Le développement constant des technologies d’interception bancaire confronte les usagers à des modes opératoires sophistiqués, parmi lesquels l’arnaque au shimming représente une menace technique particulièrement pernicieuse pour la sécurité des paiements du quotidien. Contrairement aux procédés traditionnels d’escroquerie reposant sur la manipulation psychologique, le faux conseiller téléphonique ou l’hameçonnage numérique, le shimming s’attaque directement à l’infrastructure physique de lecture des instruments de paiement mis à la disposition du public. Cette pratique criminelle consiste à introduire à l’intérieur de la fente d’un automate bancaire, d’un distributeur automatique de billets ou d’un terminal de paiement une lamelle de circuit imprimé ultra-fine, invisible pour l’usager, capable d’intercepter les communications électroniques entre la puce de la carte et les connecteurs internes du lecteur. Les données ainsi dérobées permettent ensuite à des réseaux criminels de fabriquer des cartes contrefaites ou de reproduire des opérations frauduleuses, générant des préjudices financiers lourds pour des particuliers qui n’ont pourtant jamais quitté leur carte des yeux ni consenti à la moindre transmission de leurs coordonnées bancaires.

L’actualité rappelle régulièrement la gravité et la technicité de ce phénomène. Alors que les signalements relayés par la fiche pratique du ministère de l’Intérieur sur la sécurité des distributeurs et le rapport de l’Observatoire de la sécurité des moyens de paiement publié par la Banque de France soulignent la persistance des atteintes physiques aux dispositifs automatiques, une enquête d’actualité financière consacrée au shimming met en lumière la stupeur des clients confrontés à des débits inexpliqués consécutifs à une banale opération de retrait d’espèces. Face à ces détournements insidieux, les établissements bancaires opposent fréquemment un refus catégorique de restitution, arguant de manière systématique que la lecture de la puce et la composition du code secret suffiraient à caractériser une faute d’imprudence ou une négligence grave de leur client.

D’un point de vue déontologique et prudentiel, il importe de rappeler à titre liminaire qu’aucun dysfonctionnement matériel ni aucune intrusion n’a fait l’objet d’un constat officiel unilatéral imputable à un terminal déterminé au moment de la rédaction, qu’aucune culpabilité n’est légalement établie sans décision de condamnation définitive, et que les stipulations contractuelles liant chaque établissement à ses clients s’appliquent sous l’appréciation souveraine des tribunaux compétents. L’analyse juridique doit donc s’attacher avec rigueur à confronter la matérialité de cette fraude aux règles protectrices du Code monétaire et financier et à la jurisprudence constante de la Cour de cassation relative à la charge de la preuve en matière d’opérations non autorisées.

I. La qualification juridique du shimming et l’obligation légale de remboursement immédiat par l’établissement bancaire

A. L’atteinte aux systèmes automatisés de données et la nature non autorisée des débits

L’opération matérielle constitutive de shimming s’analyse pénalement en une intrusion illicite et un maintien frauduleux au cœur d’un dispositif électronique de traitement de données bancaires. L’insertion d’un composant parasite au sein du lecteur de carte d’un distributeur automatique tombe directement sous le coup des qualifications réprimées par l’article 323-1 du Code pénal, qui incrimine l’accès et le maintien frauduleux dans tout ou partie d’un système de traitement automatisé de données conformément aux dispositions consultables sur l’article 323-1 du Code pénal. Le dispositif miniature, doté d’un microprocesseur et d’une mémoire flash, s’intercale physiquement entre les micro-contacts de la puce de la carte bancaire et les aiguilles de lecture du terminal. Lors de l’insertion, le dispositif enregistre en temps réel l’ensemble des paquets de données échangés selon la norme internationale EMV, tout en laissant l’automate exécuter normalement la transaction demandée pour ne pas éveiller les soupçons du titulaire.

Sur le plan technique, le shimming se distingue fondamentalement du skimming traditionnel. Alors que le skimming ancien consistait à ajouter un lecteur externe volumineux sur l’embouchure extérieure de la fente pour copier la seule bande magnétique, le shimming s’implante directement dans le mécanisme interne du lecteur, ciblant la puce à circuit intégré. Bien que les concepteurs de la technologie EMV aient intégré des certificats cryptographiques conçus pour empêcher la duplication pure et simple des clés secrètes de la puce, les données captées par la lamelle permettent aux escrocs d’extraire le numéro complet de la carte, la date de validité et les codes de service. Ces données suffisent pour reconstruire fidèlement une bande magnétique équivalente.

