Selon le site Capital, dans un article mis en ligne le 28 septembre 2026, un nouveau cheval de Troie baptisé RemControl s’attaque aux smartphones fonctionnant sous Android et cherche à dérober les données bancaires de ses victimes. Identifié par des chercheurs en cybersécurité, ce logiciel malveillant serait actif depuis le mois de mai dans plusieurs pays dont la France, avec deux variantes développées spécifiquement pour viser les utilisateurs français, et plus de trente établissements financiers seraient ciblés par ses différentes campagnes. Toujours selon Capital, les pirates diffuseraient de fausses pages imitant une application de télévision par internet absente du magasin officiel, relayées par des publicités frauduleuses sur les réseaux sociaux, pour infecter les téléphones. Parallèlement, le Journal du Geek rapportait le 26 septembre 2026 l’existence d’un autre programme malveillant sous Android, RatHat, qui utiliserait une intelligence artificielle pour naviguer dans le téléphone et prendrait le contrôle de fonctions sensibles après l’installation d’une fausse application. À la date de rédaction du présent article, aucune intrusion ni aucun dommage n’a été constaté par une source officielle, aucune responsabilité d’un établissement ou d’un éditeur n’est établie, et les faits rapportés ci-dessus proviennent exclusivement de la presse spécialisée. Si votre compte se vide après l’installation d’une application douteuse, deux batailles commencent en même temps : obtenir de la banque le remboursement des opérations que vous n’avez jamais autorisées, et empêcher que les mensualités de votre prêt immobilier impayées ne fassent basculer votre budget. Cet article explique le droit applicable, les délais à respecter et les erreurs qui font perdre le remboursement.

I. Compte bancaire vidé après une cyberattaque : comment se faire rembourser par la banque

A. Cyberattaque en cours : que faire quand le téléphone est piraté et que le compte se vide

La première heure décide souvent de l’issue du dossier. D’après les descriptions publiées par Capital, le programme RemControl afficherait une fausse interface par-dessus la véritable application bancaire pour récupérer les identifiants, les codes PIN et les données de carte, enregistrerait les frappes sur le clavier virtuel et tenterait d’empêcher sa propre désinstallation. Le Journal du Geek décrit pour sa part un mode opératoire voisin : un SMS frauduleux ou une publicité malveillante conduirait vers une fausse page de téléchargement imitant le magasin officiel, proposant une prétendue version d’un navigateur ou d’une application de streaming, et l’application installée réclamerait l’accès aux services d’accessibilité du téléphone. Dans les deux cas, le téléphone afficherait des écrans en apparence normaux pendant que des opérations partiraient vers des comptes inconnus. Dès que des mouvements suspects apparaissent, le premier réflexe consiste à faire bloquer l’instrument de paiement. L’article L. 133-17 du code monétaire et financier dispose : «Lorsqu’il a connaissance de la perte, du vol, du détournement ou de toute utilisation non autorisée de son instrument de paiement ou des données qui lui sont liées, l’utilisateur de services de paiement en informe sans tarder, aux fins de blocage de l’instrument, son prestataire ou l’entité désignée par celui-ci.» L’opposition téléphonique doit être confirmée par écrit, et le numéro appelé doit être celui qui figure sur vos propres documents bancaires, jamais un numéro reçu par SMS ou affiché sur une page douteuse, car les escrocs usurperaient jusqu’au numéro affiché sur votre écran. Conservez le numéro d’enregistrement de l’opposition et l’heure exacte de l’appel : ces éléments prouveront que vous avez agi sans tarder.

Le deuxième réflexe consiste à figer les preuves avant de nettoyer le téléphone. Photographiez les SMS reçus, les écrans suspects, les notifications d’opérations et l’historique des applications installées. Relevez les dates, les heures, les montants et les bénéficiaires des opérations contestées. Ne réinitialisez pas immédiatement l’appareil si un dépôt de plainte est envisagé, car les traces techniques peuvent servir à l’enquête. Le dépôt de plainte n’est pas une formalité inutile : il établit votre version des faits devant un service officiel et alimente le dossier que la banque examinera. Sur le plan pénal, les faits décrits par la presse, s’ils étaient établis, pourraient relever de plusieurs incriminations. L’article 323-1 du code pénal dispose : «Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 € d’amende.» Et l’article 323-3 du code pénal dispose : «Le fait d’introduire frauduleusement des données dans un système de traitement automatisé, d’extraire, de détenir, de reproduire, de transmettre, de supprimer ou de modifier frauduleusement les données qu’il contient est puni de cinq ans d’emprisonnement et de 150 000 € d’amende.» Déposez plainte en apportant le téléphone, les captures d’écran, les relevés bancaires et la chronologie des faits. Demandez une copie du procès-verbal : la banque vous la réclamera presque toujours.

