Citation: 4A_610/2023 E. A

A.a. Fondation A.________ (ci-après: la fondation ou la cliente ou la demanderesse ou la recourante) est une fondation de droit liechtensteinois ayant pour but de gérer le patrimoine du prince C.________ (ci-après: le prince). La fondation effectue des versements à ses bénéficiaires, le prince et sa famille, pour leur formation et leurs besoins courants. Elle n'exploite pas d'entreprise commerciale. Le conseil de fondation est composé, depuis 2016, de D.________, avocat au sein de l'étude E.________, avec signature collective à deux avec le prince. Le siège de la fondation se trouve au Liechtenstein, à la même adresse que l'étude. F.________ est l'assistante de D.________. B.________ SA (ci-après: la banque ou la défenderesse ou l'intimée) est une banque ayant son siège à Genève. G.________, employé de la banque, était en charge de la gestion du compte de la fondation. H.________ à Beyrouth a été fondée par I.________ et servait de family office pour la gestion du patrimoine du prince jusqu'en 2013. A la cessation de son activité, I.________ en a informé la banque et lui a demandé de ne plus lui adresser de correspondance en lien avec son activité de gestion du patrimoine du prince. J.________ est le comptable du prince. Il donnait régulièrement des instructions de paiement au nom et pour le compte du prince. A.b. Le 22 mars 2007, la fondation a ouvert un compte bancaire n° xxx auprès de la banque, dont le prince était l'ayant-droit économique. Selon le formulaire d'ouverture de compte, les relevés de compte mensuels étaient envoyés par courrier à la fondation, soit auprès de l'étude E.________, avec copie au bureau du prince en Arabie Saoudite, et à H.________ au Liban. Il était précisé que la banque acceptait toute transaction transmise d'une autre manière que par l'envoi d'un document original, quelle que soit la forme, au risque du détenteur du compte. L'art. 7.4 des conditions générales prévoyait que les instructions exécutées par la banque transmises par toute autre forme que par un écrit original (par exemple par oral, par téléphone, par fax, par message électronique ou par connexion informatique), sous réserve d'instructions contraires expresses du client, ne pouvaient en aucun cas être contestées par le client, même si leur forme ne permettait pas à la banque d'en tirer une preuve effective, les écritures de la banque constituant une preuve suffisante que ces instructions avaient été données telles qu'elles avaient été exécutées, sous réserve d'erreur manifeste. [...] Que la banque reçoive ou non une confirmation écrite originale et/ou des informations complémentaires de la part du client, ce dernier déchargeait d'ores et déjà la banque de toute responsabilité et sans restriction quant aux conséquences dommageables pouvant résulter de l'utilisation de ces formes et moyens de transmission y compris en cas d'abus, d'imitation ou d'utilisation par des tiers non autorisés. Cette clause s'appliquait à tout type de communication entre les parties. L'art. 7.5 des conditions générales prévoyait que l'utilisation de tout moyen de communication à distance, en particulier par courrier, téléphone, fax, message électronique, connexion informatique, comportait des risques qui n'étaient pas à la charge de la banque. Notamment l'utilisation d'une connexion internet sans protection particulière ou d'un ordinateur insuffisamment protégé présentait des risques accrus (tel virus, piratage, falsification du moyen d'authentification). En l'absence de preuve d'une faute grave de la banque, le client supportait tout risque de dommage de toute nature que le client ou la banque pouvait subir de l'utilisation de l'un de ces moyens de communication. En cas de différend, le client supportait la charge de la preuve. L'art. 7.17 prévoyait que le client était tenu de vérifier immédiatement le contenu des documents, extraits, communications ou notifications de la banque et d'aviser immédiatement la banque de toute erreur, y compris en sa faveur, qu'ils pourraient contenir. Toute réclamation ou objection du client concernant l'exécution ou la non-exécution d'ordres ou d'autres communications, notifications ou mesures prises par la banque devait être présentée immédiatement