Cour d'appel, pôle 5 - chambre 6, 20 mai 2026 — n° 24/20047

PAR CES MOTIFS , CONFIRME le jugement du tribunal judiciaire de Paris du 3 octobre 2024 ; Y ajoutant, CONDAMNE in solidum M. [F] [R] et Mme [A] [R] à payer à la Caisse d'épargne et de prévoyance Ile-de-France la somme de 2 000 euros au titre de l'article 700 du code de procédure civile ; CONDAMNE M. [F] [R] et Mme [A] [R] aux entiers dépens d'appel ; REJETTE toute autre demande. * * * * * Le greffier Le président

* * * * * FAITS, PROCÉDURE ET PRÉTENTIONS DES PARTIES M. [F] [R] et Mme [A] [R] (les époux [R]) sont clients de la Caisse d'épargne et de prévoyance Ile-de-France (la banque). Ils exposent avoir subi, les 16 et 17 janvier 2022, un piratage de leur compte bancaire consistant en l'ajout de trois comptes bénéficiaires : [U] [E], SARL [Q] [K] et [V] [N]. Trois virements vers ces comptes bénéficiaires ont été effectués aux mêmes dates pour des montants respectifs de 4 977 euros, 4 940 euros et 5 000 euros, soit une somme totale de l4 9l7 euros. Le 17 janvier 2022, les époux [R] ont déposé plainte, puis ont fait une demande de remboursement auprès de la banque. Celle-ci n'a pas accepté cette demande au motif que l'ensemble des opérations contestées ont été validées par Secur'Pass, dispositif d'authentification forte. Par acte extrajudiciaire en date du 28 juillet 2023, les époux [R] ont fait assigner la banque en responsabilité et en indemnisation devant le tribunal judiciaire de Paris. Par jugement contradictoire rendu le 3 octobre 2024, le tribunal judiciaire de Paris a : - débouté M. et Mme [F] [R] de l'ensemble de leurs demandes formées contre la Caisse d'épargne et de prévoyance Ile-de-France ; - condamné M. et Mme [F] [R] aux dépens ; - dit n'y avoir lieu à application des dispositions de l'article 700 du code de procédure civile. Par déclaration remise au greffe de la cour le 27 novembre 2024, les époux [R] ont interjeté appel de cette décision. Par conclusions notifiées par voie électronique le 10 mars 2026, les époux [R] demandent, au visa des articles L. 133-19 IV, L. 133-23 et L. 133-24 du code monétaire et financier à la cour de : - déclarer recevables et bien fondés M. et Mme [R] en leurs présentes écritures, - infirmer le jugement entrepris rendu le 3 octobre 2024, Statuant de nouveau : - condamner la Caisse d'épargne et de prévoyance Ile-de-France au paiement de la somme de 14 917 euros au profit de M. et Mme [R] en remboursement des opérations de paiement effectuées par internet non autorisées, - condamner la même au paiement de la somme de 2 000 euros au titre de dommages et intérêts pour résistance abusive ainsi qu'une somme de 3 000 euros en application de l'article 700 du code de procédure civile, - condamner la Caisse d'épargne et de prévoyance Ile-de-France aux entiers dépens. Par conclusions notifiées par voie électronique le 6 mars 2026, la Caisse d'épargne et de prévoyance Ile-de-France demande à la cour de : - confirmer en toutes ses dispositions le jugement rendu le 3 octobre 2024 par le tribunal judiciaire de Paris, Y ajoutant, - condamner solidairement M. et Mme [R] à payer à la Caisse d'épargne et de prévoyance Ile de France la somme de 3 000 euros au titre de l'article 700 du code de procédure civile, - condamner M. et Mme [R] aux dépens. Pour un plus ample exposé des faits, de la procédure, des moyens et des prétentions des parties, il est expressément renvoyé au jugement déféré et aux dernières conclusions écrites déposées en application de l'article 455 du code de procédure civile. L'ordonnance de clôture a été rendue le 17 mars 2026 et l'affaire a été fixée à l'audience du 26 mars 2026.

