Citation: 4A_386/2016 E. A

A.a. C.________ est un citoyen américain employé en qualité d'avocat-assistant ("paralegal") dans une grande étude d'avocats américaine. Son revenu annuel est d'environ 90'000 USD. Dans les années 1980, il a noué une relation bancaire avec la succursale lausannoise d'un établissement bancaire qui a été repris en 2008 par la Banque B.________ (ci-après: la banque). Dans le cadre de cette relation, C.________ (ci-après: le client) a notamment signé les documents suivants: - les Conditions générales de la banque dans leur version de mars 2004. Selon celles-ci, le client doit répondre du dommage suivant: "any damage resulting from the use of mail, telegraph, telephone, telex, or any other system of communication or means of transport, [...] except in case of gross negligence by the Bank" (art. 6). Par ailleurs, les relevés de compte émis par la banque sont réputés acceptés s'ils ne suscitent aucune objection dans le délai d'un mois à compter de leur réception (art. 9 § 3). Les réclamations adressées à l'encontre des communications de la banque doivent être faites immédiatement ("promptly") à réception, mais au plus tard dans le délai fixé (art. 2). Enfin, le droit suisse est applicable aux relations entre la banque et le client et une élection de for est instituée en faveur des tribunaux du lieu de situation de l'établissement de la banque concerné (art. 17); - une décharge pour les transmissions par téléphone, telefax, télégramme ou courriel, laquelle habilite la banque - mais ne l'oblige pas - à exécuter les instructions lui parvenant par l'un de ces moyens de communication. Les risques en découlant sont à la charge du client, sous réserve d'une grave négligence ("gross negligence") de la banque (art. 3); - une convention de banque restante, par laquelle le client confirme souhaiter que les courriers provenant de la banque soient conservés par celle-ci, reconnaît que cette conservation vaut communication et déclare avoir pris connaissance des dispositions des Conditions générales relatives à la contestation des communications émanant de la banque. Le client a par la suite reçu les Conditions générales de la banque dans leur teneur de 2010. Celles-ci prévoient que les courriers de la banque conservés en banque restante sont réputés avoir été communiqués à la date qu'ils portent (art. 3); toute contestation doit être formée par écrit immédiatement après réception de l'avis correspondant, mais au plus tard dans le mois suivant sa communication (art. 2 et 10); les dommages résultant d'une fraude, d'une mauvaise identification ou liés à une erreur de transmission, notamment par courriel, sont à la charge du client, sous réserve d'une grave négligence de la banque (art. 5 et 7). L'art. 22 prévoit une prorogation de for en faveur des tribunaux genevois et l'application du droit suisse aux relations entre les parties. Le client a encore signé le 12 avril 2010 un document confirmant la décharge donnée à la banque pour les communications par courriel. A.b. Au 31 décembre 2002, les avoirs du client auprès de la banque s'élevaient à 105'133 fr. 41. Jusqu'en 2008, ces avoirs ont été placés sous forme de placements fiduciaires ou de parts de fonds collectifs, sans qu'il procède à aucun apport ou retrait. En 2008, le client a retiré 84'711 USD en raison de la crise financière ayant éclaté à cette période. A compter du 1 er janvier 2009, et sous réserve d'une part de fonds de placement réalisée en 2010, les avoirs du client ont été répartis entre deux comptes courants, l'un en francs suisses et l'autre en dollars. Leur montant, de l'ordre de 15'000 fr., n'a pas connu de variation significative jusqu'en 2012. A.c. Dès 2007, le client a eu pour principale interlocutrice l'employée de banque E.