Votre téléphone affiche le numéro de votre banque. Au bout du fil, une personne polie se présente comme salariée de l’établissement : des opérations suspectes auraient été détectées sur votre compte, il faut agir vite pour sécuriser vos fonds. Vous suivez ses instructions, vous validez sur votre application ce qu’elle vous demande de valider, puis la ligne coupe. Quelques minutes plus tard, vos virements sont partis vers des comptes inconnus et votre interlocuteur reste injoignable. Vous venez de subir une fraude au faux conseiller bancaire par usurpation du numéro d’appelant, appelée spoofing.
Ce scénario n’a rien d’anecdotique. La Cour de cassation s’est prononcée le 23 octobre 2024 sur un dossier de ce type portant sur 54 500 euros de virements frauduleux, et la cour d’appel de Nîmes a statué le 27 août 2026 sur une affaire comparable portant sur 9 550 euros. Dans les deux cas, le numéro affiché sur le téléphone de la victime était celui de sa propre banque. La question centrale est toujours la même : la banque doit-elle rembourser des opérations que le client a lui-même validées, mais sous l’emprise d’une tromperie ? La réponse du droit est nuancée et dépend largement de votre rapidité de réaction et des preuves conservées.
Cet article décrit la conduite à tenir heure par heure, les règles de remboursement du code monétaire et financier, la négociation avec la banque et la plainte pénale, avec les décisions et les textes applicables en 2026.
I. Réagir dans l’heure : bloquer les opérations, alerter, conserver les preuves
A. Faire opposition et alerter votre banque sans attendre
La première heure décide souvent du sort des fonds. Les virements émis vers des comptes d’escrocs sont déplacés très vite, parfois vers l’étranger, et chaque minute compte pour demander à votre banque d’en obtenir le retour.
Si l’appel frauduleux visait votre carte bancaire, faites sans délai opposition à votre carte. La fiche réflexe du dispositif public cybermalveillance.gouv.fr recommande de faire sans délai opposition à votre carte bancaire en cas d’appel d’un faux conseiller, et a fortiori si des opérations frauduleuses ont été réalisées avec la carte, pour empêcher toute utilisation malveillante ultérieure. Le numéro d’opposition de votre banque figure sur son site internet et sur ses distributeurs de billets. Il existe aussi un serveur interbancaire d’opposition à la carte bancaire, joignable au 0 892 705 705, ouvert 7 jours sur 7 et 24 heures sur 24.
Alertez ensuite votre banque de l’ensemble des paiements ou virements frauduleux. Selon la même fiche officielle, il faut alerter la banque de l’ensemble des paiements et/ou virements frauduleux et, selon le cas, en demander le remboursement, la suspension ou encore le retour des fonds. Concrètement, appelez le numéro officiel de votre banque en le composant vous-même depuis son site ou votre contrat, jamais en rappelant le numéro qui s’est affiché ni en cliquant sur un lien reçu par message. Demandez le blocage de vos accès de banque en ligne, la révocation des bénéficiaires ajoutés pendant l’appel et la traçabilité des virements émis : date, heure, IBAN destinataires, banques destinataires. Votre banque pourra exiger une copie de votre dépôt de plainte pour instruire votre demande, d’où l’importance de déposer plainte rapidement, comme expliqué ci-après.
Modifiez dans la foulée vos codes d’accès depuis un appareil sain : mot de passe de banque en ligne, code de validation des opérations, et si vous avez communiqué un code reçu par message, signalez-le expressément à la banque. Vérifiez aussi vos autres comptes : un fraudeur qui a obtenu vos données de sécurité peut tenter de rebondir vers un autre établissement. Si vous recevez, dans les jours qui suivent, un nouvel appel du même type ou un message vous invitant à valider une opération de sécurisation, raccrochez et contactez votre banque par vos propres moyens.
