Phishing et fraude bancaire en Grèce : quand la banque est responsable

Il n’est pas nécessaire d’être naïf pour tomber dans le piège. Les fraudes modernes ne ressemblent plus aux courriels mal écrits du « prince nigérian ». Ce sont des SMS qui apparaissent dans le même fil que les messages authentiques de votre banque. Des appels d’un prétendu « agent de sécurité » qui connaît votre nom et votre prénom. Des pages identiques à celle de votre banque en ligne. Et lorsque vous saisissez le code à usage unique — parce que « la banque vous l’a demandé » — vous pensez que tout est joué.

Ce n’est pas le cas. C’est ici que commence une histoire juridique que la plupart des gens ignorent et qui, ces dernières années, penche progressivement en faveur du consommateur.

Le grand malentendu : « j’ai donné le code, donc je suis responsable »

La saisie d’identifiants ou d’un code OTP ne suffit pas, à elle seule, à déterminer si l’opération a été autorisée. Une opération de paiement non autorisée, exécutée sans le consentement du payeur, se distingue juridiquement d’un virement que le payeur a lui-même initié ou confirmé sous l’effet d’une tromperie, souvent qualifié de fraude au virement autorisé (authorised push payment, APP). Ce second cas n’est pas automatiquement une opération non autorisée. La qualification dépend du déroulement réel du paiement, de la portée du consentement, des éléments d’authentification et des circonstances de la tromperie ; un OTP ne prouve, à lui seul, ni l’autorisation ni la négligence grave.

La loi n° 4537/2018, qui a transposé PSD2, attribue des fonctions distinctes à la preuve, au remboursement et à la répartition de la perte :

• Article 72 : le prestataire de services de paiement doit prouver que l’opération a été authentifiée, correctement enregistrée et non affectée par une défaillance technique. La seule utilisation de l’instrument de paiement ne prouve ni l’autorisation, ni la fraude, ni la négligence grave.
• Article 73 : si l’opération n’est pas autorisée, le prestataire doit effectuer le remboursement immédiat prévu par la loi, sous réserve de ses conditions et exceptions.
• Article 74 : détermine quand et dans quelle limite le payeur supporte la perte.

Si l’opération est juridiquement qualifiée de non autorisée, le remboursement prévu par l’article 73 constitue le point de départ, sous réserve des exceptions légales. Un virement confirmé par le client sous l’effet d’une tromperie relève d’une analyse différente et ne déclenche pas automatiquement le même régime de remboursement. Le déroulement réel du paiement et les preuves sont donc déterminants.

Il faut d’abord qualifier l’opération : non autorisée ou confirmée sous l’effet d’une tromperie. Ce n’est qu’ensuite que s’examinent le remboursement, la négligence grave et la répartition de la perte.

Quand êtes-vous réellement « en faute » ?

L’exception porte un nom : la négligence grave. Or les juridictions se montrent plus attentives que ne le souhaiteraient les banques. Il ne suffit pas d’affirmer « mais il a donné son OTP » pour vous imputer l’intégralité de la perte. La négligence grave ne se présume pas du seul fait qu’un code a été saisi ; elle s’apprécie globalement, au regard des circonstances concrètes.

L’arrêt de la Cour de justice de l’Union européenne du 1er août 2025 dans l’affaire C-665/23 (Veracash) a une portée plus étroite. Il concerne la notification tardive d’une série d’opérations non autorisées sous l’ancienne directive 2007/64/CE. La Cour a jugé que le remboursement peut être perdu pour les opérations dont le signalement tardif résulte d’une fraude ou d’une négligence grave, même dans le délai butoir de treize mois ; en cas d’opérations successives, l’examen doit se limiter à celles qui sont affectées par ce retard. L’arrêt n’établit pas de règle générale selon laquelle la saisie d’un OTP ou d’un autre code exclurait ou prouverait automatiquement la négligence grave.

Où se situe donc la limite ? La jurisprudence grecque fournit notamment les indications suivantes :

• En faveur du consommateur : lorsque la fraude était sophistiquée, l’environnement convaincant et que la banque ne disposait pas de systèmes suffisants pour détecter les virements suspects. Dans de telles affaires, les juridictions ont mis la perte à la charge de la banque.
• Au détriment du consommateur : lorsque les signaux d’alerte étaient flagrants — par exemple, lorsqu’une personne a saisi un OTP alors qu’elle n’avait demandé aucune opération et avait reçu un message présentant des caractéristiques manifestement suspectes (voir EirChalk 394/2022, tribunal de paix de Chalcis). Le tribunal a alors retenu une négligence grave.

