Fraude au SPOOFING : appareil de confiance, IP étrangère et double connexion

Le 29 janvier 2026, la Cour d'appel de Versailles a condamné la Caisse d'Épargne Île-de-France à rembourser 10 000 euros à une cliente victime d'une fraude par spoofing, augmentés de 2 000 euros pour préjudice moral. L'escroc, se faisant passer pour un conseiller anti-fraude de la banque et connaissant l'intégralité des données personnelles de la victime, l'avait convaincue de valider un « contre-ordre de sécurisation », qui était en réalité un virement frauduleux.

La cour écarte d'abord l'argument de la banque selon lequel les opérations seraient autorisées au motif que le code PIN avait été saisi : le fraudeur avait pu s'enrôler sur un autre appareil de confiance à l'insu de la cliente, ce que les logs Secur'Pass révèlent eux-mêmes à travers une série d'anomalies (double connexion, opérateur Orange au lieu de Free, adresses IP étrangères, 67 échecs de connexion). Ces incohérences font obstacle à la preuve que la banque devait rapporter en vertu de l'article L. 133-23 CMF, l'absence de déficience technique, rendant sans objet tout débat sur la négligence du client.

Sur ce point, la cour infirme le tribunal de première instance : la victime n'a pas commis de négligence grave. La combinaison d'un discours d'autorité crédible, d'une connaissance précise des données personnelles et d'une mise en urgence artificielle constitue une « tromperie structurée » et une « manipulation psychologique caractérisée » qui excluent cette qualification.