Presentation
L’année 2024 compte plusieurs cyberattaques d’importance pour coût total en France estimé à 129 milliards de dollars américains en 2024, soit 35.5 milliards de plus qu’en 2023[1]. Parmi ces attaques, le phishing est la technique la plus utilisée, avec 60% des attaques étant des hameçonnages[2] touchant particuliers et entreprises.
L’hameçonnage – ou « phishing » – est une technique qui consiste à usurper l’identité d’un organisme ou d’un proche pour récupérer des informations[3]. L’hameçonnage se manifeste sous plusieurs formes : emails invitant à suivre un lien, envoyer un paiement ou communiquer des informations ; appel téléphonique qui emprunte l’identité d’une autre entreprise ; SMS ; messages sur les réseaux sociaux ; détournement d’URL etc. Le but peut être de récupérer notamment les nom, photo, numéro de téléphone, numéro de sécurité sociale, coordonnées bancaires de la victime pour en faire un usage frauduleux.
L’hameçonnage est en augmentation, avec 108% de sites d’hameçonnage de plus par rapport à l’année dernière[4] et trois fois plus d’utilisateurs qui cliquent sur ces sites que l’année précédente[5]. Cette augmentation s’explique par la crédibilité croissante des tentatives d’hameçonnages, notamment du fait de l’IA (deepfake, chatbot etc) et du développement du « spear phishing » qui consiste à envoyer à la victime un message personnalisé.
Face à cette menace les acteurs se mobilisent largement dans des opérations à grande échelle à l’image de l’opération PhishOFF et Nebulae, contre la plateforme « LabHost » qui proposait des services de phishing. Les opérations regroupent aussi bien des acteurs publics comme Europol que des acteurs privés comme Microsoft ou Chainalysis.
Hameçonnage / Phishing – La poursuite des auteurs : un enjeu d’efficacité pénale
La lutte contre l’hameçonnage se poursuit sur deux terrains : la poursuite et la répression des coupables, et l’indemnisation des victimes. Il importe de constater toutefois une variété de pratiques et de qualifications pénales (A) dont la poursuite des auteurs ne peut s’envisager que dans un contexte de corégulation mondial (B).
Hameçonnage : Variété de pratiques et de qualification pénale
Présentation. La lutte contre les pratiques d’hameçonnage et autres formes d’escroqueries en ligne se recherche naturellement sur le terrain pénal[6]. Plusieurs infractions peuvent ainsi être constituées notamment l’usurpation d’identité[7] en ligne[8], l’escroquerie[9], la contrefaçon des marques et contenus déposés[10], contrefaçon et usage frauduleux d’un moyen de paiement[11], la collecte frauduleuse de données à caractère personnel[12], l’atteinte à un système de traitement automatisé de données[13], etc.
Complexification. Compte tenu de la nature numériques des techniques de l’hameçonnage, les concours d’infractions sont communs les premiers délits constituant le moyen de parvenir à réaliser les seconds. D’autres infractions sont envisageables[14] selon la nature des divulgateurs[15].
Il s’ensuit qu’il arrive souvent que plusieurs infractions soient susceptibles d’être qualifiées pour un cas d’hameçonnage. La possibilité d’un tel cumul n’est acceptée que depuis récemment par la jurisprudence[16], sauf en cas de qualifications incompatibles ou si un fait est à la fois un élément constitutif d’une infraction et une circonstance aggravante d’une autre infraction. Aussi selon le principe specialia generalibus derogant (le spécial déroge au général) une infraction spécifiquement créée pour les faits en cause doit prévaloir sur une infraction qui recouvre des cas plus généraux. La possibilité d’un cumul de qualifications entraine nécessairement celle d’un cumul de sanctions.
Un tel cumul ne peut toutefois pas avoir lieu pour les peines de même nature, auquel cas il ne peut en principe être prononcé qu’une seule peine de cette nature dans la limite du maximum légal le plus élevé[17]. Une exception est cependant prévue pour l’usurpation d’identité où les peines prononcées se cumulent avec celles prononcées pour l’infraction à l’occasion de laquelle l’usurpation a été commise[18]. En ce qui ce qui concerne le cumul de condamnations, une condamnation étrangère peut être cumulée avec une condamnation française pour les mêmes faits mais la peine prononcée à l’étranger sera imputée sur la peine prononcée par la juridiction française[19]. Ce cumul est cependant interdit pour les décisions rendues par les juridictions des états-membres de l’UE sur des mêmes faits (article 50 Charte des droits fondamentaux).