Parallèlement à cette captation électronique des signaux de la puce, les réseaux criminels déploient des dispositifs complémentaires pour intercepter le code personnel de la victime. Une micro-caméra dissimulée dans une réglette d’éclairage ou un faux cache plastique surplombant le pavé numérique enregistre discrètement les frappes du client. Les données ainsi dérobées permettent aux malfaiteurs d’encoder des cartes plastiques vierges et de les utiliser dans des automates ou auprès de commerçants étrangers situés dans des zones géographiques n’exigeant pas la vérification cryptographique complète de la puce, un mécanisme technique connu sous la dénomination de transaction avec repli sur piste ou chip-and-pin fall-back.

Ces agissements caractérisent incontestablement le délit d’escroquerie prévu et réprimé par l’article 313-1 du Code pénal, dans la mesure où l’emploi de manœuvres frauduleuses sophistiquées a pour objet de tromper tant l’organisme bancaire que le client pour obtenir la remise de fonds indus. Toutefois, sur le plan civil et bancaire, l’élément juridique déterminant réside dans l’absence totale de consentement du titulaire du compte aux transactions débitrices ultérieures réalisées à son insu.

En vertu des règles fondamentales gouvernant le droit des instruments de paiement, toute transaction bancaire exige l’autorisation expresse du payeur pour être licite. Lorsque des opérations sont ordonnées au moyen d’une carte clonée ou de données dérobées par shimming, le titulaire légitime du compte n’a jamais manifesté sa volonté de transférer les sommes correspondantes. Ces paiements ou retraits constituent donc des opérations non autorisées au sens des textes applicables. Le client, qui a fait un usage parfaitement régulier de sa carte bancaire dans un terminal mis à sa disposition par une banque ou un commerçant, subit une spoliation directe sans jamais avoir transmis son consentement à l’ordre de transfert de fonds litigieux.

B. Le principe du rétablissement immédiat du compte sous un jour ouvré

Dès lors qu’une opération de paiement n’a pas été autorisée par le titulaire du compte, le régime de responsabilité légale instauré par les directives européennes sur les services de paiement et transposé dans le droit interne français s’applique de plein droit. Le socle de cette protection réside dans l’article L. 133-18 du Code monétaire et financier, qui pose une obligation stricte et inconditionnelle de rétablissement financier à la charge du banquier teneur de compte.

Aux termes de cette disposition légale impérative, en cas d’opération de paiement non autorisée signalée par l’utilisateur, le prestataire de services de paiement du payeur rembourse immédiatement au payeur le montant de l’opération non autorisée après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant. Cette obligation ne souffre que d’une seule exception expressément délimitée par la loi : l’existence de bonnes raisons de soupçonner une fraude commise par l’utilisateur lui-même, soupçons qui doivent impérativement être motivés et communiqués par écrit à la Banque de France par l’établissement teneur de compte.

L’obligation légale ne se borne pas à un simple recrédit du montant nominal des opérations contestées. L’article L. 133-18 du Code monétaire et financier impose à la banque de rétablir le compte débité dans l’état où il se serait trouvé si l’opération de paiement non autorisée n’avait pas eu lieu. Cela signifie que l’ensemble des frais annexes, commissions d’intervention, agios, intérêts débiteurs ou pénalités de découvert provoqués par l’imputation frauduleuse doivent être intégralement et rétroactivement neutralisés par l’établissement financier.

En outre, la loi encadre strictement la date de valeur appliquée à cette écriture rectificative : la date de valeur à laquelle le compte de paiement du payeur est crédité ne peut en aucun cas être postérieure à la date à laquelle il avait été débité. Cette règle garantit que le client ne subit aucun préjudice indirect tenant au calcul d’intérêts moratoires ou au déclenchement injustifié de procédures de recouvrement ou d’inscription au fichier des incidents de paiement par sa banque.

