Faits:
A. En 1994, Y._, domicilié en Espagne, a ouvert un compte auprès de la Banque Z._ SA à Genève, dont la raison sociale a ultérieurement été modifiée en X._ SA (ci-après: X._). Il a signé divers documents tendant à ce que la correspondance de la banque soit envoyée au bureau de représentation de celle-ci à N._ en France, dont il a autorisé le responsable à en prendre connaissance et possession; il a aussi donné décharge à la banque pour les ordres transmis par téléphone, télégramme, télex et/ou téléfax. En 1995, il lui a octroyé un mandat de gestion discrétionnaire, qu'il a toutefois révoqué le 21 février 2001. A._ a été le responsable du bureau de N._ dès 1995.
Y._ et la banque ont entretenu des contacts réguliers, généralement par le biais de A._. En 2001, Y._, confronté à des difficultés conjugales, a remis à A._ trois documents signés "en blanc" afin qu'il puisse transférer rapidement, le cas échéant, tout ou partie des actifs.
En septembre 2001, une nouvelle filiale de X._ Bank W._ a été créée à N._, entraînant la fermeture de l'ancien bureau de représentation et le licenciement de A._.
Le 31 janvier 2002, Y._, qui s'inquiétait de ne pas avoir reçu son extrait de compte pour le quatrième trimestre 2001 et avait appris que A._ ne travaillait plus pour la banque, a demandé à la gestionnaire de son compte, par fax rédigé en espagnol, qu'elle donne instruction à la succursale de N._ de lui remettre personnellement l'extrait désiré, sur présentation de sa carte d'identité, qu'elle transfère 10'000 euros sur son compte à N._ et qu'elle lui propose une solution pour l'avenir. La dernière requête n'a pas reçu de réponse.
Le 13 mars 2002, X._ a reçu un fax, dactylographié et rédigé en français, portant la signature de Y._, demandant le transfert d'une somme de 6'020 euros sur le compte d'une entreprise auprès d'une banque espagnole. L'ordre a été exécuté le 18 mars 2002, après contrôle de la signature.
Le 21 mars 2002, X._ a reçu un fax en français daté du 8 février 2002, dactylographié et portant la signature de Y._, demandant que la totalité de la correspondance relative au compte soit envoyée chaque trimestre à A._. La banque a pris note de cette instruction et modifié l'adresse de correspondance.
Le 9 avril 2002, la banque a reçu un ordre de transfert en français, dactylographié et portant la signature de Y._, la priant d'émettre un chèque de banque de 271'000 euros en faveur d'une certaine dame et de l'expédier à l'adresse prévue pour l'envoi de la correspondance. La gestionnaire du compte a téléphoné à A._ pour se renseigner sur l'identité de la bénéficiaire et savoir si des titres devaient être vendus et/ou des devises converties afin de couvrir l'émission du chèque, ce que ce dernier a confirmé. Le 10 avril 2002, la banque a établi un chèque d'un montant de 270'000 euros et l'a envoyé à l'adresse de A._. Le chèque a été encaissé.
A réception du relevé de compte du deuxième trimestre 2002 qu'il avait demandé à la banque, Y._ a constaté le virement de 271'008 euros (comprenant les frais bancaires) en faveur de A._. Il a immédiatement demandé des explications à la banque et contesté être l'auteur des ordres des 13 mars, 21 mars et 9 avril 2002.
B. Le 23 décembre 2005, Y._ a assigné X._ devant le Tribunal de première instance du canton de Genève. Il concluait au paiement de la somme de 491'273 fr., à savoir 9'331 fr. correspondant à 6'020 euros, 420'059 fr. 30 correspondant à 271'008 euros, 43'483 fr. correspondant à la note d'honoraires de son avocat espagnol et 18'400 fr. correspondant aux frais d'intervention de son conseil genevois, avec intérêt.