MOTIFS Sur la responsabilité de la banque Les époux [R] font valoir, au visa des articles L. 133-19 IV, L. 133-23 et L. 133-24 du code monétaire et financier, qu'ils n'ont nullement autorisé l'ajout de trois bénéficiaires, ni les virements des sommes dont ils réclament le remboursement. Ils soulignent que ces opérations ont été réalisées les 16 et 17 janvier 2022 à une heure très tardive et qu'ils les ont immédiatement contestées et ont déposé plainte le 17 janvier 2022. Ils font valoir qu'elles ont été réalisées à l'aide d'un Iphone avec une adresse IP sur la commune de [Localité 5] et que l'enrôlement de cet appareil de type apple en tant que téléphone de sécurité s'est fait sans aucune validation de la part de Mme [R], qui ne peut donc pas être à l'origine des opérations. En effet, Mme [R] dispose uniquement d'un "smartphone" de marque Samsung type Galaxy J3 4G avec lequel elle a actionné le service d'authentification forte Secur'Pass le 13 janvier 2022 et c'est lors de l'installation de ce dispositif sur son appareil de téléphone mobile, que son identifiant et son mot de passe ont été détournés pour être enregistrés sur un autre appareil. Cette manipulation frauduleuse a permis de récupérer l'ensemble des informations personnelles et par conséquent de substituer les appareils téléphoniques, de passer l'étape des modalités d'authentification, d'ajouter les bénéficiaires et de réaliser des virements frauduleux sur un temps très bref. Ils soutiennent qu'il y a eu une défaillance technique du système de la banque qui a permis le piratage des données de Mme [R] et qu'il appartient à la banque de justifier que le dispositif n'a pas rencontré de dysfonctionnement technique. Ils allèguent que la banque ne démontre pas qu'ils aient révélé à un tiers leurs identifiants et mots de passe. Ils ajoutent qu'ils ont été reçus le mardi 18 janvier 2022, par Mme [M], conseillère financière de la banque, qui a réinstallé l'application sur le portable Samsung de Mme [R] en lui demandant au préalable son numéro de téléphone. Ils font valoir enfin qu'il ressort de l'audition de M. [K], propriétaire de la pharmacie et prétendue bénéficiaire de l'un des virements contestés, que ce dernier reconnaît avoir reçu par erreur ce virement, révélant une défaillance dans le dispositif Secur'Pass et qu'il ne peut y avoir de doute sur la réalité des détournements. La banque réplique, au visa des articles L. 133-6 et L. 133-7 du code monétaire et financier, que les opérations contestées ont été autorisées par les époux [R]. Elle expose qu'aux termes de la convention de compte, la connexion à l'espace personnel par la saisie de l'identifiant et du code confidentiel puis la validation du dispositif d'authentification forte, caractérisent le consentement du client lorsque le virement litigieux a été initié via l'espace personnel de banque à distance. Elle souligne que les trois virements litigieux ont été saisis grâce à une connexion sécurisée au service Banque à distance des époux [R] puis autorisés par l'authentification renforcée via le dispositif Secur'Pass dont ils disposent. Elle expose que l'application Direct Ecureuil est un dispositif de sécurité renforcé qui permet à un client d'accéder à distance à divers services bancaires et notamment de saisir des opérations de paiement à distance via un ordinateur, une tablette ou un téléphone mobile. Les conditions générales spécifiques à la sécurisation des opérations en ligne et les conditions générales d'utilisation du service Direct Ecureuil démontrent que pour accéder en ligne à ses comptes, le client doit nécessairement être en possession d'un numéro d'identifiant et d'un code confidentiel que lui seul connaît. Un tiers ne peut pas se connecter à cet espace, sans l'identifiant et le mot de passe qui sont propres à chaque utilisateur, à moins que ces informations aient été dévoilées par le client. Elle soutient qu'il résulte des logs retraçant l'historique des connexions sur l'espace Direct Ecureuil des époux [R], que le mot de passe a été requis afin de permettre la connexion, ce qui signifie que la connexion au service de Banque à distance a été faite après que l'identifiant et le mot de passe ont été renseignés. Elle fait valoir qu'une fois la connexion faite, les opérations de paiement et d'ajout de comptes bénéficiaires nécessitent l'utilisation d'une procédure d'authentification renforcée via le dispositif Secur'Pass. Elle souligne que l'activation et la gestion de Secur'Pass ne peuvent être associées qu'à un seul et unique smartphone. La banque expose que toutes les opérations ont été effectuées à partir du même téléphone et que l'enrôlement au dispositif Secur'Pass des époux [R] date du 13 janvier 2022 et non pas du 16 janvier 2022. Les époux [R] ont donc eux-mêmes activé le service Secur'Pass, comme ils le reconnaissent. Elle soutient que l'ajout des comptes externes et les virements contestés ont été faits depuis le même téléphone que celui qui a enrôlé Secur'Pass, ce dont il se déduit que les époux [R] qui reconnaissent avoir souscrit à Secur'Pass ont nécessairement effectué les opérations litigieuses puisqu'elles ont été validées du même appareil. Elle affirme qu'un fraudeur n'a pas pu pirater l'identifiant et le mot de passe et qu'il n'y a pas eu de changement de smartphone. La banque ajoute que la responsabilité d'un établissement bancaire ne doit pas être retenue dès lors que celui-ci rapporte la preuve de l'utilisation du dispositif d'authentification forte pour réaliser les opérations contestées par le client. Elle en déduit que les opérations ont été autorisées de sorte qu'elle n'est pas tenue de rembourser les époux [R]. La banque soutient encore que l'avenant au contrat Services de banque à distance du 18 janvier 2022 permet de confirmer que les époux [R] sont à l'origine de l'activation de Secur'Pass, mais qu'il ne permet pas d'établir la marque du téléphone utilisé par les appelants. Elle expose que la facture d'achat d'un téléphone Samsung est établie au nom de M. [R] et non pas au nom de Mme [R], alors que c'est cette dernière qui a activé le service Secur'Pass et que cette facture est datée du mois de mai 2017 soit près de 5 ans avant les transactions litigieuses. De plus, les appelants ne démontrent pas qu'en 2022 ce téléphone était encore utilisé par Mme [R], laquelle aurait pu être détentrice d'un autre téléphone. Elle ajoute que les attestations de M. [P] et de M. [W] affirmant que Mme [R] n'utilisait qu'un Samsung sont strictement identiques et que l'attestation rédigée par [Y] [W] apparaît comme ayant été dictée et ne remplit pas les conditions prescrites par l'article 202 du code de procédure civile. La dernière attestation établie par M. [X] n'indique pas le lien de ce dernier avec les appelants et ne remplit pas non plus les conditions édictées par les articles 200 et suivants du code de procédure civile. Ces attestations ne sont pas probantes et elles se heurtent à la fiabilité de la pièce technique qu'elle produit, à savoir le tableau des logs. Aux termes de l'article L. 133-6, paragraphe premier, alinéa premier, du code monétaire et financier, une opération de paiement est autorisée si le payeur a donné son consentement à son exécution. L'article L. 133-7, alinéas 1 et 3, du même code dispose : « Le consentement est donné sous la forme convenue entre le payeur et son prestataire de services de paiement. [...] « En l'absence d'un tel consentement, l'opération ou la série d'opérations de paiement est réputée non autorisée. » L'article L. 133-4 f) du même code dispose, dans sa rédaction issue de l'ordonnance n° 2017-1252 du 9 août 2017, que :