La requête « cyberattaque » fait partie des rares tendances Google France actives ce 29 septembre 2026, avec une progression de plus de 1 000 % et un volume de 500 recherches ou davantage. Selon les articles de presse liés à cette tendance par Google Trends, cette flambée tient à deux alertes récentes : d’une part un cheval de Troie surnommé RemControl, identifié par des chercheurs en cybersécurité, qui s’attaque aux smartphones Android et vise les données bancaires de plus de 30 établissements financiers, avec deux variantes développées tout spécialement pour la France, d’après Capital du 28 septembre 2026 ; d’autre part un logiciel malveillant baptisé RatHat, décrit par le Journal du Geek du 26 septembre 2026 d’après les travaux d’un éditeur de sécurité, qui prend les commandes du téléphone grâce à une intelligence artificielle et intercepte identifiants, mots de passe et codes de validation. Les téléphones d’Apple ne seraient pas concernés, toujours selon ces publications. Si votre téléphone affiche des comportements étranges et que des opérations que vous ne reconnaissez pas apparaissent sur votre compte, cet article explique le droit applicable : comment contester, dans quels délais exiger le remboursement de la banque, quand la banque peut refuser en invoquant votre négligence, et comment faire punir les auteurs. Réserves liminaires : à la date de rédaction, aucune intrusion ni aucun dommage n’a été constaté par une source officielle à l’encontre d’un établissement nommément identifié ; aucune responsabilité n’est établie ; les conventions de compte signées priment sur toute analyse générale ; seul le juge tranche les litiges.

I. Cyberattaque en cours sur smartphone Android : comprendre ce qui menace votre compte bancaire

A. Fausse application, faux réseau privé, faux écran bancaire : le mode opératoire décrit par les chercheurs

Selon Capital, qui reprend les analyses d’une société de cybersécurité relayées par la presse spécialisée, le cheval de Troie RemControl, actif depuis le mois de mai, cible des utilisateurs en France, en Italie, en Espagne, en Pologne, au Portugal, au Canada et dans plusieurs pays du Golfe. Le téléphone est infecté après le téléchargement d’une application proposée en dehors de la boutique officielle, parfois via des publicités frauduleuses diffusées sur des réseaux sociaux et qui renvoient vers de fausses pages de téléchargement imitant une application de télévision en continu absente de la boutique officielle. Une fois installé, le programme malveillant neutraliserait les protections du téléphone au moyen d’un faux réseau privé virtuel qui couperait la connexion du dispositif de sécurité de l’éditeur du système, puis s’attaquerait aux fonctions d’accessibilité du téléphone, prévues pour aider les personnes malvoyantes, afin d’obtenir un contrôle étendu de l’appareil.

Le second programme, RatHat, suivrait un chemin voisin : selon le Journal du Geek, un message frauduleux ou une publicité malveillante conduit vers une fausse page qui imite la boutique officielle et propose une prétendue version d’un navigateur ou d’une application de streaming. Après installation, l’application réclamerait l’accès aux services d’accessibilité, parfois en promettant un avantage financier, puis parcourrait les réglages, activerait des fonctions réservées aux développeurs et se connecterait elle-même à l’outil de débogage du téléphone, sans ordinateur ni intervention supplémentaire. Une douzaine de serveurs et plus de 160 applications infectées auraient été repérés par les chercheurs cités. La particularité relevée par la presse tient à l’usage d’une intelligence artificielle : au lieu d’exécuter une série d’actions programmées à l’avance, le logiciel analyserait la structure des éléments affichés à l’écran pour décider où appuyer et quelle étape effectuer, ce qui lui permettrait de s’adapter aux différentes versions du système et compliquerait la détection.

