Les attaques phishing et Homme du Milieu (HDM) sont devenues l’une des formes de cybercriminalité les plus dommageables pour les entreprises et les établissements financiers. Elles posent également un défi juridique majeur : qui doit répondre lorsqu’un cybercriminel parvient à détourner un virement bancaire ? La banque ? Le donneur d’ordre ? Les deux ?
La cybercriminalité et l’attaque de l’Homme du Milieu : jusqu’où s’étend la responsabilité des banques ?
Le cadre réglementaire et jurisprudentiel en vigueur en Espagne impose une responsabilité renforcée aux établissements financiers, conçue pour protéger l’usager en cas de virements non autorisés. Toutefois, cette protection connaît des limites : la responsabilité bancaire ne peut pas neutraliser la négligence du donneur d’ordre ou celle d’autres intervenants dans l’opération.
En pratique, les établissements financiers et les payeurs victimes doivent démontrer avec exactitude ce qui a échoué, où et pourquoi.
La fraude la plus courante : le compte mule
Dans les fraudes de type HDM (Homme du Milieu), le cybercriminel intercepte les échanges entre les entreprises – le plus souvent des courriels relatifs à la facturation – et usurpe l’identité d’un interlocuteur afin de rediriger le paiement vers un autre compte bancaire : un compte mule, préalablement ouvert. Lorsque la victime découvre l’arnaque, il est déjà trop tard : les fonds ont été retirés ou transférés. Faute d’identifier l’auteur de la fraude, la victime agit souvent contre l’établissement ayant exécuté le virement et/ou contre l’établissement récepteur, invoquant notamment :
- Un défaut de contrôles KYC/AML
- L’absence de correspondance bénéficiaire-titulaire
- Retard dans la rétrocession des fonds
Néanmoins, dans de nombreux cas, la négligence du donneur d’ordre rompt le lien de causalité, ce qui réduit, voire exclut, la responsabilité du prestataire de services de paiement.
La stratégie de défense de l’établissement financier
Une défense solide repose généralement sur quatre piliers fondamentaux :
Conformité réglementaire dans l’exécution de l’opération
Il s’agit principalement des réglementations KYC et AML. Cependant, le prestataire de services de paiement n’est pas tenu de vérifier la concordance entre l’IBAN et l’identité du titulaire du compte mule. Ainsi l’ont confirmé la Cour de Justice de l’Union européenne (CJUE 21-3-2019, affaire C-245/18) et le Tribunal Suprême espagnol (STS 507/2025, du 27 mars).
Négligence grave du donneur d’ordre
Des modifications imperceptibles dans le domaine de l’adresse électronique, un changement inattendu de compte bancaire vers un pays sans rapport avec l’opération ou l’absence de vérification par un canal alternatif (téléphone, Teams ou WhatsApp). Les tribunaux espagnols ont déjà jugé que l’omission de ces vérifications élémentaires constitue une défaillance de diligence incompatible avec le niveau exigible d’un opérateur professionnel.
Défaillance de sécurité dans le système du donneur d’ordre
L’établissement récepteur n’est pas responsable des vulnérabilités du système informatique du client, ni tenu de vérifier si la messagerie électronique du client a été compromise.
Absence de lien de causalité
L’établissement financier n’intervient ni dans l’interception des communications, ni dans l’émission de l’ordre frauduleux, ni dans le retard de sa détection. Son rôle se limite à exécuter le virement selon les données fournies et à coopérer avec les autorités une fois la fraude découverte.
Conclusion : vers une responsabilité équilibrée contre le phishing
Lutter contre le phishing et les attaques de l’Homme du Milieu implique de renforcer la prévention, tout en garantissant la sécurité juridique.
Un système équitable ne transforme pas la banque en un garant universel des erreurs du client.
La sécurité des transactions numériques repose sur deux piliers :
- Des contrôles bancaires efficaces
- Des utilisateurs adoptant des pratiques de vérification et de cybersécurité rigoureuses
C’est uniquement dans un cadre équilibré qu’il est possible de préserver la confiance dans le système financier numérique et d’assurer une réponse juridique cohérente face à l’augmentation des attaques de phishing.
Foire aux Questions
Le phishing est une technique de cybercriminalité d’usurpation d’identité qui vise à obtenir des données ou à détourner des paiements. En entreprise, il se matérialise souvent par des attaques HDM manipulant des communications légitimes
Cela dépend. La réglementation européenne impose une responsabilité renforcée aux prestataires de services de paiement, mais celle-ci peut être réduite ou exclue en cas de négligence grave du donneur d’ordre, notamment un manquement aux vérifications élémentaires ou l’acceptation d’instructions suspicieuses.
Non. La Cour de Justice de l’Union européenne (CJUE) et le Tribunal suprême espagnol ont confirmé qu’aucune obligation de ce type n’existe : l’établissement financier peut exécuter le virement sur la seule base de l’IBAN fourni par le client.
C’est possible, mais cela dépend de la réactivité, de la traçabilité des fonds et de l’existence de négligence. Si les fonds ont déjà été retirés ou transférés depuis le compte mule, la récupération devient difficile.
Authentification à deux facteurs, contrôle des domaines, validation des modifications de comptes, politiques internes de cybersécurité et formation du personnel. La prévention implique une coopération étroite entre les entreprises et les établissements financiers.
Confronté à un litige de phishing ou à une attaque de type HDM ?