En matière d’hameçonnage, d’autres facteurs de complexité apparaissent : l’internationalisation des infractions, l’identification des responsables et la détermination de la loi applicable et des autorités compétentes. Il en ressort que les procédés d’anonymisation rendent l’auteur difficile à identifier, et quand bien même il aurait été identifié, l’auteur est souvent à l’étranger, ce qui rend les poursuites difficiles et couteuses. Face à ces difficultés, inhérentes à la cybersécurité, des services dédiés à la cybersécurité ont été créés.
Services dédiés. Au niveau national, plusieurs autorités spécialisées en cybersécurité ont été créées : la brigade de lutte contre la cybercriminalité (BLCC) de la direction centrale de la police judiciaire de Paris, l’Office anti-cybercriminalité (OFAC) ou encore le centre de lutte contre les criminalités numériques (C3N). Il existe aussi une autorité administrative dédiée à la cybersécurité -l’ANSSI- et des sites spécialisés dans le signalement de tentatives d’hameçonnage qui collaborent avec les services publics, comme Phishing Initiative.
La lutte contre l’hameçonnage : une corégulation mondiale
La lutte contre l’hameçonnage s’opère au niveau mondial, avec l’implication d’une pluralité d’acteurs.
Etats et services de police. Face à l’internationalité de la cybercriminalité, les états ont mis en place un système de coopération pour poursuivre les infractions. De cette manière tous les états membres du Conseil de l’Europe, et d’autres états comme l’Australie et les Etats-Unis, sont liés par la Convention de Budapest sur la cybercriminalité qui dispose que les états coopèrent « aux fins d’investigations ou de procédures concernant les infractions pénales liées à des systèmes et données informatiques ou pour recueillir les preuves sous forme électronique d’une infraction pénale » (article 23 Convention de Budaptest). Interpole joue un grand rôle pour la mise en place d’une collaboration à l’échelle mondiale. Elle a par exemple créé en 2020 le « Desk pour les opérations de lutte contre la cybercriminalité dans la région de l’ASEAN » (Asie du sud-est) pour coordonner les actions des autorités.
Au niveau européen, c’est Europol et son Centre européen de lutte contre la cybercriminalité qui coordonne les actions et facilite les échanges d’informations entre les différents états membre ou des pays partenaires non-membres de l’UE. Europol notamment est le siège de la « Joint Cybercrime Action Taskforce » (J-CAT) où des experts de différents pays collaborent sur des enquêtes conjointes. En matière judiciaire, Eurojust et son réseau judiciaire européen en matière de cybercriminalité regroupe les juridictions spécialisées en matière de cybercriminalité. Par exemple Eurojust a coordonné la coopération judiciaire entre la France, l’Italie et la Roumanie sur la campagne de phishing à la fausse convocation judiciaire qui visait plusieurs pays d’Europe.
Autorités administratives. Il existe une autorité administrative dédiée à la cybersécurité : l’Agence Nationale de la Sécurité des Systèmes d’Information (ANSSI), compétente au niveau national en matière de cybersécurité et de cyberdéfense.
En parallèle, d’autres autorités administratives sont compétentes, à l’instar de l’Autorité de régulation de la communication audiovisuelle et numérique (ARCOM), compétente en matière de fraude sur internet (article 12 LCEN). Notamment, si elle constate qu’un site est manifestement conçu pour escroquer les utilisateurs et dirige l’utilisateur vers une interface dont les caractéristiques sont de nature à créer la confusion avec une interface en ligne existante et inciter les utilisateurs à fournir des données personnelles ou verser une somme d’argent, elle peut enjoindre aux fournisseurs d’accès à internet ou de résolution de noms de domaine d’en empêcher l’accès.
L’Autorité des Marchés financiers (AMF) quant à elle tient une liste noire des sociétés et sites non autorisés, notamment parce qu’ils usurperaient l’identité d’un acteur régulé. La CNIL également peut enquêter si une violation du RGPD est alléguée.
Acteurs privés. Que ce soit en parallèle ou en collaboration avec les acteurs publics, les acteurs privés se mobilisent aussi contre l’hameçonnage.
