This post is also available in:

Phishing bancaire : la banque, financeur provisoire du doute ?

À propos de l’ordonnance rendue le 26 mai 2026 par le président du tribunal de l’entreprise d’Anvers, siégeant en référé, dans un dossier de phishing bancaire.

Le 26 mai 2026, dans une affaire de phishing bancaire, le président du tribunal de l’entreprise d’Anvers, siégeant en référé, a condamné une banque à rembourser 49 958 €, majorés des intérêts, à un couple de clients âgés de 90 et 93 ans. Deux virements vers un compte portugais avaient été exécutés après qu’un des clients avait été contacté par téléphone par une personne se présentant comme un collaborateur de la banque. L’établissement refusait l’indemnisation. La décision a depuis été largement relayée, parfois sous le registre de la « révolution ».

C’est précisément ce registre qu’il faut tempérer. L’ordonnance est une mesure provisoire, rendue en référé, susceptible d’appel, et qui ne tranche pas le litige au fond. Elle ne constate pas que la banque a commis une faute. Cette précision n’est pas un détail de procédure : elle est la clé de lecture, et elle conditionne ce que les établissements doivent, ou non, en retenir.

Une ordonnance de référé, pas un arrêt de principe

La première clé de lecture est procédurale.

Le président du tribunal de l’entreprise d’Anvers statue en référé. Il ordonne donc une mesure provisoire, dans un cadre d’urgence, sans trancher définitivement la responsabilité des parties.

Sur l’urgence, le raisonnement mérite attention.

Le juge rappelle d’abord le cadre classique de l’article 584 du Code judiciaire : il y a urgence lorsqu’une décision immédiate est souhaitable pour éviter un dommage d’une certaine ampleur ou des inconvénients sérieux auxquels une procédure ordinaire ne permettrait pas de remédier utilement.

Il considère ensuite que l’urgence découle principalement du texte invoqué. Lorsque l’article VII.43 CDE impose au prestataire de services de paiement un remboursement “immédiat” et, en tout cas, au plus tard à la fin du premier jour ouvrable suivant, la demande tendant à faire respecter cette obligation présente, selon lui, une urgence par nature. L’âge des demandeurs — 90 et 93 ans — et leurs besoins de logement et de soins viennent conforter ce constat.

Ce raisonnement n’est pas neutre. Il tend à faire du délai légal de remboursement un indice déterminant de l’urgence en référé. On peut le comprendre, mais il pourrait aussi être discuté : l’urgence procédurale ne se confond pas nécessairement avec l’exigibilité rapide d’une obligation substantielle.

Le cœur du raisonnement : l’apparence suffit au stade du référé

L’article VII.43 CDE suppose une opération de paiement non autorisée. Le juge ne peut donc pas totalement ignorer cette condition.

Mais il refuse d’en faire, au stade du référé, un procès technique et juridique complet sur le consentement du payeur.

La banque soutenait, de manière sérieuse, que les virements étaient autorisés, dès lors qu’ils avaient été exécutés au terme des étapes d’authentification convenues : carte, digipass, code secret, codes de réponse, codes uniques envoyés par SMS.

Le juge ne tranche pas définitivement cet argument. Il estime que l’examen complet du caractère autorisé de l’opération – examen qui suppose notamment d’analyser la procédure convenue, les données techniques des opérations et les appareils utilisés – excéderait la logique du remboursement immédiat et risquerait de vider l’article VII.43 CDE de son effet utile.

Il retient donc une approche d’apparence : les conditions de l’article VII.43 CDE paraissent réunies. Cela suffit, selon lui, à ordonner le remboursement provisoire.

L’argument de l’opération autorisée n’est donc pas écarté au fond. Il est reporté.

Négligence grave : une défense différée, pas neutralisée

Le même raisonnement vaut pour la négligence grave.

La banque soutenait que, même si les opérations n’étaient pas autorisées, les demandeurs avaient commis une négligence grave. Elle invoquait l’article VII.44 CDE comme disposition spéciale régissant la répartition du risque.