Le troisième réflexe consiste à signaler formellement chaque opération à la banque, par écrit, en distinguant soigneusement deux situations que le droit traite différemment. Si de l’argent a quitté votre compte vers un bénéficiaire que vous n’avez jamais autorisé, il s’agit d’une opération non autorisée, et le régime du remboursement s’applique. Si vous avez vous-même validé un virement vers un compte dont le titulaire n’est pas celui que vous croyiez, par exemple après un appel d’un prétendu conseiller, l’opération a été autorisée par vous mais le bénéficiaire n’est pas le bon, et le régime est différent. L’article L. 133-21 du code monétaire et financier dispose : «Si l’identifiant unique fourni par l’utilisateur du service de paiement est inexact, le prestataire de services de paiement n’est pas responsable de la mauvaise exécution ou de la non-exécution de l’opération de paiement. Toutefois, le prestataire de services de paiement du payeur s’efforce de récupérer les fonds engagés dans l’opération de paiement.» Dans cette seconde hypothèse, la banque ne rembourserait pas automatiquement, mais elle devrait s’efforcer de récupérer les fonds et vous fournir les informations détenues pour agir en justice. D’où l’importance de décrire précisément, opération par opération, ce qui s’est passé : avez-vous saisi vous-même un code de validation, avez-vous communiqué un identifiant ou un mot de passe, avez-vous cliqué sur un lien, avez-vous installé une application hors du magasin officiel. Chaque détail compte, car la banque examinera votre comportement à la loupe pour tenter d’établir une négligence grave. Enfin, respectez le délai de signalement : l’article L. 133-24 du code monétaire et financier dispose : «L’utilisateur de services de paiement signale, sans tarder, à son prestataire de services de paiement une opération de paiement non autorisée ou mal exécutée et au plus tard dans les treize mois suivant la date de débit sous peine de forclusion à moins que le prestataire de services de paiement ne lui ait pas fourni ou n’ait pas mis à sa disposition les informations relatives à cette opération de paiement conformément au chapitre IV du titre 1er du livre III.» Signaler sans tarder signifie dans les jours qui suivent la découverte, et le délai maximal de treize mois est une forclusion, c’est-à-dire une date couperet qui éteint le droit au remboursement.

B. Opération non autorisée : dans quel délai la banque doit rembourser et quand elle peut refuser

Le principe posé par la loi est simple et favorable au client : une opération que vous n’avez pas autorisée doit vous être remboursée vite. L’article L. 133-18 du code monétaire et financier dispose : «En cas d’opération de paiement non autorisée signalée par l’utilisateur dans les conditions prévues à l’article L. 133-24 , le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, sauf s’il a de bonnes raisons de soupçonner une fraude de l’utilisateur du service de paiement et s’il communique ces raisons par écrit à la Banque de France.» Le même article ajoute : «Le cas échéant, le prestataire de services de paiement du payeur rétablit le compte débité dans l’état où il se serait trouvé si l’opération de paiement non autorisée n’avait pas eu lieu.» Concrètement, la banque devrait recréditer le compte au plus tard le premier jour ouvrable après votre signalement et effacer les frais provoqués par l’opération frauduleuse, par exemple des agios nés du découvert. Si la banque tarde, la loi prévoit des pénalités automatiques : «Les sommes dues produisent intérêt au taux légal majoré de cinq points ;» puis «Au-delà de sept jours de retard, les sommes dues produisent intérêt au taux légal majoré de dix points ;» et «Au-delà de trente jours de retard, les sommes dues produisent intérêt au taux légal majoré de quinze points.» La seule porte de sortie immédiate pour la banque serait de soupçonner une fraude de votre part, à charge pour elle d’écrire à la Banque de France. En pratique, les banques refusent le plus souvent de rembourser en invoquant non pas votre fraude, mais votre négligence grave.