Par jugement du 17 janvier 2008, le Tribunal a condamné X._ à payer à Y._ le montant de 420'059 fr. 30 avec intérêt à 5 % l'an dès le 11 avril 2002.
Par arrêt du 5 décembre 2008, la Chambre civile de la Cour de justice du canton de Genève a rejeté tant l'appel de la banque, qui avait conclu au déboutement de son adverse partie de toutes ses conclusions, que l'appel incident de Y._, qui avait repris l'entier de ses conclusions de première instance, et confirmé le jugement du 17 janvier 2008, condamnant ainsi X._ à rembourser à Y._ un montant correspondant à celui du chèque envoyé à A._.
En substance, la cour cantonale a considéré que Y._ n'était pas lié par la clause de transfert de risque figurant dans les conditions générales de la banque, prévoyant que le dommage résultant d'un faux non décelé est, sauf faute grave de la banque, à charge du client. Elle a retenu deux motifs: d'abord, la clause était insolite et, au plan typographique, ne se distinguait pas des autres dispositions des conditions générales; ensuite, la recourante, respectivement la gestionnaire du compte agissant en son nom, avait commis une négligence grave lors de l'émission du chèque de 270'000 euros, qui rendait nulle ipso facto une clause d'exonération de responsabilité.
C. X._ (la recourante) interjette un recours en matière civile au Tribunal fédéral. Elle conclut principalement à ce que Y._ soit débouté de toutes ses conclusions, subsidiairement à ce qu'elle soit condamnée à un montant ne dépassant pas en capital le 10 % du montant des prétentions totales allouées par la cour cantonale à son adverse partie, avec suite de dépens.
Y._ (l'intimé) propose le rejet du recours, sous suite de dépens.
Considérant en droit:
1. L'argent figurant sur un compte bancaire ouvert au nom d'un client est la propriété de la banque, envers laquelle le client n'a qu'une créance. En versant ou virant de l'argent depuis ce compte à un tiers, la banque transfère son propre argent. Lorsqu'elle le fait en exécution d'un ordre du client ou d'un de ses représentants, elle acquiert une créance en remboursement du montant correspondant en tant que frais faits pour l'exécution régulière du mandat (art. 402 CO). Par contre, lorsqu'elle exécute un ordre de paiement sans ordre du client, notamment un ordre donné par un tiers qui n'y est pas habilité, il ne naît pas, en faveur de la banque, de créance en remboursement à l'encontre du client non impliqué dans l'opération. Le dommage découlant du paiement indu est un dommage de la banque, non du client. La banque peut tout au plus demander des dommages-intérêts à son client s'il a fautivement contribué à causer le dommage qu'elle a subi; dans ce sens, l'art. 1132 CO prévoit que le dommage résultant d'un chèque faux ou falsifié est à la charge du tiré si aucune faute n'est imputable à la personne désignée comme tireur dans le titre. Ainsi, selon la réglementation légale, le client qui n'a pas, d'une manière ou d'une autre, incité la banque à procéder au transfert indu, n'a pas à supporter le dommage qui en résulte, même en l'absence de faute de la banque (sur l'ensemble de ces points, cf. ATF 132 III 449 consid. 2; 111 II 263 consid. 1a; 110 II 283 consid. 3a et b; Gauch, Die Vertragshaftung der Banken und ihre AVB, recht 2006, p. 77 ss, p. 79; Bucher, Wie lange noch Belastung des Kunden mit den Fälschungsrisiken im Bankenverkehr?, recht 1997, p. 41 ss, p. 42; Fellmann, Berner Kommentar 4e éd. 1992, n° 436 ad art. 398 CO; Gautschi, Berner Kommentar 3e éd. 1971, n° 36b ss ad art. 398 CO).