Le juge écarte cette lecture au stade du remboursement immédiat, en s’appuyant notamment sur les conclusions de l’avocat général Rantos du 5 mars 2026 dans l’affaire C-70/25, pendante devant la Cour de justice.

Selon cette lecture, l’article 73 de la directive 2015/2366, transposé en droit belge à l’article VII.43 CDE, organise le remboursement immédiat. L’article 74 de la directive, transposé à l’article VII.44 CDE, intervient ensuite pour régler la répartition définitive de la responsabilité.

Autrement dit : la négligence grave n’est pas neutralisée. Elle est différée.

Elle pourra être discutée au fond, dans le cadre de la répartition définitive du risque.

Le débat n’est pas supprimé. Il est déplacé — dans le temps, et quant à la charge d’agir.

Une dissociation entre remboursement immédiat et responsabilité définitive

L’ordonnance applique ainsi la logique suivante : d’abord rembourser, ensuite répartir.

L’article VII.43 CDE organise une restitution provisoire et immédiate, qui ne préjuge pas de la responsabilité définitive. L’article VII.44 CDE règle, ultérieurement et au fond, la répartition du risque.

Cette dissociation est essentielle, mais elle n’est pas sans difficulté.

On peut en effet comprendre l’objection de la banque : si l’article VII.44 CDE permet, en cas de négligence grave, de faire supporter la perte au payeur, pourquoi le juge des référés ne pourrait-il pas tenir compte, même prima facie, d’une négligence grave apparaissant déjà du dossier ?

La réponse de l’ordonnance tient au séquencement des textes. Pour le juge, admettre la négligence grave comme obstacle immédiat au remboursement reviendrait à ajouter à l’article VII.43 CDE une exception que ce texte ne prévoit pas. La seule exception expressément prévue à ce stade est le soupçon de fraude du payeur lui-même, à condition qu’il soit communiqué par écrit au SPF Économie.

La banque peut donc avoir des arguments sérieux sur le caractère autorisé de l’opération ou sur la négligence grave du client. Mais, selon la lecture du tribunal, ces arguments ne lui permettent pas de différer le remboursement immédiat. Ils fondent, le cas échéant, une action ultérieure en récupération.

L’ordonnance le rappelle expressément : la banque conserve la faculté d’agir au fond pour obtenir restitution si elle estime que l’opération était autorisée par le payeur ou, à défaut, que celui-ci a commis une négligence grave. C’est alors seulement que se décidera la responsabilité, totale ou partielle, des payeurs.

La jurisprudence de fond demeure d’ailleurs plus nuancée que certains commentaires ne le laissent entendre. Des juridictions ont déjà retenu la négligence grave de clients victimes de phishing lorsque les circonstances concrètes le justifiaient.

Authentification, autorisation, contestation : la zone grise

Une opération authentifiée n’est pas nécessairement autorisée.

Mais une opération contestée n’est pas nécessairement non autorisée.

La première phrase rappelle que le succès d’un processus technique d’authentification ne suffit pas toujours à établir un consentement juridiquement valable du payeur. La seconde rappelle que la simple dénégation du client ne suffit pas davantage à établir l’absence de consentement.

Entre ces deux propositions se situe l’espace du doute.

L’ordonnance ne tranche pas définitivement cet espace. Elle détermine qui doit en supporter le coût pendant que le fond le dissipera.

La banque, financeur provisoire du doute

La formule peut paraître provocatrice, mais elle résume l’enjeu.

Selon cette lecture, la banque devient, le temps du procès, le financeur provisoire du doute sur le caractère autorisé ou non du paiement, ou sur la négligence grave du client ou non.

Non parce qu’elle aurait nécessairement tort. Mais parce que la séquence retenue fait peser sur elle la charge d’agir en justice, contre son client, après remboursement.

Le mot “provisoire” est essentiel.

Il ne s’agit pas d’une perte définitive. Il s’agit d’une avance, susceptible d’être récupérée si la banque établit ensuite, au fond, que l’opération était autorisée ou que le payeur doit supporter la perte en raison d’une négligence grave.