Dans les deux cas, la finalité décrite est financière. RemControl afficherait une fausse interface par-dessus la véritable application bancaire afin de récupérer identifiants, codes personnels et données de carte, surveillerait l’écran, enregistrerait les frappes sur le clavier virtuel et tenterait d’empêcher sa propre désinstallation, selon Capital. RatHat afficherait de fausses fenêtres superposées aux applications pour récupérer identifiants, mots de passe et codes de validation, intercepterait les messages courts et enregistrerait les pressions sur l’écran, selon le Journal du Geek, en visant d’abord des applications de paiement très répandues, sans que d’autres services bancaires soient exclus. Les qualifications juridiques de ces agissements, si les faits étaient établis par une enquête, pourraient relever de plusieurs infractions, mais elles s’écriraient au conditionnel : l’accès frauduleux à un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 euros d’amende, aux termes de l’article 323-1 du code pénal qui dispose que « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 € d’amende » ; l’extraction ou la détention frauduleuse des données relèverait de l’article 323-3 du code pénal, selon lequel « Le fait d’introduire frauduleusement des données dans un système de traitement automatisé, d’extraire, de détenir, de reproduire, de transmettre, de supprimer ou de modifier frauduleusement les données qu’il contient est puni de cinq ans d’emprisonnement et de 150 000 € d’amende ». L’usage des identifiants dérobés pour vider un compte ou ordonner des virements pourrait être regardé comme une escroquerie : l’article 313-1 du code pénal définit que « L’escroquerie est le fait, soit par l’usage d’un faux nom ou d’une fausse qualité, soit par l’abus d’une qualité vraie, soit par l’emploi de manoeuvres frauduleuses, de tromper une personne physique ou morale et de la déterminer ainsi, à son préjudice ou au préjudice d’un tiers, à remettre des fonds, des valeurs ou un bien quelconque, à fournir un service ou à consentir un acte opérant obligation ou décharge », et précise que « L’escroquerie est punie de cinq ans d’emprisonnement et de 375 000 euros d’amende ». L’utilisation des données permettant d’identifier la victime pourrait enfin être regardée comme une usurpation d’identité, que l’article 226-4-1 du code pénal punit en ces termes : « Le fait d’usurper l’identité d’un tiers ou de faire usage d’une ou plusieurs données de toute nature permettant de l’identifier en vue de troubler sa tranquillité ou celle d’autrui, ou de porter atteinte à son honneur ou à sa considération, est puni d’un an d’emprisonnement et de 15 000 € d’amende ». Ces textes répriment les auteurs des attaques, une fois identifiés et jugés ; ils ne dispensent pas la victime d’agir vite pour protéger son compte, ce qui est l’objet des développements suivants.

B. Cyberattaque en France aujourd’hui : les réflexes des premières heures quand le téléphone devient suspect

Les requêtes réellement saisies par les internautes autour de la tendance — « cyberattaque en cours », « cyberattaque France aujourd’hui », « cyberattaque impôts », « cyberattaque DGFIP » — montrent une inquiétude pratique : que faire tout de suite. La première mesure consiste à couper les ponts entre le téléphone suspect et vos comptes. Si des opérations inconnues apparaissent, il faut en informer la banque sans tarder aux fins de blocage de l’instrument, car l’article L. 133-17 du code monétaire et financier prévoit que « Lorsqu’il a connaissance de la perte, du vol, du détournement ou de toute utilisation non autorisée de son instrument de paiement ou des données qui lui sont liées, l’utilisateur de services de paiement en informe sans tarder, aux fins de blocage de l’instrument, son prestataire ou l’entité désignée par celui-ci ». Concrètement, appelez le numéro d’opposition figurant sur votre convention de compte ou sur le site officiel de votre établissement, en composant vous-même le numéro, et ne rappelez jamais un numéro reçu par message. Faites opposition sur le moyen de paiement concerné, demandez le blocage de l’accès en ligne et changez vos codes depuis un appareil sain, en commençant par la messagerie qui reçoit les codes de validation.

