Le 15 octobre 2026, la Cour de justice de l’Union européenne a rendu un arrêt dont Le Parisien racontait le 15 octobre 2026, dans un article mis à jour le 17 octobre la teneur en ces termes : les victimes d’opérations non autorisées, comme le phishing, doivent être remboursées « immédiatement » par leur banque, même en cas de « négligence grave ». L’espèce à l’origine de l’arrêt rendu le 15 octobre 2026 par la Cour de justice de l’Union européenne, affaire C-70/25 est celle d’une cliente polonaise victime d’un hameçonnage : un escroc s’y présentant comme intéressé par l’achat d’un objet qu’elle vendait sur un portail de vente en ligne a obtenu ses données puis transféré depuis son compte la somme de 3 000 zlotys, environ 705 euros, au moyen d’un code de confirmation transmis par SMS et soutiré par tromperie ; le lendemain, la cliente a signalé l’opération à sa banque et à la police, mais l’établissement a refusé le remboursement en invoquant sa négligence grave (l’arrêt rendu le 15 octobre 2026 par la Cour de justice de l’Union européenne, affaire C-70/25). Cette cliente avait réagi vite. Mais que se passe-t-il quand la victime découvre les virements frauduleux des mois plus tard, sur un relevé qu’elle n’avait pas ouvert, ou quand la banque traîne avant de répondre et que le procès ne s’ouvre que l’année suivante ? C’est exactement la situation jugée le 1er juillet 2026 par la chambre commerciale de la Cour de cassation : un client avait signalé à sa banque, le 30 juin 2023, deux virements contestés débités les 28 octobre et 2 novembre 2022, puis l’avait assignée le 16 février 2024, et la cour d’appel de Toulouse avait déclaré son action forclose parce que l’assignation intervenait plus de treize mois après les débits. La Cour de cassation a cassé cet arrêt et posé une distinction que toute victime d’arnaque bancaire doit connaître : le signalement à la banque obéit au délai couperet de treize mois, tandis que l’action en justice contre la banque obéit au délai de droit commun de cinq ans (Cass. com., 1er juillet 2026, n° 25-16.495). Cet article explique ces deux délais, le remboursement que la banque doit verser au plus tard à la fin du premier jour ouvré suivant le signalement, et les preuves que chacun doit apporter. Il complète deux analyses déjà publiées sur ce site, consacrées au remboursement immédiat imposé par l’arrêt européen du 15 octobre 2026 (lire : négligence grave et remboursement après l’arrêt CJUE du 15 octobre 2026) et, côté site parisien du cabinet, au cas du faux conseiller bancaire (lire : remboursement après une arnaque au faux conseiller).

