Tribunal judiciaire, 16 octobre 2024. 24/51043

TRIBUNAL JUDICIAIRE DE PARIS ■ N° RG 24/51043 - N° Portalis 352J-W-B7I-C34UD AS M N° : 14 Assignation du : 06 Février 2024 [1] [1] 2 Copies exécutoires délivrées le: ORDONNANCE DE RÉFÉRÉ rendue le 16 octobre 2024 par Pierre GAREAU, Juge au Tribunal judiciaire de Paris, agissant par délégation du Président du Tribunal, assisté de Anne-Sophie MOREL, Greffier. DEMANDERESSE Association ADFC [Adresse 4] Formation [Adresse 4] [Localité 2] représentée par Maître Arnaud MOQUIN de l’AARPI OXYNOMIA, avocats au barreau de PARIS - #L0119 DEFENDERESSE S.A. BNP PARIBAS [Adresse 1] [Localité 3] représentée par Me Julien MARTINET, avocat au barreau de PARIS - #D1329 DÉBATS A l’audience du 04 Septembre 2024, tenue publiquement, présidée par Pierre GAREAU, Juge, assisté de Anne-Sophie MOREL, Greffier, Nous, Président, Après avoir entendu les conseils des parties, Le 28 décembre 2023, Madame [R] [M] Directrice Administrative et Financière de [Adresse 4] Formation, a été contacté par la banque BNP Paribas afin de confirmer qu'un virement en cours avait bien été autorisé par [Adresse 4] Formation. Pensant se connecter sur le site de la banque, Madame [M] s'est connectée en réalité sur un site miroir frauduleux dans lequel elle a rentré ses identifiants de connexions. Par la suite trente virements frauduleux ont été effectués à partir des différents comptes bancaires de l'association. En prenant en compte les virements bloqués directement par la banque et ceux qui ont pu être recrédités, le total des sommes prélevées sur les comptes de [Adresse 4] Formation s'élevait à 233 363 €. Le 29 décembre 2023, BNP Paribas a alerté Madame [M] concernant des soupçons de virements frauduleux. Le 2 janvier 2024, [Adresse 4] Formation a déposé plainte suite à ces faits. Par courrier du 11 janvier 2024, [Adresse 4] Formation a mis en demeure la banque de lui restituer l'intégralité des sommes soustraites frauduleusement en se fondant sur les obligations prévues aux articles 133-18 et 133-19 du code monétaire et financier. Suite au refus de la banque, [Adresse 4] Formation a attrait cette dernière par exploit d'huissier en date du 6 février 2024 devant le Président du tribunal judiciaire de Paris statuant en référé afin d'obtenir la restitution de l'intégralité des sommes perdues dans le cadre de cette fraude. L'affaire a été appelée à l'audience du 4 septembre 2024. Dans ses dernières conclusions soutenues oralement, [Adresse 4] Formation, représentée par son conseil a sollicité la condamnation de la banque à lui verser à titre provisionnelle la somme de 233 363 € en valeur au 29 décembre 2023 augmentés des intérêts majorés applicables au titre de l'article L133-18 du CMF ainsi qu'à une condamnation au titre de l'article 700 du code de procédure civile à un montant de 8000 €. BNP Paribas dans ses dernières conclusions soutenues oralement à l'audience par son conseil, a sollicité le débouté intégral des demandes formulées et la condamnation du demandeur à la somme de 10 000 € au titre de l'article 700 du code de procédure civile. Conformément aux dispositions des articles 446-1 et 455 du code de procédure civile, il est renvoyé aux écritures déposées à l'audience et aux notes d'audience pour un plus ample exposé des faits, moyens et prétentions qui y sont contenus. MOTIFS Le président du tribunal judiciaire ou le juge des contentieux de la protection dans les limites de sa compétence peuvent toujours, même en présence d'une contestation sérieuse, prescrire en référé les mesures conservatoires ou de remise en état qui s'imposent, soit pour prévenir un dommage imminent, soit pour faire cesser un trouble manifestement illicite. La preuve du caractère manifestement illicite du trouble repose sur le demandeur. L'article L.133-18 du code monétaire et financier dispose qu'en cas d'opération de paiement non autorisée signalée par l'utilisateur dans les conditions prévues à l'article L. 133-24, le prestataire de services de paiement du payeur rembourse au payeur le montant de l'opération non autorisée