La Cour suprême réclame une indemnisation des victimes par les banques lorsque des contrôles défaillants facilitent les fraudes numériques

Les banques pourraient devoir indemniser les victimes lorsque leurs dispositifs de protection échouent

La Cour suprême de l’Inde a demandé aux banques et aux autres établissements financiers d’indemniser les victimes de fraudes numériques lorsqu’une enquête établit que l’absence des vérifications nécessaires a permis le crime. L’indemnisation devrait être au moins égale au montant perdu, a indiqué la Cour, y compris dans les escroqueries où des criminels terrorisent leurs victimes en leur faisant croire qu’elles sont en « arrestation numérique ».

Une formation composée du président de la Cour suprême indienne Surya Kant et des juges Joymalya Bagchi et V Mohana a annoncé qu’elle examinerait le projet de directives de 2026 de la Reserve Bank of India (RBI) sur la modification des règles KYC avant de rendre de nouvelles décisions. Ces règles devraient être publiées d’ici au 30 novembre et entrer en vigueur au plus tard le 31 décembre 2026.

L’intervention de la Cour place au cœur du débat deux responsabilités concrètes : bloquer les virements suspects avant que l’argent ne quitte un compte et faire payer les établissements financiers lorsque des vérifications insuffisantes entraînent une perte. Pour les clients, l’obligation d’indemniser envisagée lierait le remboursement à une enquête sur la manière dont leur banque a traité la transaction.

La procédure porte sur l’affaire In Re: Victims of Digital Arrest Related to Forged Documents, numéro SMW (Crl.) 3/2025. Il s’agit d’une affaire ouverte suo motu, c’est-à-dire que la Cour suprême s’en est saisie de sa propre initiative.

Qu’est-ce qui déclencherait une indemnisation ?

La formation a indiqué que le cadre de la RBI devrait obliger les établissements financiers à indemniser les victimes d’« arrestation numérique » et d’autres cyberfraudes lorsqu’ils ont manqué à leur devoir de diligence. Concrètement, ce devoir consiste à effectuer les vérifications raisonnablement nécessaires pour identifier un client, comprendre l’activité de son compte et réagir aux signaux d’alerte.

Le montant minimal envisagé correspond à la somme perdue par la victime. Il faudrait donc déterminer si des manquements de l’établissement financier ont permis la fraude. La Cour n’a pas encore arrêté la procédure détaillée d’examen de ces demandes, notamment les modalités de dépôt par les clients et les délais de versement de l’indemnisation.

Le juge Bagchi a fait observer que la Cour pourrait instaurer une responsabilité stricte des établissements financiers. Cette approche juridique engage la responsabilité d’un établissement dès lors que certaines conditions sont réunies. Le cadre d’indemnisation décrit par la formation porte sur les cas où un manquement aux vérifications obligatoires est constaté.

Le président Kant a également évoqué d’éventuelles poursuites pendant l’audience. Le procureur général R Venkataramani s’est opposé à ce que la Cour impose la responsabilité des banques par des directives, estimant qu’il revient à la RBI de traiter la question par voie réglementaire. La formation examinera le projet de cadre réglementaire avant de décider de la suite à donner.

Bloquer un virement inhabituel avant son exécution

La Cour suprême s’est demandé pourquoi les banques ne pourraient pas bloquer temporairement des opérations qui s’écartent des habitudes bancaires d’un client. Elles disposent déjà de données sur l’utilisation normale d’un compte, ce qui leur permet d’évaluer un virement soudain ou inhabituel.

Le président Kant a mis en doute l’utilité d’une réaction uniquement après le transfert des fonds. Expliquant pourquoi il souhaitait des mesures préventives, il a déclaré :

Un signalement ne permettrait que de constater les faits après coup. Qu’en est-il de la prévention ? Lorsqu’une transaction se présente, pourquoi ne peut-on pas la retenir ?

Parmi les mesures de protection évoquées figurent la suspension temporaire des virements inhabituels, l’alerte automatique du commissariat compétent et la mise en place d’une vérification en personne pour établir l’authenticité du paiement. Le président de la Cour a également demandé que les opérations inhabituelles restent suspendues jusqu’à ce que leur authenticité ait été vérifiée par écrit.

Pour un client menacé par téléphone ou en visioconférence, une pause pourrait permettre à une personne extérieure à la conversation de vérifier la situation. Une vérification en personne ferait sortir l’enquête de l’écran par lequel l’escroc dirige sa victime.