Cette réglementation légale peut être modifiée conventionnellement entre le client et la banque. Cela ne revient pas à exclure ou limiter la responsabilité de la banque pour un dommage du client, mais bien à reporter le dommage de la banque sur le client (cf. ATF 112 II 450 consid. 3a). Des clauses de ce genre se retrouvent dans les conditions générales de nombreuses banques suisses (cf. ATF 132 III 449 consid. 2; Gauch, op. cit., p. 77 ss). Selon ces dernières, le dommage résultant de défauts de légitimation ou de falsifications non décelées est supporté par le client, sauf en cas de faute grave de la banque.
L'art. 100 CO, qui régit les conventions d'exonération de la responsabilité pour inexécution ou exécution imparfaite du contrat, s'applique par analogie à une clause de ce type. Celle-ci est donc d'emblée dénuée de portée si un dol ou une faute grave sont imputables à la banque (art. 100 al. 1 CO). En cas de faute légère de la banque, dont l'activité est assimilée à l'exercice d'une industrie concédée par l'autorité, le juge peut tenir cette clause pour nulle (art. 100 al. 2 CO). Dans l'exercice de son pouvoir d'appréciation, c'est-à-dire dans l'application des règles du droit et de l'équité (art. 4 CC), il lui appartient d'examiner la clause de transfert en tenant compte des autres stipulations du contrat et de l'ensemble des circonstances du cas particulier; il doit prendre en considération, d'une part, le besoin de protection des clients contre les clauses élaborées d'avance qu'ils ne peuvent pratiquement pas discuter et, d'autre part, l'intérêt que peut avoir la banque à se prémunir contre certains risques dont la réalisation est difficile à éviter. Cette possibilité de tenir la clause pour nulle n'existe toutefois pas si la faute légère a été commise par un auxiliaire de la banque, l'art. 101 al. 3 CO permettant de s'exonérer conventionnellement de la responsabilité dans ce cas (ATF 132 III 449 consid. 2 p. 452 s.).
Des règles particulières s'appliquent en plus lorsque le transfert du dommage ressort d'une clause préformulée insérée dans ses conditions générales. Le juge peut dénier d'une manière générale toute validité à une telle clause si elle est inhabituelle ou insolite (ATF 135 III 1 consid. 2.1). En outre, l'art. 8 de la loi fédérale du 19 décembre 1986 contre la concurrence déloyale (LCD; RS 241) déclare déloyales les conditions générales préalablement formulées qui dérogent notablement au régime légal applicable directement ou par analogie (let. a) ou qui prévoient une répartition des droits et des obligations s'écartant notablement de celle qui découle de la nature du contrat (let. b). Mais encore faut-il qu'elles soient en plus de nature à provoquer une erreur au détriment d'une partie contractante. Un pouvoir du juge à procéder, au-delà de ces hypothèses, à un contrôle plus large du contenu des conditions générales afin de veiller à une répartition équitable des risques au regard des normes générales du droit civil et nier le cas échéant leur validité, tel que le postule une partie de la doctrine, n'a pas été explicitement admis à ce jour; l'avant-projet de loi sur le contrat d'assurances prévoit d'introduire un tel contrôle par le biais d'un nouvel art. 20a CO (cf. ATF 135 III 1 consid. 2.2; 112 II 450 consid. 3a in fine).
2. La recourante fait grief à la cour cantonale d'avoir procédé à une appréciation arbitraire des faits.
2.1 Le Tribunal fédéral conduit son raisonnement juridique sur la base des faits établis par l'autorité précédente (art. 105 al. 1 LTF), dont il ne peut s'écarter que s'ils l'ont été de façon manifestement inexacte - notion qui correspond à celle d'arbitraire au sens de l'art. 9 Cst. (ATF 134 V 53 consid. 4.3) - ou en violation du droit au sens de l'art. 95 LTF (art. 105 al. 2 LTF), et pour autant que la correction du vice soit susceptible d'influer sur le sort de la cause (art. 97 al. 1 LTF). Si la partie recourante entend s'écarter des constatations de fait de l'autorité précédente, elle doit expliquer de manière circonstanciée en quoi les conditions de l'art. 105 al. 2 LTF seraient réalisées. A ce défaut, il n'est pas possible de tenir compte d'un état de fait qui diverge de celui contenu dans la décision attaquée (ATF 133 IV 286 consid. 6.2). Aucun fait nouveau ni preuve nouvelle ne peut être présenté à moins de résulter de l'arrêt attaqué (art. 99 al. 1 LTF).