La négligence grave est le terrain où se gagnent et se perdent la plupart des dossiers. L’article L. 133-19 du code monétaire et financier prévoit d’abord un plafond protecteur : «En cas d’opération de paiement non autorisée consécutive à la perte ou au vol de l’instrument de paiement, le payeur supporte, avant l’information prévue à l’article L. 133-17 , les pertes liées à l’utilisation de cet instrument, dans la limite d’un plafond de 50 €. » Mais ce plafond ne s’applique pas dans tous les cas, et le même article prévoit des exceptions : «d’opération de paiement non autorisée effectuée sans utilisation des données de sécurité personnalisées ;» et «La responsabilité du payeur n’est pas engagée si l’opération de paiement non autorisée a été effectuée en détournant, à l’insu du payeur, l’instrument de paiement ou les données qui lui sont liées.» Surtout, le paragraphe IV du même article dispose : «Le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17.» Or ces obligations sont exigeantes : l’article L. 133-16 du code monétaire et financier dispose : «Dès qu’il reçoit un instrument de paiement, l’utilisateur de services de paiement prend toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées.» Communiquer volontairement son identifiant, son mot de passe ou un code reçu par SMS, cliquer sur le lien d’un message douteux puis saisir ses codes sur une fausse page, installer une application hors du magasin officiel qui réclame l’accès aux fonctions d’accessibilité : chacun de ces comportements serait susceptible d’être regardé par un juge comme une négligence grave, ce qui ferait perdre tout remboursement. À l’inverse, un client qui n’aurait jamais divulgué ses données et dont l’instrument aurait été détourné à son insu pourrait se prévaloir de l’irresponsabilité prévue par le texte.

Deux décisions récentes montrent comment les juges tracent la frontière. Dans un arrêt du 9 septembre 2026, la chambre commerciale de la Cour de cassation, pourvoi numéro 25-15.038, a statué sur le cas d’un client qui avait validé un virement de 9 000 euros à la demande d’un interlocuteur se présentant au téléphone comme un préposé de sa banque, après avoir reçu un message texte provenant du numéro préenregistré de l’établissement et réinitialisé puis communiqué ses identifiant et mot de passe. La cour d’appel de Toulouse avait exclu toute négligence grave en retenant qu’on ne peut imputer une négligence grave à l’utilisateur lorsqu’un tiers l’appelle en se faisant passer pour un conseiller, lui communique des informations personnelles pour asseoir l’usurpation et prétexte une intervention immédiate. La Cour de cassation a censuré ce raisonnement péremptoire. La Cour rappelle d’abord la règle applicable au payeur qui manquerait intentionnellement ou par négligence grave à ses obligations de sécurité, puis reproche à la cour d’appel d’avoir exclu par principe toute négligence grave dès lors que l’appel provenait du numéro affiché de la banque, sans examiner concrètement si la divulgation volontaire de l’identifiant et du code d’accès et la validation d’opérations que le client n’avait pas initiées constituaient une telle négligence. Elle casse partiellement l’arrêt pour défaut de base légale et renvoie l’affaire devant la cour d’appel de Montpellier, seule juridiction qui tranchera le sort final du remboursement. Autrement dit, même un appel qui affiche le vrai numéro de la banque ne protégerait pas automatiquement le client qui communique volontairement ses codes et valide des opérations qu’il n’a pas initiées : le juge devrait examiner concrètement chaque comportement.