Pour dissuader les établissements financiers de différer abusivement le remboursement légal, le législateur a renforcé les sanctions financières applicables aux retards bancaires injustifiés. L’article L. 133-18 du Code monétaire et financier prévoit ainsi expressément que si le prestataire de services de paiement manque à son obligation de remboursement immédiat, les sommes dues portent intérêt au taux légal majoré de cinq points. Cette pénalité financière automatique s’applique sans préjudice des dommages et intérêts que la victime est recevable à réclamer en réparation des préjudices matériels et moraux distincts résultant de la carence de la banque.

Cette obligation de remboursement immédiat présente un caractère d’ordre public protecteur auquel aucune convention privée ne peut faire échec. Conformément à l’article L. 133-26 du Code monétaire et financier, le prestataire de services de paiement ne peut déroger à ces exigences par voie de clauses contractuelles figurant dans ses conventions de compte, et ne peut imputer de frais à l’utilisateur pour l’accomplissement de ses obligations d’information ou de réclamation. Toute clause contractuelle tendant à subordonner le remboursement à l’issue d’une enquête interne préalable, à la production obligatoire d’un récépissé de dépôt de plainte ou à l’expiration d’un délai arbitraire de plusieurs semaines est réputée non écrite et dépourvue d’efficacité juridique.

II. Le contentieux de la négligence grave et la stratégie de contestation de la victime

A. La charge exclusive de la preuve pesant sur la banque et l’insuffisance du relevé technique

Face aux demandes de remboursement formulées par les victimes de shimming, les établissements bancaires adoptent fréquemment une posture de contestation systématique. Se fondant sur leurs extraits de journaux informatiques qui attestent que la puce de la carte a été lue et que le code secret à quatre chiffres a été composé sur le clavier du terminal lors des retraits frauduleux, les services contentieux des banques soutiennent que ces éléments établiraient péremptoirement la commission d’une négligence grave par le titulaire de la carte, exonérant ainsi l’établissement de son obligation de remboursement.

Cette argumentation méconnaît frontalement l’économie du régime probatoire fixé par le Code monétaire et financier. En vertu de l’article L. 133-23 du Code monétaire et financier, lorsqu’un utilisateur nie avoir autorisé une opération de paiement, il incombe à son prestataire de services de paiement de prouver que l’opération a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre. Le législateur a toutefois pris soin de préciser sans la moindre ambiguïté que l’utilisation de l’instrument de paiement telle qu’enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l’opération a été autorisée par le payeur ou que celui-ci a agi frauduleusement ou n’a pas satisfait intentionnellement ou par négligence grave à ses obligations.

La Cour de cassation applique ce principe avec une constance remarquable, interdisant formellement aux juges du fond et aux banques d’inférer une quelconque imprudence du seul constat technique de l’enregistrement de l’opération. Dans son arrêt de principe rendu le 18 janvier 2017, la chambre commerciale de la haute juridiction a posé une règle fondamentale : « c’est à ce prestataire qu’il incombe, par application des articles L. 133-19, IV, et L. 133-23 du même code, de rapporter la preuve que l’utilisateur, qui nie avoir autorisé une opération de paiement, a agi frauduleusement ou n’a pas satisfait intentionnellement ou par négligence grave à ses obligations ; que cette preuve ne peut se déduire du seul fait que l’instrument de paiement ou les données personnelles qui lui sont liées ont été effectivement utilisés », comme en témoigne la décision Cour de cassation, Chambre commerciale, 18 janvier 2017, pourvoi n° 15-18.102. Cette règle protège l’usager contre toute présomption unilatérale de faute fondée sur de simples journaux informatiques.

Dans un arrêt rendu le même jour, la haute cour a réaffirmé que l’établissement financier ne saurait se libérer de ses obligations par de simples conjectures, soulignant que « se contentant à cet égard de procéder par simple voie de supputations impropres à caractériser une imprudence de son client, c’est exactement que la cour d’appel a accueilli la demande de remboursement de M. [I] », selon les termes de la décision Cour de cassation, Chambre commerciale, 18 janvier 2017, pourvoi n° 15-26.058. Par la suite, dans un arrêt rendu le 26 juin 2019, la chambre commerciale a confirmé cette rigueur probatoire en validant la condamnation d’un établissement teneur de compte : « la seule utilisation de ces données n’étant pas susceptible, contrairement à ce que soutient la deuxième branche, de démontrer que M. W… avait été gravement négligent dans leur conservation, puis retenu que la banque se bornait à évoquer l’hypothèse d’un hameçonnage, sans qu’il soit établi que M. W… avait transmis à un tiers les données confidentielles attachées à son instrument de paiement, la cour d’appel, qui n’était pas tenue de procéder à la recherche, inopérante, invoquée par la troisième branche, a légalement justifié sa décision », ainsi que le précise l’arrêt Cour de cassation, Chambre commerciale, 26 juin 2019, pourvoi n° 18-12.581.

