⏱ L’essentiel en 30 secondes
- Une opération que vous n’avez pas autorisée doit être remboursée par la banque au plus tard 1 jour ouvré après votre signalement (art. L.133-18 du Code monétaire et financier).
- La banque ne peut refuser que si elle prouve votre « négligence grave » — c’est à elle d’apporter cette preuve, pas à vous de prouver votre innocence.
- Valider avec votre code ou le 3D Secure ne suffit pas à prouver cette négligence : la Cour de cassation l’a réaffirmé à plusieurs reprises.
- Vous avez 13 mois pour contester. Parcours : contestation écrite en LRAR → médiateur bancaire (gratuit) → tribunal.
Un débit de 1 400 € jamais validé, un appel affolé à la banque, puis la réponse qui tombe quelques jours plus tard : « Vous avez communiqué vos codes, il s’agit d’une négligence grave, nous ne procéderons pas au remboursement. » Cette scène, des milliers de clients — particuliers comme dirigeants de TPE — la vivent chaque année après un phishing. La fraude aux moyens de paiement a représenté près de 1,2 milliard d’euros en France sur la seule année 2023, selon l’Observatoire de la sécurité des moyens de paiement de la Banque de France.
Ce que la banque omet souvent de préciser : son refus n’est pas le dernier mot. Le Code monétaire et financier encadre strictement les cas où elle peut refuser, et la jurisprudence de la Cour de cassation est nettement plus protectrice des victimes que les courriers types des services réclamations ne le laissent penser. Voici le droit applicable, les recours dans l’ordre, et un modèle de lettre prêt à envoyer.
Ce que dit la loi : opération non autorisée = remboursement
Le principe est posé par l’article L.133-18 du Code monétaire et financier : lorsqu’une opération de paiement non autorisée est signalée par le client dans les délais, la banque « rembourse au payeur le montant de l’opération immédiatement […] et au plus tard à la fin du premier jour ouvrable suivant » la réception du signalement. Elle doit aussi rétablir le compte dans l’état où il se serait trouvé sans l’opération — y compris les agios ou frais générés par le débit frauduleux.
Une opération est « non autorisée » lorsque vous n’y avez pas consenti : un paiement par carte passé par un fraudeur avec vos données volées lors d’un phishing, un virement exécuté par un tiers qui a pris la main sur votre espace bancaire, un débit que vous découvrez sur votre relevé. Le remboursement est le principe, le refus l’exception.
Côté délais, l’article L.133-24 vous laisse 13 mois à compter de la date de débit pour signaler l’opération contestée (70 jours si le prestataire de paiement est situé hors de l’Union européenne). Un signalement rapide reste évidemment préférable, mais une banque qui rejette une contestation faite au bout de trois mois « parce que c’est trop tard » est dans son tort.
La seule exception : la « négligence grave » — et c’est à la banque de la prouver
L’article L.133-19 du Code monétaire et financier ne prévoit que deux situations permettant à la banque d’échapper au remboursement : la fraude du client lui-même, ou le fait qu’il n’a pas satisfait « intentionnellement ou par négligence grave » à ses obligations de sécurité (préserver ses codes, faire opposition sans tarder).
Le point que beaucoup de courriers de refus passent sous silence se trouve à l’article L.133-23 : c’est au prestataire de paiement de prouver que l’opération a été authentifiée et correctement enregistrée, et la charge de la preuve de la négligence grave pèse sur la banque. Vous n’avez pas à démontrer votre innocence ; c’est elle qui doit établir, éléments concrets à l’appui, que votre comportement a été gravement négligent.
Jurisprudence constante : la chambre commerciale de la Cour de cassation juge de façon répétée que le seul fait qu’une opération ait été validée avec vos données personnalisées (code confidentiel, identifiants, authentification 3D Secure) ne suffit pas à prouver la négligence grave. Une banque qui refuse en écrivant « l’opération a été authentifiée, donc vous avez été négligent » inverse la charge de la preuve — ce que les juges sanctionnent.
