Faits: A. En 1994, Y._, domicilié en Espagne, a ouvert un compte auprès de la Banque Z._ SA à Genève, dont la raison sociale a ultérieurement été modifiée en X._ SA (ci-après: X._). Il a signé divers documents tendant à ce que la correspondance de la banque soit envoyée au bureau de représentation de celle-ci à N._ en France, dont il a autorisé le responsable à en prendre connaissance et possession; il a aussi donné décharge à la banque pour les ordres transmis par téléphone, télégramme, télex et/ou téléfax. En 1995, il lui a octroyé un mandat de gestion discrétionnaire, qu'il a toutefois révoqué le 21 février 2001. A._ a été le responsable du bureau de N._ dès 1995. Y._ et la banque ont entretenu des contacts réguliers, généralement par le biais de A._. En 2001, Y._, confronté à des difficultés conjugales, a remis à A._ trois documents signés "en blanc" afin qu'il puisse transférer rapidement, le cas échéant, tout ou partie des actifs. En septembre 2001, une nouvelle filiale de X._ Bank W._ a été créée à N._, entraînant la fermeture de l'ancien bureau de représentation et le licenciement de A._. Le 31 janvier 2002, Y._, qui s'inquiétait de ne pas avoir reçu son extrait de compte pour le quatrième trimestre 2001 et avait appris que A._ ne travaillait plus pour la banque, a demandé à la gestionnaire de son compte, par fax rédigé en espagnol, qu'elle donne instruction à la succursale de N._ de lui remettre personnellement l'extrait désiré, sur présentation de sa carte d'identité, qu'elle transfère 10'000 euros sur son compte à N._ et qu'elle lui propose une solution pour l'avenir. La dernière requête n'a pas reçu de réponse. Le 13 mars 2002, X._ a reçu un fax, dactylographié et rédigé en français, portant la signature de Y._, demandant le transfert d'une somme de 6'020 euros sur le compte d'une entreprise auprès d'une banque espagnole. L'ordre a été exécuté le 18 mars 2002, après contrôle de la signature. Le 21 mars 2002, X._ a reçu un fax en français daté du 8 février 2002, dactylographié et portant la signature de Y._, demandant que la totalité de la correspondance relative au compte soit envoyée chaque trimestre à A._. La banque a pris note de cette instruction et modifié l'adresse de correspondance. Le 9 avril 2002, la banque a reçu un ordre de transfert en français, dactylographié et portant la signature de Y._, la priant d'émettre un chèque de banque de 271'000 euros en faveur d'une certaine dame et de l'expédier à l'adresse prévue pour l'envoi de la correspondance. La gestionnaire du compte a téléphoné à A._ pour se renseigner sur l'identité de la bénéficiaire et savoir si des titres devaient être vendus et/ou des devises converties afin de couvrir l'émission du chèque, ce que ce dernier a confirmé. Le 10 avril 2002, la banque a établi un chèque d'un montant de 270'000 euros et l'a envoyé à l'adresse de A._. Le chèque a été encaissé. A réception du relevé de compte du deuxième trimestre 2002 qu'il avait demandé à la banque, Y._ a constaté le virement de 271'008 euros (comprenant les frais bancaires) en faveur de A._. Il a immédiatement demandé des explications à la banque et contesté être l'auteur des ordres des 13 mars, 21 mars et 9 avril 2002. B. Le 23 décembre 2005, Y._ a assigné X._ devant le Tribunal de première instance du canton de Genève. Il concluait au paiement de la somme de 491'273 fr., à savoir 9'331 fr. correspondant à 6'020 euros, 420'059 fr. 30 correspondant à 271'008 euros, 43'483 fr. correspondant à la note d'honoraires de son avocat espagnol et 18'400 fr. correspondant aux frais d'intervention de son conseil genevois, avec intérêt. Par jugement du 17 janvier 2008, le Tribunal a condamné X._ à payer à Y._ le montant de 420'059 fr. 30 avec intérêt à 5 % l'an dès le 11 avril 2002. Par arrêt du 5 décembre 2008, la Chambre civile de la Cour de justice du canton de Genève a rejeté tant l'appel de la banque, qui avait conclu au déboutement de son adverse partie de toutes ses conclusions, que l'appel incident de Y._, qui avait repris l'entier de ses conclusions de première instance, et confirmé le jugement du 17 janvier 2008, condamnant ainsi X._ à rembourser à Y._ un montant correspondant à celui du chèque envoyé à A._. En substance, la cour cantonale a considéré que Y._ n'était pas lié par la clause de transfert de risque figurant dans les conditions générales de la banque, prévoyant que le dommage résultant d'un faux non décelé est, sauf faute grave de la banque, à charge du client. Elle a retenu deux motifs: d'abord, la clause était insolite et, au plan typographique, ne se distinguait pas des autres dispositions des conditions générales; ensuite, la recourante, respectivement la gestionnaire du compte agissant en son nom, avait commis une négligence grave lors de l'émission du chèque de 270'000 euros, qui rendait nulle ipso facto une clause d'exonération de responsabilité. C. X._ (la recourante) interjette un recours en matière civile au Tribunal fédéral. Elle conclut principalement à ce que Y._ soit débouté de toutes ses conclusions, subsidiairement à ce qu'elle soit condamnée à un montant ne dépassant pas en capital le 10 % du montant des prétentions totales allouées par la cour cantonale à son adverse partie, avec suite de dépens. Y._ (l'intimé) propose le rejet du recours, sous suite de dépens. 