Cette exigence probatoire a trouvé une confirmation éclatante dans la jurisprudence la plus récente de la Cour de cassation. Par un arrêt marquant du 5 mars 2025, la chambre commerciale a cassé le jugement d’un tribunal qui avait cru pouvoir déduire la négligence d’une cliente de la seule activation technique de ses paramètres de sécurité : « Il résulte de ces textes qu’il incombe au prestataire de services de paiement de rapporter la preuve que l’utilisateur, qui nie avoir autorisé une opération de paiement, a agi frauduleusement ou n’a pas satisfait intentionnellement ou par négligence grave à son obligation de prendre toute mesure raisonnable pour préserver la sécurité des données de sécurité personnalisées, que cette preuve de la négligence grave ne peut se déduire du seul fait que l’instrument de paiement ou les données personnelles qui lui sont liées ont été effectivement utilisés. » La haute cour censure sans appel l’analyse erronée du premier juge en ajoutant : « En statuant ainsi, le tribunal, qui a déduit la négligence grave de Mme [P] de la seule utilisation de ses données de sécurité personnalisées, a violé les textes susvisés », ainsi que le consacre la décision Cour de cassation, Chambre commerciale, 5 mars 2025, pourvoi n° 23-22.687.

Certes, dans certaines affaires de fraude par messagerie électronique, la haute cour impose aux juridictions du fond d’examiner si le payeur n’a pas manifesté un aveuglement coupable face à des indices grossiers de tromperie, énonçant « sans rechercher, au regard des circonstances de l’espèce, si M. [W] n’aurait pas pu avoir conscience que le courriel qu’il avait reçu le 27 décembre 2017 était frauduleux et si, en conséquence, le fait d’avoir communiqué ses données personnelles ne caractérisait pas un manquement par négligence grave à ses obligations mentionnées à l’article L. 133-16 du code monétaire et financier, le tribunal d’instance n’a pas donné de base légale à sa décision », dans l’arrêt Cour de cassation, Chambre commerciale, 24 novembre 2021, pourvoi n° 20-13.767. Mais dans l’hypothèse du shimming, une telle recherche met en évidence l’absence totale de défaillance imputable au consommateur : le dispositif pirate étant entièrement dissimulé à l’intérieur du lecteur mécanique de carte, la victime ne dispose d’aucun indice visuel, d’aucune anomalie apparente ni d’aucun moyen technique de déceler l’interception au moment où elle réalise son opération légitime.

Dès lors, l’usager qui introduit sa carte bancaire dans un automate ordinaire et compose son code confidentiel à l’abri des regards respecte scrupuleusement l’ensemble des obligations mises à sa charge par l’article L. 133-16 du Code monétaire et financier, lequel lui impose seulement de prendre toute mesure raisonnable pour préserver la sécurité de ses dispositifs de sécurité personnalisés. L’établissement bancaire ne saurait transférer sur son client les risques inhérents à la vulnérabilité matérielle de ses propres automates ou des terminaux de paiement du réseau interbancaire. L’application de l’article L. 133-19 du Code monétaire et financier commande donc d’écarter toute notion de négligence grave du porteur, contraignant la banque à supporter intégralement la perte financière causée par la captation furtive.

B. Les voies de recours amiables, contentieuses et pénales ouvertes à la victime

Pour faire valoir ses droits de manière efficace, la victime d’un débit frauduleux consécutif à une interception par shimming doit observer une démarche méthodique et rigoureuse. La première diligence imposée par la loi concerne la célérité du signalement. Conformément à l’article L. 133-17 du Code monétaire et financier, le titulaire d’un instrument de paiement doit informer sans tarder son prestataire de toute utilisation non autorisée dès qu’il en prend connaissance, afin de faire immédiatement opposition sur sa carte et d’empêcher la poursuite des opérations frauduleuses.