Selon la jurisprudence, une décision est arbitraire, au sens de l'art. 9 Cst., lorsqu'elle est manifestement insoutenable, méconnaît gravement une norme ou un principe juridique clair et indiscuté, ou heurte de manière choquante le sentiment de la justice et de l'équité; il ne suffit pas qu'une autre solution paraisse concevable, voire préférable; pour que cette décision soit annulée, encore faut-il qu'elle se révèle arbitraire, non seulement dans ses motifs, mais aussi dans son résultat, ce qu'il appartient à la partie recourante de démontrer en vertu de l'art. 106 al. 2 LTF (ATF 134 I 263 consid. 3.1 p. 265 s.). Dans la mesure où l'arbitraire est invoqué en relation avec l'établissement des faits, il convient de rappeler que le juge dispose d'un large pouvoir lorsqu'il apprécie les preuves (ATF 120 Ia 31 consid. 4b). La partie recourante doit ainsi expliquer dans quelle mesure le juge a abusé de son pouvoir d'appréciation et, plus particulièrement, montrer qu'il a omis, sans aucune raison sérieuse, de prendre en compte un élément de preuve propre à modifier la décision attaquée, qu'il s'est manifestement trompé sur son sens et sa portée ou encore que, en se fondant sur les éléments recueillis, il en a tiré des constatations insoutenables (ATF 129 I 8 consid. 2.1).
2.2 La recourante se plaint d'abord de ce qu'il n'aurait pas été constaté que A._ lui avait passé des ordres pour le compte de l'intimé, par écrit ou par téléphone.
De l'arrêt attaqué, il ressort qu'à l'ouverture du compte en 1994, l'intimé a donné par écrit pouvoir au responsable du bureau de représentation de la recourante à N._ de prendre connaissance et possession de la correspondance que la recourante lui envoyait. A._ a occupé la fonction de responsable dudit bureau à partir de 1995; le dossier bancaire de l'intimé ne contient aucun document donnant à A._ des pouvoirs plus étendus que ceux dont bénéficiait son prédécesseur. L'intimé transmettait ses instructions à la recourante en général par le biais de A._; les fax portaient la signature de l'intimé, certains en plus celle de A._, et dans ses contacts téléphoniques avec la gérante du compte, ce dernier transmettait des instructions de l'intimé ou annonçait des transferts.
Les activités de A._ ne sortaient nullement du cadre fixé lors de l'ouverture du compte. Elles s'inscrivent parfaitement dans le rôle de simple relais entre l'intimé et la recourante. La cour cantonale n'est pas tombée dans l'arbitraire en retenant que A._ n'avait que transmis des ordres de l'intimé et donc qu'il n'avait pas procuration pour représenter celui-ci dans ses relations avec la recourante.
2.3 La recourante déplore ensuite une mauvaise interprétation du témoignage de la gestionnaire du compte, au motif qu'il n'aurait pas été pris en considération qu'elle n'avait pas de souvenir précis. Or, lors de son audition, la gestionnaire a déclaré penser que la recourante avait un mandat de gestion sur les comptes de l'intimé. Dans ces circonstances, il n'y avait rien d'insoutenable à retenir qu'au moment de faits litigieux, la gestionnaire du compte avait déjà pensé qu'il existait un tel mandat.
2.4 La recourante se plaint enfin de ce qu'il a été constaté que l'intimé avait remis à A._ trois documents vierges sur lesquelles il avait apposé sa signature. Cette constatation reposerait sur les seules allégations de l'intimé, alors que, contrairement à ce que retiennent les juges cantonaux, elle aurait contesté leur existence; en outre, l'intimé n'ayant pas engagé de procédure contre A._ ou d'autres bénéficiaires du chèque, l'existence de ces documents signés en blanc n'aurait pas pu être établie.