De manière générale, 91% des dirigeants de grandes entreprises françaises considèrent que la cybersécurité est une question stratégique majeure et 80% ont au moins un expert en sécurité informatique dans leur conseil d’administration[20]. A ce titre la Société Générale met beaucoup d’efforts en matière de sensibilisation de ses clients : campagnes d’informations sur la façon de reconnaitre une tentative d’hameçonnage, notifications régulières pour rappeler les bonnes pratiques, guides pratiques en ligne etc[21]. Existent aussi des entreprises spécialisées dans la cybersécurité, et notamment dans la prévention contre le phishing comme Mantra qui propose des simulations de tentatives d’hameçonnage.
Ils collaborent avec les autorités publiques pour prévenir ou sanctionner la pratique de l’hameçonnage, avec par exemple le Centre de fusionnement sur la cybercriminalité (CFC) d’Interpol qui réunit des experts du secteur privé et publie des signalements pour avertir les pays des cybermenaces.
Ces acteurs mettent en œuvre une pluralité d’actions : autant au stade de la prévention et de la répression, qu’au stade de la sensibilisation.
Prévention et sensibilisation. L’ANSSI publie sur son site plusieurs recommandations pour prévenir le phishing[22] : ne pas cliquer sur un lien ou pièce jointe suspecte, ne pas répondre à un mail suspect, vérifier les paramètres de sécurité de notre messagerie et activer la double authentification. Elle a aussi pour rôle de garantir la disponibilité de produits de sécurité de confiance capables de protéger les données les plus sensibles et de répondre aux menaces cyber. Elle doit pour ce faire avoir connaissance de l’état de l’art en matière de cybersécurité, tant au niveau des technologies existantes, qu’au niveau des menaces et risques du cyberespace. Fort de cette connaissance, l’ANSSI partage des recommandations, méthodes et outils aux acteurs concernés.
Au niveau européen, des règlementations comme DORA pour le secteur financier et NIS 2 pour les entités essentielles et importantes visent à renforcer les niveaux de cybersécurité pour certaines entités d’une importance particulière (mesures de gestion de risques, déclaration d’incidents etc).
Répression du phishing : une action de concert technico-juridique. Les actes de phishing peuvent faire l’objet d’un signalement aux autorités compétentes. Le signalement peut être fait par une victime ou un utilisateur du service directement ou par les fournisseurs d’hébergement qui ont l’obligation de rapporter aux autorités les signalements reçu (article 6 IV LCEN).
Des services en ligne sont mis à disposition pour faire ces signalements. C’est le cas de SignalSpam en matière de courriels, qui est en relation avec la CNIL, ou encore de Phishing Initiative ou PHAROS en matière de site internet, qui peuvent ensuite transmettre le signalement aux autorités. En effet si le contenu ou comportement signalé est illicite, un service d’enquête de la Police Nationale ou de la Gendarmerie Nationale pourra être saisi d’une enquête sous l’autorité d’un Procureur de la République. Toutefois pour les contenu étrangers, le signalement sera transmis à Interpol qui le redirigera vers les autorités du pays en cause. Il est aussi possible de déposer plainte directement auprès du commissariat de police ou de la brigade de gendarmerie, ou par écrit au procureur de la République. Les victimes peuvent être accompagnées gratuitement par l’association de victimes France Victimes[23].
Pour faciliter l’identification des auteurs d’hameçonnage, les fournisseurs d’accès à internet et les hébergeurs doivent conserver pendant un an et transmettre les données de nature à permettre l’identification de quiconque aurait contribué à la mise en place de la tentative d’hameçonnage (article 6 V. A. LCEN). Il pourra ensuite fait injonction à l’hébergeur du contenu de le retirer au d’en bloquer l’accès, sous peine de voir sa responsabilité potentiellement engagée (article 6 DSA).
Hameçonnage / Phishing – La réparation de la victime : un enjeu indemnitaire de responsabilité
En marge de la lutte contre ces pratiques, la responsabilité civile du coût des cyber infractions est recherché parmi une variété d’individus : les victimes, les établissements bancaires, les assurances, les éventuels prestataires informatiques, etc. L’indemnisation des préjudices civils relève principalement du droit des paiements soumis à un régime spécifique (A). La jurisprudence semble adapter les règles en la matière impliquant une obligation de vigilance aussi bien pour les banques que les porteurs de cartes (B).