________, qui parlait couramment anglais. Jusqu'en 2012, les communications entre le client et la banque sont demeurées relativement rares et ont principalement revêtu la forme de courriels. Sur demande expresse du client, des extraits de compte et des avis d'opération lui étaient également communiqués par courriel. Par courriel du 10 janvier 2011, le client a informé la banque de son intention de transférer prochainement 250'000 USD au crédit de ses comptes, dont il demandait les coordonnées exactes. Bien que le ton employé fût moins formel que dans une lettre, ce courriel était rédigé en bon anglais, en ce sens qu'il ne comportait pas de faute de syntaxe ou d'accord, que les articles n'étaient pas omis et que les termes employés étaient précis et adéquats. L'employée de banque prénommée a fourni par courriel les informations souhaitées. Elle a par ailleurs demandé au client de lui indiquer de quelle banque provenaient les fonds et quelle était leur origine. L'intéressé a répondu par courriel que les fonds provenaient d'un compte d'épargne dont il était titulaire auprès d'une banque du... (USA). Il a par ailleurs donné les explications suivantes au transfert envisagé: "I had intended to make a transfer last year but the dollar weakened against the CHF. Now that the dollar is rising, I am considering making the transfer in the near future. I am seeking to diversify a portion of my assets from dollars and will leave the money in the bank for the long term and expect to be a passive investor. Just looking for stability and safety." Le transfert envisagé ne s'est finalement pas concrétisé. A.d. Par courriel du 15 décembre 2011, le client a à nouveau informé la banque d'un possible prochain transfert de fonds en ces termes: "Now that the dollar has strengthened against the chf, I am prepared to send up to $ 400'000.00 to B.________ sometime after New Year's Day. I don't intend to do much trading or exchanging in the future and I am basically looking for a long-term place to hold some savings with a very defensive posture." Par ce même courriel, il a posé à la banque un certain nombre de questions, principalement relatives aux conséquences de son statut de ressortissant américain. Dans sa réponse, intervenue par courriel du 27 décembre 2011, la banque a demandé des explications sur l'origine des fonds. Le client a répondu par courriel du 29 décembre 2011, en réaffirmant son intention de procéder au transfert annoncé au cours du premier trimestre 2012. A la fin du mois d'avril 2012, il a informé la banque, par télécopie, qu'il procédait au transfert des 400'000 USD annoncés sur son compte en dollars. Divers documents, parmi lesquels les justificatifs de l'origine des fonds, étaient annexés à cet envoi. Dans l'ensemble de ces communications, parfois relativement longues, le client s'exprimait en bon anglais, utilisant une syntaxe correcte et une variété de termes adéquats et précis. Un montant de 399'980 USD a effectivement été crédité le 30 avril 2012 sur le compte en dollars du client. La banque en a accusé réception par courriel du 3 mai 2012, demandant simultanément au client de lui indiquer sa profession, son revenu annuel et l'origine des fonds déposés. Le client a répondu par un long courriel du même jour, à nouveau rédigé en bon anglais. Par un courriel relativement bref daté du 7 mai 2012, le client a ordonné à la banque de clôturer le compte dont sa mère était titulaire et sur lequel il disposait d'une procuration; il demandait d'en transférer le solde sur ses propres comptes. Après avoir requis et obtenu une confirmation de cette instruction par la mère du client, la banque y a donné suite le 1 er juin 2012, créditant de 138'503 fr. 20 le compte en francs suisses du client. A cette date, les montants déposés sur les comptes du client s'élevaient respectivement à 399'965.38 USD et 153'614 fr. 55. A.e. A une date indéterminée, vraisemblablement dans le courant du mois de juin 2012, une ou plusieurs personnes inconnues (ci-après: les pirates) sont parvenues, par des moyens non identifiés, à prendre le contrôle de la messagerie électronique du client. Cette prise de contrôle leur a permis d'adresser à la banque, à l'insu du client, des courriels provenant de son adresse électronique C.________@hotmail.com ainsi que d'intercepter, de manière à ce que le client n'en ait pas connaissance, les courriels que lui adressait la banque à cette même adresse. Certaines tournures utilisées par les pirates (telles que "Dear E.________...") font inférer qu'ils avaient connaissance à tout le moins d'une partie de la correspondance électronique échangée antérieurement. Dans la procédure judiciaire qui sera évoquée ci-dessous (let. B), la banque a reproché au client d'avoir conservé dans sa messagerie électronique l'ensemble des courriels échangés avec elle (cf. au surplus infra consid. 4.3.1). A.f. Le 14 juin 2012, les pirates ont adressé à l'employée de banque E.________ le courriel suivant, qui provenait apparemment de la messagerie électronique du client: "Dear E.