À Paris comme ailleurs en Île-de-France, vous pouvez déposer plainte au commissariat de police ou à la brigade de gendarmerie de votre choix, ou écrire au procureur de la République du tribunal judiciaire dont vous dépendez. Les services de police et de gendarmerie sont tenus d’enregistrer votre plainte lorsque vous êtes victime d’une infraction, comme le rappelle la page du service public consacrée à l’escroquerie. Pour être accompagné dans vos démarches, la plateforme Info Escroqueries du ministère de l’Intérieur répond au 0 805 805 817, du lundi au vendredi de 9 heures à 18 h 30. Si la fraude porte sur votre carte bancaire, signalez en outre les faits sur la plateforme Perceval du ministère de l’Intérieur : ce signalement aide les autorités à identifier les auteurs, même s’il ne remplace pas le dépôt de plainte. Enfin, le dispositif 17Cyber propose une assistance en ligne aux victimes de cybermalveillance.
B. Conserver les preuves de la manipulation
Votre remboursement dépendra de la démonstration que vous avez été manipulé et non négligent. Les banques opposent fréquemment la négligence grave du client pour refuser le remboursement, et les juges tranchent au vu des pièces. Constituez donc dès le premier jour un dossier complet.
Conservez les preuves, notamment les numéros de téléphone, les messages ou courriels reçus, les ordres de virement et les relevés de paiements, comme le recommande cybermalveillance.gouv.fr. Concrètement, faites des captures d’écran du journal d’appels montrant le numéro affiché, sa date, son heure et sa durée. Si vous avez reçu des messages vous invitant à valider des bénéficiaires ou des opérations, conservez-les avec leurs horaires. Imprimez ou exportez vos relevés de compte faisant apparaître les virements litigieux, leurs montants et leurs destinataires. Notez par écrit, tant que les souvenirs sont frais, le déroulé exact de l’appel : présentation de l’interlocuteur, prétexte invoqué, consignes données, ce que vous avez validé et à quel moment.
Ne rappelez jamais le numéro affiché pendant l’appel frauduleux et ne cliquez sur aucun lien reçu dans la foulée : un faux numéro d’opposition ou un faux site de banque peut prolonger l’escroquerie. Si votre opérateur téléphonique peut vous fournir le détail de vos communications, demandez-le. Signalez aussi l’usurpation de numéro : l’Arcep explique que le mécanisme d’authentification des numéros, rendu obligatoire par la loi dite Naegelen de 2020, a été déployé par les opérateurs début 2025, et qu’une règle complémentaire impose aux opérateurs français de masquer, depuis le 1er janvier 2026, le numéro mobile de tout appel provenant de l’étranger qui n’a pas pu être authentifié, comme l’indique sa fiche consacrée à l’usurpation de numéro. Conserver la trace du numéro affiché permet, en cas de signalement, de remonter vers l’opérateur qui a acheminé l’appel.
Rédigez enfin votre réclamation à la banque par écrit, de préférence par lettre recommandée avec accusé de réception ou via la messagerie sécurisée de votre espace client en en conservant une copie. Exposez les faits avec dates et heures, listez les opérations contestées avec leurs montants, demandez le remboursement sur le fondement de l’article L. 133-18 du code monétaire et financier et le retour des fonds auprès des banques destinataires. Ce courrier écrit fait courir les délais de traitement de la banque et servira de point de départ en cas de litige ultérieur.
II. Obtenir le remboursement de la banque et la sanction de l’escroc
A. Le remboursement : une obligation immédiate, sauf négligence grave prouvée par la banque
Le principe est favorable à la victime. En cas d’opération de paiement non autorisée signalée par l’utilisateur, le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, sauf s’il a de bonnes raisons de soupçonner une fraude de l’utilisateur lui-même et s’il communique ces raisons par écrit à la Banque de France. C’est l’article L. 133-18 du code monétaire et financier, en vigueur dans sa rédaction applicable depuis le 18 août 2022. La banque doit en outre rétablir le compte dans l’état où il se serait trouvé si l’opération n’avait pas eu lieu.
L’exception que les banques invoquent presque systématiquement figure à l’article L. 133-19 du même code : le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17. Ces obligations consistent, pour l’utilisateur, à prendre toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées et à informer sans tarder sa banque en cas de perte, de vol ou de détournement de son instrument de paiement. Point décisif : c’est à la banque de rapporter la preuve de cette négligence grave, et l’enregistrement de l’utilisation de l’instrument de paiement ne suffit pas à lui seul à établir que l’opération a été autorisée.