Le simple fait que la partie adverse conteste un allégué ne signifie pas nécessairement qu'il soit insoutenable de prêter foi aux déclarations d'une partie. En l'espèce, la recourante ne relève aucun autre élément en faveur de sa thèse. Le fait que la cour cantonale se serait trompée en écrivant que la recourante n'avait pas contredit l'intimé n'est dès lors pas déterminant; au demeurant, l'intimé relève, en renvoyant à l'audition du directeur général adjoint de la recourante, que celle-ci a reconnu l'existence des blancs-seings. On ne saurait en outre déduire quoi que ce soit du fait que l'intimé n'a pas ouvert action contre A._; il n'avait pas de motif de le faire, car c'est la recourante qui est directement lésée par l'acte de ce dernier, non pas lui.
Quoi qu'il en soit, on ne discerne pas l'intérêt de la recourante à contester l'existence des blancs-seings, susceptibles le cas échéant de jouer en défaveur de l'intimé. Si la recourante entend suggérer, comme on peut le penser à la lecture de la suite de son recours, que A._ et l'intimé étaient peut-être de mèche, elle introduit un fait nouveau qui ne ressort pas de l'arrêt attaqué, d'où l'irrecevabilité du grief.
3. La recourante conteste que son auxiliaire, gestionnaire du compte de l'intimé, ait commis une faute lorsqu'elle s'est adressée à A._ après réception de l'ordre du 9 avril 2002, puis a exécuté l'ordre et envoyé le chèque de 271'000 euros à l'adresse de A._. D'une part, elle soutient que A._ avait qualité pour représenter l'intimé; d'autre part, à titre subsidiaire, elle estime à tout le moins que son auxiliaire pouvait penser de bonne foi qu'il avait cette qualité.
3.1 Il a été constaté que l'intimé n'avait pas donné procuration à A._ pour le représenter. La seule question est dès lors de savoir si la recourante, respectivement son auxiliaire, pouvait néanmoins penser de bonne foi qu'il existait une telle procuration.
La question de savoir si le représenté peut être considéré comme lié envers les tiers par les actes abusivement accomplis en son nom par le représentant doit être tranchée en regard de l'art. 33 al. 3 CO, disposition qui règle le cas de la procuration externe apparente. Selon cet article, si les pouvoirs ont été portés par le représenté à la connaissance d'un tiers, leur étendue est déterminée envers ce dernier par les termes de la communication qui lui a été faite. Le tiers est protégé, dans la mesure où le représenté se trouve engagé envers lui, bien que les pouvoirs ne couvraient pas l'acte accompli. Cette protection est cependant subordonnée à deux conditions, à savoir une communication des pouvoirs par le représenté au tiers et la bonne foi de ce dernier (ATF 131 III 511 consid. 3.2 p. 518).
La portée de la communication doit être examinée avant tout selon le principe de la confiance. L'idée est que celui qui laisse créer l'apparence d'un pouvoir de représentation se trouve lié par les actes accomplis en son nom (ATF 131 III 511 consid. 3.2.1 p. 518).
La bonne foi du tiers est présumée, mais nul ne peut l'invoquer si elle est incompatible avec l'attention que les circonstances permettaient d'exiger de lui (cf. art. 3 CC). Cela signifie que ce n'est pas la bonne, mais la mauvaise foi qui doit être prouvée; la partie qui a la charge de cette preuve peut soit détruire la présomption de bonne foi en démontrant que la partie adverse connaissait le vice juridique et, par conséquent, qu'elle était de mauvaise foi, soit admettre cette présomption, mais établir que l'autre partie ne peut pas se prévaloir de sa bonne foi, parce que celle-ci n'est pas compatible avec l'attention que les circonstances permettaient d'exiger d'elle. Il appartient au juge d'apprécier, dans chaque cas particulier, en tenant compte de l'ensemble des circonstances, la mesure de l'attention qui peut être exigée du tiers (ATF 131 III 511 consid. 3.2.2 p. 519).