La formation a estimé que des mécanismes de responsabilité contraignants étaient nécessaires, les simples recommandations générales ne suffisant pas à garantir leur application. L’approche envisagée obligerait les banques à réagir aux signaux d’alerte et prévoirait une conséquence financière si leur inaction permet une fraude.

Pourquoi la peur fait toujours fonctionner les escroqueries

L’avocate principale N S Nappinai, qui assiste la Cour en qualité d’amicus curiae, a cité le cas récent d’une femme ayant perdu 2,5 crores de roupies. Un amicus curiae est un avocat désigné pour aider la Cour à examiner les questions dont elle est saisie.

Nappinai a expliqué que la peur d’être arrêtées pousse les victimes à suivre les instructions des criminels. Son intervention a éclairé les raisons pour lesquelles les escroqueries persistent malgré les mises en garde du public et les précédentes interventions judiciaires : une personne qui croit que la police la surveille ou la menace peut obéir à des demandes qui lui paraîtraient autrement suspectes.

Dans les escroqueries à l’« arrestation numérique », des criminels se font passer pour des représentants des autorités par téléphone, par message ou au moyen de faux documents. Ils peuvent accuser une personne d’avoir participé à un crime grave et lui réclamer de l’argent sous prétexte de vérifier des fonds ou de résoudre une enquête. Parmi les affaires évoquées dans le cadre de la procédure figuraient des appels de personnes prétendant représenter des services de police et ordonnant des virements soi-disant destinés à des vérifications.

Le président Kant s’est demandé pourquoi des personnes instruites continuaient à croire ces affirmations et a souligné que les prétendues décisions de justice pouvaient être vérifiées sur le site officiel du tribunal concerné. Le témoignage de Nappinai a remis au centre de l’expérience des victimes la pression exercée par les menaces.

Les vérifications bancaires envisagées visent le moment où cette pression se transforme en perte financière. Les campagnes de sensibilisation s’adressent aux gens avant une escroquerie ; le blocage d’une transaction interviendrait au moment où une personne tente de transférer de l’argent.

Moins de signalements, mais des pertes considérables

Le procureur général Venkataramani a déclaré à la Cour que le nombre de cas d’« arrestation numérique » signalés avait diminué d’environ 50 % par rapport à l’année précédente. Le président Kant a évoqué une perte nette estimée à près de 800 crores de roupies pour l’économie indienne en raison de ces fraudes au cours de l’année.

Un rapport de situation du Centre indien de coordination de la cybercriminalité, connu sous le nom d’I4C, et du ministère de l’Intérieur faisait état de plus de 21 900 plaintes pour « arrestation numérique », portant sur plus de 647 crores de roupies, entre le 1er janvier et le 31 août 2026. Le montant de 647 crores couvre cette période précise, tandis que le président de la Cour a cité, lors de l’audience, l’estimation plus large de près de 800 crores pour l’année.

Les sommes sont plus faciles à appréhender en roupies : 647 crores équivalent à 6,47 milliards de roupies et 800 crores à 8 milliards. Malgré la baisse du nombre de cas signalés évoquée par le procureur général, les pertes citées à l’audience montrent l’ampleur des sommes que les victimes et leurs familles risquent encore de perdre.

Venkataramani a déclaré que l’I4C travaillait en continu et que les banques étaient désormais plus efficaces pour repérer les transactions suspectes qu’elles ne l’étaient six mois auparavant. Il a également indiqué avoir rencontré la RBI pour l’inciter à élaborer une réglementation et que la question de la responsabilité des responsables bancaires était en cours d’examen.

Des affaires montrent par où transite l’argent

La police de Delhi a arrêté deux hommes soupçonnés de gérer un compte mulet lié à une escroquerie de 2,10 crores de roupies visant un habitant de Janakpuri. Un compte mulet est utilisé pour recevoir ou transférer de l’argent pour le compte de criminels, plaçant souvent son titulaire entre la victime et les personnes qui orchestrent la fraude.

Le 12 octobre, le compte ouvert à Delhi a reçu 98 592 roupies liées à l’affaire. Les policiers ont saisi des téléphones, des cartes de débit et des chéquiers appartenant aux suspects. La somme versée sur ce compte ne représentait qu’une partie du préjudice présumé, ce qui illustre pourquoi les enquêteurs peuvent devoir retracer plusieurs virements et bénéficiaires.