Deux décisions récentes illustrent comment les juges appliquent ce partage. Dans l’arrêt du 23 octobre 2024, la chambre commerciale de la Cour de cassation (pourvoi n° 23-16.267) a rejeté le pourvoi de la banque contre un client qui avait validé l’ajout de bénéficiaires après un appel spoofé. Les faits étaient les suivants : le client avait constaté plusieurs virements frauduleux pour un montant de 54 500 euros, après avoir été contacté par téléphone par une personne se faisant passer pour une salariée de l’établissement et lui demandant d’ajouter, grâce à ses données personnelles de sécurité, cinq personnes sur sa liste de bénéficiaires. La Cour relève que le numéro d’appel apparaissant sur le téléphone portable du client s’était affiché comme étant celui de sa conseillère et que le mode opératoire par l’utilisation du spoofing a mis le client en confiance et a diminué sa vigilance, inférieure face à un appel téléphonique prétendument émanant de sa banque à celle d’une personne recevant un courriel, qui aurait disposé de davantage de temps pour déceler les anomalies. Elle en conclut que la cour d’appel a pu déduire que la négligence grave du client n’était pas caractérisée. Le pourvoi est rejeté, la banque est condamnée aux dépens et à verser 3 000 euros au titre de l’article 700 du code de procédure civile, en sus des 54 500 euros de remboursement et des 1 500 euros de dommages et intérêts pour préjudice moral alloués au client par la cour d’appel. La lettre de la direction des affaires juridiques du ministère de l’économie, commentant cet arrêt, résume que la victime ne peut se voir reprocher d’avoir commis une négligence grave lorsque les circonstances de l’appel sont de nature à la mettre en confiance et à diminuer sa vigilance.
À l’inverse, la cour d’appel de Nîmes, le 27 août 2026 (RG 25/00158), a infirmé un jugement qui avait accordé le remboursement et a débouté le client de sa demande portant sur 9 550 euros de virements effectués les 12, 13, 14 et 17 juillet 2023. La cour admet d’abord que le client a été victime de spoofing, c’est-à-dire d’une usurpation du numéro de téléphone de la banque, et en déduit que son consentement a été vicié et que les opérations, frauduleuses, ne peuvent être regardées comme autorisées. Mais elle retient ensuite la négligence grave pour quatre raisons cumulées : les conditions générales de la banque décrivaient très exactement cette méthode de spoofing et avaient été portées à sa connaissance par un courriel reçu et lu le 12 mai 2023, de sorte qu’elles lui sont opposables ; le client n’a pas reçu un seul appel mais quatre, à six jours d’intervalle, ce qui lui laissait le temps de rappeler la banque pour vérifier ; il n’a jamais eu le même interlocuteur et a enregistré à chaque appel un nouvel IBAN dicté oralement, dont un compte situé en Belgique ; enfin, l’un des appels a été passé le 14 juillet, jour férié durant lequel aucun conseiller bancaire ne travaille. ces éléments caractérisent selon la cour une négligence grave excluant le remboursement prévu par l’article L. 133-18.
Trois garde-fous du même article protègent en outre le client dans les cas limites. D’abord, en cas d’opération non autorisée consécutive à la perte ou au vol de l’instrument de paiement, le payeur supporte, avant l’information prévue à l’article L. 133-17, les pertes liées à l’utilisation de cet instrument, dans la limite d’un plafond de 50 euros, avec plusieurs cas d’exonération totale, notamment quand l’opération a été effectuée sans utilisation des données de sécurité personnalisées. Ensuite, sauf agissement frauduleux de sa part, le payeur ne supporte aucune conséquence financière si l’opération de paiement non autorisée a été effectuée sans que le prestataire de services de paiement du payeur n’exige une authentification forte du payeur. Enfin, la charge de la preuve pèse sur la banque : comme le rappelle la cour d’appel de Nîmes au visa de l’article L. 133-23 du code monétaire et financier, lorsqu’un utilisateur nie avoir autorisé une opération, il incombe à son prestataire de services de paiement de prouver que l’opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre, et l’enregistrement de l’utilisation de l’instrument ne suffit pas à lui seul à prouver l’autorisation ou la négligence grave. Vérifiez donc dans la réponse de votre banque si elle démontre autre chose que le fait que vos codes ont servi : sans cette démonstration, son refus reste fragile.