immédiatement après avoir pris connaissance de l'opération ou après en avoir été informé. L'article L.133-19 du même code dispose aux paragraphes II et IV : " II. La responsabilité du payeur n'est pas engagée si l'opération de paiement non autorisée a été effectuée en détournant, à l'insu du payeur, l'instrument de paiement ou les données qui lui sont liées. " " IV. - Le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d'un agissement frauduleux de sa part ou s'il n'a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17. " Enfin, l'article L.133-23 dispose que lorsqu'un utilisateur de services de paiement nie avoir autorisé une opération de paiement qui a été exécutée, ou affirme que l'opération de paiement n'a pas été exécutée correctement, il incombe à son prestataire de services de paiement de prouver que l'opération en question a été authentifiée, dûment enregistrée et comptabilisée, et qu'elle n'a pas été affectée par une déficience technique ou autre. L'utilisation de l'instrument de paiement telle qu'enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l'opération a été autorisée par le payeur ou que celui-ci n'a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant en la matière. Le prestataire de services de paiement, y compris, le cas échéant, le prestataire de services de paiement fournissant un service d'initiation de paiement, fournit des éléments afin de prouver la fraude ou la négligence grave commise par l'utilisateur de services de paiement. Il s'ensuit que si elle entend faire supporter à l'utilisateur d'un instrument de paiement doté d'un dispositif de sécurité personnalisé les pertes occasionnées par une opération de paiement non autorisée, la banque a la charge de démontrer d'une part, que l'opération en cause a été authentifiée, dûment enregistrée, et comptabilisée et qu'elle n'a pas été affectée par une déficience technique ou autre, et d'autre part, que cette opération a été rendue possible par un manquement de cet utilisateur, intentionnel ou par négligence grave, aux obligations mentionnées aux articles L.311-6 et L.311-7 du code monétaire et financier. En vertu des articles L. 133-6 et L. 133-7 du code monétaire et financier, une opération de paiement est autorisée si le payeur a donné son consentement à son exécution, ce consentement étant donné sous la forme convenue entre le payeur et son prestataire de services de paiement. Sur le caractère autorisé ou non autorisé de l'opération de paiement En l'espèce, les virements ont été effectués grâce à l'usage d'un outil dit à " authentification forte ". L'usage de cet outil fait présumer le consentement du payeur au virement. Il s'agit d'une présomption simple pouvant être renversée par la preuve contraire. Aucune convention conclue entre une banque et son client ne saurait interdire à ce dernier d'apporter cette preuve contraire. En l'espèce il ressort de la position même de la banque défenderesse que les virements frauduleux n'ont pas directement été autorisés par madame [R] [M]. BNB Paribas ne conteste aucunement que ces virements aient été le fait d'un tiers et que Madame [M] s'est uniquement contentée de rentrer ses identifiants via un site miroir qui ont ensuite été utilisés pour ordonner les virements litigieux. Ainsi, la présomption simple tiré de l'usage d'identifiant par le payeur doit être ici renversée et les opérations litigieuses revêtir la qualification d'opérations non autorisées au sens des dispositions précitées. Ainsi en présence d'opérations non autorisées, la responsabilité de la banque est présumée sauf à établir l'existence d'une négligence grave de la part du payeur. Sur l'existence d'une négligence grave de la part du payeur La preuve de cette négligence grave doit être rapportée par la banque qui l'oppose. Elle ne peut se déduire de la seule utilisation par un tiers d'identifiants en possession du payeur. En matière de pishing ou hameçonnage ce qui est le cas en l'espèce, la preuve de cette négligence grave suppose pour la banque défenderesse d'établir que le client payeur avait les moyens de soupçonner