I. Le signalement à la banque : sans tarder, au plus tard dans les treize mois du débit

A. Que faire quand on découvre des virements que l’on n’a pas ordonnés : le double délai de l’article L. 133-24

Le texte qui commande tout le raisonnement figure à l’article L. 133-24 du code monétaire et financier : « L’utilisateur de services de paiement signale, sans tarder, à son prestataire de services de paiement une opération de paiement non autorisée ou mal exécutée et au plus tard dans les treize mois suivant la date de débit sous peine de forclusion à moins que le prestataire de services de paiement ne lui ait pas fourni ou n’ait pas mis à sa disposition les informations relatives à cette opération de paiement conformément au chapitre IV du titre 1er du livre III. » La formule contient deux exigences cumulatives que la Cour de cassation a isolées dans son arrêt du 1er juillet 2026 : « Il résulte de ce texte que le titulaire du compte qui conteste avoir autorisé une opération de paiement doit la signaler sans tarder au prestataire de services de paiement dès qu’il en a connaissance et, au plus tard dans le délai de treize mois suivant la date du débit, sous peine d’être privé de son droit à en demander la rectification sur son compte » (Cass. com., 1er juillet 2026, n° 25-16.495). Concrètement, la victime qui ouvre son relevé et découvre un virement qu’elle n’a pas ordonné doit donc prévenir sa banque dès qu’elle en a connaissance, par un signalement qui identifie l’opération contestée, puis conserver la preuve de la date de ce signalement, car c’est cette date que le juge comparera ensuite au délai de treize mois courant depuis chaque débit. Dans l’affaire jugée en juillet 2026, le client avait signalé le 30 juin 2023 des virements des 28 octobre et 2 novembre 2022, soit environ huit mois après le premier débit et moins de huit mois après le second : le signalement respectait le délai de treize mois, et la discussion ne portait plus que sur la date de l’assignation en justice, délivrée le 16 février 2024 (Cass. com., 1er juillet 2026, n° 25-16.495). Les internautes qui cherchent aujourd’hui comment « contester un paiement frauduleux » ou « annuler un virement frauduleux » doivent retenir ce premier réflexe : le signalement rapide à la banque protège le droit au remboursement, et le relevé de compte doit être lu ligne à ligne, car le délai de treize mois court depuis la date de chaque débit, opération par opération, et non depuis la découverte globale de l’arnaque (article L. 133-24 du code monétaire et financier). Le texte prévoit une seule réserve au profit de l’utilisateur : la forclusion ne joue pas quand la banque « ne lui ait pas fourni ou n’ait pas mis à sa disposition les informations relatives à cette opération de paiement conformément au chapitre IV du titre 1er du livre III » (article L. 133-24 du code monétaire et financier), c’est-à-dire quand le client n’a jamais reçu les relevés et informations qui lui auraient permis de repérer le débit. Enfin, le même article précise que : « Sauf dans les cas où l’utilisateur est une personne physique agissant pour des besoins non professionnels, les parties peuvent convenir d’un délai distinct » (article L. 133-24 du code monétaire et financier) : un particulier ne peut donc pas se voir imposer par contrat un délai plus court que treize mois, tandis qu’un professionnel titulaire d’un compte peut avoir accepté une clause différente, qu’il faut relire avant d’agir.

B. Treize mois dépassés : la forclusion prive du droit à rectification, et la banque doit quand même avoir informé

La sanction du délai de treize mois est une forclusion, et la Cour de cassation l’exprime sans détour : le titulaire qui ne signale pas à temps est « privé de son droit à en demander la rectification sur son compte » (Cass. com., 1er juillet 2026, n° 25-16.495). La forclusion n’est pas une simple prescription que le juge pourrait écarter : une fois le délai expiré, la demande de rectification devient irrecevable, et l’action en remboursement construite sur le fondement des articles L. 133-18 et suivants tombe avec elle. C’est ce qui rend la lecture régulière des relevés vitale : une victime qui laisse passer plus de treize mois depuis le débit sans rien signaler perd le bénéfice du régime protecteur des opérations non autorisées, même si l’escroquerie est ensuite établie par une plainte et une enquête. La seule porte de sortie prévue par le texte tient aux informations que la banque devait fournir : si l’établissement n’a pas mis à disposition les informations relatives à l’opération conformément au chapitre IV du titre 1er du livre III, la forclusion ne peut pas être opposée (article L. 133-24 du code monétaire et financier). En pratique, cet argument suppose de démontrer que les relevés n’ont jamais été adressés ni rendus accessibles en ligne, ce qui reste exceptionnel à l’époque des espaces clients numériques. Hors ce cas, le calendrier est implacable : chaque débit contesté doit être signalé dans les treize mois de sa date, et le signalement doit intervenir « sans tarder » dès la connaissance de l’opération, deux conditions que le juge vérifie séparément. Le client de l’arrêt de juillet 2026 avait satisfait aux deux — signalement huit mois après les débits, dès qu’il avait fait le lien — et c’est pour cela que la Cour a censuré la cour d’appel qui confondait ce délai de signalement avec le délai de l’action en justice (Cass. com., 1er juillet 2026, n° 25-16.495). Retenir l’essentiel : passé treize mois sans signalement, le droit à la rectification est perdu (Cass. com., 1er juillet 2026, n° 25-16.495) ; signalé à temps, le dossier entre dans la seconde phase, celle du remboursement et, si la banque résiste, du procès dans le délai de droit commun.