La deuxième mesure consiste à figer la preuve. Conservez les relevés où figurent les opérations contestées, les captures d’écran des messages frauduleux, les dates d’installation des applications suspectes et le relevé détaillé des appels entrants si un faux conseiller vous a téléphoné. Un constat d’huissier, devenu constat de commissaire de justice, du journal d’appels et des messages peut s’avérer décisif : dans une affaire jugée en 2025, une cliente a fait constater qu’elle avait été jointe pendant plus de seize minutes par le numéro attribué au service de lutte contre la fraude de sa banque, ce qui a contribué à écarter la négligence grave. Déposez plainte, en ligne ou au commissariat, pour escroquerie, accès frauduleux et usurpation d’identité, et signalez l’attaque sur la plateforme officielle de signalement des escroqueries. Si vos données personnelles ont été captées, les démarches décrites pour d’autres fuites récentes, comme celles exposées à propos des données personnelles piratées et des recours ouverts aux victimes, restent utiles : plainte, vigilance sur les comptes, signalement. Pour les lecteurs de Paris et d’Île-de-France, le dépôt de plainte peut être effectué dans tout commissariat parisien ou de la petite couronne, et la juridiction compétente pour le litige civil contre la banque sera en principe le tribunal judiciaire du domicile du client consommateur, ce qui inclut le tribunal judiciaire de Paris pour les Parisiens ; conservez les récépissés et les numéros d’enregistrement, car la banque vous demandera souvent la preuve du dépôt de plainte avant d’examiner le remboursement.

La troisième mesure consiste à écrire à la banque, et non à se contenter d’un appel. Adressez une réclamation écrite, de préférence par lettre recommandée avec accusé de réception ou via la messagerie sécurisée de l’espace client, qui liste chaque opération contestée avec sa date, son montant et son libellé, affirme que vous ne les avez ni autorisées ni ordonnées, et demande le remboursement du montant de chaque opération non autorisée ainsi que le rétablissement du compte dans l’état où il se serait trouvé sans ces opérations. Ce courrier fait courir les obligations de la banque et servira de point de départ en cas de saisine du médiateur bancaire puis du juge. N’y reconnaissez aucun paiement, ne décrivez pas vos propres manipulations au-delà du strict nécessaire factuel, et ne signez aucun document qui qualifierait les opérations de régulières. Si votre téléphone reste infecté, faites-le nettoyer par un professionnel ou réinitialisez-le après sauvegarde des preuves, car un appareil encore contrôlé à distance peut intercepter les nouveaux codes que la banque vous adressera.

II. Paiements contestés après un malware bancaire : remboursement, négligence grave et plainte pénale

A. Treize mois pour signaler, un jour ouvré pour être remboursé : les délais qui protègent le client

Le régime des opérations de paiement non autorisées repose sur un principe simple : c’est la banque qui rembourse, sauf à démontrer la fraude ou la négligence grave du client. Dès que l’utilisateur signale une opération non autorisée, l’article L. 133-18 du code monétaire et financier impose que « le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, sauf s’il a de bonnes raisons de soupçonner une fraude de l’utilisateur du service de paiement et s’il communique ces raisons par écrit à la Banque de France ». Le texte ajoute que, le cas échéant, la banque rétablit le compte débité dans l’état où il se serait trouvé si l’opération n’avait pas eu lieu. Autrement dit, le remboursement est en principe immédiat, et le seul motif légal de refus immédiat tient à un soupçon écrit et motivé de fraude du client lui-même, notifié à la Banque de France.

Ce droit suppose toutefois d’agir dans le délai de contestation. L’article L. 133-24 du code monétaire et financier dispose que « L’utilisateur de services de paiement signale, sans tarder, à son prestataire de services de paiement une opération de paiement non autorisée ou mal exécutée et au plus tard dans les treize mois suivant la date de débit sous peine de forclusion à moins que le prestataire de services de paiement ne lui ait pas fourni ou n’ait pas mis à sa disposition les informations relatives à cette opération de paiement conformément au chapitre IV du titre 1er du livre III ». Passé treize mois sans signalement, la contestation est forclose, sauf défaut d’information de la banque. Pour les clients agissant à titre non professionnel, ce délai ne peut pas être réduit par contrat. En pratique, signalez dès la découverte, sans attendre la fin de l’enquête pénale ni le résultat d’une expertise du téléphone : la banque ne peut pas subordonner le remboursement à l’aboutissement des investigations.

La charge de la preuve pèse ensuite sur l’établissement. Lorsqu’un client nie avoir autorisé une opération, l’article L. 133-23 du code monétaire et financier dispose qu’« il incombe à son prestataire de services de paiement de prouver que l’opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre ». Le même article précise que « L’utilisation de l’instrument de paiement telle qu’enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l’opération a été autorisée par le payeur ou que celui-ci n’a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant en la matière », et que la banque « fournit des éléments afin de prouver la fraude ou la négligence grave commise par l’utilisateur de services de paiement ». La simple production des journaux informatiques montrant que le bon code a été saisi ne suffit donc pas : encore faut-il que la banque établisse votre faute, et cette exigence prend tout son sens face à un malware qui valide les opérations à votre place, depuis votre propre téléphone, avec vos propres codes interceptés.