________, I do have wire transfer which I will need you to assist me take care of today, can you email me wiring instruction that you will be needing to send out an international wire transfer to Hong Kong. Best regards, C.________ [adresse]" La prénommée a répondu le même jour par le courriel suivant, intercepté par les pirates: "Dear Mr C.________, We need the name of the beneficiary and adress, the account IBAN number, the SWIFT of the bank and bank name and the signature. [...] Best regards, E.________" Les pirates ont alors indiqué par courriel que les fonds à virer - soit "120'000" - étaient destinés à une société H.________ Limited, titulaire d'un compte auprès de la banque [...] à Hong Kong; le but du transfert était le suivant: "Purchase of Property". Environ deux heures plus tard, les pirates ont adressé à l'employée de banque un nouveau courriel indiquant que le nom du bénéficiaire était H.________ Limited et le montant à transférer de 120'000 USD. La collaboratrice a répondu avoir pris note de ces instructions, qui seraient exécutées dès que possible; elle précisait avoir compris que malgré la réception de deux courriels, un seul virement de 120'000 USD devait être effectué. Ce 14 juin 2012 encore, les pirates ont adressé le courriel suivant: "E.________, I was hoping you do recieved my previous message to you, let me know if the transfer has been completed. Thank you, C.________" Le 15 juin 2012, la banque a procédé au transfert requis, ce dont E.________ a informé le client - soit en réalité les pirates - par courriel du même jour. Le compte en dollars du client a été débité de 120'000 USD et de 49.98 USD au titre de frais, le solde ne s'élevant plus qu'à 279'926.13 USD. Un avis de confirmation a été émis le même jour à l'intention du client et conservé en banque restante. Par courriel du 19 juin 2012, les pirates, se faisant toujours passer pour le client, ont interrogé la banque sur le retard du transfert. Par la même occasion, ils lui ont demandé de lui communiquer le montant des avoirs en compte. La banque a répondu le lendemain, en joignant à son courriel une copie de l'avis d'opération. A.g. Le 25 juin 2012, à la suite d'une nouvelle demande de virement portant sur un montant important, la banque a envoyé à l'adresse électronique du client un courriel lui demandant de lui faire parvenir, par télécopieur, un ordre de transfert signé ainsi qu'une preuve de l'achat d'une propriété et le contrat conclu avec une société M.________ Enterprise. Le même jour, les pirates ont répondu par courriel ce qui suit: "Dear E.________, Please find the requested details in attachment, am sorry i could not send a fax at the moment have been ill. Please proceed with the transfer i will have a signed note send to you as soon as am feeling much better, kindly email me as soon as the transfer has been completed or if you need anything. Thanks. C.________" A ce courriel étaient jointes deux annexes: un "rapport d'évaluation sommaire" concernant un immeuble sis en Malaisie, établi à l'intention de "C.________ [erreur d'orthographe]" par la société malaise M.________ Enterprise, et une déclaration relative aux risques de la peinture au plomb, portant l'en-tête "Long Island..." et mentionnant la société M.________ Enterprise sous la rubrique "nom du vendeur". Par courriel du 26 juin 2012, l'employée de banque a répondu qu'une instruction signée était nécessaire pour un montant aussi élevé. Les pirates ont alors adressé à la banque, en annexe à un courriel du même jour, un ordre de virement d'un montant de 210'000 USD en faveur d'un compte dont M.________ Enterprise était titulaire auprès d'une banque malaisienne. La signature figurant sur cet ordre - soit le prénom "C.________" calligraphié - n'avait aucune ressemblance avec les spécimens de signature du client dont la banque était en possession. Par un nouveau courriel du 26 juin 2012, la banque a invité le client à lui adresser un ordre portant sa signature telle qu'enregistrée par elle. Les pirates ont alors répondu le lendemain 27 juin 2012 ce qui suit: "I understand how you mean but is so dangerous sending my signature over the internet, i was going to sent it by fax but my fax is bad at the moment. Can i send the order form through post i believe this is saver, email me the go ahead if this is okay. [...]" Ce même 27 juin, les pirates, après avoir reçu de la banque l'adresse postale à laquelle l'ordre signé devait être envoyé, ont formulé par courriel une nouvelle demande de paiement ainsi libellée: "After receiving message from M.