T. com. 7501, 2 juill. 2026, n° 2024064685

Copie exécutoire : SELARL SAUTELET CAILLABOUX FARGEON - LUTECIA AVOCATS -Copie aux demandeurs : 2 Copie aux défendeurs : 2

RÉPUBLIQUE FRANÇAISE

AU NOM DU PEUPLE FRANÇAIS

TRIBUNAL DES ACTIVITES ECONOMIQUES DE PARIS

CHAMBRE 1-8

JUGEMENT PRONONCE LE 02/07/2026 par sa mise à disposition au Greffe

RG 2024064685

ENTRE :

M. [S] [F], demeurant [Adresse 1]

Partie demanderesse : assistée de Maître Jean-Marie GILLES du CABINET GILLES -Avocat et comparant par la SELARL SAUTELET CAILLABOUX FARGEON - LUTECIA AVOCATS - Avocat (E1344)

ET :

SA CCF, dont le siège social est [Adresse 2] - RCS B 315769257 Partie défenderesse : assistée de Me LE MERLUS Anne-Gaëlle Avocat (P77) et comparant par l'A.A.R.P.I. OHANA-ZERHAT - Maître OHANA-ZERHAT Sandra Avocat (C1050)

APRES EN AVOIR DELIBERE

LES FAITS

Monsieur [F] [S] (ci-après M. [S]) est client depuis le 1er juillet 2020 de la BANQUE HSBC, devenue aujourd'hui CCF. Il est titulaire d'un livret A ouvert sous le numéro [XXXXXXXXXX01] et d'un compte courant ouvert sous le numéro [XXXXXXXXXX02].

2. Le 7 décembre 2023, M. [S] dit avoir reçu à 15h21 un appel provenant du numéro 33 800 970 179, que le demandeur connaissait comme étant le numéro de sa propre banque (à l'époque, HSBC). L'interlocuteur se déclarant appartenir au service des fraudes de la banque, M. [S] dit avoir alors composé sur son téléphone son identifiant bancaire, puis avoir fourni les réponses aux questions mémorables, aux fins d'une meilleure sécurisation de son compte.

3. Le 8 décembre 2023, M. [S] dit avoir reçu un mail d'HSBC lui indiquant l'ajout d'un nouveau bénéficiaire sur son compte. M.[S] dit avoir eu des soupçons et avoir tenté, vers 6h du matin, d'appeler sa banque au 33 800 970 179, numéro utilisé la veille par les escrocs. M.[S] dit n'avoir pu avoir en ligne les services de la Banque avant 8h38. Ceux-ci lui ont révélé qu'il avait été victime d'une escroquerie, les escrocs lui ayant soutiré 9.900 € de son compte courant.

Le même jour M. [S] a déposé plainte à la gendarmerie de [Localité 1] (PV N°18952/02677/2023) pour escroquerie de 9.900 € au profit de l'IBAN [XXXXXXXXXX03].

5. Le 12 décembre 2023, par lettre, HSBC a répondu à M. [S] qu'il ne lui était pas possible d'accéder à sa demande de remboursement et que la demande de retour de fonds faite le 8 décembre 2023 avait été refusée le 11 décembre 2023 par la banque réceptrice du virement.

6. Le 27 décembre 2023, par LRAR, le conseil de M. [S] a mis en demeure HSBC de lui rembourser 9.900 €.

7. Le 5 juillet 2024, par lettre, CCF a répondu au conseil de M. [S] qu'il ne lui était pas possible d'accéder à sa demande.

8. C'est dans ces conditions que naît la présente instance.

LA PROCÉDURE

9. M.[S] a fait assigner CCF devant ce tribunal par acte extrajudiciaire signifié le 20 septembre 2024 à personne habilitée.

10. En application des dispositions de l'article 446-2 du code de procédure civile, le tribunal retiendra les dernières conclusions récapitulatives de chacune des parties avec les dernières demandes formulées par écrit et communiquées par elles.

11. Par ses dernières conclusions du 1er avril 2026, M. [S] demande au tribunal de :

Vu les articles 1217, 1231 et 1231-1 du Code Civil, et l'article L133-19 II du code monétaire et financier

Juger que la banque HSBC, devenue CCF, est responsable de la fraude dont a été victime le demandeur, les 7 et 8 décembre 2023.

En conséquence,

Condamner le CCF à rembourser au demandeur la somme de 9 900 euros dont il a été escroqué, avec intérêts légaux à compter du 8 décembre 2023,

Condamner le CCF à payer au demandeur à titre de dommages-intérêts, la somme de 1 500 euros.