Le doute n’est pas levé ; son coût est provisoirement avancé.

Une portée à ne pas surinterpréter

L’ordonnance s’inscrit dans un mouvement réel : l’obligation de remboursement immédiat prévue à l’article VII.43 CDE est prise au sérieux, et les conclusions de l’avocat général Rantos dans l’affaire C-70/25 renforcent cette lecture.

Mais il ne faut pas aller plus vite que les textes et les décisions.

D’abord, l’ordonnance est rendue en référé. Elle ordonne une mesure provisoire, susceptible d’appel, sans trancher la responsabilité définitive des parties.

Ensuite, le raisonnement européen auquel elle se réfère repose notamment sur des conclusions d’avocat général. Elles sont importantes, mais elles ne lient pas la Cour de justice. L’arrêt à venir dans l’affaire C-70/25 devra donc être lu attentivement.

Enfin, l’obligation de remboursement immédiat en cas d’opération non autorisée n’est pas nouvelle. Ce qui évolue, c’est son effectivité contentieuse : les banques pourraient être davantage contraintes de rembourser d’abord, puis de discuter ensuite.

Cela ne règle pas tout.

La répartition définitive de la perte dépendra encore des circonstances concrètes : chronologie de la fraude, messages reçus, comportement du client, cohérence des données techniques, alertes éventuelles, usage des instruments de paiement, qualité du dossier probatoire.

C’est là que se jouera l’essentiel.

Une règle simple, une mise en œuvre difficile

Sur le papier, la règle paraît simple : en cas d’opération non autorisée, la banque rembourse immédiatement, sauf soupçon de fraude du payeur lui-même communiqué au SPF Économie.

Sur le terrain, elle l’est beaucoup moins.

Un délai d’un jour ouvrable est difficilement compatible avec une enquête fraude sérieuse. À ce stade, la banque ne dispose pas toujours d’une chronologie complète, des logs exploitables, d’une analyse technique stabilisée, ni d’une vision claire des possibilités de récupération auprès de la banque réceptrice ou des comptes mules.

Elle doit pourtant décider : rembourser, ou activer l’exception de fraude du payeur. Et si elle rembourse, déterminer ensuite s’il y a lieu d’agir en récupération.

L’avocat général Rantos le reconnaît d’ailleurs dans l’affaire C-70/25 : l’obligation de remboursement immédiat peut soulever des inconvénients et des difficultés pratiques pour les prestataires. Cette difficulté ne suffit pas, selon lui, à écarter la règle. Mais elle existe.

Tout se joue alors dans l’organisation interne : qualifier vite, conserver les preuves, décider s’il faut rembourser, et préparer immédiatement l’éventuelle récupération.

L’exception de fraude du payeur existe, mais elle suppose des motifs raisonnables et une notification écrite au SPF Économie dans des délais brefs. Elle ne peut pas être confondue avec la négligence grave, qui relève de la discussion au fond.

Le droit de récupération existe également, mais il suppose un dossier documenté dès l’origine. Or un dossier de phishing se joue souvent dans les premières heures : conservation des logs, cohérence de la chronologie, identification des messages reçus, preuve des alertes, traçabilité des contacts, analyse du comportement du client.

Reste le risque d’aléa moral.

Un remboursement perçu comme automatique, sans instruction et sans suite, pourrait encourager des contestations opportunistes. Le système y répond partiellement : la banque conserve son recours, et la négligence grave reste sanctionnable au fond.

Mais cet équilibre ne tient que si les établissements sont capables d’identifier les dossiers qui justifient une action en récupération, de les documenter correctement et d’aller effectivement au fond lorsque cela s’impose.

La difficulté n’est donc pas seulement de savoir si la banque doit rembourser. Elle est de savoir comment elle organise, en vingt-quatre heures, une décision qui peut ensuite conditionner tout le contentieux.

Phishing bancaire : quelles pistes concrètes pour les banques ?

