Belfius face à une première poursuite pénale pour refus d'indemnisation d'une victime de phishing
Belfius pourrait devenir la première banque en Belgique à être condamnée pénalement pour avoir refusé d'indemniser une victime de phishing. Le procès s'ouvrira le 30 novembre prochain devant le tribunal correctionnel francophone de Bruxelles, marquant un tournant dans la lutte contre la fraude bancaire en ligne.
La cliente concernée a assigné la banque publique devant la justice pénale après que celle-ci a refusé de la dédommager. Selon la législation en vigueur, un prestataire de services de paiement qui ne respecte pas les règles en cas de fraude commet une infraction pénale. Belfius, qui confirme l'existence de la procédure sans autre commentaire, risque une amende allant de quelques milliers d'euros à un pourcentage de son chiffre d'affaires annuel.
Ce dossier s'inscrit dans un cadre juridique en pleine évolution. En juin 2026, un tribunal d'Anvers a rendu une décision de principe imposant aux banques de rembourser immédiatement les victimes de phishing, avant de pouvoir éventuellement engager une procédure distincte pour récupérer les fonds en cas de négligence grave avérée du client. Cette jurisprudence a inversé la charge de la preuve traditionnelle.
La législation belge sur la fraude aux paiements repose sur les articles VII.32 à VII.55/2 du Code de droit économique, qui transposent la deuxième directive européenne sur les services de paiement (DSP2), entrée en vigueur en Belgique le 12 janvier 2018. Selon ce cadre, les prestataires de services de paiement sont strictement responsables des transactions non autorisées et doivent rembourser les payeurs, sauf s'ils peuvent prouver que le client a fait preuve de négligence grave. La banque supporte une franchise maximale de 50 euros, mais le client n'est pas tenu de payer cette somme si la perte a été causée par des actes ou omissions des employés de la banque.
Or, selon l'expert en droit bancaire Geert Lenssens, la véritable négligence grave ne s'applique que dans à peine 1% des cas de phishing, ce qui signifie que les refus routiniers de remboursement par les banques sont juridiquement infondés dans l'immense majorité des situations.
Une fraude en explosion
Le contexte belge rend cette affaire d'autant plus significative. Selon l'organisation sectorielle Febelfin, les escroqueries par phishing ont coûté 49 millions d'euros aux consommateurs belges en 2024. En 2025, les signalements ont bondi de 30% par rapport à l'année précédente, avec des pertes atteignant environ 93 millions d'euros. Parallèlement, l'Autorité des services et marchés financiers (FSMA) a enregistré en 2024 une hausse de 20% des signalements d'activités frauduleuses par rapport à 2023, un record absolu.
Face à cette escalade, le ministre belge de la Protection des consommateurs Rob Beenders et Febelfin ont annoncé en juillet 2026 un plan d'action national contre le phishing, articulé autour de trois axes : renforcement des mesures de sécurité au sein des banques, coopération accrue entre établissements bancaires, et coordination élargie avec les opérateurs de télécommunications, les entreprises technologiques et les administrations publiques.
Une banque publique sous surveillance
Belfius est une banque publique belge issue du démantèlement du groupe Dexia, rachetée par le gouvernement belge en octobre 2011 pour 4 milliards d'euros. En tant qu'institution importante, elle est directement supervisée par la Banque centrale européenne. L'établissement a déjà fait l'objet d'une sanction de 6,94 millions d'euros de la part de la BCE en juillet 2025 pour manquements liés aux modèles internes de notation, après avoir tardé à mettre en œuvre des modifications et omis de les auditer correctement.
Dans la pratique actuelle, les victimes de phishing doivent souvent engager elles-mêmes des procédures civiles pour récupérer leur argent, les banques invoquant fréquemment un consentement à la transaction ou une négligence grave du client pour justifier leur refus de remboursement immédiat. La poursuite pénale contre Belfius marque donc une rupture potentielle avec cette pratique établie et pourrait faire jurisprudence pour les milliers de victimes de fraude en ligne en Belgique.