Cybersécurité & hameçonnage : une responsabilité bancaire dominante
Régime de responsabilité. En matière de contestations d’opération bancaire, il existait historiquement une responsabilité du titulaire de la carte même en l’absence de faute de sa part[24]. Remis en cause par les lois du 15 novembre 2001 et ordonnance du 15 juillet 2009[25], la jurisprudence a complété efficacement le cadre légal définissant la mise en jeu de la responsabilité. Le porteur supporte désormais un risque plafonné lié aux opérations effectuées avant opposition. Postérieurement au plafond, la banque supporte les conséquences de l’utilisation frauduleuse du moyen de paiement[26]. Cette dernière est ainsi tenue d’une obligation de sécurité sur la période antérieure au délai d’opposition du client, contractuellement aménageable passé deux jours francs après la perte ou le vol de la carte.
Critères d’exonération. Les établissements bancaires sont désormais tenus d’indemniser les clients contestant une opération bancaire dans les délais et formes prévus par la loi. Toutefois, outre le cas manifeste d’agissement frauduleux ou faute intentionnelle du client, la « faute lourde » requalifiée postérieurement en « négligence grave »[27] permet également de décharger la responsabilité d’indemnisation de la banque. La jurisprudence a plus récemment identifié une condition cumulative pour exonérer l’établissement bancaire : se fondant sur l’obligation légale liée à la sécurisation des transactions[28], la banque est tenue de rapporter également la preuve d’une opération authentifiée, enregistré et comptabilisée sans déficience technique[29]. La Cour de cassation avait déjà pu s’opposer à la réalité d’une négligence grave une faute contractuelle de l’établissement bancaire ayant manqué l’interdiction de découvert du compte volé[30].
Charge de la preuve. Appliquant de manière cumulée les obligations légales des établissements bancaires[31] et les règles civiles en matière de preuve, la haute juridiction a rejeté sur les prestataires de paiement la charge de la preuve pour dégager sa responsabilité[32]. La Cour de cassation assoit la limitation de la responsabilité du titulaire de la carte[33], en rendant particulièrement difficile[34] la preuve de la faute lourde[35] par la banque. En effet, seule des déclarations du client permettant de caractériser sa propre négligence[36], soit par une déclaration faite à la banque, soit par une déclaration faite aux services de police ou de gendarmerie lors d’une plainte déposée dont la banque a contractuellement demandé une copie. Reste à définir si le refus du client de livrer des informations pouvant l’incriminer pourra empêcher son indemnisation par la banque.
Hameçonnage : une obligation de vigilance partagée
Par sa jurisprudence en matière de négligence grave, la jurisprudence semble déresponsabiliser les porteurs de cartes tandis que ces derniers sont régulièrement alertés et sensibilisés aux formes de fraude par hameçonnage aussi bien par les banques que différents acteurs ou autorités étatiques. Afin d’équilibrer les conditions de mise en jeu des responsabilités en cas d’opération non autorisée, les juridictions ont développé une obligation de vigilance commune aux banques et aux titulaires de cartes.
Les banques sont en effet responsables en cas d’anomalies matérielles ou intellectuelles[37], évidentes et apparentes[38] sur les opérations bancaires de leurs clients[39], ce tout en respectant l’obligation de non-ingérence. Les clients sont désormais tenus à une obligation de vigilance similaire à l’égard des sollicitations reçues impliquant ses informations personnelles et bancaires[40].
En matière de fraude notamment par phishing, la jurisprudence favorisait historiquement une appréciation in concreto pour retenir l’existence d’une négligence grave. Il revenait au juge dans chaque affaire, sur la base de « constatations et d’appréciation souveraine »[41] de déterminer si la bonne foi du client ou les caractéristiques du courriel adressé permettaient d’identifier ou non une négligence grave[42]. Elle a notamment précisé que la simple utilisation de codes personnelles par un tiers ne pouvant seule constituer une négligence grave au sens de la loi[43]. Par extension, l’obligation contractuelle de conservation du titulaire ne peut être qu’une obligation de moyen de confidentialité et non de résultat[44].
