Phishing au nom d'Amazon et fraude bancaire : cliquer est-ce une négligence grave ? Par Virginie Audinot, Avocat.

La réponse n'est pas aussi simple que les établissements bancaires le laissent entendre. L'examen de la jurisprudence récente, et notamment de l'arrêt de la Cour de cassation du 23 octobre 2024, montre que la négligence grave s'apprécie in concreto et ne saurait résulter du seul fait d'avoir répondu à un email frauduleux. L'arrêt du 4 mars 2026 (Cass. com., 4 mars 2026, n° 24-19.588) vient toutefois nuancer cette protection, en rappelant que les circonstances de chaque espèce demeurent déterminantes. Le mécanisme du phishing Amazon : une sophistication croissante. Le phishing usurpant l'identité d'Amazon exploite un contexte particulièrement favorable aux escrocs. La plateforme adresse à ses utilisateurs un volume considérable d'emails légitimes : confirmations de commandes, avis de livraison, alertes de compte, offres promotionnelles. Dans cet environnement saturé, un email frauduleux supplémentaire se fond naturellement dans le flux de communications attendues. Les prétextes sont rodés : commande inhabituelle détectée et invitation à l'annuler, suspension de compte pour activité suspecte, remboursement en attente, mise à jour obligatoire des informations de paiement. L'email reproduit fidèlement la charte graphique d'Amazon, logo, typographie, formules et tons officiels. Le lien renvoie vers un faux site dont l'interface est une copie quasi parfaite de la plateforme officielle. La victime y saisit ses identifiants, puis ses coordonnées bancaires complètes. Ces données sont immédiatement captées. Les débits frauduleux interviennent dans les heures qui suivent : achats en ligne, abonnements, virements, souvent fractionnés pour contourner les alertes automatiques. Le cadre juridique applicable : les articles L133-18 et suivants du Code monétaire et financier. Le régime des opérations de paiement non autorisées est fixé par les articles L133-18 et suivants du Code monétaire et financier. Le principe est clair : toute opération non autorisée doit être remboursée sans délai par le prestataire de services de paiement. L'article L133-19 IV ouvre une exception strictement encadrée : la banque peut s'exonérer si elle démontre que le client a agi frauduleusement ou a manqué, par négligence grave, à ses obligations de conservation des données de sécurité. La charge de cette preuve lui incombe intégralement. L'article L133-23 ajoute que, lorsque le client conteste avoir autorisé une opération, le prestataire doit démontrer non seulement que l'opération a été authentifiée, dûment enregistrée et comptabilisée, mais encore qu'elle n'a été affectée par aucune déficience technique ni immixtion frauduleuse. L'utilisation enregistrée de l'instrument de paiement ne suffit pas, en elle-même, à établir l'autorisation du payeur, ainsi que la Cour de cassation l'a rappelé de longue date (Cass. com., 18 janv. 2017, n° 15-18.102). La négligence grave en matière de phishing : une appréciation in concreto. C'est sur la question de la négligence grave que se joue l'essentiel des contentieux en matière de phishing, et que la jurisprudence récente apporte les précisions les plus utiles. L'arrêt de la Cour de cassation du 23 octobre 2024 a posé, dans le contexte du spoofing, que la confiance accordée par la victime à un interlocuteur se présentant comme un conseiller bancaire ne saurait caractériser une négligence grave, dès lors que l'escroquerie repose sur une usurpation d'identité sophistiquée, objectivement difficile à détecter pour une personne normalement vigilante. Ce raisonnement a valeur de principe : la négligence grave ne peut résulter du simple fait d'avoir été trompé. L'arrêt du 4 mars 2026 (Cass. com., 4 mars 2026, n° 24-19.588) est venu préciser la portée de cette protection dans des hypothèses où la banque avait formellement mis en garde son client contre les risques de phishing. Il ressort de cette décision que l'existence d'une mise en garde contractuelle ou de campagnes de sensibilisation bancaire peut constituer un élément pris en compte dans l'appréciation de la négligence grave, sans toutefois en faire une présomption automatique. L'appréciation demeure in concreto. Appliqué au phishing Amazon, ce cadre impose donc au juge d'examiner les circonstances concrètes de chaque espèce : la qualité de la reproduction frauduleuse, l'impossibilité objective pour la victime de déceler la supercherie, la réactivité de la victime après la découverte de la fraude, et l'existence ou non d'une mise en garde préalable de la banque. Aucun de ces éléments ne joue mécaniquement : leur combinaison détermine si le seuil de la négligence grave est atteint. Les arguments à mobiliser en défense des victimes. Plusieurs lignes d'argumentation se révèlent efficaces dans la défense des victimes de phishing Amazon. La sophistication du procédé est le premier levier. Lorsque l'email frauduleux reproduit fidèlement la charte graphique d'Amazon, que le faux site est visuellement indiscernable de la plateforme officielle et que l'URL comporte le terme « Amazon », la détection objective de la supercherie excède les capacités de vigilance d'un consommateur ordinaire. Cette impossibilité de détecter la fraude tend à exclure la négligence grave. La réactivité de la victime constitue un deuxième argument. Le signalement immédiat à la banque, le dépôt rapide de plainte et la conservation des preuves témoignent d'un comportement qui exclut toute légèreté. La nature des données captées est le troisième angle. Lorsque les escrocs obtiennent le numéro de carte, la date d'expiration et le cryptogramme, sans que la victime ait communiqué son code confidentiel ni ses identifiants bancaires proprement dits, l'argument de la négligence grave se heurte à la réalité : ces données figurent en clair sur toute carte bancaire et ne font pas l'objet d'une obligation de confidentialité aussi rigoureuse que le code PIN. Enfin, la validation d'un code de confirmation reçu par SMS ne saurait systématiquement emporter qualification de négligence grave. Lorsque la victime a été convaincue que ce code correspondait à une opération légitime de sécurisation de son compte, son consentement est vicié par la tromperie et ne traduit aucune volonté libre et éclairée d'autoriser l'opération. Les enseignements pratiques. Pour les victimes, la règle d'or est la rapidité : signaler sans délai la fraude à la banque, faire opposition sur la carte, déposer plainte en identifiant clairement les opérations contestées, et conserver l'ensemble des preuves, email frauduleux inclus. Le délai de 13 mois fixé par l'article L133-24 du Code monétaire et financier est impératif. Pour les praticiens, l'enjeu est de démontrer concrètement, pièce par pièce, les circonstances qui excluent la négligence grave : produire l'email frauduleux et ses en-têtes, documenter la qualité de la reproduction, établir la chronologie du signalement. La qualification de la fraude conditionne l'ensemble du raisonnement : les opérations réalisées à la suite d'un phishing sont bien des opérations non autorisées, et la charge de la preuve de la négligence grave pèse intégralement sur la banque. Le phishing au nom d'Amazon illustre, mieux que tout autre vecteur, la tension entre la sophistication croissante des fraudes et les exigences d'un régime probatoire fondé sur la négligence grave. La jurisprudence récente, de l'arrêt du 23 octobre 2024 à celui du 4 mars 2026, confirme que cette négligence ne se présume pas et s'apprécie in concreto. Elle impose aux juridictions un examen attentif des circonstances de chaque espèce, et rappelle aux établissements bancaires qu'un refus de remboursement ne peut reposer sur la seule validation enregistrée d'une opération. Dans ce contentieux en pleine évolution, le rôle du praticien est décisif : qualifier correctement les faits, documenter la sophistication de l'attaque et construire un dossier qui rende la négligence grave impossible à établir. Références.