Débouter le CCF de toutes ses demandes fins et conclusions,

Par ailleurs :

Condamner le CCF à verser à Monsieur [F] [S] la somme de 2 000 euros au titre de l'article 700 du Code de procédure civile ;

Condamner le CCF aux entiers dépens ;

Rappeler que l'exécution provisoire de la décision à intervenir est de droit.

12. Par ses dernières conclusions régularisées à l'audience du 29 mai 2026, CCF demande au tribunal de :

Vu les articles 9 du code de procédure civile, et 10 du code civil,

Vu notamment l'article L.133-19 du code monétaire et financier,

DEBOUTER purement et simplement Monsieur [F] [S] de l'ensemble de ses demandes, fins, moyens et conclusions :

CONDAMNER Monsieur [F] [S] à verser à CCF une somme de 2.500 € au titre de l'article 700 du code de procédure civile

CONDAMNER le même aux entiers dépens.

En tout état de cause,

ECARTER l'exécution provisoire de toute condamnation qui pourrait, par extraordinaire, être mise à la charge de CCF.

13. A l'audience du 1er décembre 2025 du tribunal des activités économiques de Paris, les parties ont été régulièrement convoquées après calendrier à l'audience du juge chargé d'instruire l'affaire le 1er avril 2026, à laquelle les parties se présentent. A cette audience, il a été constaté que le dépôt des conclusions du demandeur a été réalisé vendredi 20 mars (soit à peine 8 jours ouvrés avant la date fixée pour les plaidoiries) et que le calendrier préalable qui avait été convenu entre les parties et le Tribunal prévoyait la date du 6 février 2026 pour ces écritures et celle du 6 mars 2026 pour les conclusions en défense n°2 du défendeur. L'audience a alors été reconvoquée au vendredi 29 mai pour conclusion en

défense N°2 de CCF.

14. A son audience du 29 mai 2026, après avoir entendu les parties présentes, le juge a clos les débats et a dit que le jugement, mis en délibéré, sera prononcé par sa mise à disposition au greffe le 2 juillet 2026, en application de l'article 450 alinéa 2 du code de procédure civile.

MOYENS DES PARTIES

15. Après avoir pris connaissance des moyens développés par les parties, le tribunal les résumera ci-dessous en application des dispositions de l'article 455 du code de procédure civile.

16. M.[S] fait valoir que :

La fraude résulte de la défaillance des systèmes de sécurisation de la banque qui n'explique pas comment les escrocs ont pu utiliser le numéro de HSBC et avoir accès à ses dernières écritures. Ces défaillances sont toujours d'actualité comme le démontre le nouvel essai du 6 février 2024 à 21h.

Il appartient à la banque de démontrer que M. [S] s'est rendu coupable de négligences graves ce qu'elle ne fait pas.

17. CCF fait valoir :

Au visa des articles 9 et 10 du Code de procédure civile, l'absence de caractérisation du contexte factuel invoqué par M. [S]. En particulier, il ne verse aux débats aucun élément issu du dossier pénal, auquel l'accès lui est permis.

Les opérations litigieuses ont été autorisées au sens du Code monétaire et financier. En effet, le virement litigieux a été initié via le processus de sécurisation fourni par HSBC. L'enregistrement d'un nouvel IBAN, de même que le virement qui a suivi et qui a été anticipé par un virement de compte à compte pour permettre la trésorerie suffisante, ont été ordonnés au moyen des outils sécurisés permettant à la fois la mise en œuvre d'une authentification forte, et de s'assurer du caractère autorisé desdites opérations et de leur caractère irrévocable ce qui caractérise des négligences graves de M. [S], exonératoires de toute responsabilité de CCF.

Faute de caractériser un préjudice certain et actuel, M. [S] qui ne verse aux débats aucun élément sur les suites de la procédure pénale, doit être débouté de ses demandes au titre d'un préjudice subis.

SUR CE

18. L'article L.133-3 du Code monétaire et financier dispose qu' « une opération de paiement est une action consistant à verser, transférer ou retirer des fonds, indépendamment de toute obligation sous-jacente entre le payeur et le bénéficiaire, initiée par le payeur, ou pour son compte, ou par le bénéficiaire ». Les articles L.133-6 et L.133-7 du Code monétaire et financier disposent qu' « une opération de paiement est autorisée si le payeur a donné son consentement à son exécution… » et que celui-ci s'est effectué « … sous la forme convenue entre le payeur et son prestataire de services de paiement… ». Enfin, l'article L.133-23 du Code monétaire et financier dispose que « le prestataire de services de paiement… fournit des éléments afin de prouver la fraude ou la négligence grave commise par l'utilisateur de services de paiement ».

a) Sur la forme convenue du service de virement et son authentification

19. Les dispositions légales relatives à l'authentification forte dont se prévaut CCF sont régies

par les articles L.133-4, L.133-44 et L133-19 du Code monétaire et financier qui ont été créés ou modifiés en déclinaison en droit français de la deuxième directive européenne sur les services de paiement (dite « DSP 2 »).