II. Une fois le signalement fait à temps : remboursement immédiat et action en justice dans les cinq ans

A. Contester le refus de la banque : le remboursement au plus tard à la fin du premier jour ouvré, même en cas de négligence grave

Dès que l’opération non autorisée est signalée dans les conditions de l’article L. 133-24, l’article L. 133-18 du code monétaire et financier impose au prestataire du payeur ce qui suit : « le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, sauf s’il a de bonnes raisons de soupçonner une fraude de l’utilisateur du service de paiement et s’il communique ces raisons par écrit à la Banque de France ». Le texte ajoute que la banque « rétablit le compte débité dans l’état où il se serait trouvé si l’opération de paiement non autorisée n’avait pas eu lieu » (article L. 133-18 du code monétaire et financier). La seule exception admise tient donc à la fraude commise par le client lui-même : la banque doit avoir de bonnes raisons de soupçonner que son client a organisé la fausse arnaque pour se faire rembourser, et elle doit écrire ces raisons à la Banque de France. Hors ce cas étroit, elle paie d’abord et discute ensuite. C’est exactement ce que l’arrêt européen du 15 octobre 2026, affaire C-70/25, est venu confirmer à l’échelle de l’Union, en interprétant l’article 73, paragraphe 1, et l’article 74, paragraphe 1, de la directive 2015/2366 sur les services de paiement : la Cour y dit pour droit qu’un prestataire ne peut pas refuser le remboursement immédiat d’une opération non autorisée au motif d’une négligence grave du payeur (lire le compte rendu du Parisien). Autrement dit, la négligence grave du client — avoir cliqué sur un faux lien, avoir saisi ses codes sur un faux site, avoir transmis un code SMS — ne permet plus de refuser le remboursement immédiat ; elle ne peut jouer qu’au stade du solde définitif, puisque le payeur « supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17 » (article L. 133-19 du code monétaire et financier), et c’est alors à la banque de prouver cette négligence. Cette répartition de la preuve est verrouillée par l’article L. 133-23 du code monétaire et financier : « Lorsqu’un utilisateur de services de paiement nie avoir autorisé une opération de paiement qui a été exécutée […], il incombe à son prestataire de services de paiement de prouver que l’opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre », et : « L’utilisation de l’instrument de paiement telle qu’enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l’opération a été autorisée par le payeur ou que celui-ci n’a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant en la matière ». Le seul journal informatique de la banque ne suffit donc jamais : elle « fournit des éléments afin de prouver la fraude ou la négligence grave commise par l’utilisateur de services de paiement » (article L. 133-23 du code monétaire et financier). Les juges appliquent cette règle avec fermeté. Le 10 février 2026, la cour d’appel de Besançon a confirmé la condamnation d’une banque à restituer 4 998 euros à des époux victimes d’un SMS frauduleux annonçant le blocage de leur carte : l’épouse avait cliqué sur le lien, un virement avait été validé via le dispositif d’authentification de l’application, et la banque déduisait de ce seul enchaînement technique une négligence grave. La cour a rejeté ce raisonnement présomptif en rappelant que la preuve « ne peut résulter d’un raisonnement présomptif et être ainsi déduite du seul usage de l’instrument de paiement ou des données personnelles qui lui sont liées », en visant l’arrêt de la chambre commerciale du 18 janvier 2017, n° 15-18.102, puis a jugé que le simple clic sur le lien, « sans intention de valider le paiement », ne caractérise aucune négligence grave au sens des textes (CA Besançon, 1re ch. civ. et com., 10 février 2026, RG 24/01852). La cour a aussi rappelé le standard européen de la faute : reprenant le considérant 72 de la directive (UE) 2015/2366 sur les services de paiement, dite DSP 2, elle écrit que « Si la négligence implique un manquement au devoir de diligence, la négligence grave devrait impliquer plus qu’une simple négligence et comporter un défaut de vigilance caractérisé », avant d’en déduire que la négligence grave « doit s’entendre de tout manquement qualifié au devoir de vigilance tel qu’explicité à l’article L. 133-16 » du code (CA Besançon, 1re ch. civ. et com., 10 février 2026, RG 24/01852). Or l’article L. 133-16 du code monétaire et financier demande simplement à l’utilisateur, « dès qu’il reçoit un instrument de paiement », de « prend toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées » et d’utiliser l’instrument « conformément aux conditions régissant sa délivrance et son utilisation ». Un clic malheureux sur un faux message ne constitue donc pas, à lui seul, le défaut de vigilance caractérisé qu’exige la loi. Symétriquement, les banques ne peuvent pas se retrancher derrière une authentification forte qu’elles n’ont jamais fait activer : le 22 octobre 2025, la chambre commerciale a rejeté le pourvoi d’une banque qui refusait de rembourser un client hameçonné par un faux courriel au motif de sa négligence grave, en jugeant : « Il résulte des articles L. 133-44, I et L. 133-19, V du code monétaire et financier que le prestataire de service de paiement doit appliquer l’authentification forte du client définie au f) de l’article L. 133-4 du même code en cas d’opération de paiement à distance et qu’à défaut, il doit rembourser au payeur le montant de l’opération non autorisée, sauf agissement frauduleux du payeur », et que le tribunal avait « exactement déduit que la banque devait rembourser au payeur le montant de l’opération non autorisée » dès lors qu’elle « ne justifie […] pas avoir exigé du payeur l’activation de l’authentification forte », alors même que le client avait commis une négligence grave en répondant à un courriel « présentant des anomalies grossières » (Cass. com., 22 octobre 2025, n° 24-19.749). L’authentification forte, que l’article L. 133-44 du code monétaire et financier impose à la banque « Initie une opération de paiement électronique » ou « une opération par le biais d’un moyen de communication à distance », est donc une obligation de l’établissement avant d’être un bouclier contre le client. Enfin, la banque qui tarde à rembourser s’expose aux pénalités de l’article L. 133-18 : « Les sommes dues produisent intérêt au taux légal majoré de cinq points », puis « Au-delà de sept jours de retard […] majoré de dix points » et « Au-delà de trente jours de retard […] majoré de quinze points » (article L. 133-18 du code monétaire et financier). Le retard coûte cher, et chaque jour de résistance abusive augmente la dette.