3.2 Comme déjà relevé, il n'y a, dans le dossier bancaire de la recourante, qu'une autorisation en faveur du responsable de son bureau de communication à N._ pour réceptionner le courrier et en prendre connaissance, et l'activité déployée par A._ s'inscrit sans difficulté dans ce cadre. Il n'a par contre pas été retenu de fait pouvant être compris comme une communication, par l'intimé, d'un pouvoir plus large accordé à A._. Un pouvoir de représentation ne peut en particulier pas être déduit du simple fait que A._ est intervenu dans la gestion des affaires bancaires de l'intimé et a participé aux échanges entre l'intimé et la recourante (cf. Lombardini, Droit bancaire suisse, 2e éd. 2008, p. 361 n° 135), ce d'autant moins qu'il était lié à la recourante qu'il représentait à N._.
Qui plus est, le 28 janvier 2002, A._ avait informé la gestionnaire du compte de l'intimé qu'il quittait la succursale de N._, qu'il ne fallait plus y envoyer la correspondance relative au compte de l'intimé et qu'une demande écrite de la part de ce dernier allait suivre. Trois jours plus tard, le 31 janvier 2002, l'intimé, par fax signé de lui seul, demandait à la gestionnaire de lui proposer une solution pour l'avenir; elle n'a pas répondu. Le 21 mars 2002, un fax portant la signature de l'intimé lui demandait que la totalité de la correspondance soit envoyée à l'adresse personnelle de A._; il n'y était pas question de pouvoirs de ce dernier allant au-delà de la réception du courrier.
Rien dans le dossier bancaire ne permettait à la gestionnaire du compte de retenir que A._ avait pouvoir d'agir au nom de l'intimé; en plus, par fax du 31 janvier 2002, l'intimé venait de lui demander une proposition pour régler leurs relations suite à la fermeture du bureau de représentation. Malgré cela, elle s'est adressée à A._ en qualité de représentant de l'intimé. Elle l'a fait dans le cadre d'une opération importante portant sur plus d'un quart de million d'euros, opération au surplus insolite dans le sens que l'intimé n'avait en sept ans jamais donné un ordre de transfert aussi élevé en faveur d'un tiers - le dossier ne faisant état que de trois ordres importants portant sur 2, 10 et 16 millions de pesetas (soit environ 12'000, 60'000 et 102'000 euros) -, que l'intimé n'avait précédemment jamais demandé l'émission d'un chèque et que la part liquide du compte était insuffisante pour exécuter l'ordre. En admettant dans ces circonstances et sans autre précaution que A._ avait qualité pour agir au nom de l'intimé et en exécutant l'opération bancaire selon ses directives, la gestionnaire du compte n'a pas fait preuve de l'attention appropriée.
3.3 La pratique des banques consiste à faire signer par les clients leur propre documentation contractuelle pour l'octroi des pouvoirs; les pouvoirs du représentant découlent expressément de la documentation signée par le client. Le contrôle des pouvoirs de tiers n'est dès lors pas difficile; il y a en conséquence lieu de poser des exigences élevées quant à l'attention dont doit faire preuve la banque (cf. Lombardini, op. cit., p. 365 n° 148 et p. 367 n° 159). Cela valait d'autant plus en l'espèce en raison de l'incertitude créée par la fermeture du bureau de représentation à N._ et à cause du caractère insolite de l'opération bancaire en cause. La faute de la gestionnaire du compte de l'intimé ne saurait dès lors être qualifiée de légère.
3.4 Au vu de la gravité de la faute, l'exonération contractuelle de la recourante ne s'applique pas (art. 101 al. 3 CO). Par conséquent, la question de principe de la validité de la clause préformulée peut rester indécise.
