontrer la négligence de leur client ; ce sont les clients qui doivent les assigner pour obtenir leur remboursement. L’exception était devenue la règle.

3. Pourquoi la Cour a tranché en faveur des victimes

La Cour s’appuie sur la directive européenne sur les services de paiement (dite « DSP2 », directive 2015/2366), et en particulier sur son article 73. Son raisonnement repose sur quatre arguments simples.

Le texte ne prévoit qu’une seule exception. L’obligation de rembourser immédiatement ne cède que si la banque a de bonnes raisons de soupçonner une fraude du client lui-même et qu’elle communique ces raisons par écrit à l’autorité nationale. Rien dans le texte ne permet de suspendre le remboursement pour une simple négligence, même grave.

C’est à la banque de prouver la négligence grave. La directive met expressément cette preuve à sa charge. Il serait incohérent de lui permettre de se faire justice elle-même en refusant de payer, sur la base d’une négligence qu’elle n’a pas démontrée.

L’objectif est de protéger le consommateur. Si la banque pouvait refuser de rembourser, l’obligation de remboursement immédiat serait privée de tout effet : c’est la victime qui devrait engager un procès et en avancer les frais. La Cour juge cette répartition des risques difficilement conciliable avec le niveau élevé de protection voulu par le législateur européen.

L’histoire du texte le confirme. La version précédente de la directive ne prévoyait aucune exception au remboursement immédiat. La seule exception ajoutée en 2015 est celle du soupçon de fraude signalé aux autorités, et non celle de la négligence.

4. Rembourser d’abord, discuter ensuite : ce que la banque peut encore faire

L’arrêt ne supprime pas la notion de négligence grave. Il la remet à sa place. La Cour distingue deux temps :

• Premier temps : le remboursement. La banque rembourse immédiatement et rétablit le compte comme si la fraude n’avait pas eu lieu.
• Second temps : la répartition définitive des pertes. Si elle estime que son client a été gravement négligent, la banque peut ensuite lui réclamer les sommes, mais à condition de prouver cette négligence grave.

Le rapport de force s’inverse : ce n’est plus à la victime de se battre pour récupérer son argent, c’est à la banque de convaincre, preuves à l’appui, qu’elle doit le reprendre. Et la directive rappelle que l’utilisation de vos codes, telle qu’enregistrée par la banque, ne suffit pas nécessairement à prouver une négligence grave.

5. Ce que cela change en France

La directive a été transposée en droit français dans le Code monétaire et financier. L’article L. 133-18 impose déjà à la banque de rembourser immédiatement l’opération non autorisée, au plus tard à la fin du premier jour ouvrable suivant, sauf si elle a de bonnes raisons de soupçonner une fraude de son client et qu’elle en informe par écrit la Banque de France. L’article L. 133-19 prévoit que le client supporte les pertes en cas de négligence grave, et l’article L. 133-23 met la preuve de cette négligence à la charge de la banque.

Jusqu’ici, de nombreuses banques françaises refusaient purement et simplement de rembourser les victimes de spoofing en invoquant leur « négligence grave », obligeant ces dernières à saisir le médiateur puis le juge. Les juridictions françaises devant appliquer le droit national conformément à l’interprétation de la Cour de justice, cette pratique n’est plus tenable : un refus de remboursement immédiat fondé sur la seule négligence alléguée du client est désormais contraire au droit de l’Union.

L’arrêt renforce aussi la position des victimes devant le juge. L’obligation de remboursement immédiat devient difficilement contestable, ce qui ouvre plus largement la voie du référé-provision : une procédure rapide permettant d’obtenir la condamnation de la banque à rembourser, sans attendre un procès au fond.

6. Victime d’une fraude : les bons réflexes

• Faites opposition sans attendre et bloquez vos accès en ligne.
• Signalez l’opération à votre banque par écrit (messagerie sécurisée, puis lettre recommandée) en contestant l’avoir autorisée. Le signalement doit intervenir sans retard, et au plus tard dans les 13 mois suivant le débit.
• Demandez expressément le remboursement immédiat sur le fondement de l’article L. 133-18 du Code monétaire et financier et de l’arrêt de la CJUE du 15 octobre 2026 (C-70/25).
• Déposez plainte et conservez toutes les preuves : captures d’écran des SMS, journal d’appels, relevés de compte.
• Ne vous laissez pas décourager par un refus fondé sur votre prétendue négligence : il ne suffit plus à vous priver du remboursement immédiat.

7. Notre cabinet à vos côtés

Le cabinet LAVERDET AVOCAT accompagne depuis de nombreuses années les victimes de fraudes bancaires, de spoofing et de phishing face à leur banque. Nous intervenons pour mettre en demeure la banque, saisir le cas échéant le juge des référés ou le tribunal, et obtenir le remboursement des sommes détournées ainsi que la réparation de votre préjudice.

Si votre banque refuse de vous rembourser, ou tarde à le faire, le cabinet est à votre disposition pour examiner votre dossier et vous indiquer rapidement les démarches à engager. Vous pouvez réserver un premier entretien gratuit de 15 minutes via notre calendrier en ligne ou nous écrire depuis la page Contact.

Questions fréquentes

Ma banque peut-elle refuser de me rembourser en invoquant ma négligence grave ?

Non, plus d’emblée. Depuis l’arrêt de la CJUE du 15 octobre 2026 (C-70/25), la banque ne peut pas refuser le remboursement immédiat d’une opération de paiement non autorisée au motif que son client aurait été gravement négligent. Elle doit d’abord rembourser ; elle ne pourra ensuite réclamer les sommes que si elle prouve cette négligence grave.

Dans quel délai la banque doit-elle me rembourser ?

Immédiatement après avoir été informée de l’opération frauduleuse, et au plus tard à la fin du premier jour ouvrable suivant (article L. 133-18 du Code monétaire et financier). Votre compte doit être rétabli dans l’état où il se serait trouvé sans la fraude, sans perte d’intérêts ni frais.

La banque peut-elle récupérer l’argent après m’avoir remboursé ?

Oui, mais seulement dans un second temps et si elle prouve que vous avez commis une négligence grave. La charge de la preuve pèse sur la banque : le simple fait que vos codes ou votre validation par SMS aient été utilisés ne suffit pas à l’établir.

Existe-t-il une exception au remboursement immédiat ?

Une seule : lorsque la banque a de bonnes raisons de soupçonner une fraude commise par le client lui-même, et qu’elle communique ces raisons par écrit à l’autorité compétente (en France, la Banque de France). Une simple suspicion de négligence ne suffit pas.

Que faire si ma banque refuse malgré tout de me rembourser ?

Adressez-lui une mise en demeure écrite visant l’article L. 133-18 du Code monétaire et financier et l’arrêt C-70/25. À défaut de remboursement, un avocat peut saisir le juge pour obtenir la condamnation de la banque à vous rembourser.

Référence : CJUE, 1re chambre, 15 octobre 2026, N.O. c/ PKO BP S.A., affaire C-70/25 (lire l’arrêt sur EUR-Lex). Article rédigé par Caroline Laverdet, Avocat à la Cour — Docteur en droit. Publié le 23 octobre 2026.