voire de détecter la tentative d'hameçonnage. À défaut, aucune négligence ne pourra lui être reprochée. En l'espèce et plus précisément, Madame [M] s'est connectée à un site miroir via un navigateur web dans lequel elle a entré ses identifiants, pensant se connecter au compte de l'association. La seule différence établie en procédure entre le site miroir et le site authentique de la banque se situe dans l'absence d'un " p " dans ladite URL ainsi qu'un logo supplémentaire présent sur la page d'accueil. Ces différences sont suffisamment mineures et ne peuvent établir que Madame [M] aurait dû soupçonner le caractère frauduleux dudit site. En revanche, suite à cette connexion Madame [M] reconnaît avoir reçu un SMS ainsi qu'un courriel lui transmettant un code d'activation qu'elle reconnaît avoir retranscrit sur le site miroir. Ensuite un message ainsi qu'un courriel l'a informé de la bonne installation d'une " Clé sécurité digitale " sur un nouvel appareil Iphone 13 pro. Il est acquis que Madame [M] n'a jamais, même via le site miroir, été à l'origine d'une quelconque activation de clé digitale. Il s'agissait en réalité d'une manœuvre enclenchée par le ou les fraudeurs en vue de l'enregistrement d'un nouvel utilisateur afin de procéder aux virements frauduleux. Par ailleurs ces messages envoyés automatiquement par la banque informe précisément l'utilisateur de la démarche à suivre s'il n'est pas à l'origine de cette procédure ce qui est le cas en l'espèce. Si ces messages ne mentionnent pas qu'il s'agit de l'activation d'une clé digitale, il reste qu'ils ont informé l'utilisatrice qu'une procédure d'activation avait été enclenchée alors qu'elle n'en était pas à l'origine. Ainsi à partir de cette information, Madame [M] aurait pu détecter la tentative d'hameçonnage en cours. En conséquence, cela constitue un moyen sérieux pouvant constituer une négligence grave de nature à exclure la banque de toute responsabilité et ne peut donc caractériser l'existence d'un trouble manifestement illicite. Sur les autres manquements allégués à l'encontre de la banque Sur le fait que Madame [M] n'aurait pas dû avoir la possibilité d'activer une clé digitale : tout d'abord cela ne semble pas contradictoire avec la possibilité d'une négligence grave et au surplus, il ressort de la convention liant [Adresse 4] Formation et BNP Paribas modifié le 29 novembre 2022 que la clé digitale entreprise est " accessible à tous les utilisateurs ". Ainsi, Madame [M] était, en principe, en droit de solliciter l'activation d'une telle clé. Concernant la présence de site miroir du site officiel de la banque, on ne peut déduire de ce seul fait la responsabilité de la banque qui plus est au stade des référés, sauf à établir, ce que le demandeur ne fait pas, une négligence de banque en lien avec l'existence de ce site miroir. Concernant le fait que cette fraude ait pu avoir lieu malgré l'usage par les fraudeurs de multiples adresses IP sur une courte période, de la même façon on ne saurait déduire avec l'évidence exigé en référé, de ce seul fait un manquement de la banque à son devoir de vigilance. * Ainsi au regard de l'ensemble de ces considérations, le demandeur échoue à établir le caractère manifeste du trouble allégué et verra sa demande provisionnelle rejetée. En toute logique les demandes relatives à la majoration des intérêts seront elles aussi écartées Au regard de l'équité, les demandes formulées au titre de l'article 700 du code de procédure civile seront écartée. Partie perdante, [Adresse 4] Formation conservera à sa charge les dépens de l'instance. PAR CES MOTIFS Statuant publiquement, par mise à disposition au greffe, par ordonnance contradictoire et en premier ressort , DISONS n'y avoir lieu à référé concernant la demande de provision, DEBOUTONS le demandeur de l'intégralité de ses demandes, DEBOUTONS l'ensemble des demandes formulées au titre de l'article 700 du code de procédure civile, CONDAMNONS [Adresse 4] Formation aux entiers dépens. Fait à Paris le 16 octobre 2024 Le Greffier, Le Président, Anne-Sophie MOREL Pierre GAREAU