Dans le sens inverse, la cour d’appel de Paris, pôle 5 chambre 6, dans un arrêt du 22 octobre 2025, répertoire général numéro 24/08224, a confirmé le refus de remboursement opposé à une cliente victime de deux virements de 6 000 et 4 000 euros émis depuis son espace personnel après la réception d’un courriel frauduleux. La cour a relevé que ce message présentait de nombreuses anomalies apparentes : une adresse d’expédition sans rapport avec la banque, un envoi en pleine nuit, des fautes et des coquilles, une adresse de siège erronée et un objet énigmatique. Elle en a déduit que la cliente aurait cliqué sur le lien, ce qui aurait permis l’accès aux données de sécurité personnalisées sans lesquelles la fraude n’aurait pas été possible, et elle a mis toutes les pertes à la charge de la cliente en confirmant le jugement qui avait rejeté l’ensemble de ses demandes. L’arrêt précise au passage qu’en présence d’une négligence grave, la bonne foi du payeur ne serait pas examinée, en visant un précédent de la Cour de cassation du 1er juillet 2020, pourvoi numéro 18-21.487. La leçon pratique est claire : face à un message qui présente la moindre anomalie visible, cliquer puis saisir ses codes exposerait à perdre le remboursement, tandis qu’un client qui n’aurait rien divulgué et signalerait sans tarder conserverait toutes ses chances. Ajoutons que la charge de la preuve pèse sur la banque : l’article L. 133-23 du code monétaire et financier dispose : «il incombe à son prestataire de services de paiement de prouver que l’opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre.» Et le même article précise : «L’utilisation de l’instrument de paiement telle qu’enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l’opération a été autorisée par le payeur ou que celui-ci n’a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant en la matière.» Le simple fait que l’opération soit partie de votre espace personnel ne suffirait donc pas à prouver votre accord ni votre négligence : la banque devrait apporter des éléments concrets sur votre comportement. Enfin, un dernier verrou protège le client : l’article L. 133-19 du code monétaire et financier dispose : «Sauf agissement frauduleux de sa part, le payeur ne supporte aucune conséquence financière si l’opération de paiement non autorisée a été effectuée sans que le prestataire de services de paiement du payeur n’exige une authentification forte du payeur prévue à l’article L. 133-44 .» Et l’article L. 133-44 du code monétaire et financier dispose : «Le prestataire de services de paiement applique l’authentification forte du client définie au f de l’article L. 133-4 lorsque le payeur : 1° Accède à son compte de paiement en ligne ; 2° Initie une opération de paiement électronique ; 3° Exécute une opération par le biais d’un moyen de communication à distance, susceptible de comporter un risque de fraude en matière de paiement ou de toute autre utilisation frauduleuse.» Si la banque aurait laissé passer une opération sensible sans exiger cette authentification renforcée, elle pourrait difficilement vous reprocher une négligence : vérifiez dans vos relevés et vos journaux de connexion comment chaque opération a été validée.

II. Prêt immobilier et dettes après une cyberattaque : comment éviter le décrochage

A. Mensualité du prêt immobilier impayée après une fraude : que risque l’emprunteur et comment réagir

Quand le compte est vidé, les prélèvements du prêt immobilier sont souvent les premières victimes collatérales. Le remboursement obtenu de la banque peut prendre des semaines si la négligence grave est discutée, et pendant ce temps les échéances continuent de tomber. La première démarche consiste à prévenir par écrit l’établissement qui a accordé le prêt, même s’il s’agit de la même banque que celle qui tient le compte, en exposant la fraude, en joignant la copie du dépôt de plainte et l’attestation d’opposition, et en demandant un aménagement temporaire : report d’échéances, passage temporaire aux intérêts seuls, ou simple délai de quelques semaines. Cet accord, s’il est obtenu, doit être confirmé par écrit avant la prochaine échéance, car un report verbal ne vaudrait rien en cas de litige ultérieur. Parallèlement, vérifiez vos contrats d’assurance liés au prêt et au compte : certaines garanties couvriraient les conséquences financières d’une fraude, d’autres non, et seuls les contrats que vous avez signés diraient ce qui est couvert, avec quels plafonds, quelles exclusions et quels délais de déclaration. Lisez-les avant d’appeler, déclarez le sinistre dans le délai contractuel et conservez la preuve de la déclaration.

Si aucune solution amiable n’aboutit, la loi sur le crédit encadre ce que le prêteur peut exiger. L’article L. 312-39 du code de la consommation dispose : «En cas de défaillance de l’emprunteur, le prêteur peut exiger le remboursement immédiat du capital restant dû, majoré des intérêts échus mais non payés.» La déchéance du terme, c’est-à-dire l’exigibilité immédiate de tout le capital, n’est donc pas une menace en l’air : après des échéances impayées et une mise en demeure restée sans effet, le prêteur pourrait l’invoquer selon les termes du contrat. Le même article ajoute : «Jusqu’à la date du règlement effectif, les sommes restant dues produisent les intérêts de retard à un taux égal à celui du prêt. En outre, le prêteur peut demander à l’emprunteur défaillant une indemnité qui, dépendant de la durée restant à courir du contrat et sans préjudice de l’application de l’ article 1231-5 du code civil , est fixée suivant un barème déterminé par décret.» Chaque mois d’impayé alourdirait donc la dette, et l’indemnité contractuelle s’y ajouterait dans les limites du barème. D’où l’importance de ne jamais laisser un impayé sans réponse écrite : même une lettre qui expose la fraude, annonce la demande de remboursement en cours et propose un échéancier partiel vaut mieux que le silence, car le juge qui serait saisi plus tard apprécierait votre bonne foi au vu de votre comportement. Si le prêteur engage une procédure, par exemple un commandement de payer ou une saisie, chaque acte devrait être examiné avec attention : les mentions obligatoires, les délais et les voies de recours y figurent, et une erreur de procédure pourrait être sanctionnée. Conservez tous les courriers, relevés et échanges, car ils formeront le dossier chiffré qui servira ensuite devant la commission de surendettement ou devant le juge.