Usant des mêmes critères pour engager la responsabilité des banques, ont ainsi pu être pris en compte notamment toute anomalies tenant à la forme ou au contenu des messages, des fautes d’orthographe, des difficultés ou erreurs dans l’identification des émetteurs[45], destinataires, titulaires de comptes ou des contrats invoqués[46], le caractère inhabituel des montants appelés ou modalités de paiement sollicité, etc.
Cette analyse casuistique des juges du fond a été remis en cause par les dernières décisions jurisprudentielles posant les critères d’utilisateur diligent, normalement attentif et de « doute raisonnable » [47] abandonnant le critère de bonne foi du titulaire[48].
[1] La cyber-sécurité – Faits et chiffres | Statista
[2] Le 9e baromètre de la cybersécurité des entreprises
[3] Bonnes pratiques – Protégez-vous ! | ANSSI
[4] Rapport anti-phishing 2024
[5] Malgré la sensibilisation, les taux de clics de phishing ont triplé en 2024 – Le Monde Informatique
[6] PE et Cons. UE, dir. n° 2019/713, 17 avr. 2019, concernant la lutte contre la fraude et la contrefaçon des moyens de paiement autres que les espèces, not. art. 3 a) et 5 d). Le texte devra être transposé d’ici le 31 mai 2021.
[7] article 434-23 du Code pénal
[8] l’article 226-4-1 de Code pénal
[9] article 313-1 du Code péna
[10] articles L. 713-2 et L. 713-3 du Code de la propriété intellectuelle.
[11] articles L163-3 et L163-4 CMF
[12] article 226-18 du Code pénal
[13] ’article 323-3 du Code pénal,
[14] Exclusion d’une infraction pénale de violation de secret des affaires
[15] violation du secret de fabrique (C. trav., art. L. 1227-1. – CPI, art. L. 621-1) ou celle du secret professionnel (C. pén., art. 226-13),
[16] Cass. crim., 15 déc. 2021, n° 21-81.864
[17] article 132-3 du Code pénal
[18] article 434-23 du Code pénal
[19] Cass. crim., 23 oct. 2013, n° 13-83.499
[20] L’état des lieux de la cybersécurité en France (2024)
[21] Les techniques de fraude par e-mail les plus répandues – SG
[22] Bonnes pratiques – Protégez-vous ! | ANSSI
[23] Que faire en cas de phishing ou hameçonnage ? – Assistance aux victimes de cybermalveillance
[24] Cass. com., 1er mars 1994, pourvoi no 91-21.144, Bull. civ. IV, no 82, p. 63 ; D. 1995, p. 167, note F. Ekollo ; JCP G 1994. II. 22286, note Ch. Gavalda ; RTD com. 1994, p. 538, obs. R. Cabrillac et B. Teyssie ; J. Lasserre Capdeville, Précisions sur la question de la preuve en cas de fraude au paiement sur internet, La Semaine Juridique Edition Générale n° 10, 6 Mars 2017, 241.
[25] Ordonnance n° 2009-866 du 15 juillet 2009 relative aux conditions régissant la fourniture de services de paiement et portant création des établissements de paiement fondée sur la directive 2007/64/CE du Parlement européen et du Conseil du 13 novembre 2007 concernant les services de paiement dans le marché intérieur (dite « DSP 1 ») complété par la directive 2015/2366 du 25 novembre 2015 (dite « DSP 2 ») ; D. Legeais, Synthèse – Responsabilité du banquier , JurisClasseur Banque – Crédit – Bourse, 4 Octobre 2021.
[26] D. Legeais, Synthèse – Responsabilité du banquier , JurisClasseur Banque – Crédit – Bourse, 4 Octobre 2021
[27] Com. 1er mars 2016, n° 14-22.946 ; Cass. com., 16 oct. 2012, n° 11-19981 : Reconnaissant une « imprudence grave » pour avoir conservé sa carte et son code à proximité dans un lieu sans surveillance, ce dernier avait commis une faute lourde. ; Par exemple, CA Toulouse, 1re ch., section 1, 20 mars 2017, n° 16/01256 concernant l’envoi de la copie recto-verso de la carte bancaire avec la copie du passeport constituant une faute lourde ; CA Montpellier, 2e ch., 20 sept. 2016, n° 15/00171 qualifiant de faute une carte bancaire laissée dans la boîte aux lettres pendant les vacances X. Delpech, Négligence grave du titulaire de carte bancaire victime de « hameçonnage », Dalloz Actualité, 07.11.2017, https://www.dalloz-actualite.fr/flash/negligence-grave-du-titulaire-de-carte-bancaire-victime-de-hameconnage; D. R. Martin, H. Synvet, Droit bancaire juillet 2015 – septembre 2016, Recueil Dalloz 2016, p. 2305.
