Un message de votre banque, un lien qui semble officiel, quelques clics… et votre compte se vide. Lorsque la banque refuse ensuite de rembourser les sommes perdues, le sentiment d’injustice est souvent aussi brutal que le débit lui-même. Pourtant, le refus n’est pas nécessairement justifié.
En matière de phishing, tout se joue autour d’une question essentielle : l’opération a-t-elle été réellement autorisée par le client, ou a-t-elle été exécutée frauduleusement par un tiers ? La réponse détermine le régime juridique applicable et les recours dont vous disposez.
Phishing bancaire : de quoi parle-t-on exactement ?
Le phishing, ou hameçonnage, consiste à tromper une personne afin de lui soutirer des informations confidentielles : identifiants bancaires, numéro de carte, code reçu par SMS, validation dans l’application bancaire ou encore données personnelles.
Les fraudeurs se présentent généralement comme une banque, un service de livraison, une administration ou une plateforme de paiement. Le message contient souvent un lien invitant à « sécuriser » son compte, à régler des frais ou à confirmer une opération urgente. Le ton est alarmiste : « votre compte sera bloqué dans deux heures ». Curieusement, les fraudeurs sont toujours très pressés.
Une fois les informations récupérées, le fraudeur peut :
- effectuer des paiements par carte bancaire ;
- réaliser des virements depuis votre compte ;
- ajouter un nouveau bénéficiaire ;
- prendre le contrôle de votre espace bancaire ;
- utiliser vos données pour commettre d’autres fraudes.
La qualification juridique de l’opération est déterminante. Un paiement réalisé par le fraudeur sans votre accord est en principe une opération non autorisée. En revanche, si vous avez vous-même effectué un virement après avoir été manipulé, la banque peut soutenir que vous avez donné votre consentement. Cette distinction, parfois ténue en pratique, constitue le cœur du litige.
Le principe : la banque doit rembourser une opération non autorisée
Le Code monétaire et financier prévoit un régime protecteur pour les opérations de paiement non autorisées. En application de l’article L. 133-18, lorsqu’une opération n’a pas été autorisée par le payeur, la banque doit en principe rembourser le montant de l’opération et, si nécessaire, rétablir le compte dans l’état où il se serait trouvé sans cette opération.
Le remboursement doit normalement intervenir au plus tard à la fin du premier jour ouvrable suivant la contestation de l’opération, sauf soupçon de fraude imputable au client et signalé aux autorités compétentes dans les conditions prévues par la loi.
La banque ne peut donc pas se contenter d’affirmer que « le code a été validé » ou que « l’opération a été authentifiée ». L’authentification forte permet de vérifier qu’un dispositif de sécurité a été utilisé. Elle ne prouve pas, à elle seule, que le client a réellement voulu effectuer le paiement.
Un fraudeur peut avoir obtenu un code par ruse, pris le contrôle d’un téléphone ou convaincu la victime de valider une opération présentée sous un faux motif. La technologie ne transforme pas automatiquement une tromperie en consentement valable.
Dans quels cas la banque peut-elle refuser le remboursement ?
Le refus peut être fondé si la banque démontre que le client a agi frauduleusement ou qu’il a commis une négligence grave dans la conservation de ses données de sécurité.
La fraude suppose une participation volontaire du client. Cette hypothèse est rare dans les dossiers de phishing classiques. La négligence grave, en revanche, est souvent invoquée par les établissements bancaires. Elle ne se confond pas avec une simple erreur ou une imprudence ordinaire.
La banque doit établir, au regard des circonstances concrètes, que vous avez manqué de manière particulièrement sérieuse à vos obligations de sécurité. La jurisprudence apprécie cette question au cas par cas.
Peuvent notamment être examinés :
- le contenu exact du message reçu ;
- l’apparence du site ou du numéro de téléphone utilisé ;
- la présence d’alertes clairement affichées par la banque ;
- la nature de l’opération validée ;
- les informations affichées au moment de l’authentification ;
- le délai entre la fraude et sa déclaration ;
- la conservation ou non des codes confidentiels.
À l’inverse, le simple fait d’avoir cliqué sur un lien frauduleux ne suffit pas toujours à caractériser une négligence grave. Les escroqueries sont conçues pour tromper, et certaines imitent avec une précision redoutable les communications officielles d’une banque.
Autre point important : la banque ne peut pas se décharger de son obligation en produisant uniquement des relevés techniques mentionnant une authentification réussie. Elle doit expliquer précisément pourquoi cette authentification démontrerait une fraude ou une négligence grave de votre part.
Phishing et virement : une situation plus délicate
Le cas du paiement par carte est souvent plus simple à identifier : le fraudeur utilise les données de la carte et réalise une transaction que vous n’avez pas décidée. Le virement est plus complexe.
Imaginez que vous receviez un appel d’une personne se présentant comme le service antifraude de votre banque. Elle vous explique qu’un virement suspect est en préparation et vous demande de valider une opération destinée, prétend-elle, à l’annuler. Vous suivez ses instructions. Le virement part vers le compte du fraudeur.
La banque pourra soutenir que vous avez vous-même validé le virement. De votre côté, vous pourrez faire valoir que votre consentement a été obtenu par une manœuvre frauduleuse et que l’opération ne correspondait pas à votre volonté réelle.