Sur le plan procédural, l’article L. 133-24 du Code monétaire et financier fixe un délai de forclusion impératif : le payeur doit notifier à son prestataire l’opération non autorisée sans tarder et au plus tard dans les treize mois suivant la date de débit du compte. Bien que ce délai légal soit protecteur, il est indispensable d’agir dans les heures ou les jours qui suivent la découverte des opérations suspectes pour désamorcer tout reproche d’inertie temporelle.

Lorsque la banque refuse d’exécuter son obligation légale de remboursement sous le délai impératif d’un jour ouvrable, la victime doit lui adresser une mise en demeure formelle par lettre recommandée avec demande d’avis de réception. Cette notification précontentieuse doit rappeler de manière circonstanciée les prescriptions impératives de l’article L. 133-18 du Code monétaire et financier, l’absence de tout soupçon légitime de fraude notifié à la Banque de France, ainsi que la jurisprudence constante de la Cour de cassation interdisant de déduire la négligence de la seule utilisation des données de la carte. La lettre sommera l’établissement de créditer le compte du montant exact des débits sous un délai précis, tout en réclamant la neutralisation immédiate des agios, commissions et intérêts débiteurs indûment prélevés, sous peine de majoration des sommes dues au taux légal majoré de cinq points.

Concomitamment aux démarches bancaires, un dépôt de plainte pénale doit être formalisé auprès du commissariat de police, de la brigade de gendarmerie ou directement par courrier adressé au procureur de la République territorialement compétent. La plainte visera expressément les délits d’escroquerie et d’accès frauduleux à un système de traitement automatisé de données. La victime veillera à y consigner avec exactitude la localisation géographique du distributeur de billets ou de l’automate utilisé avant l’apparition des débits frauduleux, la date et l’heure précise de son passage, ainsi que le relevé exhaustif des débits anormaux. Ces indications techniques constituent des éléments capitaux pour permettre aux services d’enquête de requérir les enregistrements des caméras de vidéosurveillance de l’automate, d’examiner le lecteur de carte et de constater matériellement la présence d’un éventuel composant de shimming.

Si la mise en demeure demeure infructueuse ou se heurte à un refus persistant de la banque, l’usager peut engager une action judiciaire devant les juridictions civiles. Selon le montant des sommes dérobées, le litige relèvera de la compétence du tribunal judiciaire ou du juge des contentieux de la protection. L’assistance d’un avocat intervenant en contentieux commercial et bancaire permet alors de structurer l’assignation en démontrant la parfaite conformité du comportement du client aux exigences légales et l’absence totale de preuve positive de négligence rapportée par l’établissement. Dans le cadre de cette instance, la victime est fondée à réclamer non seulement le remboursement du capital dérobé et des frais accessoires avec intérêts moratoires majorés, mais également des dommages et intérêts pour résistance abusive sur le fondement de la responsabilité civile contractuelle, ainsi qu’une indemnité au titre des frais irrépétibles prévus par l’article 700 du Code de procédure civile.

Conclusion

L’essor de l’arnaque au shimming démontre l’ingéniosité constante des réseaux criminels à contourner les barrières de sécurité physique et électronique des automates de paiement. En s’insérant de manière imperceptible dans la fente des distributeurs pour intercepter les données de la puce sans altérer le déroulement immédiat de l’opération, cette technique prend au piège des consommateurs particulièrement vigilants qui n’ont commis aucun acte d’imprudence.

Face aux refus systématiques opposés par certains établissements de crédit, le cadre juridique issu du Code monétaire et financier et de la jurisprudence de la Cour de cassation offre un bouclier protecteur incontournable. En affirmant avec force que la charge de la preuve de la négligence grave repose exclusivement sur la banque et qu’une telle négligence ne saurait en aucun cas se déduire du seul fonctionnement technique du terminal ou de l’usage des données de sécurité, la haute juridiction garantit l’effectivité du principe de remboursement immédiat.

En conclusion, et sous réserve de l’appréciation souveraine que porteront les tribunaux sur chaque situation d’espèce au vu des éléments matériels et des clauses contractuelles licites, les usagers victimes de débits suspects consécutifs à l’usage d’un automate disposent de leviers juridiques solides pour obtenir la restitution intégrale de leurs fonds et la réparation des préjudices financiers subis.