________ Enterprise today as there is a time limit on the property payment which is tomorrow, i was wondering if you could assist me in transferring $ 140'000 to M.________ Enterprise today since sending a big amount will require a signature. Email me as soon as possible to enable me post the order form to your adress immediately. [...]" La banque s'étant bornée à confirmer son adresse postale, les pirates lui ont demandé par courriel du 9 juillet 2012 si elle avait reçu l'autorisation signée prétendument envoyée par courrier postal. Ayant obtenu une réponse négative à leur question, ils ont formulé, toujours par courriel, une nouvelle demande de transfert en ces termes: "Oh my God, i believe you should have gotten it by now i don't understand what seem the problem i will have to confirm from the post as soon as am back in town. I just lost my cousin am presently out of town, i will really need your help right now could you assist me in completing an international wire transfer for the total amount of $ 110'000. [...]" Ces demandes répétées et insistantes ont, pour la première fois, éveillé une certaine méfiance chez l'employée de banque. Celle-ci a opposé une fin de non-recevoir à la nouvelle demande du 9 juillet 2012, en insistant sur la nécessité de recevoir une instruction signée; elle a en outre mentionné dans le dossier interne du client que seuls les ordres portant sa signature pouvaient être exécutés. Par la suite, la méfiance de la collaboratrice s'est trouvée confortée par diverses incohérences entachant les communications avec le client, dont elle se demandait "à quoi [il] jouait". Cette méfiance était dirigée à l'encontre du client lui-même, la collaboratrice n'ayant jamais envisagé l'hypothèse d'un piratage de sa messagerie électronique par des tiers. A.h. Par courriel du 12 juillet 2012, le client (et non les pirates) a annoncé à la banque son intention de faire virer sur son compte en francs suisses le produit d'une police d'assurance-vie venant à échéance le 5 août 2012, pour un montant approximatif de 161'000 fr. Par ce même courriel, rédigé en bon anglais, le client a demandé à la banque de lui transmettre l'avis d'opération relatif à la clôture des comptes de sa mère et lui a posé la question suivante: "Does the bank have any opinion on the imposition of capital controls or what form they might take ? The dollar has risen in the past several months and I eventually will convert the 400K I wired a few months ago to Chf; but of course I'm trying for the best possible rate. [...]" La banque a répondu par courriel du 13 juillet 2012, en communiquant au client les extraits de ses comptes au 30 juin 2012 et en lui indiquant ne pas avoir d'opinion sur la question d'éventuels contrôles des capitaux. Cette réponse a été interceptée par les pirates. Ces derniers ont alors envoyé au client sur sa messagerie électronique un courriel provenant d'une adresse électronique très similaire à celle normalement utilisée par l'employée de banque (E.________@B.________.co au lieu de E.________@B.________.ch). Le contenu de ce courriel, également daté du 13 juillet 2012, était identique à la véritable réponse de la banque sous réserve de deux modifications apportées par les pirates: d'une part, les extraits de compte au 30 juin 2012 n'étaient pas annexés; d'autre part, le courriel - au lieu de répondre à une question du client - indiquait qu'en raison d'une nouvelle politique, ces extraits ne pourraient être envoyés qu'à réception d'une lettre d'autorisation signée, laquelle devait être envoyée par télécopieur à un numéro donné. Le client a alors adressé une lettre à la banque, à laquelle étaient annexées les autorisations signées prétendument requises, les documents justifiant l'origine des fonds qu'il entendait virer sur son compte et une copie de l'échange de courriers électroniques des 12 et 13 juillet 2012 (incorporant la réponse de la banque sous sa forme modifiée par les pirates). Dans cette lettre, reçue par la banque avec ses annexes le 20 juillet 2012, le client sollicitait une réponse aux questions posées dans son courriel du 12 juillet 2012, alors que la banque y avait déjà répondu par courriel du 13 juillet 2012, dont le contenu avait cependant été modifié par les pirates. A.i. Les pirates se sont à nouveau adressés à la banque par courriels des 23 et 24 juillet 2012 pour évoquer l'arrivée prochaine des montants provenant de l'assurance-vie, annoncer un ordre de transfert vers Singapour et demander des informations sur les renseignements dont aurait besoin la banque pour l'exécuter. Par courriel du 24 juillet 2012, la banque a demandé un ordre signé. Le 31 juillet 2012, les pirates ont adressé par télécopieur à la banque un ordre (en réalité une autorisation) de virer 185'000 USD sur le compte de H.