Quand une responsabilité accrue de la banque peut être examinée

La responsabilité dépend des faits précis, des éléments techniques et du lien de causalité avec la perte. Il n’existe pas de règle générale selon laquelle la banque répond de tout faux site, ni selon laquelle l’usage d’un OTP exonère ou condamne automatiquement une partie. Les exemples suivants concernent des décisions de première instance telles que décrites dans des publications accessibles au public ; ils ne constituent pas une règle obligatoire pour chaque affaire :

• Selon une synthèse juridique publiée, le jugement 11632/2025 du tribunal de première instance d’Athènes statuant à juge unique a imputé, dans cette affaire, la perte non récupérée de 10 150 euros à la faute exclusive de la banque, en examinant aussi la prévention de sites imitant la banque en ligne. Cette solution propre au dossier ne crée pas une obligation générale de bloquer tout site frauduleux.
• Selon des informations publiques, le tribunal de première instance de Lassithi statuant à juge unique a jugé le 15 mai 2026 que 5 674 euros devaient être remboursés à un client de 71 ans, sans retenir de négligence grave. Il s’agissait d’une décision de première instance et la banque conservait, selon ces informations, un droit d’appel.

Une appréciation fiable exige les motifs complets du jugement, les journaux des opérations, tout changement d’appareil ou de bénéficiaire, les alertes de la banque, la chronologie et le comportement de toutes les personnes concernées.

La règle spéciale figure à l’article 22 de la loi n° 5019/2023, qui a modifié l’article 74, paragraphe 1, de la loi n° 4537/2018. En cas de perte, de vol ou de détournement d’un instrument de paiement, la participation de base du payeur peut atteindre 50 euros, sous réserve des exceptions légales. Le payeur qui agit frauduleusement ou manque intentionnellement à ses obligations de sécurité supporte toutes les pertes. Lorsque le payeur est un consommateur et que la perte résulte d’une négligence grave, la loi fixe un plafond de 1 000 euros en tenant compte de la nature des données de sécurité personnalisées et des circonstances. Ce plafond ne s’applique pas si le prestataire prouve qu’il disposait et faisait usage des mécanismes de contrôle supplémentaires et efficaces décrits par la même disposition pour les opérations supérieures à 1 000 euros. Il s’agit d’une règle de protection du consommateur, et non d’un plafond général pour toute opération professionnelle ou sociétaire.

Si la banque refuse

Très souvent, la première réponse de la banque est : « nous refusons, car l’opération a été effectuée avec vos codes personnels ». Ne la prenez pas pour un verdict définitif : c’est une position, non une décision de justice. À ce stade :

• Demandez que le refus soit écrit et motivé. Vous devez savoir précisément ce qui vous est reproché.
• Demandez les journaux de l’opération (logs, heure, adresse IP, données d’authentification). Vous disposez d’un droit d’accès aux données qui vous concernent.
• Saisissez le Médiateur du consommateur (mediateur du consommateur) et le Médiateur financier hellénique (Ellinikos Chrimatooikonomikos Mesolavitis) : ces voies extrajudiciaires sont gratuites.
• Si nécessaire, engagez une action en justice : comme nous l’avons vu, la jurisprudence ne se range plus automatiquement du côté de la banque.

Et, bien sûr, la meilleure défense : ne pas mordre à l’hameçon

Aucune protection juridique n’est aussi indolore que le fait de ne pas devenir victime. Retenez trois règles :

• Votre banque ne vous demande jamais vos codes, votre PIN ou votre OTP — ni par SMS, ni par téléphone, ni par courriel. Quiconque les réclame est un fraudeur.
• Ne cliquez pas sur les liens reçus par message. Accédez à votre banque en ligne uniquement en saisissant vous-même l’adresse ou au moyen de l’application officielle.
• Si l’on vous presse ou vous effraie (« votre compte sera fermé dans 10 minutes »), il s’agit presque certainement d’une fraude. Raccrochez et appelez vous-même le numéro officiel.

Questions fréquentes

Cet article est fourni à titre informatif et se réfère à la législation et à la jurisprudence en vigueur lors de sa rédaction. Chaque fraude s’apprécie selon ses circonstances propres. Si vous avez été victime, agissez immédiatement et consultez un avocat.