à la réception de l'avis en question ou, au plus tard, dans le délai fixé par la banque, faute de quoi les données qu'il contenait étaient réputées correctes et approuvées par le client, sauf en cas d'erreur évidente quant au contenu. Les cas particuliers où les circonstances exigeaient une réponse immédiate du client étaient réservés. S'il ne recevait pas un courrier, une communication ou une notification qu'il aurait dû attendre, le client était tenu d'en aviser immédiatement la banque et de présenter sa réclamation dès qu'il aurait dû normalement la recevoir. Toutes réclamations concernant les relevés périodiques du compte et les évaluations du portefeuille devaient être transmises par écrit dans les 30 jours et celles concernant les avis dans les 5 jours à compter de leur envoi. L'approbation expresse ou implicite des relevés de compte et de dépôt et des évaluations de portefeuille impliquait l'approbation de tous les éléments et références qui y figuraient ainsi que des réserves éventuelles de la banque et, en cas de solde débiteur, la reconnaissance de dette conformément aux dispositions légales. Les inscriptions sur un relevé ou une évaluation de portefeuille ne pouvaient être contestées lorsqu'elles correspondaient à des notifications d'opérations qui n'avaient pas été contestées en temps utile. Toute perte résultant d'une réclamation tardive était supportée par le client. A.c. Au 31 décembre 2016, le compte présentait un solde de 754'659.53 USD. Le prince disposait d'un second compte bancaire personnel auprès de la banque, servant à payer les charges d'un bien immobilier dont il était propriétaire à X.________. A.d. Entre le 27 février et le 2 mai 2017, un fraudeur présumé se faisant passer pour J.________ et G.________ en utilisant leurs adresses de courrier électronique respectives, a convaincu la banque d'effectuer deux virements à des tiers, depuis le compte de la fondation. En bref, le 27 février 2017, J.________ a demandé à F.________ de faire transférer 1'500'000 USD des comptes de la fondation à la banque sur un compte dont le prince était titulaire auprès de K.________ Ltd. Peu après l'envoi de ces instructions, le fraudeur présumé a pris le contrôle de l'adresse électronique de J.________, a eu accès à l'instruction de transfert et à sa pièce jointe comportant la signature du prince. Un peu plus d'une heure plus tard, utilisant l'adresse électronique de J.________, le fraudeur présumé a contacté F.________ et a annulé l'ordre de transfert légitime de J.________. Le lendemain, se faisant toujours passer pour J.________, il a ordonné un nouveau transfert vers le compte de la société L.________ Limited a uprès de la banque M.________ en Suisse. L'ordre de transfert, joint au courrier électronique, comportait l'en-tête et le pied de page du bureau du prince, ainsi que sa signature, identique à celle figurant dans le document envoyé la veille par J.________. Seule la partie centrale du document avait été remplacée par un autre texte, avec un ordre de transfert différent. Les informations propres à la transmission par fax qui figuraient sur le document, soit notamment la date, l'heure et le numéro de fax, étaient identiques à celles figurant sur le document envoyé la veille et étaient coupées aux mêmes endroits. La banque n'a effectué ni le versement légitime ordonné par J.________ du 27 février, ni l'ordre contrefait du 28 février, en raison du fait que le solde du compte aurait été insuffisant pour maintenir la relation bancaire selon le contrat. Le 5 avril 2017, le fraudeur présumé, utilisant toujours l'adresse électronique de J.________, a convaincu D.________ de fournir à la banque de nouvelles instructions de transfert au nom de la fondation, une nouvelle carte de signatures ainsi qu'une copie de son passeport. L'ordre de transfert portait sur un montant de 650'000 USD à l'attention de N.________ Limited à Hong Kong, à verser auprès de la banque O.________. Le même jour, la banque a adressé à D.________ et J.________ un a ccusé de r éception du message, demandé de fournir la raison du transfert, et indiqué que le transfert était subordonné à la réception de la carte de signatures originale auprès de la banque. Parallèlement à cette opération frauduleuse, J.