1. Le remboursement immédiat : industrialiser l’arbitrage à un jour ouvrable

Le point compliqué est le délai. Le seul levier de report du remboursement est l’exception de fraude du payeur, assortie d’une notification écrite au SPF Économie. Concrètement : un circuit de tri rapide qui débouche, dans le délai, sur l’une de deux décisions documentées, rembourser ou activer l’exception. En pratique, cette notification semble rarement mobilisée. Il est vrai également que les cas de fraude du payeur ne sont pas les plus fréquents.

Deux précautions. Ne pas confondre la fraude du payeur, seule cause de report, et la négligence grave, qui ne joue qu’au fond. Et traiter le remboursement comme une ligne de trésorerie et de provisionnement, en déplaçant les indicateurs internes du « taux de refus » vers une logique « rembourser puis récupérer ».

2. Sécuriser la preuve du caractère autorisé de l’opération

Le référé ne tranche pas définitivement la question de l’autorisation. Le fond pourra le faire. C’est donc là que la qualité du dossier probatoire devient déterminante.

Pour les banques, l’enjeu n’est pas seulement de conserver des données techniques. Il est de pouvoir les rendre lisibles.

Journaux d’authentification, traces SCA, association à l’appareil, logs itsme ou lecteur de carte le cas échéant, preuve d’envoi des codes, adresses IP, géolocalisation, données de session : ces éléments ne valent réellement que s’ils sont structurés, exportables et compréhensibles par un juge.

Dans les dossiers que nous traitons, les cours et tribunaux entrent de plus en plus dans le détail de ces journaux. L’avocat qui présente le dossier doit donc pouvoir traduire les termes techniques, les codes internes et les séquences informatiques en un récit probatoire clair : Qui a validé quoi ? Depuis quel appareil ? A quel moment ? Après quelle alerte ? Et dans quel contexte ?

Le dossier d’Anvers l’illustre indirectement. Les demandeurs contestaient la portée des pièces internes produites par la banque et relevaient une incohérence relative aux numéros de téléphone. Le juge n’a pas tranché cette discussion en référé, mais elle montre l’importance d’un dossier cohérent, lisible et exploitable hors de l’environnement interne de la banque.

Il faut aussi éviter un raccourci : documenter l’authentification ne suffit pas toujours. Il faut, autant que possible, documenter le consentement.

Une opération authentifiée n’est pas nécessairement autorisée. Mais une opération contestée n’est pas nécessairement non autorisée.

Le client qui invoque une opération non autorisée doit lui aussi en rendre le caractère vraisemblable. La jurisprudence l’a rappelé, notamment la cour d’appel de Mons : une simple dénégation ne suffit pas ; il faut un récit cohérent, compatible avec les éléments techniques et les circonstances du dossier.

C’est dans cet espace que le fond se jouera : entre la preuve technique de l’authentification, l’explication du parcours de validation et la vraisemblance de l’absence de consentement.

3. Adapter la stratégie contentieuse

Si la lecture retenue par l’ordonnance devait se confirmer, et même si le juge des référés est tenu d’examiner l’urgence au cas par cas et non uniquement la déduire d’un texte de loi, elle modifierait aussi la stratégie contentieuse des banques.

Le schéma classique est connu : la banque refuse de rembourser, puis se défend si le client l’assigne.

La logique du “rembourser d’abord, discuter ensuite” inverse en partie cette dynamique. La banque pourrait devoir rembourser immédiatement, puis décider si elle agit au fond pour récupérer les montants versés.

En référé, les défenses utiles se resserrent. La banque pourra discuter l’urgence, l’apparence de réunion des conditions de l’article VII.43 CDE, ou encore l’activation régulière de l’exception de fraude du payeur, lorsqu’elle a été notifiée au SPF Économie. Mais le référé ne doit pas être traité comme un procès au fond sur l’autorisation ou la négligence grave.

Ce point demeure toutefois discutable.

On peut soutenir qu’un juge des référés, statuant en apparence, devrait pouvoir tenir compte de l’ensemble de la situation qui lui est présentée. Si une négligence grave du payeur apparaît déjà de manière manifeste, la question peut se poser de savoir s’il est cohérent d’ordonner malgré tout un remboursement provisoire, pour renvoyer ensuite la banque à une action en récupération.