20. L'article L.133-4, dans sa rédaction entrée en vigueur depuis le 13 janvier 2018, dispose que « (…) f) Une authentification forte du client s'entend d'une authentification reposant sur l'utilisation de deux éléments ou plus appartenant aux catégories "connaissance" (quelque chose que seul l'utilisateur connaît), "possession" (quelque chose que seul l'utilisateur possède) et "inhérence" (quelque chose que l'utilisateur est) et indépendants en ce sens que la compromission de l'un ne remet pas en question la fiabilité des autres, et qui est conçue de manière à protéger la confidentialité des données d'authentification.

21. L'article L133-44 dispose que « Le prestataire de services de paiement applique l'authentification forte du client définie au f de l'article L. 133-4 lorsque le payeur : 1° Accède à son compte de paiement en ligne ; 2° Initie une opération de paiement électronique ; 3° Exécute une opération par le biais d'un moyen de communication à distance, susceptible de comporter un risque de fraude en matière de paiement ou de toute autre utilisation frauduleuse.

22. L'article L133-19, dispose que « (…) V. Sauf agissement frauduleux de sa part, le payeur ne supporte aucune conséquence financière si l'opération de paiement non autorisée a été effectuée sans que le prestataire de services de paiement du payeur n'exige une authentification forte du payeur prévue à l'article L 133-44. ».

23. Le tribunal constate que le service de virement mis en place par CCF utilisait l'outil HSBC SECURE KEY permettant de générer des codes à usages uniques (de connexion ou de transaction pour des opérations sensibles comme par exemple l'ajout de bénéficiaires). Cette fonctionnalité était possible sous 2 formes : un boitier physique sous forme de calculette (CCF pièce n°32), appelée « hard token », ou un système intégré à l'application mobile HSBC, appelé « soft token ». M.[S] a installé l'option 2 « soft token » sur son smartphone le 11 aout 2021 ce qui a entrainé la désactivation de son ancien Secure Key Mobile (CCF Pièce N°33), boitier que seul M. [S] possédait. Par note en délibéré CCF a déclaré par ailleurs que HSBC ne fonctionnait pas avec l'enrôlement d'un appareil de confiance. Il en résulte que le processus mis en place par CCF n'était plus au moment des faits un processus d'authentification forte au visa de l'article L.133-4, l'appareil de M. [S] n'était pas reconnu de façon unique du fait que son enrôlement n'avait pas été demandé par HSBC.

24. Le tribunal en conclut qu'au visa des articles L.133-4 et L.133-44 du Code monétaire et financier, la solution technique mise en œuvre par CCF ne répondait pas aux exigences d'authentification forte.

b) Sur les faits le jour de la fraude

25. M.[S] soutient qu'il a été victime d'une escroquerie sophistiquée (« spoofing ») visant l'utilisation à son insu sa solutions de virement mobile sans pour autant n'avoir à aucun moment été dessaisi de son téléphone et qu'il conteste avoir authentifié et autorisé les virements.

26. Le tribunal constate que CCF, produisant les historiques des opérations réalisées via la banque à Distance (CCF pièces n°29 et 30), retrace la chronologie suivante du déroulé des évènements sur la journée du 7 décembre 2023 :

Heure

Evènement

française

14h35

Désactivation du soft token du client,

14h37

Activation d'un nouveau soft token via code reçu par SMS,

14h39

Connexion en CAM 40 c'est-à-dire en authentification forte, avec insertion de l'identifiant + code confidentiel ou biométrie,

14h42

Connexion du client mise en échec – sans réaction de sa part,

15h02

Enregistrement d'un nouveau bénéficiaire IBAN - [XXXXXXXXXX03]

15h03

Virement interne de 20.000 euros entre le livret A du client n° [XXXXXXXXXX01]

et le compte chèque n° [XXXXXXXXXX02],

15h08

Virement externe de 9.900 euros du compte courant du client n° [XXXXXXXXXX02] vers le nouveau bénéficiaire préalablement enregistré

