Spoofing : pourquoi la qualification du consentement prime sur la preuve de la négligence grave

Un client valide deux paiements sur son smartphone. Il pensait bloquer une fraude. Il venait en réalité d’y participer. Les notifications sur son écran étaient pourtant explicites, en majuscules, sans ambiguïté possible. Le fraudeur s’était présenté comme un conseiller bancaire et l’avait incité à “bloquer” des opérations.

Le Tribunal judiciaire d’Arras (11 mai 2026, n° 25/00377) a donné raison à la banque. Et la raison en est instructive.

La banque n’a pas gagné sur le terrain de la négligence grave. Elle a gagné avant, sur celui du consentement. Dès lors que le client avait été informé de manière précise et non équivoque de la nature de l’opération qu’il validait, le consentement au sens des articles L. 133-6 et L. 133-7 du Code monétaire et financier était établi. L’opération devenait donc autorisée. Le régime de remboursement automatique prévu par la DSP2 devenait inapplicable. On entrait dans le droit commun de la responsabilité, où la faute de la banque doit être démontrée positivement. Elle ne l’a pas été.

Ce raisonnement n’est pas isolé. La Cour de cassation l’a posé en avril 2025 (n° 24-11.255).

Ce qui change concrètement dans la stratégie de défense : la première bataille dans un dossier de spoofing n’est peut-être plus la preuve de la négligence grave. C’est la qualification du consentement. Et cette qualification se construit bien avant le procès : notification explicite, message d’alerte documenté, validation tracée, enrôlement préalable établi.

Avez-vous cartographié votre stratégie de défense en matière de spoofing ? Si oui, la question du consentement y figure-t-elle, avant même celle de la négligence grave ?