Le jugement n° 2025TALCH08/00203 du Tribunal d’arrondissement de Luxembourg s’inscrit au cœur du contentieux contemporain lié à la cybercriminalité bancaire, opposant les obligations de sécurité du prestataire de services de paiement à la diligence attendue de l’utilisateur. En l’espèce, le litige porte sur la responsabilité d’un établissement public autonome suite à une opération de « phishing » ayant permis le détournement de fonds via l’usage détourné d’un certificat d’authentification forte. La décision met en exergue le conflit normatif entre le régime de responsabilité de plein droit du banquier, instauré par la loi modifiée du 10 novembre 2009 relative aux services de paiement, et l’exception d’irresponsabilité tirée de la négligence grave du payeur. L’analyse se cristallise sur la caractérisation de cette négligence, le tribunal devant apprécier si l’imprudence du client — ayant cliqué sur un lien suspect (protocole http, extension étrangère) — est de nature à l’évincer du bénéfice du remboursement. Cette affaire souligne l’importance cruciale des indices techniques de fraude dans l’appréciation souveraine des juges du fond, tout en rappelant le devoir de vigilance constant du banquier mandataire face à des flux transactionnels atypiques. ## I. Faits et procédure En date du 13 janvier 2023, PERSONNE1, titulaire d’un compte courant auprès de l’établissement public SOCIETE1, a été victime d’une manœuvre frauduleuse de type « phishing » ou « spoofing ». Après avoir reçu un message-texte (SMS) arborant l’en-tête de sa banque, l’invitant à mettre à jour ses données via un lien hypertexte (http://oro.li/SOCIETE1), le demandeur a accédé à une interface imitant celle de son établissement bancaire. En y insérant ses identifiants et en utilisant son dispositif d’authentification forte (SOCI