Le détournement des données à l’insu du client fait d’ailleurs l’objet d’une protection expresse. L’article L. 133-19 du code monétaire et financier énonce en son deuxième paragraphe que « La responsabilité du payeur n’est pas engagée si l’opération de paiement non autorisée a été effectuée en détournant, à l’insu du payeur, l’instrument de paiement ou les données qui lui sont liées ». Un téléphone dont les frappes sont enregistrées et les écrans recopiés par un programme espion correspond précisément à cette hypothèse : les données liées à l’instrument sont détournées à l’insu du titulaire. Le même article ajoute qu’en cas de perte ou de vol de l’instrument, le client supporte au plus 50 euros avant opposition, et seulement dans certaines conditions, et que sa responsabilité n’est pas engagée quand l’opération est effectuée sans utilisation des données de sécurité personnalisées. Face à un malware de type RemControl ou RatHat, tel que décrit par la presse, l’argument du détournement à l’insu du payeur mérite donc d’être soulevé dans chaque réclamation, avec la description précise des anomalies constatées sur le téléphone.

B. Authentification forte exigée opération par opération, négligence appréciée au cas par cas et auteurs punis au pénal

Les banques refusent souvent le remboursement en reprochant au client d’avoir lui-même validé l’opération ou communiqué ses codes. Deux décisions récentes, rendues dans des affaires d’hameçonnage proches du scénario d’un téléphone manipulé, montrent que ce refus est contrôlé strictement. Par un arrêt du 22 octobre 2025, la chambre commerciale, financière et économique de la Cour de cassation, pourvoi numéro 24-19.749, consultable sur le site officiel de la Cour de cassation, a rejeté le pourvoi d’une banque qui refusait de rembourser un client tombé dans un piège par courriel : le client avait répondu à un message qu’il pensait adressé par sa banque pour activer un système d’authentification forte, avant de constater le lendemain un virement vers un compte inconnu. La Cour a posé que « Il résulte des articles L. 133-44, I et L. 133-19, V du code monétaire et financier que le prestataire de service de paiement doit appliquer l’authentification forte du client définie au f) de l’article L. 133-4 du même code en cas d’opération de paiement à distance et qu’à défaut, il doit rembourser au payeur le montant de l’opération non autorisée, sauf agissement frauduleux du payeur ». Constatant que la banque ne justifiait pas avoir exigé du client l’activation de cette authentification, la Cour a approuvé les juges du fond : « De ces seuls motifs, le tribunal, qui n’avait pas à effectuer la recherche inopérante visée à la troisième branche, a exactement déduit que la banque devait rembourser au payeur le montant de l’opération non autorisée ». L’enseignement est net : l’authentification forte doit être exigée par la banque opération par opération, et son absence fait échec au refus de remboursement, même quand le client a commis une imprudence.

Ce texte sur l’authentification forte mérite d’être lu directement. L’article L. 133-44 du code monétaire et financier dispose que « Le prestataire de services de paiement applique l’authentification forte du client définie au f de l’article L. 133-4 lorsque le payeur : 1° Accède à son compte de paiement en ligne ; 2° Initie une opération de paiement électronique ; 3° Exécute une opération par le biais d’un moyen de communication à distance, susceptible de comporter un risque de fraude en matière de paiement ou de toute autre utilisation frauduleuse ». Et l’article L. 133-19 du même code ajoute à son cinquième paragraphe que « Sauf agissement frauduleux de sa part, le payeur ne supporte aucune conséquence financière si l’opération de paiement non autorisée a été effectuée sans que le prestataire de services de paiement du payeur n’exige une authentification forte du payeur prévue à l’article L. 133-44 ». Dans le contexte d’un malware qui intercepte les codes sur le téléphone, vérifiez donc si la banque a réellement exigé une authentification forte pour l’opération litigieuse, et laquelle : un simple code reçu par message court, rejouable par un programme qui lit l’écran, ne présente pas les mêmes garanties qu’une validation liée au montant et au bénéficiaire.