27. Le tribunal constate que l'historique, bien que non horodaté, des courriels reçus par M. [S] ([S] – pièces n°3 – Historique) confirme l'exactitude de la chronologie jusqu'à l'enregistrement du nouveau bénéficiaire :

Courriel reçu par M. [S]

Evènement associé

par le tribunal

HSBC : REINITIALISATION CONFIRMEE

14h35

HSBC : CHANGEMENT DES CODES D'ACCES

14h37

HSBC : CONFIRMATION ACTIVATION SK

14H39

HSBC : AJOUT D'UN NOUVEAU BENEFICIAIRE

15h02

28. Mais, le tribunal constate qu'il ne résulte pas de ce parallélisme que les opérations aient été réalisées avec l'appareil (non enrôlé) de M. [S] d'autant que les notifications lui ont été adressées par courriel et non par SMS ce qui ne lui permettait pas de réagir immédiatement aux évènements.

29. Le tribunal en conclut qu'il n'est pas certain que l'opération frauduleuse ait été autorisée par M. [S].

c) Sur le spoofing

30. M.[S] fait valoir qu'il a été victime d'un « spoofing », les escrocs ayant utilisé le numéro de téléphone d'HSBC et ayant eu accès à ses dernières écritures.

31. Il appartient à M. [S] d'apporter des éléments objectifs de spoofing : journal d'appel, capture du numéro usurpé, plainte décrivant l'affichage du numéro…

32. Le tribunal constate que M. [S] a, le lendemain de la fraude, déposé plainte ([S] pièce N°7). Sa plainte a été classée sans suite « l'enquête n'ayant pas permis d'identifier la (les) personnes ayant commis l'infraction ».

33. Le tribunal constate que M. [S] verse au débat des captures d'écran de son portable ([S] pièce N°3) attestant d'appel numéro +33 800 970 179 qui est le service client de HSBC. Mais, le tribunal constate que ces captures ne sont pas datées.

34. Le tribunal constate enfin que CCF justifie de l'information de sa clientèle à la prévention aux risques de fraudes et qu'en particulier deux jours auparavant elle avait adressé un courriel à M. [S] intitulé « Attention : redoublez de vigilance face aux fraudeurs » ([S] pièce N°3 Historique). Mais il relève que CCF n'a pas démontré avoir communiqué sur le risque de spoofing et en particulier qu'il n'a pas attiré l'attention de sa clientèle sur le fait que les numéros 0800, usuellement utilisés par les fraudeurs, ne sont pas configurés pour émettre des appels sortants de HSBC ce qui aurait permis à M. [S] de rejeter l'appel.

d) Sur la négligence grave de M. [S]

35. Au vu des développements précédents, le tribunal, dit que l'usage du code confidentiel

saisi sur l'application bancaire ne peut caractériser une négligence grave de la part de M. [S] lorsque celui-ci a été victime d'une escroquerie dans laquelle l'escroc a usurpé la fonction d'un salarié de HSBC.

36. Il en conclut que, dans ces circonstances, quand bien même M. [S] aurait fait usage de son code confidentiel, il n'est pas caractérisé à son égard une négligence grave.

37. En conséquence

Le tribunal condamnera CCF à rembourser à M. [S] la somme de 9.900 €, somme à majorer des intérêts au taux légal à compter du 27 décembre 2023, date de la mise en demeure.

e) Sur la demande de dommages et intérêts de M. [S]

38. M.[S] sollicite en outre 1.500 € de dommages et intérêts pour les conséquences de l'inexécution de son obligation par CCF.

39. Mais M. [S] ne justifie pas d'un préjudice distinct de ceux qui seront réparés d'une part par la condamnation au remboursement de la somme objet du litige et l'octroi d'intérêts légaux sur cette somme, et d'autre part par les dispositions de l'article 700 du code de procédure civile,

40. En conséquence,

Le tribunal déboutera M. [S] de sa demande de dommages et intérêts.

f) Sur l'application des dispositions de l'article 700 du code de procédure civile

41. Pour faire valoir ses droits, M. [S] a dû engager des frais non compris dans les dépens qu'il serait inéquitable de laisser à sa charge.

42. Le tribunal condamnera, CCF à payer à M. [S], la somme de 2.000 € en application des dispositions de l'article 700 du code de procédure civile.

g) Sur les dépens

43. Les dépens seront mis à la charge de CCF qui succombe.

44. Il n'y aura pas lieu de statuer sur l'exécution provisoire qui est de droit.

PAR CES MOTIFS