L’enseignement pratique est clair. Un seul appel avec le numéro authentique de votre conseiller affiché, suivi d’une validation immédiate sous l’effet de l’urgence, penche vers l’absence de négligence grave au sens de l’arrêt de 2024. En revanche, des validations répétées sur plusieurs jours, des indices visibles comme un compte destinataire à l’étranger, un appel un jour férié ou des alertes de la banque ignorées exposent au refus de remboursement confirmé par les juges. D’où l’importance des preuves listées plus haut : journal d’appels, captures, chronologie précise.
Deux règles de délai complètent le dispositif. D’une part, le tribunal judiciaire de Paris, le 3 juillet 2025 (RG 24/03431), rappelle que [la banque, en sa qualité de prestataire de services de paiement à laquelle le caractère non autorisé d’une opération a été régulièrement dénoncé par son client dans le délai prévu, est tenue, de plein droit, de rembourser ce dernier, sauf à démontrer l’autorisation donnée à l’opération, d’une part, ou une faute intentionnelle ou une négligence grave de l’utilisateur, d’autre part]. Dans cette affaire portant sur deux paiements de 5 000 euros puis 4 000 euros au profit d’un site de trading, le tribunal a débouté le client parce que la banque établissait des validations par authentification forte et que le client ne justifiait pas du caractère frauduleux des opérations. D’autre part, l’article L. 133-24 du code monétaire et financier impose à l’utilisateur de signaler l’opération non autorisée au plus tard dans les treize mois suivant la date de débit sous peine de forclusion. Contestez donc par écrit sans attendre, même si la banque vous demande d’abord de déposer plainte : les deux démarches avancent en parallèle.
Si la banque maintient son refus après votre réclamation écrite, faites examiner le dossier par un avocat et, à défaut d’accord, portez le litige devant le tribunal judiciaire. Le préjudice moral peut être indemnisé sur le fondement de l’article 1240 du code civil, selon lequel tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer. Le même raisonnement vaut lorsque la fraude commence par le piratage de votre ligne mobile : les escrocs interceptent alors les codes de validation envoyés par message, et la conduite à tenir pour récupérer une ligne piratée et obtenir le remboursement de la banque après un SIM swap suit une logique comparable de blocage immédiat, de preuve et de contestation.
B. Punir l’escroc, tracer l’appel et protéger vos données personnelles
La fraude au faux conseiller bancaire relève d’abord de l’escroquerie. L’article 313-1 du code pénal définit l’escroquerie comme le fait, soit par l’usage d’un faux nom ou d’une fausse qualité, soit par l’abus d’une qualité vraie, soit par l’emploi de manoeuvres frauduleuses, de tromper une personne physique ou morale et de la déterminer ainsi, à son préjudice ou au préjudice d’un tiers, à remettre des fonds, et la punit de cinq ans d’emprisonnement et de 375 000 euros d’amende. Se présenter comme salarié de votre banque avec son numéro usurpé pour vous faire valider des virements correspond exactement à l’usage d’une fausse qualité et à l’emploi de manoeuvres frauduleuses.
Selon les cas, d’autres qualifications s’ajoutent, listées par la fiche officielle de cybermalveillance.gouv.fr : l’accès frauduleux à un système de traitement automatisé de données, puni par l’article 323-1 du code pénal de trois ans d’emprisonnement et de 100 000 euros d’amende lorsque l’escroc pénètre dans votre espace de banque en ligne, et la collecte de données à caractère personnel par un moyen frauduleux, déloyal ou illicite, punie par l’article 226-18 du code pénal de cinq ans d’emprisonnement et de 300 000 euros d’amende, lorsque le fraudeur capte vos données de sécurité pendant l’appel.