L’ordonnance d’Anvers répond autrement : admettre une telle défense au stade du remboursement immédiat reviendrait à ajouter à l’article VII.43 CDE une exception que le texte ne prévoit pas. C’est précisément ce point qui pourrait faire débat en appel ou au fond.

En pratique, les banques doivent donc préparer deux contentieux possibles.

Le premier est le référé : rapide, centré sur l’apparence, l’urgence, le respect formel de l’article VII.43 CDE et l’éventuelle exception de fraude du payeur.

Le second est le fond : plus technique, probatoire, et centré sur l’autorisation, la négligence grave, la chronologie, les éléments de sécurité et le comportement concret du client.

Dans cette seconde phase, la banque devient demanderesse. Cela suppose une autre organisation : sélectionner les dossiers à poursuivre, apprécier le montant en jeu, la solidité de la preuve, la recouvrabilité, le risque réputationnel et l’intérêt jurisprudentiel.

Il faut également articuler le dossier avec les autres leviers : dépôt de plainte, Card Stop, gel éventuel des fonds, contacts avec la banque réceptrice, récupération auprès de comptes mules ou de tiers impliqués.

La récupération auprès de tiers prendra probablement plus d’importance. Le futur PSR va dans le sens d’une responsabilisation plus large de la chaîne technique et opérationnelle, même si les contours exacts devront être confirmés par le texte final et sa mise en œuvre.

4. L’opérationnel et la prévention : réduire le contentieux à la source

La meilleure défense reste d’éviter que l’opération litigieuse soit exécutée.

Cela suppose d’abord un dispositif de détection en temps réel, permettant, lorsque c’est possible, de suspendre les virements présentant des signaux atypiques avant leur exécution : nouveau bénéficiaire, montant élevé, destination inhabituelle, relèvement récent des plafonds, combinaison d’opérations inhabituelles ou comportement incohérent avec l’historique du client.

Cela suppose aussi des frictions ciblées : authentification renforcée pour certains virements, délai de réflexion en cas de relèvement de plafond, alerte claire lorsque l’opération présente un risque particulier, et conservation de la preuve de cette alerte.

La vérification du nom associé à l’IBAN — Verification of Payee — devient ici un élément central. Depuis le 9 octobre 2025, elle est obligatoire dans la zone euro, et donc en Belgique, en vertu du règlement (UE) 2024/886, pour les virements SEPA. Elle ne réglera évidemment pas toutes les fraudes, notamment lorsque le client est manipulé par un faux conseiller. Mais elle deviendra un élément important du dossier : quelle information a été donnée au client, quelle discordance éventuelle lui a été signalée, et quelle décision a été prise malgré cette alerte.

À cela s’ajoutent d’autres chantiers : un canal clair et rapide de signalement du phishing, des critères d’imprudence écrits et harmonisés – ce qui correspond à la demande formulée par le ministre de la Protection des consommateurs – ainsi que des protocoles spécifiques pour les clients vulnérables.

Ces éléments ne relèvent pas seulement de la conformité. Ils deviennent aussi des pièces du dossier probatoire.

En gouvernance, le modèle “rembourser puis récupérer” suppose enfin d’aligner les équipes fraude, juridique, conformité et trésorerie. Il faut déterminer qui décide, dans quel délai, sur la base de quelles pièces, avec quel niveau de validation, et selon quels critères une action en récupération sera ensuite engagée.

À retenir pour les banques
Si cette ligne se confirme, le dossier de phishing ne se jouera plus seulement dans la réponse adressée au client. Il se jouera dès les premières heures : qualification, notification éventuelle au SPF Économie, conservation des logs, cohérence de la preuve, et décision d’agir ou non en récupération.

L’horizon réglementaire : le cadre a déjà commencé à bouger

D’abord, le présent.