Les tribunaux examinent alors les circonstances de l’arnaque : libellé présenté, écran de validation, alertes éventuelles, comportement habituel du compte, montant du virement et réaction de la banque. Une opération inhabituelle, exécutée rapidement vers un nouveau bénéficiaire, peut également soulever des questions sur les obligations de vigilance de l’établissement.
Le dossier est donc plus technique, mais le refus de la banque n’est pas automatiquement justifié. Une analyse personnalisée est souvent nécessaire.
Les premières démarches à effectuer sans attendre
La rapidité est essentielle. Dès que vous constatez la fraude, contactez votre banque par le numéro officiel figurant sur votre carte ou vos relevés. N’utilisez pas le numéro contenu dans le message frauduleux.
Demandez immédiatement :
- le blocage de la carte ou de l’accès bancaire si nécessaire ;
- la contestation formelle des opérations ;
- la suspension ou le rappel des virements lorsqu’il est encore possible d’agir ;
- la modification de vos identifiants et moyens d’authentification ;
- la confirmation écrite de votre signalement.
Vous devez ensuite confirmer la contestation par écrit, idéalement depuis la messagerie sécurisée de votre banque et par lettre recommandée avec accusé de réception. Indiquez les dates, les montants, la nature des opérations et précisez que vous ne les avez pas autorisées.
Pour une opération de paiement non autorisée, le délai maximal de contestation est en principe de treize mois à compter de la date du débit, sous réserve des conditions prévues par le Code monétaire et financier. Il ne faut toutefois pas attendre : plus le signalement est rapide, plus les chances de récupérer les fonds augmentent.
Déposez également plainte auprès de la police ou de la gendarmerie. Vous pouvez utiliser le service THESEE pour certaines escroqueries en ligne. Conservez le récépissé ou le procès-verbal de dépôt de plainte et transmettez-en une copie à la banque.
Conservez toutes les preuves de l’escroquerie
Un dossier solide repose rarement sur une seule pièce. Enregistrez ou imprimez :
- les courriels, SMS et messages reçus ;
- les captures d’écran du faux site ou de l’échange téléphonique ;
- les numéros utilisés par les fraudeurs ;
- les relevés bancaires mentionnant les opérations ;
- les notifications de validation reçues ;
- les échanges avec le service client et le service réclamation ;
- la plainte déposée et les éventuels récépissés ;
- tout élément montrant que l’opération était inhabituelle.
Ne supprimez pas les messages, même s’ils sont embarrassants. Une victime de phishing n’a pas à fournir un certificat de perfection numérique. Elle doit en revanche être capable de présenter les faits avec précision et de démontrer qu’elle a réagi rapidement.
Que faire après le refus de la banque ?
Un refus téléphonique n’est pas une décision juridiquement détaillée. Demandez une réponse écrite précisant les raisons exactes du rejet. La banque doit notamment indiquer si elle vous reproche une fraude, une négligence grave ou le caractère prétendument autorisé de l’opération.
Adressez ensuite une réclamation au service dédié de l’établissement. Votre courrier doit rappeler les faits, les textes applicables et votre demande de remboursement. Vous pouvez formuler une demande claire : remboursement du montant débité, rétablissement du compte et remboursement des frais directement liés à la fraude.
Si la réponse reste négative ou si aucune réponse satisfaisante ne vous parvient, vous pouvez saisir gratuitement le médiateur bancaire compétent. Ses coordonnées figurent généralement sur le site de la banque, dans ses conditions générales ou sur vos relevés.
La médiation n’est pas obligatoire, mais elle peut permettre de débloquer une situation sans engager immédiatement une procédure judiciaire. Le médiateur examinera les arguments des deux parties et formulera une proposition. Celle-ci n’est pas toujours contraignante, mais les banques tiennent souvent compte de ces avis.
Quand saisir le tribunal ?
Si la banque persiste à refuser le remboursement, une action en justice peut être envisagée. Le tribunal judiciaire est compétent pour les litiges avec une banque, selon la nature et le montant de la demande. Une tentative préalable de règlement amiable peut être exigée dans certains cas.
Le juge examinera notamment la preuve de l’opération, les dispositifs d’authentification, les alertes adressées au client et les circonstances précises de la fraude. La banque devra justifier son refus et démontrer, si elle l’invoque, une négligence grave ou un comportement frauduleux.
Pour un montant limité, une procédure simplifiée peut parfois être envisagée. Pour un dossier complexe, notamment lorsqu’un virement important a été validé sous la pression d’un faux conseiller, l’assistance d’un avocat peut être utile. Une consultation permet souvent d’identifier rapidement le véritable point de discussion : opération non autorisée, consentement vicié, défaut de vigilance de la banque ou négligence imputée au client.
Quelques réflexes pour éviter une nouvelle fraude
Une banque ne vous demandera jamais de communiquer votre mot de passe, de lui transmettre un code reçu par SMS ou de valider une opération destinée à « annuler » une fraude. Un code de validation sert à autoriser une opération, pas à la combattre.
En cas de doute, raccrochez et rappelez votre banque avec le numéro officiel. Activez les notifications de paiement, utilisez des plafonds adaptés et vérifiez régulièrement vos relevés. Enfin, signalez les messages suspects sur les plateformes prévues à cet effet.
Le phishing exploite la précipitation, la peur et la confiance. Face à un message urgent, le meilleur réflexe est parfois le plus simple : ne rien valider dans l’instant et prendre le temps de vérifier. En droit comme en informatique, la panique est rarement une bonne conseillère.