4. La recourante soutient que son auxiliaire n'avait pas de motif de douter de la validité de l'ordre, dès lors que la signature était de la main de l'intimé et qu'il n'y avait pas d'indices sérieux d'un faux. Or, comme déjà évoqué, l'opération avait un caractère insolite, lequel n'a d'ailleurs pas échappé à la gestionnaire du compte, qui a décidé de se renseigner avant de donner suite à l'ordre; dans cette mesure, elle a fait preuve d'une prudence de bon aloi. L'élément constitutif de la faute est d'avoir ensuite admis à tort que A._ avait pouvoir de représenter l'intimé, puis de s'être fondée sur les instructions de celui-ci.
5. La recourante objecte que l'intimé n'a pas prouvé le dommage qu'il aurait subi suite à l'exécution de l'ordre litigieux du 9 avril 2002.
Or, l'intimé n'a pas subi de dommage par l'exécution de l'ordre litigieux. Il a subi un dommage lorsque la recourante, reportant à tort son dommage sur lui, a débité son compte.
La recourante relève que l'intimé n'a pas prouvé que le bénéficiaire de l'ordre litigieux n'avait aucun lien - direct ou indirect - avec lui-même, qu'il n'a jamais établi qu'il n'était pas le destinataire ultime du chèque. En d'autres termes, elle soutient que le compte pourrait avoir été débité à raison parce que l'intimé a peut-être bénéficié du montant obtenu par le chèque, ce qui sous-entend qu'il aurait agi en commun avec A._ afin de s'enrichir illégalement au détriment de la recourante. Rien de tel ne ressort de l'état de fait de l'arrêt attaqué, et la recourante ne donne au demeurant pas le moindre indice dans ce sens, de sorte qu'il n'y a pas à entrer en matière.
6. La recourante critique enfin le fait qu'aucune réduction ou annulation de la prétention de l'intimé n'a été prononcée, bien que celui-ci ait commis une faute concomitante en signant des blancs-seings. La recourante fait ainsi valoir des dommages-intérêts contre l'intimé du fait qu'il aurait contribué à causer le dommage qu'elle subit, créance en dommages-intérêts qu'elle entend lui opposer en compensation.
Le dommage de la recourante n'a pas été causé par l'utilisation des blancs-seings. Car même si la signature ne prêtait pas à doute, la gestionnaire du compte n'a pas immédiatement exécuté l'ordre de transfert et a d'abord pris des renseignements. Si elle s'était adressée à l'intimé, le faux aurait été décelé et le dommage évité. Celui-ci est ainsi uniquement dû au manque de diligence au moment de retenir un pouvoir de représentation de A._. A cet égard toutefois, aucun reproche ne peut être formulé à l'égard de l'intimé; il n'a pas eu de comportement susceptible de tromper la gestionnaire de son compte au sujet des pouvoirs dont disposait A._. Il ne saurait dès lors être rendu coresponsable du dommage de la recourante.
7. Il résulte des considérants qui précèdent que le recours doit être rejeté dans la mesure de sa recevabilité.
8. Compte tenu de l'issue du litige, les frais judiciaires et dépens sont mis à la charge de la recourante, qui succombe (art. 66 al. 1 ainsi qu'art. 68 al. 1 et 2 LTF).
Par ces motifs, le Tribunal fédéral prononce:
1. Le recours est rejeté dans la mesure où il est recevable.
2. Les frais judiciaires, arrêtés à 7'000 fr., sont mis à la charge de la recourante.
3. Une indemnité de 8'000 fr., à payer à l'intimé à titre de dépens, est mise à la charge de la recourante.
4. Le présent arrêt est communiqué aux mandataires des parties et à la Chambre civile de la Cour de justice du canton de Genève.
Lausanne, le 20 avril 2009
Au nom de la Ire Cour de droit civil
du Tribunal fédéral suisse
La Présidente: La Greffière:
Klett Cornaz