La Verification of Payee n’est plus une perspective. Depuis le 9 octobre 2025, les prestataires de services de paiement de la zone euro relevant du champ du règlement (UE) 2024/886 doivent offrir au payeur un service de vérification du bénéficiaire, applicable aux virements SEPA standards et instantanés. Concrètement, il s’agit de signaler au payeur la concordance, la concordance partielle ou l’absence de concordance entre le nom du bénéficiaire et l’IBAN indiqué.

Le payeur peut passer outre. Le fait qu’il ait confirmé l’opération malgré un avertissement de non-concordance deviendra toutefois un élément important dans l’analyse du risque, de la preuve et, le cas échéant, de la négligence grave.

Ensuite, l’avenir proche.

Le Conseil a publié, au printemps 2026, des textes de compromis avancés dans le cadre du paquet PSD3/PSR. Le PSR, règlement directement applicable, n’est pas encore formellement adopté. Il faut donc rester prudent sur la numérotation finale et sur la formulation exacte des dispositions. Mais deux orientations intéressent directement les banques.

Pour les opérations non autorisées, le principe du remboursement est maintenu, mais le compromis introduit un mécanisme plus structuré : le prestataire disposerait d’un délai de quinze jours ouvrables pour rembourser ou motiver un refus lorsque des éléments objectivement justifiés permettent de suspecter une fraude du payeur ou un manquement intentionnel ou gravement négligent à ses obligations. Par rapport au délai d’un jour ouvrable de l’article VII.43 CDE, ce serait à la fois une fenêtre d’instruction plus réaliste et, peut-être, la réintroduction d’un espace de traitement de la négligence grave au stade initial.

Pour la fraude par usurpation – impersonation fraud ou spoofing – le compromis vise le consommateur manipulé par un tiers se faisant passer pour son prestataire de services de paiement, via des canaux de communication attribués à celui-ci, et ayant ainsi autorisé une opération frauduleuse. Dans cette hypothèse, le prestataire devrait rembourser intégralement, sous réserve notamment d’une notification sans retard et d’un signalement à la police, sauf fraude ou négligence grave du consommateur.

Le texte s’inscrit aussi dans une logique de responsabilisation plus large de la chaîne technique et opérationnelle, notamment lorsque des défaillances de prestataires techniques ou de dispositifs de prévention contribuent au dommage. Il faudra toutefois attendre le texte définitif et sa mise en œuvre pour apprécier précisément la portée des recours éventuels contre des tiers.

Le calendrier laisse du temps, l’application effective du PSR n’étant pas attendue avant fin 2027 ou début 2028. Mais le sens est clair : davantage de protection des victimes, y compris pour des fraudes aujourd’hui qualifiées d’“autorisées”, avec en contrepartie, pour les banques, un délai d’instruction plus réaliste et une attention accrue portée à la preuve, au tri des dossiers et aux mécanismes de récupération.

Les investissements décrits plus haut ne sont donc pas des réponses à une décision isolée. Ce sont des chantiers que les banques devront de toute façon traiter.

Numérotation et modalités du PSR sous réserve du texte définitif publié au Journal officiel.

Conclusion : le doute n’est pas levé; son coût est provisoirement avancé

L’ordonnance d’Anvers ne consacre pas une responsabilité définitive des banques. Elle réorganise une séquence : rembourser d’abord, contester ensuite, et faire peser sur l’établissement la charge d’agir.

Le doute n’est pas levé ; son coût est provisoirement avancé.

Pour les banques, le vrai sujet n’est donc pas seulement de savoir si elles ont raison sur le fond. Elles peuvent avoir des arguments sérieux. Encore faut-il pouvoir arbitrer dans le délai, documenter immédiatement le dossier, puis décider s’il y a lieu d’agir en récupération.

L’enjeu n’est donc pas seulement juridique. Il est organisationnel, probatoire et contentieux.

C’est là, plus que dans le récit d’une prétendue révolution, que se joueront les prochains dossiers de phishing.

Cet article reflète une analyse à la date de publication, sur la base d’une ordonnance de référé non définitive, de conclusions d’avocat général ne liant pas la Cour de justice, et d’un texte de PSR non encore formellement adopté.

Voir aussi d’autres articles sur ce sujet