________ Limited auprès de la banque [...] à Hong Kong, en mentionnant le motif de transfert suivant: "to balance the property purchased". Cet ordre portait la reproduction d'une signature correspondant aux spécimens de la signature du client en possession de la banque. La manière dont les pirates se sont procurés cette signature n'est pas établie. A réception de cet ordre, la banque a effectué le transfert requis. Le compte en dollars du client a été débité le 31 juillet 2012 des montants de 185'000 USD et de 27.86 USD (frais bancaires), le solde en compte ne s'élevant plus qu'à 94'904.73 USD. Un avis de confirmation a été établi le même jour à l'intention du client. Le 2 août 2012, le compte en francs suisses du client a été crédité de 161'165 fr., correspondant au produit de l'assurance-vie arrivée à échéance. Par courriel du même jour - intercepté par les pirates -, la banque en a informé le client. A.j. Le 8 août 2012, les pirates ont adressé à la banque un courriel l'invitant à effectuer un nouveau transfert sur le compte de H.________ Limited auprès de la banque [...] à Hong Kong, cette fois pour un montant de 230'700 fr. Comme motif était invoqué le souhait de procéder à un investissement dans une propriété. Le même jour, ils ont envoyé à la banque par télécopieur une autorisation de transfert conforme à cette instruction portant la reproduction d'une signature correspondant à celle du client. La banque a exécuté cette instruction le jour même. Le compte en francs suisses du client a ainsi été débité, au 8 août 2012, des montants de 230'700 fr. et de 27 fr. (frais). Un avis de confirmation, daté du même jour, a été émis à l'intention du client. A.k. Le 15 août 2012, les pirates ont adressé à la banque, par courriel, une nouvelle demande de transfert portant sur un montant de 83'000 fr. Le destinataire était un dénommé X.________, domicilié à Singapour; les fonds devaient être virés sur un compte que celui-ci détenait auprès d'un établissement bancaire à Singapour. La banque a demandé un ordre de transfert signé, l'indication d'un motif et une pièce justificative de ce dernier. Les pirates ont alors envoyé à la banque par télécopieur une autorisation de virer les fonds portant la reproduction d'une signature correspondant à celle du client, ainsi qu'une facture du 14 août 2012 à l'en-tête d'une entreprise intitulée X.________ Property, établie au nom du client pour un montant de 83'000 fr. correspondant à un paiement pour une propriété à Singapour. Le lendemain, 16 août 2012, la banque a exécuté l'ordre de transfert et débité le compte en francs suisses du client des montants de 83'000 fr. et de 15 fr. (frais). Un avis de confirmation a été établi le même jour à l'intention du client. A.l. A la suite d'un échange de courriels du 19 août 2012 avec l'adresse électronique E.________@B.________.co (soit celle ouverte et contrôlée par les pirates), le client a réalisé la supercherie. Par deux courriels du 23 août 2012, il en a informé la banque et l'a priée de bloquer ses comptes. A la même période, le client a appelé l'employée de banque, qui l'a informé des débits intervenus sur ses comptes. Il a contesté avoir donné les instructions de transfert correspondantes. Le 27 août 2012, le client s'est présenté dans les locaux de la banque, où il s'est fait remettre l'ensemble de la correspondance électronique échangée entre la banque et l'adresse électronique C.________@hotmail.com. Il a par ailleurs remis à la banque en main propre une lettre par laquelle il contestait avoir ordonné les virements intervenus au débit de ses comptes et en avoir eu connaissance. Le même jour, il a déposé plainte pénale à Lausanne. Il en a fait de même à Hong Kong le mois suivant. Par courrier du 27 septembre 2012, l'avocat du client a enjoint à la banque de verser à celui-ci les montants de 305'077.84 USD et de 313'742 fr. dans un délai de dix jours, ce qu'elle n'a pas fait.