Quant à la négligence grave, elle s’apprécie concrètement, au cas par cas, et non à partir d’une grille abstraite. La cour d’appel de Douai, par un arrêt du 6 mars 2025, numéro 24/00410, consultable sur le site officiel de la Cour de cassation, a infirmé un jugement qui déboutait une cliente et a condamné sa banque à lui rembourser 2 095 euros : la cliente avait validé une opération en suivant les instructions d’une personne se faisant passer pour un préposé de sa banque, dont le numéro s’affichait sur son téléphone. La cour a jugé qu’« aucune négligence grave au sens de l’article L. 133-19 précité ne peut être imputée au titulaire d’un compte qui, contacté téléphoniquement par une personne se faisant passer pour un préposé de sa banque dont le numéro s’affichait, utilise à sa demande le dispositif de sécurité personnalisé pour valider un paiement », avant de relever que « sa négligence ne présente pas un degré de gravité tel qu’il soit fait exception au principe de remboursement par le PSP d’une opération non autorisée ». Le parallèle avec un malware qui affiche de faux écrans bancaires et réclame les codes au nom de la banque est direct : un client trompé par une mise en scène fidèle n’est pas nécessairement gravement négligent. Reste l’exception, prévue au quatrième paragraphe de l’article L. 133-19 du code monétaire et financier : « Le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17 ». Or l’article L. 133-16 demande à l’utilisateur de prendre « toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées », puisque « Dès qu’il reçoit un instrument de paiement, l’utilisateur de services de paiement prend toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées ». Télécharger une application hors boutique officielle malgré des alertes, communiquer ses codes à un inconnu sans vérification ou ignorer une opposition conseillée par la banque exposerait à ce grief ; subir une interception invisible sur un téléphone d’apparence normale ne s’y assimile pas.

Si la banque maintient son refus après votre réclamation écrite, la voie procédurale est balisée. Saisissez d’abord le médiateur bancaire dans le délai indiqué dans la réponse de la banque, en joignant réclamation, relevés, plainte et preuves de l’infection. En cas d’échec, assignez devant le tribunal judiciaire, où vous demanderez le remboursement des opérations, le rétablissement du compte et, le cas échéant, des dommages et intérêts pour les frais et le découvert provoqués. Sur le plan pénal, votre plainte pour escroquerie, accès frauduleux et usurpation d’identité peut aboutir à des poursuites contre les auteurs s’ils sont identifiés, avec des peines rappelées plus haut, et vous pourrez vous constituer partie civile pour obtenir réparation devant le juge répressif. Le dossier pénal et le dossier civil avancent ensemble : le procès-verbal de plainte et les constatations techniques alimentent la contestation civile, tandis que le jugement civil de remboursement n’efface pas l’infraction. Gardez à l’esprit que les montants détournés transitent souvent vers des comptes ouverts avec des identités usurpées et sont retirés en quelques heures, ce qui rend la récupération directe auprès des receveurs illusoire : le véritable débiteur du remboursement reste la banque du payeur, dans les conditions légales décrites.

Conclusion

La vague « cyberattaque » qui agite Google France fin septembre 2026 repose sur des alertes précises, documentées par la presse spécialisée : des chevaux de Troie qui prennent la main sur des téléphones Android, copient les écrans bancaires et interceptent les codes, en visant notamment le public français. Face à ce scénario, le droit français offre au client un triptyque protecteur : signalement sans tarder et au plus tard dans les treize mois, remboursement en principe au plus tard à la fin du premier jour ouvré suivant, charge pour la banque de prouver la fraude ou la négligence grave, avec une jurisprudence récente qui refuse de faire peser sur le client trompé les conséquences d’une authentification forte mal déployée. Conservez les preuves, écrivez à la banque, déposez plainte et faites-vous assister pour chiffrer chaque opération contestée. Réserves finales : à ce jour, aucune source officielle n’a constaté une intrusion précise ni imputé de dommage à un acteur identifié à propos des programmes décrits ; aucune responsabilité n’est établie ; vos conventions de compte priment sur toute présentation générale ; seul le juge, saisi de votre dossier complet, dira si le remboursement est dû et si une faute peut vous être opposée.