Un client de Banque Populaire, victime d'une fraude bancaire par spoofing débutée par une usurpation de Chronopost, a obtenu gain de cause en justice. Sa banque a été condamnée à le rembourser.
C'est avec un SMS anodin usurpant l'identité du célèbre transporteur Chronopost que le calvaire de la victime a débuté. Après avoir ensuite été joint au téléphone, l'homme piégé a perdu 2 520 euros, le tout en une soirée. Client de la BRED Banque Populaire, il a vu l'établissement bancaire refuser de le rembourser. Partie en justice pour obtenir son dû, la victime a pu obtenir réparation devant le tribunal judiciaire de Paris le 7 avril 2026, comme Clubic est en mesure de le révéler.
Une arnaque millimétrée, du faux SMS au faux conseiller anti-fraude
Le 30 janvier 2023, la victime reçoit un SMS soi-disant envoyé par Chronopost, qui lui réclame 0,48 euro pour débloquer un colis, une affaire similaire à celle que nous présentions la veille. Elle se rend sur le site indiqué, « chronoposte-mobile[.]com » et règle la somme avec sa carte bancaire. Un hameçonnage basique, mais ce n'est que le début.
Le même jour, son téléphone sonne. Au bout du fil, une voix se présente comme le service anti-fraude de Banque Populaire, depuis un numéro commençant par 01. L'interlocuteur connaît ses nom, prénom, date de naissance et adresse. Méfiant, l'homme vérifie tout de même le numéro sur internet, mais il correspond bien au service d'opposition aux cartes de sa banque. Le doute fait instantanément pschitt.
Au téléphone, son interlocuteur lui explique qu'en payant ces 0,48 euro pour Chronopost, il a mordu à un hameçon et que sa carte doit être bloquée immédiatement, puis qu'il en recevra une nouvelle sous cinq jours. Il lui demande d'ouvrir son application bancaire et lui annonce une liste de montants à valider, présentés comme nécessaires pour le rembourser. De nouveau méfiant, le client de Banque Populaire refuse. Son correspondant insiste, et hausse le ton.
Remboursement refusé et procédure lancée, Banque Populaire et son client devant le tribunal
Sous pression, la victime finit par valider plusieurs opérations avant de stopper net au cinquième ou sixième paiement. L'homme tente même d'annuler certaines transactions, ce qui énerve le fraudeur, qui l'avertit que cela compromettrait son remboursement. Quand un second inconnu le rappelle peu après depuis un autre numéro, le client refuse catégoriquement de s'exécuter. Mais il est trop tard, au final, treize transactions frauduleuses ont été enregistrées ce 30 janvier 2023, principalement chez un vendeur dont le nom n'a pas filtré, et la plateforme d'expériences de voyage GetYourGuide Tickets, pour un total de 2 520,46 euros.
Le 6 février 2023, la BRED rembourse spontanément 45,57 euros, et pas un centime de plus. La victime dépose une pré-plainte le lendemain, confirmée le 15 février, puis assigne la banque devant le tribunal judiciaire de Paris en octobre 2024. Le client réclame le remboursement intégral assorti d'intérêts, 149,86 euros d'agios, 5 000 euros pour résistance abusive, 3 500 euros pour préjudice moral et 5 000 euros de frais de procédure.
Banque Populaire, elle, contre-attaque. D'abord, l'établissement précise que les paiements ont été validés via une « authentification forte », c'est-à-dire le système de double vérification (code SMS + application bancaire) qui est censé garantir que c'est bien le titulaire du compte qui agit, et qui fait cruellement défaut, on l'a encore vu cette semaine, au ministère de l'Éducation nationale. Pour la banque, cela suffit à prouver que son client a bel et bien consenti. Autrement argument, si quelqu'un a usurpé son numéro, ce n'est pas son problème. Une loi de 2020 oblige en effet les opérateurs téléphoniques à bloquer ces usurpations depuis octobre 2024, donc, selon la BRED, c'est à ces opérateurs d'assumer.
Le juge donne tort à la banque mais n'accède pas à toutes les demandes de la victime
Le tribunal n'est pas d'accord. Le juge explique que Banque Populaire n'a jamais assigné l'opérateur dans la procédure, et qu'elle ne peut donc pas se retourner contre lui au dernier moment pour se dédouaner. Sur le fond, les juges se demandant si ces paiements étaient « autorisés » ? En droit bancaire, un paiement ne l'est vraiment que si le client a consenti, en connaissance de cause, à la fois à la somme prélevée et à la personne qui la reçoit. Or, la victime croyait bloquer sa carte, pas alimenter les comptes d'un e-commerçant ou de GetYourGuide. Les opérations sont donc non autorisées, et la banque doit rembourser.
Restait une question importante : le client a-t-il commis une négligence grave en validant ces paiements, ce qui aurait pu le priver de tout remboursement ? La BRED l'affirmait. Mais le tribunal balaie encore l'argument de l'établissement bancaire. Pour lui, le numéro usurpé était précisément celui du service d'opposition de la banque, ce qui rendait la demande de « bloquer sa carte » parfaitement logique. Le client avait d'abord résisté, cédé sous pression, puis stoppé de lui-même les validations avant de raccrocher au nez du second fraudeur.
La BRED Banque Populaire a donc été condamnée à rembourser l'intégralité des 2 520,46 euros, avec des intérêts au taux légal majoré à compter du 3 février 2023, et 3 000 euros de frais de procédure. En revanche, la victime a été déboutée de ses demandes de dommages-intérêts (5 000 euros réclamés pour résistance abusive et 3 500 en réparation du préjudice moral). En matière d'opérations non autorisées, le régime du Code monétaire et financier est exclusif de tout autre recours. C'est une victoire convenable, partielle sur le papier, avec un remboursement intégral des sommes volées par les escrocs dans la poche.