B. Agir en justice après un signalement à temps : le délai de droit commun de cinq ans, pas treize mois

C’est l’apport central de l’arrêt du 1er juillet 2026, et il corrige une erreur que la cour d’appel de Toulouse avait commise : « Il s’en déduit que le titulaire du compte qui signale sans tarder l’opération non autorisée dès qu’il en a connaissance et, au plus tard dans le délai de treize mois du débit, peut agir en remboursement contre le prestataire de services de paiement dans le délai de droit commun » (Cass. com., 1er juillet 2026, n° 25-16.495). Le client avait signalé ses deux virements le 30 juin 2023, dans les treize mois des débits d’octobre et novembre 2022, puis assigné sa banque le 16 février 2024. La cour d’appel avait jugé qu’« l’assignation en paiement ayant été délivrée le 16 février 2024, soit plus de treize mois plus tard, l’action encourt la forclusion ». La Cour de cassation répond : « En statuant ainsi, la cour d’appel a violé le texte susvisé », casse l’arrêt de Toulouse et renvoie l’affaire devant la même cour autrement composée, en condamnant la banque aux dépens et à 3 000 euros au titre de l’article 700 du code de procédure civile (Cass. com., 1er juillet 2026, n° 25-16.495). Le délai de droit commun applicable à l’action en paiement est celui de l’article 2224 du code civil : « Les actions personnelles ou mobilières se prescrivent par cinq ans à compter du jour où le titulaire d’un droit a connu ou aurait dû connaître les faits lui permettant de l’exercer. » L’action en remboursement d’opérations non autorisées, action personnelle en paiement, se prescrit donc par cinq ans, et le point de départ de ces cinq ans se situe au jour où la victime a connu ou aurait dû connaître les faits lui permettant d’agir, conformément à ce texte (article 2224 du code civil). Deux calendriers coexistent par conséquent : treize mois depuis chaque débit pour prévenir la banque, sous peine de forclusion (article L. 133-24 du code monétaire et financier), puis cinq ans depuis la connaissance des faits pour saisir le juge si la banque ne rembourse pas (article 2224 du code civil) (Cass. com., 1er juillet 2026, n° 25-16.495). Dans le dossier toulousain, les deux conditions étaient remplies et seule la confusion entre les deux délais avait fait échec à la demande. Ce raisonnement éclaire aussi la situation inverse, celle des victimes qui découvrent l’arnaque très vite, comme la cliente polonaise de l’affaire européenne qui avait signalé sa perte dès le lendemain : le signalement immédiat sécurise le premier délai et fait courir l’obligation de remboursement au plus tard à la fin du premier jour ouvré suivant, avec les intérêts majorés en cas de retard (article L. 133-18 du code monétaire et financier). Reste la question du partage financier quand l’opération est définitivement jugée non autorisée et que le client a été gravement négligent : l’article L. 133-19 du code monétaire et financier prévoit que : « Le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17 », tout en ajoutant que, « Sauf agissement frauduleux de sa part, le payeur ne supporte aucune conséquence financière si l’opération de paiement non autorisée a été effectuée sans que le prestataire de services de paiement du payeur n’exige une authentification forte du payeur prévue à l’article L. 133-44 ». La négligence grave ne joue donc qu’au stade du solde définitif, jamais comme motif de refus immédiat, et elle disparaît entièrement quand la banque n’a pas exigé l’authentification forte. Pour le surplus, le même article plafonne à 50 euros les pertes supportées par le payeur avant son information en cas de perte ou de vol de l’instrument (article L. 133-19 du code monétaire et financier), régime de la carte perdue ou volée qui ne doit pas être confondu avec celui de l’hameçonnage, où l’instrument n’a ni été perdu ni été volé. En pratique, la victime jointe à son signalement puis, si nécessaire, à son assignation : le relevé faisant apparaître chaque débit contesté, la copie datée du signalement adressé à la banque, le dépôt de plainte qui fige les faits et l’enchaînement de l’escroquerie, ainsi que tous les messages reçus des escrocs, sans jamais transmettre à quiconque ses codes et identifiants. Ces pièces servent le signalement des treize mois comme l’action des cinq ans, et elles répondent par avance à l’argument de négligence grave que la banque devra prouver par des éléments propres, sans se contenter de son journal informatique (article L. 133-23 du code monétaire et financier).