Ce que les juges retiennent (ou écartent) comme négligence grave
La négligence grave s’apprécie au cas par cas, en fonction du caractère plus ou moins crédible du piège. Les tendances qui se dégagent des décisions récentes :
Ce que les juges ont tendance à écarter : le spoofing, c’est-à-dire l’appel d’un faux conseiller dont le numéro affiché est réellement celui de votre banque. Dans un arrêt très commenté rendu fin 2023, la Cour de cassation a considéré que ce procédé met la victime en confiance et diminue sa vigilance : la négligence grave a été écartée alors même que le client avait validé des opérations à la demande de l’escroc. Même logique pour un piège particulièrement soigné — e-mail reprenant la charte graphique exacte de la banque, enchaînement crédible SMS puis appel, mise en scène d’une « fraude en cours à bloquer d’urgence ».
Ce qui reste risqué pour la victime : avoir communiqué son code confidentiel ou ses codes de validation par téléphone en réponse à un SMS grossier (fautes visibles, numéro inconnu, URL fantaisiste), avoir noté son code sur la carte, ou avoir ignoré plusieurs alertes explicites de la banque. Dans ces configurations, des juridictions ont retenu la négligence grave.
Entre les deux, tout se joue sur les circonstances : c’est précisément pour cela qu’un refus initial de la banque ne préjuge pas de l’issue du dossier.
Évaluez vos chances de remboursement
1. L’opération contestée a-t-elle été exécutée par un tiers (et non validée par vous) ?
2. Avez-vous communiqué vos codes ou validé des notifications à la demande de quelqu’un ?
3. Le numéro ou le nom affiché lors du contact était-il celui de votre banque (spoofing) ?
4. Avez-vous signalé l’opération à la banque dans le délai de 13 mois ?
5. Avez-vous déposé plainte (THESEE, commissariat) ?
6. La banque a-t-elle produit une preuve écrite et circonstanciée de votre négligence grave ?
Vos recours étape par étape
Suivez ce parcours dans l’ordre : chaque étape crée les preuves dont la suivante a besoin.
Opposition + signalement à la banque
Bloquez la carte (ou l’accès à l’espace en ligne) et signalez les opérations contestées, par téléphone puis par message écrit depuis votre espace client, pour dater le signalement. Demandez explicitement le remboursement au titre de l’article L.133-18.
Dépôt de plainte : THESEE ou commissariat, + Perceval
Déposez plainte en ligne sur THESEE (service-public.fr, pour les escroqueries en ligne) ou en commissariat/gendarmerie. En cas de fraude à la carte bancaire, faites aussi un signalement sur Perceval. Conservez les récépissés : les banques les réclament presque systématiquement.
Contestation écrite en LRAR
Si la banque refuse ou tarde, envoyez une lettre recommandée avec accusé de réception au service réclamations, citant les articles L.133-18, L.133-19, L.133-23 et L.133-24 et rappelant que la charge de la preuve lui incombe. Modèle complet ci-dessous.
Médiateur bancaire (gratuit)
Les coordonnées du médiateur figurent sur vos relevés et sur le site de la banque. Saisine en ligne ou par courrier, gratuite, possible après un refus définitif ou deux mois sans réponse. Le médiateur rend un avis sous 90 jours. De nombreux dossiers de phishing se dénouent à ce stade.
Signalement à l’ACPR
L’Autorité de contrôle prudentiel et de résolution ne tranche pas les litiges individuels, mais elle recense les pratiques des établissements ; elle a publiquement rappelé aux banques leurs obligations de remboursement en matière de fraude. Votre signalement (abe-infoservice.fr) alimente ce contrôle.
Tribunal judiciaire
Si la médiation échoue, reste la voie judiciaire. Pour un litige inférieur ou égal à 10 000 €, la procédure est possible sans avocat ; au-delà, la représentation par avocat est obligatoire. Le juge examinera si la banque prouve réellement la négligence grave — c’est là que la jurisprudence joue en faveur des victimes de pièges crédibles.
Compte pro touché ?
Le phishing a peut-être compromis plus que votre carte. Faites le point en 30 min — offert, sans engagement.