Déposez plainte au commissariat ou à la gendarmerie de votre choix, ou par écrit au procureur de la République, en joignant tout votre dossier : journal d’appels, captures, relevés, chronologie, copie de votre réclamation à la banque et de sa réponse. Si vous ne connaissez pas l’auteur, la plainte est déposée contre X, et c’est au procureur de décider de la suite, enquête ou classement. Conservez le récépissé et le numéro de procédure : votre banque peut exiger la copie du dépôt de plainte pour instruire le remboursement, et le juge civil pourra tenir compte de la procédure pénale.
Sur le plan pénal, agissez sans attendre mais sans craindre d’être hors délai : l’action publique des délits se prescrit par six années révolues à compter du jour où l’infraction a été commise, ce qui laisse le temps à l’enquête de retrouver les bénéficiaires des fonds, souvent des comptes ouverts avec des identités usurpées. Si l’enquête n’aboutit pas, votre plainte conserve une utilité civile : elle établit la réalité de la fraude face à une banque qui vous soupçonnerait d’avoir organisé vous-même les virements, hypothèse dans laquelle l’article L. 133-18 autorise la banque à refuser le remboursement et à signaler ses soupçons par écrit à la Banque de France. Plus votre dossier pénal est documenté, plus la voie civile vers le remboursement reste ouverte.
Interrogez-vous enfin sur l’origine des informations détenues par l’escroc. Quand le faux conseiller connaît votre nom, votre banque et parfois le solde approximatif de votre compte, ces données proviennent de quelque part : violation de données subie par un prestataire, informations revendues, ou renseignements extorqués pas à pas pendant l’appel. Demandez à votre banque quelles données de sécurité ont été utilisées et si une faille a été constatée. Vous pouvez exercer votre droit d’accès à vos données personnelles et, si un organisme conserve ou exploite vos données en violation du règlement européen sur la protection des données, saisir la Commission nationale de l’informatique et des libertés par son service de plainte en ligne. Sur le plan technique, signalez l’usurpation de numéro à votre opérateur : depuis le déploiement du mécanisme d’authentification début 2025 et le masquage obligatoire, depuis le 1er janvier 2026, des numéros mobiles non authentifiés provenant de l’étranger, la traçabilité des appels frauduleux s’améliore et chaque signalement aide les autorités à identifier les opérateurs qui laissent passer ces appels.
À chaque étape, gardez une copie de tout : courriers, captures, récépissés de plainte, réponses de la banque. En cas de désaccord persistant sur le remboursement, ce dossier chronologique permet au juge de vérifier qui a fait quoi et quand, et d’appliquer le partage des responsabilités prévu par les articles L. 133-18 et L. 133-19 du code monétaire et financier au vu des décisions rendues depuis 2024.
Conclusion
Un appel qui affiche le numéro de votre banque ne prouve jamais l’identité de votre interlocuteur : aucune banque n’appelle ses clients pour leur faire valider des bénéficiaires ou des virements de sécurisation. Dans l’heure qui suit, faites opposition, alertez votre banque par un canal officiel, déposez plainte et conservez chaque preuve de la manipulation. Pour le remboursement, le droit vous est favorable : la banque rembourse immédiatement l’opération non autorisée, sauf à prouver votre négligence grave, et l’usurpation du numéro de votre conseiller diminue votre vigilance aux yeux de la Cour de cassation. Mais cette protection a des limites, comme le montre la cour d’appel de Nîmes face à des validations répétées malgré des alertes explicites. Écrivez vite, prouvez la tromperie et contestez tout refus de remboursement au vu des décisions rendues en 2024, 2025 et 2026. Dernier point de vigilance : ne laissez pas la banque inverser les rôles en exigeant de vous la preuve d’un fait négatif. Ni l’enregistrement de vos validations, ni le rappel de ses conditions générales ne suffisent : elle doit établir des faits positifs de négligence grave, comme des validations répétées sur plusieurs jours malgré des alertes explicites et opposables, faute de quoi le remboursement immédiat de l’article L. 133-18 reste dû. Exigez cette démonstration par écrit avant tout recours au juge.
Si votre banque oppose un refus écrit, demandez-lui de motiver précisément la négligence grave qu’elle vous reproche et de viser les pièces sur lesquelles elle se fonde : cette motivation conditionne tout recours utile devant le tribunal judiciaire.