Ce que dit le droit, en trois phrases

Première phrase : l’utilisateur qui conteste un paiement non autorisé doit le signaler à sa banque sans tarder dès qu’il en a connaissance et au plus tard dans les treize mois du débit, sous peine d’être privé de son droit à rectification (article L. 133-24 du code monétaire et financier). Deuxième phrase : une fois ce signalement fait à temps, la banque rembourse au plus tard à la fin du premier jour ouvré suivant, et le client peut agir en justice dans le délai de droit commun de cinq ans, comme l’a jugé la Cour de cassation le 1er juillet 2026 en cassant l’arrêt de Toulouse (Cass. com., 1er juillet 2026, n° 25-16.495). Troisième phrase : la négligence grave du client, même établie, ne permet pas de refuser ce remboursement immédiat, et si la banque n’a pas exigé l’authentification forte, le client ne supporte aucune conséquence financière, sauf fraude de sa part (article L. 133-19 du code monétaire et financier ; Cass. com., 22 octobre 2025, n° 24-19.749).

Conclusion

Le droit des arnaques bancaires tient en deux calendriers que l’arrêt du 1er juillet 2026 a définitivement séparés : treize mois depuis chaque débit pour signaler à la banque, sous peine de forclusion, puis cinq ans depuis la connaissance des faits pour agir en remboursement si la banque résiste (article L. 133-24 du code monétaire et financier ; article 2224 du code civil ; Cass. com., 1er juillet 2026, n° 25-16.495). Entre les deux, le remboursement immédiat s’impose à la banque au plus tard à la fin du premier jour ouvré suivant le signalement, sans que la négligence grave du client puisse justifier un refus, et avec des intérêts majorés qui sanctionnent chaque semaine de retard (article L. 133-18 du code monétaire et financier). La banque qui invoque la faute de son client doit la prouver par des éléments propres, sans déduire une négligence grave du seul usage de l’instrument de paiement, et elle perd ce débat d’emblée quand elle n’a jamais fait activer l’authentification forte (article L. 133-23 du code monétaire et financier ; Cass. com., 22 octobre 2025, n° 24-19.749). La cliente polonaise de l’affaire européenne avait signalé dès le lendemain ; le client toulousain avait signalé dans les huit mois et assigné dans l’année : tous deux avaient fait l’essentiel à temps, et la justice leur a donné raison sur le principe. Pour les victimes qui découvrent aujourd’hui des débits anciens, le réflexe reste le même : vérifier depuis quand court chaque délai de treize mois (article L. 133-24 du code monétaire et financier), signaler par écrit sans attendre, puis, si la banque oppose un refus fondé sur une prétendue négligence, faire trancher le juge dans le délai de cinq ans (article 2224 du code civil).