Modèle de lettre de contestation (LRAR)
À adapter avec vos dates, montants et références, puis à envoyer en recommandé avec accusé de réception au service réclamations de votre banque. Joignez le relevé de compte et le récépissé de plainte.
[Prénom NOM] [Adresse] [Références du compte : n° …] [Banque — Service réclamations] [Adresse] Lettre recommandée avec accusé de réception Objet : contestation d'opérations de paiement non autorisées — demande de remboursement (articles L.133-18 et suivants du Code monétaire et financier) Madame, Monsieur, Le [date], j'ai constaté sur mon compte n° [numéro] les opérations suivantes, que je n'ai ni initiées ni autorisées : – [date] — [libellé] — [montant] € ; – [date] — [libellé] — [montant] €. J'ai signalé ces opérations à votre établissement le [date] et déposé plainte le [date] (récépissé joint). Ces opérations résultent d'une fraude de type hameçonnage dont j'ai été victime. Conformément à l'article L.133-18 du Code monétaire et financier, le prestataire de services de paiement rembourse au payeur le montant d'une opération non autorisée, signalée dans les conditions de l'article L.133-24, immédiatement et au plus tard à la fin du premier jour ouvrable suivant le signalement, et rétablit le compte dans l'état où il se serait trouvé si l'opération n'avait pas eu lieu. Votre refus, fondé sur une prétendue négligence grave, méconnaît les articles L.133-19 et L.133-23 du même code : la preuve d'une telle négligence incombe à votre établissement, et la Cour de cassation juge de manière constante que le seul fait que l'opération ait été validée au moyen de mes données personnalisées ou d'un dispositif d'authentification ne suffit pas à l'établir. En conséquence, je vous demande de recréditer mon compte de la somme de [montant total] €, ainsi que des frais et agios éventuellement générés, sous huit jours à compter de la réception de la présente. À défaut, je saisirai le médiateur bancaire et, si nécessaire, la juridiction compétente. Veuillez agréer, Madame, Monsieur, l'expression de mes salutations distinguées. Fait à [ville], le [date] [Signature] Pièces jointes : relevé de compte, récépissé de dépôt de plainte, copie des échanges avec votre service.
Copiée !
« La banque dit… » : réponse aux objections classiques
Les refus reposent presque toujours sur les mêmes arguments. Voici ce que le droit leur oppose.
| La banque dit | Ce que dit le droit |
|---|---|
| « Vous avez validé avec votre code confidentiel. » | Insuffisant. L’article L.133-23 précise que l’utilisation de l’instrument de paiement telle qu’enregistrée ne suffit pas, en soi, à prouver la négligence grave. La Cour de cassation le rappelle de façon constante. |
| « Le 3D Secure / l’authentification forte a été utilisé. » | Même réponse. L’authentification prouve qu’un dispositif a été actionné, pas que vous avez été gravement négligent. La banque doit démontrer les circonstances de la négligence, pas seulement la technique. |
| « Vous avez cliqué sur le lien du SMS, c’est une imprudence. » | À nuancer. Un clic ne caractérise pas à lui seul une négligence grave. Les juges examinent la crédibilité du piège : message imitant parfaitement la banque, numéro officiel affiché (spoofing), scénario d’urgence cohérent. |
| « Vous avez donné vos codes au téléphone. » | Point sensible — mais pas automatique. Si l’appel provenait en apparence du vrai numéro de la banque, la jurisprudence récente tend à écarter la négligence grave, le procédé étant conçu pour mettre en confiance. |
| « Votre contestation est tardive. » | Vérifiez le délai légal : 13 mois à compter du débit (70 jours hors UE), article L.133-24. Une clause contractuelle plus courte est inopposable. |
Les cas où le remboursement sera difficile : soyons honnêtes
Le mécanisme protecteur de l’article L.133-18 concerne les opérations non autorisées. Trois situations sortent de ce cadre, et il faut le savoir avant de bâtir votre argumentaire :
Le virement que vous avez fait vous-même. Si un escroc vous a convaincu d’exécuter le virement de vos propres mains (faux conseiller qui vous fait « sécuriser » vos fonds vers un « compte de sauvegarde », faux placement, fausse facture), l’opération est juridiquement autorisée : vous y avez consenti, même trompé. Le remboursement automatique ne s’applique pas. Le recours existe mais repose sur un autre terrain : le devoir de vigilance de la banque face à une opération anormale (montant inhabituel, IBAN à l’étranger, compte récemment ajouté). L’issue est plus incertaine et s’apprécie au cas par cas.