[28] Art. L133-15 et L133-23, al. 1 C. mon. fin. notamment en cas de négligence (CA Versailles, 18 nov. 2010, n° 09/06634)
[29] Cass, Com. 12 nov. 2020, n° 19-12.112 ; V. Larcheron, Opération de paiement non autorisée : la négligence grave du client ne dispense pas la banque de ses propres obligations, 20.03.2021, https://larcheron.law/operation-de-paiement-non-autorisee-la-negligence-grave-du-client-ne-dispense-pas-la-banque-de-ses-propres-obligations/; S. Claude-Fendt, Même négligent, le titulaire d’un compte victime d’un hameçonnage peut être remboursé par sa banque, EFL, 11.12.2020, https://www.efl.fr/actualite/negligent-titulaire-compte-victime-hameconnage-rembourse-banque_f8bcc9958-de7d-45e5-8570-fa13004a72e5; G. Raymond, Jurisclasseur, Synthèse – Entreprise et consommateur : Mercatique (méthodes de vente), LexisNexis, 08.04.2021
[30] Cass. 1re civ., 28 mars 2008, n° 07-10186 ; Com. 17 mai 2017, n° 15-28.209, Inédit
[31] PE et Cons. CE, dir. n° 2007/64, 13 nov. 2007, concernant les services de paiement dans le marché intérieur ; PE et Cons. UE, dir. n° 2015/2366, 25 nov. 2015, concernant les services de paiement dans le marché intérieur.
[32] Cass. com., 2 oct. 2007, n° 05-19899, confirmé par Cass. 1re civ., 28 mars 2008, n° 07-10186 et Cass. com., 21 sept. 2010, n° 09-16534 mettant fin aux décisions contradictoires des juges du fond notamment CA Lyon (ch. 6), 3 juin 2004 et CA Chambéry, 5 mars 2002.
[33] La Base Lextenso, Le renforcement de la sécurité des titulaires de cartes bancaires, Petites Affiches n°54 du 14 mars 2008, https://www-labase-lextenso-fr.docelec-u-paris2.idm.oclc.org/petites-affiches/PA200805405#ftn5-anchor.
[34] Pour certains considéré comme impossible voire diabolique, Voir notamment É. A. Caprioli, Phishing – Responsabilité du particulier en cas d’hameçonnage, CCE n° 9, Septembre 2018, comm. 68
[35] Définie comme « une négligence d’une extrême gravité confinant au dol et dénotant l’inaptitude du débiteur de l’obligation à l’accomplissement de sa mission » (Cass. com., 16 janvier 2007, pourvoi no 05-16.415) ou de manière plus large à un « manquement à une obligation essentielle (Cass. civ. 1re, 18 janvier 1984, n°85-15.103).
[36] En ce sens, Cass. com., 25 oct. 2017, n° 16-11.644 : « sans rechercher, au regard des circonstances de l’espèce, si Mme Y… n’aurait pas pu avoir conscience que le courriel qu’elle avait reçu était frauduleux et si, en conséquence, le fait d’avoir communiqué son nom, son numéro de carte bancaire, la date d’expiration de celle-ci et le cryptogramme figurant au verso de la carte, ainsi que des informations relatives à son compte SFR permettant à un tiers de prendre connaissance du code 3D Secure ne caractérisait pas un manquement, par négligence grave, à ses obligations mentionnées à l’article L. 133-16 du code monétaire et financier, la juridiction de proximité a privé sa décision de base légale »
[37] CA Lyon, 31 mars 2016, n° 15/06043, SASU Lavatec France c/ Caisse Régionale
[38] Cass. com., 16 oct. 2012, n° 11-19.981 concernant des carte bancaire et code confidentiel laissé à proximité de celle-ci constituant une faute lourde par imprudence ; Cass. com., 1er mars 2016, n° 14-22.946.
