La fraude au faux conseiller bancaire, que l’on désigne souvent par l’anglicisme spoofing, est devenue l’une des escroqueries les plus rentables en Suisse. Particuliers, PME, indépendants : personne n’est à l’abri, et les montants en jeu se comptent en dizaines, parfois en centaines de milliers de francs. Après le choc vient presque toujours la même question. La banque doit-elle rembourser ?
La réponse honnête est : ça dépend. Le Tribunal fédéral a posé une grille d’analyse précise, qui peut donner gain de cause à la victime comme à la banque selon les cas. Trois paramètres pèsent : ce que prévoient les conditions générales, la gravité de la faute de l’établissement, le comportement du client. Il y a donc du droit à faire valoir, et autant le connaître avant de signer une renonciation.
Le mécanisme, en quelques traits
Le scénario est rodé. Un appel, un interlocuteur qui se présente comme le « service sécurité » ou « service antifraude » de la banque, une menace inventée sur le compte. La voix est calme, professionnelle, pressée. Sous prétexte de protéger les avoirs, on fait installer un logiciel de prise de contrôle à distance, ou l’on extorque des codes d’authentification. À partir de là, le fraudeur tient l’environnement bancaire de la victime.
Reste l’obstacle de la validation. Quand la banque sollicite une confirmation, la victime, manipulée et sous pression, la donne, parfois en récitant un texte dicté au téléphone. C’est précisément cette confirmation que la banque brandira ensuite pour se dégager. Les fonds, eux, sont déjà partis : fractionnés, expédiés vers des comptes-relais (dans un dossier récent, un virement de CHF 280’000 éclaté en trois ordres vers Hong Kong et Chypre en moins d’une heure), puis dispersés. Passé quarante-huit heures, la traçabilité s’effondre.
Ce que dit vraiment le Tribunal fédéral
Deux idées reçues à écarter. La banque ne rembourse pas automatiquement ; mais elle ne se libère pas non plus en agitant la confirmation que vous avez donnée.
Depuis 2019-2020, la Ire Cour de droit civil a posé une méthode désormais stable, à travers trois arrêts de principe : l’ATF 146 III 121 (cadre général), l’ATF 146 III 326 (ordres frauduleux transmis par courriel, en présence d’une clause de transfert de risque) et l’ATF 146 III 387 (escroquerie au président, l’arrêt à 4 millions sur lequel je reviens). Le raisonnement se déploie en trois temps.
Premier temps : l’ordre a-t-il été donné par le client, ou sans lui ? Quand un tiers passe l’ordre frauduleusement, ou quand le mode de signature convenu (typiquement la signature collective à deux) n’est pas respecté, il n’y a pas de mandat valable. Le dommage est alors, dans le système légal, celui de la banque, non du client : l’argent en compte appartient à l’établissement, le client n’ayant à son égard qu’une créance en restitution fondée sur le rapport de giro (ATF 146 III 387, consid. 4.1).
Deuxième temps, et c’est souvent là que tout bascule : les conditions générales contiennent-elles une clause de transfert de risque, et est-elle opposable ? Une telle clause est en principe valable. Elle cède lorsque la banque a commis une faute grave (art. 100 al. 1 CO). En clair : si vos CGB transfèrent le risque sur vous et que la banque n’a pas gravement fauté, vous supportez la perte. C’est l’hypothèse que les victimes préfèrent ignorer.
Troisième temps : la banque dispose-t-elle, contre son client, d’une prétention en dommages-intérêts pour sa faute concomitante (art. 97 al. 1 CO), qu’elle oppose en compensation ? Le client ne s’en sort que si la faute propre de la banque est assez lourde pour interrompre le lien de causalité (art. 44 al. 1 et 99 al. 3 CO). Rien d’acquis là-dedans : le juge apprécie au cas par cas.
L’arrêt à 4 millions illustre l’issue favorable. Dans l’ATF 146 III 387 (TF 4A_178/2019 du 6 août 2020), une employée d’une société, titulaire de la signature collective à deux, est victime d’une escroquerie au président ; des ordres falsifiés passent par courriel, hors du mode convenu. Pas de clause de transfert de risque, dans ce cas. Le Tribunal fédéral juge que la faute grave de la banque et de ses auxiliaires interrompt la causalité, et condamne l’établissement à restituer EUR 4’041’537.61, avec intérêts à 5 % dès le 16 octobre 2014. Décision spectaculaire, mais qui tient à ses faits : absence de clause de risque, faute bancaire caractérisée.
Le piège propre au faux conseiller
Ici, il faut être franc, parce que la transposition n’est pas mécanique. Les grands arrêts visent surtout des ordres falsifiés ou passés hors procédure par un tiers. Dans le faux conseiller, la victime authentifie elle-même l’opération. Elle saisit, elle valide, elle confirme. L’argument « pas de mandat » devient plus délicat : formellement, l’ordre émane du client.
Reste que l’angle existe, et il est solide quand les faits s’y prêtent. Une volonté arrachée sous emprise, par usurpation de l’identité de la banque et prise de contrôle de l’appareil, n’est pas une volonté libre. Surtout, le terrain le plus payant est rarement le premier temps. C’est le deuxième et le troisième : la faute grave de la banque. Car dans la plupart de ces dossiers, l’opération présentait des signaux que l’établissement ne pouvait pas ignorer. Montants sans rapport avec l’historique du compte. Bénéficiaires inconnus, sociétés récemment constituées, juridictions à risque. Ordres en rafale là où le compte dormait. Titulaire dont le profil appelait une vigilance accrue.