L’arnaque au faux conseiller avec opérations validées volontairement. Zone grise : si vous avez validé chaque opération dans votre application à la demande de l’appelant, la banque plaidera l’autorisation. Le spoofing du numéro reste toutefois un argument fort pour contester la négligence grave sur les opérations que vous n’avez pas comprises comme des paiements.
Le litige commercial. Produit payé jamais livré, site marchand douteux mais réel : ce n’est pas une fraude au sens du Code monétaire et financier. Les recours passent alors par le chargeback (réseaux carte), la DGCCRF ou la voie civile.
Bon réflexe : même dans ces cas difficiles, déposez plainte et écrivez à la banque. Certains contrats de cyberassurance — y compris des options adossées aux comptes professionnels — couvrent une partie des fraudes non remboursées par la banque. Relisez vos garanties avant de renoncer.
Compte pro débité : le phishing a rarement volé « juste » la carte
Quand le compte touché est celui de l’entreprise, la question du remboursement n’est que la moitié du problème. Pour débiter un compte pro, le fraudeur a généralement obtenu un accès en amont : une boîte mail compromise (d’où partent ensuite de fausses factures à vos clients), un poste infecté par le lien piégé, des identifiants bancaires réutilisés ailleurs. Comprendre comment fonctionne le phishing aide à mesurer l’étendue possible : le débit frauduleux est souvent le symptôme visible d’une compromission plus large.
Avant de tourner la page, trois vérifications s’imposent : les règles de transfert automatique dans la messagerie (les fraudeurs en posent pour intercepter vos échanges), les connexions récentes aux comptes sensibles, et les délégations ou mandataires ajoutés sur l’espace bancaire. C’est exactement le type de contrôle qu’un diagnostic extérieur permet de faire proprement.
Prévenir la prochaine tentative
Une fois le dossier de remboursement lancé, verrouillez ce qui a permis la fraude : changez les mots de passe exposés (banque, messagerie en priorité) et activez la double authentification partout où c’est possible ; retenez qu’aucun conseiller bancaire ne vous demandera jamais un code reçu par SMS ni de valider une opération « pour l’annuler » ; en cas d’appel, raccrochez et rappelez vous-même le numéro officiel de votre agence. Pour entraîner votre œil (et celui de vos équipes), les guides pratiques sur l’hameçonnage par mail et par SMS détaillent les vérifications à faire en 60 secondes. En cas de doute ou pour être accompagné, Cybermalveillance.gouv.fr, le dispositif national d’assistance aux victimes, propose des fiches réflexes et une mise en relation avec des prestataires référencés.
Compte pro touché ? Vérifiez l’étendue de la compromission
Messagerie, postes, accès bancaires, sauvegardes : un spécialiste fait le point avec vous en 30 minutes sur ce que le phishing a réellement exposé. Offert, sans engagement.
Demander mon diagnostic offert
TPE & PME · Réponse sous 24 h ouvrées · Var / PACA & toute la France à distance
FAQ — Banque et remboursement après un phishing
La banque peut-elle refuser de rembourser un phishing ?
Qui doit prouver la négligence grave ?
Quel est le délai pour contester un paiement frauduleux ?
Le médiateur bancaire est-il gratuit ?
J’ai fait le virement moi-même, suis-je remboursable ?
Porter plainte est-il obligatoire pour être remboursé ?
Pour aller plus loin : le guide complet du phishing, les vérifications réflexes contre l’hameçonnage par SMS, ou votre diagnostic cybersécurité offert si un compte professionnel est concerné.
Cet article présente une information générale fondée sur le Code monétaire et financier et les tendances jurisprudentielles à la date de publication. Il ne constitue pas un conseil juridique : pour un dossier individuel, rapprochez-vous d’un avocat ou d’une association de consommateurs.
Laisser un commentaire