B. Dossier de surendettement : dans quel délai le déposer et à quelles conditions

Quand les impayés s’accumulent malgré vos démarches, la procédure de surendettement offre un cadre légal pour traiter l’ensemble des dettes. L’article L. 711-1 du code de la consommation dispose : «Le bénéfice des mesures de traitement des situations de surendettement est ouvert aux personnes physiques de bonne foi. La situation de surendettement est caractérisée par l’impossibilité manifeste de faire face à l’ensemble de ses dettes, professionnelles et non professionnelles, exigibles et à échoir.» Deux conditions se dégagent : être de bonne foi, c’est-à-dire ne pas avoir organisé son insolvabilité ni aggravé sciemment sa situation, et se trouver dans l’impossibilité manifeste de payer tout ce qui est dû, maintenant et à venir. Un emprunteur victime d’une fraude, qui aurait signalé sans tarder, déposé plainte et réclamé le remboursement, présenterait en principe le profil de la bonne foi, puisque ses impayés résulteraient d’un événement extérieur et non d’une légèreté dans la gestion. Le même article précise que le seul fait d’être propriétaire de sa résidence principale ne ferait pas obstacle à la caractérisation du surendettement, même si la valeur du logement couvrirait les dettes : un propriétaire dont le compte a été vidé et qui ne pourrait plus payer ni le prêt ni les charges courantes pourrait donc saisir la commission.

La saisine elle-même est simple et peut intervenir dès que l’impossibilité de payer est manifeste, sans attendre que la banque ait statué sur le remboursement. L’article L. 721-1 du code de la consommation dispose : «Le débiteur saisit la commission de surendettement des particuliers d’une demande tendant au traitement de sa situation de surendettement dans laquelle il déclare les éléments actifs et passifs de son patrimoine.» Le dossier doit décrire avec précision l’actif, c’est-à-dire le logement, l’épargne restante, les revenus, et le passif, c’est-à-dire le capital restant dû du prêt, les échéances impayées, les découverts et les autres dettes. Joignez-y la chronologie de la fraude, la plainte, les signalements à la banque, les refus ou retards de remboursement et les démarches d’aménagement tentées : ces pièces montreraient que le décrochage provient de la fraude et non d’une mauvaise gestion. Une fois le dossier déclaré recevable, les poursuites individuelles seraient suspendues pendant l’instruction, ce qui offrirait un répit pour négocier un plan. Si la banque finit par rembourser entre-temps, la situation pourrait se régulariser et le dossier devenir sans objet, ce qui serait l’issue la plus favorable. Dans le cas contraire, la commission proposerait des mesures adaptées, comme un rééchelonnement, et le juge pourrait être saisi en cas de contestation. L’essentiel est de ne pas attendre le dernier moment : un dossier déposé tôt, chiffré et documenté, protégerait mieux le logement qu’une réaction tardive après plusieurs mois d’impayés et une déchéance du terme déjà prononcée.

Conclusion

La vague de cyberattaques décrite ces derniers jours par la presse, avec des programmes qui prendraient le contrôle des téléphones Android pour vider les comptes bancaires, rappelle une règle simple : en matière d’opérations non autorisées, la rapidité du client et la rigueur de la banque se partagent la responsabilité du dénouement. Signalez sans tarder et au plus tard dans les treize mois, faites bloquer l’instrument, déposez plainte et conservez chaque preuve : le remboursement au plus tard le premier jour ouvrable suivant est le principe, et c’est à la banque de prouver l’authentification et votre négligence grave. Ne communiquez jamais vos codes, ne cliquez sur aucun lien douteux et n’installez aucune application hors du magasin officiel, car les juges sanctionneraient sévèrement ces comportements, comme le montrent l’arrêt parisien du 22 octobre 2025 et la cassation du 9 septembre 2026. Et si les mensualités du prêt décrochent malgré vos efforts, traitez le passif sans attendre : aménagement écrit avec le prêteur, lecture des contrats d’assurance, puis dossier de surendettement documenté. À la date de rédaction, rappelons-le, aucune intrusion ni aucun dommage n’a été constaté par une source officielle, aucune responsabilité d’un établissement n’est établie, les contrats que vous avez signés priment sur toute analyse générale, et seul le juge, saisi des faits exacts de votre dossier, déciderait du remboursement et des mesures applicables.