[39] CA Paris, 19 févr. 2015, n° 13/21614 : CA Paris, 5 févr. 2015, n° 13/21817 CA Paris, 18 déc. 2014, n° 12/19837 : CA Rennes, 10 févr. 2016, n° 14/00931 ; Vigilance potentiellement renforcée en matière de comptes d’incapables majeurs ; CA Chambéry, 17 mai 2016, n° 14/02371
[40] Cass. com., 3 oct. 2018, n° 17-21.395, les juges n’avaient pas recherché si la réponse qu’avait adressée la victime à l’auteur du courriel d’hameçonnage « ne résultait pas d’un manquement » de celle-ci « par négligence grave » ; S. BERNHEIM-DESVAUX, Hameçonnage – La négligence grave de la victime d’un phishing en matière de carte bancaire est retenue, Contrats Concurrence Consommation n° 6, Juin 2018, comm. 121.
[41] Com. 31 mai 2016, n° 14-29.906.
[42] M. Rees, La victime d’un phishing bancaire n’a droit à aucun remboursement en cas de « négligence grave », NextInpact, 12.10.2018, https://www.nextinpact.com/article/28842/107165-la-victime-dun-phishing-bancaire-na-droit-a-aucun-remboursement-en-cas-denegligence-grave
[43] Cass. com., 18 janv. 2017, n° 15-18102, PBI ; Cass. com., 18 janv. 2017, n° 15-26058 ; Cass. com., 18 janv. 2017, n° 15-18224 ; Cass. com., 18 janv. 2017, n° 15-22783 ; Cass. com., 18 janv. 2017, n° 15-18466 ; Cass. com., 21 nov. 2018, n° 17-18888 ; Cass. com., 3 avr. 2019, n° 18-11293 ; Cass. com., 29 mai 2019, n° 17-28271 ; Cass. com., 29 mai 2019, n° 18-10147 ; Cass. com., 26 juin 2019, n° 18-12581 ; CA Paris, 16 mars 2017, n° 15/18646 ; CA Aix en Provence, 16 mars 2017, n° 15/03953. CA Aix-en-Provence, 8 oct. 2015 ; CA Paris, Pôle 4 chambre 9, 22 sept. 2016, n° 14/09630 ; CA Douai, 29 janv. 2014, n° 13/0285.
[44] Les banques pensaient couvrir leur responsabilité par la mise en place de système de sécurisation personnalisés (Tous modes de sécurisation confondus : Code d’authentification envoyé par SMS, dit 3DSecure, identifiant « CMNE Direct » avec mot de passe associé et codes de validation présents sur une carte personnelle d’authentification renforcée, système Payweb reposant sur un numéro de carte virtuel) qui devaient légalement et contractuellement prouver en cas de faille la responsabilité de l’auteur ; Déjà en ce sens, CA Orléans, 9 février 2006, JCP E 2006, no 48, 2697, obs. N. Mathey.
[45] X. Delpech, Négligence grave du titulaire de carte bancaire victime de « hameçonnage », Dalloz Actualité, 07.11.2017, https://www.dalloz-actualite.fr/flash/negligence-grave-du-titulaire-de-carte-bancaire-victime-de-hameconnage.
[46] Cass. com., 6 juin 2018, n° 16-29.065 « l’examen attentif du courriel de rappel de paiement révélait de sérieuses irrégularités, de nature à faire douter de sa provenance, telles que l’inexactitude de l’adresse de l’expéditeur et du numéro du contrat mentionné, ainsi que la discordance entre les montants réclamés » ;
[47] Notamment Com. 28 mars 2018, n° 16-20.018 et Cass, Com. 12 nov. 2020, n° 19-12.112 ; CA Colmar, 3e civ., sect. A, 12 avr. 2021, n° 19/03528 visant l’absence de vérifications élémentaire sur le courriel reçu (informations personnelles & piratage de la carte SIM utilisé pur déjouer le système Secure 3D) ; F. Dannenberger, Responsabilité civile – Phishing, attention à l’obligation de préservation des données personnelles, La Semaine Juridique Edition Générale n° 3, 24 Janvier 2022, 112.
[48] Cass. com .,1er juill. 2020, n° 18-21.487 ; Hameçonnage d’un payeur crédule : de bonne foi peut-être, mais responsable tout de même !, Gazette du Palais, n°36 du 20 octobre 2020, Lextenso ; G. Raymond, Jurisclasseur, Synthèse – Entreprise et consommateur : Mercatique (méthodes de vente), LexisNexis, 08.04.2021.
