"It's Very Hot": Is a Couple of Seniors Going to "Fold the Banks" After Having Been Scammed by 50,000 Euros?

La décision pourrait peser lourd dans les litiges entre banques et victimes de phishing, ou de fraudes par manipulation. Le 26 mai, le juge des référés du tribunal de l'entreprise d'Anvers a ordonné à une banque de rembourser immédiatement 49 958 euros à un couple de personnes âgées victime d'une arnaque. L'affaire, révélée par Het Laatste Nieuws , concerne deux virements effectués en janvier vers un compte portugais , après l'appel d'un faux employé bancaire.

La banque refusait d'indemniser le couple. Selon elle, les clients avaient eux-mêmes validé les opérations, en utilisant leur carte bancaire, leur code secret, des codes de réponse et des codes uniques reçus par SMS. Autrement dit : les virements avaient été "authentifiés", donc autorisés. La notion est importante, nous y reviendrons.

"Le couple concerné pourrait encore devoir supporter la perte au final. Mais dans un premier temps, la banque rembourse."

Le juge des référés n'a pas suivi ce raisonnement à ce stade. Il a estimé que la banque devait d'abord rembourser les victimes, quitte à contester ensuite cette indemnisation si elle estime pouvoir démontrer une négligence grave.

Cette distinction est au cœur du dossier. En droit belge, comme dans le cadre européen, une banque doit rembourser une opération de paiement non autorisée sans délai, sauf notamment si elle a de bonnes raisons de soupçonner une fraude du client et qu'elle en informe les autorités compétentes. Mais banques et associations de consommateurs s'opposent depuis longtemps sur ce qu'il faut entendre par " autorisation " lorsqu'un client a été manipulé par un fraudeur.

Pour Testachats , la décision anversoise clarifie un point essentiel : l'utilisation correcte des outils d'authentification ne suffit pas à démontrer que le consommateur a réellement consenti à l'opération.

"Les banques considèrent que si une transaction est authentifiée, cela veut forcément dire qu'elle a été autorisée. Or, ce n'est pas notre lecture, ni celle d'Ombudsfin ", explique Julie Frère, porte-parole de Testachats.

L'organisation voit aussi dans ce jugement une remise en cause de la pratique consistant, pour les banques, à refuser d'emblée un remboursement en invoquant la négligence grave du client. " Ce que le jugement dit, c'est : d'abord on paie, puis on discute ", résume Julie Frère. Selon elle, si le client rend plausible le caractère non autorisé de la transaction, la banque doit rembourser immédiatement, sauf soupçon de fraude du consommateur signalé par la banque elle-même au SPF Économie dans les 24 h.

Passé ce délai, la banque peut toujours réagir. Si elle estime que le client a commis une négligence grave, elle peut agir pour récupérer l'argent dans un second temps.

"Le jugement vient mettre les points sur les i sur ce que les banques n'ont jamais respecté" , poursuit Julie Frère. Elle nuance toutefois la portée de la décision : il s'agit d'un jugement en référé, donc provisoire. " Le couple concerné pourrait encore devoir supporter la perte au final. Mais dans un premier temps, la banque rembourse."

Le juge ne s'est donc pas prononcé sur la responsabilité finale. Le fond du dossier devra encore être examiné. La banque pourra tenter de démontrer que les clients ont commis une négligence grave ou qu'ils ont effectivement autorisé les opérations. La nouveauté tient plutôt à l'ordre des étapes : au lieu de laisser les victimes sans indemnisation pendant des mois, voire des années, la banque doit avancer les fonds, puis plaider sa cause.

Du côté du secteur bancaire, la décision suscite de fortes réserves. Febelfin rappelle que la législation ne vise la responsabilité des banques qu'en cas de transactions non autorisées. Or selon la fédération bancaire, de plus en plus d'escroqueries reposent précisément sur la manipulation de la victime afin qu'elle effectue elle-même le virement.

"Les clients ne feront plus attention, ne seront plus méfiants "

Charles Cuvelliez, professeur en cybersécurité à l'École polytechnique de Bruxelles de l'ULB

"Dans ce cas, il s'agit de transactions autorisées, pour lesquelles la législation ne prévoit pas de responsabilité des banques ", confie la fédération bancaire. Elle insiste sur la différence entre une opération non autorisée – par exemple lorsqu'un instrument de paiement est détourné – et une opération exécutée par le client sous l'influence d'un fraudeur.

"Lorsqu'un client est victime de phishing, la banque ouvre une enquête et examine très attentivement les circonstances concrètes du dossier. Si aucune négligence grave ne peut être retenue à charge du client, celui-ci est remboursé. En revanche, lorsqu'une négligence grave est constatée, la banque n'est pas tenue de prendre en charge le préjudice subi ", rappelle Febelfin.

Mag Eco: attention aux arnaques en ligne - Le Chiffre de Marie Debauche, avec Peter Braem

Sur le remboursement immédiat, la fédération souligne que la jurisprudence reste partagée. Selon elle, un avis récent d'un avocat général près la Cour de justice de l'Union européenne reconnaîtrait l'existence de divergences d'interprétation.

Pour Charles Cuvelliez, professeur en cybersécurité à l'École polytechnique de Bruxelles de l'ULB et expert du secteur bancaire, cette décision est sensible. " C'est un sujet très chaud ", estime-t-il.

"L'éducation au fait de détecter les scams (arnaques, NdlR) devrait presque être du lavage de cerveau"

Le spécialiste met en garde contre les effets pervers possibles d'une généralisation. Un remboursement instantané, avant d'avoir pu statuer sur la négligence de la victime, aurait selon lui deux conséquences : " Les clients ne feront plus attention, ne seront plus méfiants " et " des schémas de fraude (visant directement les banques, NdlR) encore inconnus vont vite voir le jour en tablant sur un remboursement immédiat ". Il évoque notamment le risque de fraudeurs qui se feraient passer pour des victimes afin d'obtenir des remboursements, " puis disparaître dans la nature ".

Mais, à ses yeux, le débat ne doit pas occulter la racine du problème : l'éducation au scamming. Les arnaques, dit-il, reposent presque toujours sur les mêmes ressorts psychologiques. " On se fait appeler par quelqu'un qu'on devrait connaître, c'est urgent, important ou stressant, on ne vous laisse jamais le temps de souffler, et le paiement est inhabituel ", résume-t-il. Le but est de maintenir la victime dans un état émotionnel élevé. " Tout le monde sait que dans l'émotion, on fait des choses qu'on ne ferait pas à froid. "

Charles Cuvelliez plaide donc pour des campagnes beaucoup plus intensives et concrètes, inspirées notamment du travail de la Federal Trade Commission aux États-Unis. En Europe, estime-t-il, les campagnes restent trop ponctuelles et trop générales. " L'éducation au fait de détecter les scams devrait presque être du lavage de cerveau ", dit-il, pour ancrer les réflexes de méfiance.

En attendant que la portée de cette décision soit confirmée ou non sur le fond, une certitude demeure : en cas d'arnaque, il faut réagir le plus vite possible pour tenter de bloquer le paiement, faire opposition à sa carte et demander à sa banque d'examiner le dossier. Un esprit averti en vaut deux.