Face à des opérations insolites, la banque doit clarifier, et une clarification sérieuse ne se réduit pas à un appel sur la ligne que le fraudeur contrôle peut-être déjà. Dans un dossier récent, une banque de la place avait elle-même identifié des indices de fraude avant d’exécuter les transferts, puis les avait exécutés tout de même. Cet aveu, une fois au dossier, vaut de l’or : il établit que le dispositif de détection fonctionnait, et que l’inaction relève de la faute grave.
Les indices de faute grave que la banque ne devrait pas manquer
La jurisprudence et la pratique retiennent, pour apprécier la faute grave, une série de signaux d’alerte. Plus ils s’accumulent, plus le devoir de clarification de la banque était impérieux, et plus l’exécution sans réaction pèse lourd. On les regroupe utilement en quatre familles.
Anomalies de transaction. Montant sans rapport avec l’historique du compte, virements en rafale sur un compte habituellement calme, opérations à des heures inhabituelles, fractionnement destiné à passer sous les seuils de contrôle.
Anomalies géographiques. Bénéficiaire situé dans une juridiction sans lien avec le client, ou connue pour son exposition au blanchiment ; compte destinataire ouvert de fraîche date ; société bénéficiaire récemment constituée.
Anomalies techniques. Connexion depuis un appareil ou une localisation jamais vus, installation récente d’un logiciel de prise de contrôle à distance, changement de coordonnées peu avant l’ordre.
Anomalies de profil. Opération incohérente avec les connaissances financières et le profil de risque connus du client — l’exemple type étant la personne âgée, peu familière des outils numériques, exécutant soudain des virements complexes vers l’étranger.
Aucun de ces indices ne suffit isolément. Mais leur faisceau construit précisément le dossier : il déplace le débat du terrain de la validation par le client, souvent perdu d’avance, vers celui de la faute grave de l’établissement, qui est l’angle d’attaque réaliste.
Vous êtes victime : les bons réflexes
Le temps travaille contre vous. Chaque heure, les fonds franchissent une banque correspondante de plus.
Dans l’heure, coupez l’accès e-banking depuis un appareil sain (pas celui qui a été compromis), désinstallez tout logiciel ajouté pendant l’épisode, et exigez de la banque, sur son numéro officiel, le gel des ordres en cours et l’activation d’une procédure de rappel des fonds (recall) auprès des banques bénéficiaires.
Dans les deux jours, déposez plainte pénale pour escroquerie (art. 146 CP). La voie pénale ouvre des leviers de traçage et de blocage que le civil seul n’offre pas, entraide internationale comprise. Conservez tout : numéros appelants, captures d’écran, SMS, courriels, journaux du logiciel installé.
Dans le mois, formez opposition écrite, par recommandé, dans le délai contractuel de réclamation (souvent un mois dès réception de l’avis, art. 6 des CG bancaires usuelles). Et faites valoir vos prétentions sur le fond. Une mise en demeure construite selon la grille du Tribunal fédéral, et non un courrier de doléances, change la nature de la discussion : elle place la banque devant un risque procédural chiffrable.
Si la banque refuse
Le refus, en première intention, est quasi systématique. Plusieurs voies restent ouvertes. L’action civile en restitution ou en dommages-intérêts (art. 97 ss CO). La saisine de l’Ombudsman des banques, gratuite mais sans pouvoir contraignant. Et, selon les cas, un signalement à la FINMA sur le terrain des obligations organisationnelles et du dispositif de détection des fraudes. Ce dernier levier ne vous fera pas rembourser directement, l’autorité ne tranchant pas les litiges individuels, mais il pèse parfois sur la posture de l’établissement.
Questions fréquentes
La banque peut-elle m’opposer mes propres erreurs ?
Elle le fera, presque à coup sûr. Cela ne clôt pas le débat. Si sa propre faute est grave, typiquement l’absence de réaction à des signaux d’alerte manifestes, le juge peut admettre qu’elle interrompt le lien de causalité et relègue votre imprudence au second plan. Peut, pas doit : c’est une appréciation.
Quel délai pour réagir ?
Le délai de réclamation contractuel est généralement d’un mois dès réception de l’avis (art. 6 CG usuelles). Au-delà, l’action judiciaire reste ouverte (la prescription contractuelle ordinaire est de dix ans), mais le rapport de force se dégrade. Agissez vite.
Faut-il déposer plainte même si la banque accepte de discuter ?
Oui. Le pénal donne accès à des outils de blocage et de traçage que le civil n’a pas, et il documente votre bonne foi.
Bases légales et jurisprudence
Responsabilité contractuelle et faute concomitante : art. 97 al. 1, 99 al. 3 et 44 al. 1 CO. Clause de transfert de risque et faute grave : art. 100 al. 1 CO. Escroquerie : art. 146 CP.
Arrêts de principe du Tribunal fédéral : ATF 146 III 121 (cadre général de la répartition du risque), ATF 146 III 326 (ordres frauduleux par courriel et clause de transfert de risque), ATF 146 III 387 / TF 4A_178/2019 du 6 août 2020 (escroquerie au président, interruption du lien de causalité par la faute grave de la banque).
Sur ce type de dossiers
Ces affaires se gagnent à l’intersection du civil (restitution) et du pénal (traçage), souvent dans l’urgence des premiers jours. C’est l’angle de travail de Sentinel Legal, qui intervient en droit bancaire et en procédure pénale économique. Pour exposer une situation : +41 22 512 76 00 ou via le formulaire de contact.
Cet article est purement informatif et ne constitue pas un avis juridique. Chaque situation appelle une analyse propre ; pour un dossier déterminé, consultez un avocat.