SIM SWAPPING : la banque qui renonce à l'authentification forte assume seule le risque de la fraude

Une banque qui choisit de ne pas recourir à l'authentification forte pour valider des virements ne peut, en cas de fraude, reprocher à son client une négligence grave qu'elle n'a pas mise en mesure de prévenir. Par un arrêt du 23 octobre 2025, la cour d'appel d'Amiens condamne le Crédit Agricole à rembourser 22 465 euros à une société victime de SIM swapping, après que quatre virements frauduleux eurent été exécutés le même jour vers un unique bénéficiaire, à la suite du détournement de la ligne téléphonique de son dirigeant.

La cour rappelle d'abord que l'utilisation des identifiants et des codes reçus par SMS ne suffit jamais, à elle seule, à établir le consentement du client, les opérations demeurent donc non autorisées au sens du code monétaire et financier. Elle relève ensuite que la banque reconnaissait elle-même ne pas avoir soumis les virements litigieux à une authentification forte, seul l'ajout du bénéficiaire en ayant bénéficié : dès lors qu'un prestataire choisit de prendre le risque de s'en dispenser, il doit en assumer les conséquences sans pouvoir se retrancher derrière la négligence grave de son client. Le SIM swapping subi par la victime ne caractérise, en lui-même, aucune négligence : la cour exige que la faute reprochée au client soit la cause principale et prépondérante de l'opération frauduleuse, ce qui n'était manifestement pas le cas ici.

Cette décision illustre également une limite utile pour les banques : l'appel en garantie qu'elles forment contre l'opérateur téléphonique n'aboutit que si une faute précise et documentée de ce dernier dans la délivrance de la carte SIM est démontrée. L'opérateur mis en cause, ayant justifié de ses propres dispositifs de sécurité, a été mis hors de cause faute d'une telle preuve, laissant la banque seule débitrice de l'obligation de remboursement envers sa cliente.

CA Amiens, chambre économique, 23 octobre 2025, n° 23/05055.