La police de lutte contre la cybercriminalité d’Hyderabad a arrêté deux hommes soupçonnés d’avoir escroqué un employé retraité de 63 ans et sa fille de 29,17 lakhs de roupies. Selon les enquêteurs, le produit de l’escroquerie a transité par des comptes mulets, des automates de dépôt d’espèces et des conversions en cryptomonnaies. Un troisième suspect était toujours en fuite.

À Kozhikode, une femme de 57 ans aurait perdu 1,35 crore de roupies après que des personnes se faisant passer pour des agents de la brigade criminelle de Mumbai l’ont menacée de poursuites pénales. Elles lui ont ordonné de transférer de l’argent à la RBI, prétendument pour vérification. La police a ouvert une enquête sur des appels WhatsApp reçus entre le 22 septembre et le 15 octobre.

Dans le district de Dakshina Kannada, au Karnataka, la police a déclaré qu’un agriculteur de 62 ans avait été contraint de transférer 1,31 crore de roupies. Des personnes prétendant représenter la police de Mumbai et l’Anti-Terrorism Squad l’ont accusé d’avoir envoyé de l’argent à un suspect de l’attentat terroriste de Pahalgam. Il aurait été maintenu en « arrestation numérique » du 2 septembre au 6 octobre.

Les employés des banques et le régulateur sous surveillance

Le président Kant s’est inquiété de l’implication présumée de responsables bancaires dans des fraudes et a questionné les consultations menées par la RBI auprès des banques lors de l’élaboration des mesures de protection. Ses propos ont attiré l’attention à la fois sur les contrôles des transactions et sur la conduite des personnes travaillant au sein des établissements financiers.

Le procureur général Venkataramani a déclaré que des mesures avaient été prises partout où l’implication de responsables avait été établie. Il a également rejeté l’idée que tous les employés de banque collaboraient avec les fraudeurs et indiqué que la RBI accélérait ses travaux.

Les modifications proposées par la RBI aux règles KYC sont désormais au cœur de la procédure. KYC signifie « know your customer » (« connaître son client ») et désigne les vérifications permettant aux établissements financiers d’établir l’identité de leurs clients. La Cour souhaite que le cadre envisagé prévoie des obligations de prévention et d’indemnisation lorsque des manquements à ces vérifications permettent une cyberfraude.

La formation a demandé à la RBI de fournir, lors de la prochaine audience, la liste de tous les établissements financiers agréés. Elle a laissé entendre qu’elle pourrait rendre des directives applicables à ces établissements sans devoir faire intervenir chaque banque séparément dans l’affaire. La Cour pourrait ainsi fixer des exigences communes à l’ensemble du secteur.

Les échéances des prochaines étapes

La procédure rassemble les plaintes, les observations du gouvernement et le calendrier prévu pour le projet de règles de la RBI. Voici les principales dates :

• Du 1er janvier au 31 août 2026 : l’I4C et le ministère de l’Intérieur ont recensé plus de 21 900 plaintes pour « arrestation numérique », portant sur plus de 647 crores de roupies.
• 28 octobre : la note du procureur général au nom du gouvernement de l’Union a présenté les directives proposées à l’examen de la Cour.
• 30 novembre 2026 : les directives de la RBI sur la modification des règles KYC devraient être publiées.
• 31 décembre 2026 : les directives proposées devraient entrer en vigueur.

La RBI doit également fournir la liste des établissements financiers agréés lors de la prochaine audience. La formation a indiqué qu’elle était disposée à rendre les directives proposées par l’amicus curiae et le gouvernement de l’Union, mais qu’elle examinerait d’abord les modifications de la RBI.

Pour les victimes comme pour les banques, la prochaine étape dépend donc du contenu précis de ce cadre : quand une transaction suspecte doit être suspendue, comment la police est alertée, comment la vérification se déroule et comment l’indemnisation est versée lorsqu’un manquement aux vérifications est établi.

Points clés

• La Cour suprême souhaite que les victimes soient indemnisées à hauteur d’au moins la somme perdue lorsqu’un manquement au devoir de diligence d’un établissement financier permet une fraude numérique.
• La formation a demandé que les virements inhabituels puissent être suspendus temporairement, que la police soit alertée automatiquement et qu’une vérification en personne soit effectuée.
• L’I4C et le ministère de l’Intérieur ont recensé plus de 21 900 plaintes portant sur plus de 647 crores de roupies entre janvier et août 2026.
• Les modifications proposées par la RBI aux règles KYC devraient être publiées d’ici au 30 novembre et entrer en vigueur au plus tard le 31 décembre 2026.
• La Cour examinera le projet de règles avant de rendre de nouvelles décisions et a demandé la liste des établissements financiers agréés.