________ tentait de procéder au transfert - légitime - de 754'000 USD du compte de la fondation au compte personnel du prince auprès de la banque. Le 10 avril 2017, J.________ a donc adressé à la banque, par transporteur international, l'original du carton de signatures portant la signature du prince. Ce virement bancaire n'a jamais été exécuté. Le même jour, le fraudeur présumé, utilisant l'adresse de J.________, a répondu à la banque que le carton de signatures avait été expédié, et que la raison du transfert était "achat de machines". Le 12 avril 2017, l'étude de D.________ a confirmé à la banque que le motif du transfert était l'achat de machines. Le 13 avril 2017, la banque a reçu les cartons de signatures de D.________ et du prince. La banque a débité le montant de 650'109.50 USD du compte de la fondation au profit de N.________ Limited à Hong Kong. Le relevé de compte faisant état de ce débit est daté du 28 avril 2017 et indique que son contenu était réputé accepté sauf indication contraire de la part du client dans les 30 jours. Le 25 avril 2017, le fraudeur présumé a créé un nouvel ordre de transfert, requérant de verser le solde du compte à l'attention de P.________ Ltd, auprès de la banque Q.________ à Henan en Chine et la clôture du compte. Le même jour, l'assistante de D.________ a écrit à la banque, joignant les instructions du conseil de fondation pour transférer les fonds et clôturer le compte de celle-ci. Elle a indiqué que la raison du transfert était l'achat de machines. Le 26 avril 2017, la banque, ne répondant qu'à l'assistante de D.________, a accusé réception du message et demandé l'envoi de l'original des instructions avec la copie du passeport du prince dûment signée. Le 2 mai 2017, l'assistante de D.________ a adressé à la banque la copie du passeport du prince par courrier électronique, envoyé notamment à J.________ en copie. La banque a répondu le même jour que l'envoi de la copie originale du passeport était nécessaire pour le bon ordre de ses dossiers. Le 2 mai 2017, elle a débité 103'530.15 USD du compte du prince en faveur de P.________ Ltd. Le relevé de compte faisant état de ce débit est daté du 31 mai 2017 et indique que son contenu était réputé accepté sauf indication contraire de la part du client dans les 30 jours. A.e. La banque a allégué avoir envoyé par courrier les avis de débit relatifs aux transferts des 13 avril et 2 mai 2017 en date du 13 avril, respectivement du 2 mai 2017, au siège de la fondation au Liechtenstein, au bureau du prince en Arabie Saoudite, et à H.________ à Beyrouth. La fondation a contesté cet allégué, précisant uniquement que les avis n'étaient pas transmis à la société H.________, qui ne s'occupait plus des affaires du prince depuis 2013. La banque a également allégué que les 28 avril et 31 mai 2017, elle avait envoyé une copie des relevés du compte de la fondation au siège de celle-ci, au bureau du prince et à H.________. La fondation a contesté cet allégué de la même manière. A.f. Le 9 août 2017, le prince s'est rendu dans les locaux de la banque. La fondation allègue qu'à cette occasion il aurait contesté la validité des opérations litigieuses. A.g. Par courrier du 28 août 2018 adressé à la banque, la fondation a émis une réclamation écrite relative aux transferts des 13 avril et 2 mai 2017, exposant qu'il s'agissait d'ordres frauduleux, la boîte de messagerie électronique de J.________ ayant été piratée à la même époque. A.h. Une expertise privée, commandée par le prince et réalisée par l'entreprise d'audit R.________ SA, a conclu au fait que l'adresse de J.________ avait été piratée et utilisée pour transmettre les ordres litigieux. Une fausse adresse au nom de l'assistante de D.________ a également été créée pour faire croire à J.________ que celle-ci répondait à l'un de ses courriels. L'adresse de G.________ avait également été piratée car les métadonnées du courriel du 28 mars 2017 émanant de son adresse électronique démontraient qu'il n'avait pas été envoyé depuis les serveurs de la banque. Les adresses IP utilisées concernaient des fournisseurs d'accès aux États-Unis et au Nigeria. Toutes les adresses auxquelles ce courriel avait été envoyé étaient mal orthographiées, sauf celle de J.________.