Les fraudes bancaires par spoofing, phishing ou faux conseiller bancaire connaissent une augmentation constante au Luxembourg comme dans le reste de l'Union européenne. Face à ces escroqueries de plus en plus sophistiquées, les établissements bancaires opposent fréquemment aux victimes un refus de remboursement en invoquant une prétendue « négligence (grave) » du client.
Une actualité juridique européenne majeure pourrait toutefois modifier sensiblement cette pratique.
Le 5 mars 2026, dans ses conclusions rendues dans l'affaire C-70/25, Tukowiecka, l'avocat général Athanasios Rantos près la CJUE a considéré que, conformément à la directive européenne sur les services de paiement (DSP2) du 25 novembre 2015, une banque ne peut pas refuser de procéder immédiatement au remboursement d'une opération de paiement non autorisée au seul motif qu'elle estime que son client a fait preuve de négligence grave.
Selon cette analyse, le mécanisme prévu par le droit européen repose sur une logique claire : rembourser d'abord, discuter ensuite.
Autrement dit, lorsqu'un client signale une opération non autorisée, la banque doit, en principe, recréditer immédiatement son compte. Ce n'est que dans un second temps, si elle parvient à démontrer que le client a délibérément ou par négligence grave manqué à ses obligations de sécurité, qu'elle pourra éventuellement demander la restitution des sommes remboursées, voire engager une action en justice contre celui-ci.
Cette position présente un intérêt particulier pour les clients luxembourgeois. En effet, les dispositions de la loi luxembourgeoise du 10 novembre 2009 relative aux services de paiement, qui transpose la directive DSP2, poursuivent le même objectif de protection des utilisateurs de services de paiement. Les conclusions de l'avocat général, si elles sont confirmées par la Cour de justice de l'Union européenne, devraient ainsi influencer l'interprétation retenue par les juridictions luxembourgeoises dans les litiges opposant les victimes de fraude à leur banque.
Cette solution s'inscrirait d'ailleurs dans le prolongement de l'évolution récente de la jurisprudence française, notamment des arrêts de la Cour de cassation du 23 octobre 2024 (pourvoi n° 23-16.267) et du 15 janvier 2025 (pourvois n° 23-13.579 et 23-15.437), ainsi que de plusieurs arrêts rendus par les cours d'appel de Paris (4 juin 2026, n° 25/08994), de Montpellier (4 juin 2026, n° 25/03261) et de Saint-Denis de La Réunion (29 mai 2026, n° 24/01047), qui rappellent que la négligence grave ne se présume pas, que sa preuve incombe à la banque et que la seule authentification de l'opération ne suffit pas à établir la responsabilité du client.
Quels réflexes adopter en cas de fraude bancaire ?
Lorsqu'une fraude est constatée, la rapidité de réaction est essentielle.
Il est recommandé de :
contacter immédiatement sa banque afin de faire bloquer le compte ou les moyens de paiement concernés ; contester sans délai les opérations frauduleuses et demander expressément leur remboursement ; conserver toutes les preuves disponibles (captures d'écran, SMS, courriels, historique des appels, échanges avec le fraudeur, relevés bancaires) ; déposer plainte auprès de la Police ; solliciter, si nécessaire, un accompagnement juridique afin d'évaluer les recours envisageables, notamment lorsque la banque refuse le remboursement en invoquant une prétendue négligence grave.
Le développement des techniques de spoofing démontre que même un utilisateur prudent peut être victime d'une manipulation particulièrement convaincante. L'évolution récente du droit européen confirme que cette réalité doit être prise en compte dans l'appréciation de la responsabilité des banques et renforce la protection des consommateurs face à des fraudes toujours plus sophistiquées.Par Maître Sabrina MARTIN et Maître Meschac FELISMA