Votre téléphone affiche soudain « aucun service » alors que vous n’avez rien demandé, vos SMS n’arrivent plus, et le lendemain votre compte bancaire affiche plusieurs virements vers un inconnu que vous n’avez jamais autorisés. Ce scénario n’est ni une panne ni un piratage de votre téléphone : quelqu’un a pris le contrôle de votre numéro de mobile, soit en le faisant porter vers un autre opérateur avec votre relevé d’identité opérateur, soit en faisant émettre une carte e-SIM à votre nom, puis a intercepté les codes de validation envoyés par votre banque. La fraude s’appelle le SIM swap, et les tribunaux français viennent de fixer des règles claires : dans plusieurs décisions rendues entre 2025 et 2026, des banques ont été condamnées à rembourser des dizaines de milliers d’euros, et un opérateur a dû garantir la moitié d’une condamnation de près de 17 000 euros. La première partie décrit le mode opératoire et les réflexes des premières heures, entre opérateur, banque et plainte. La seconde traite du remboursement et des responsabilités, à la lumière de ce que les juges ont tranché sur l’authentification forte, la négligence et la vérification d’identité par les opérateurs.

I. Ligne volée, compte vidé : comprendre l’attaque et verrouiller en quelques heures

A. Portabilité détournée, e-SIM frauduleuse et RIO intercepté : le mode opératoire

Le numéro de mobile est devenu la clé de la banque en ligne : c’est sur lui qu’arrivent les codes de validation des virements et de l’enrôlement des appareils de confiance. Prendre le contrôle du numéro, c’est donc prendre le contrôle des codes. Les fraudeurs utilisent deux voies principales, toutes deux documentées par les décisions de justice récentes. La première est la portabilité détournée : le fraudeur, muni du relevé d’identité opérateur (RIO) de la victime et de pièces d’identité plus ou moins falsifiées, souscrit un abonnement auprès d’un nouvel opérateur et demande la conservation du numéro. La demande de conservation emporte résiliation automatique de l’ancienne ligne, et la victime perd son réseau sans comprendre pourquoi. C’est exactement ce qu’a jugé le tribunal judiciaire de Paris le 25 novembre 2025 : l’abonnement d’une cliente de 82 ans avait été porté frauduleusement vers un nouvel opérateur, quatre virements avaient suivi pour 16 964 euros, et le tribunal a retenu que le seul RIO communiqué ne prouvait pas la volonté de la cliente (TJ Paris, 25 nov. 2025, n° RG 23/09531). La seconde voie est la carte e-SIM émise à l’insu du titulaire : dans un jugement du 9 avril 2026, le tribunal judiciaire de Paris a constaté qu’une e-SIM avait été achetée auprès de l’opérateur dans une agence alors que la cliente se trouvait en vacances loin de là, installée sur un téléphone d’une marque qu’elle ne possédait pas, ce qui avait permis au fraudeur d’entrer dans son téléphone (TJ Paris, 9 avr. 2026, n° RG 25/03920). L’ARCEP rappelle que, pour conserver un numéro en changeant d’opérateur, le demandeur doit prouver qu’il est titulaire du contrat associé au numéro et fournir le relevé d’identité opérateur (RIO), un code unique de douze caractères généré par l’opérateur (ARCEP, conserver son numéro lors d’un changement d’opérateur). Le RIO s’obtient en appelant le 3179 depuis la ligne concernée, et l’ARCEP interdit aux opérateurs d’exploiter une demande de RIO à des fins commerciales. Concrètement, ne dictez jamais votre RIO au téléphone à un interlocuteur qui vous démarche, même s’il se présente comme votre opérateur : le fraudeur n’a besoin que de ce code et d’une pièce d’identité approximative pour déclencher le portage. Si vous recevez un SMS annonçant une portabilité que vous n’avez pas demandée, appelez immédiatement votre opérateur actuel depuis une autre ligne pour la contester, car chaque heure compte avant que le fraudeur n’intercepte les codes bancaires.

Une fois la ligne sous contrôle, le fraudeur intercepte les SMS de la banque, enrôle son propre appareil comme appareil de confiance et valide l’ajout de bénéficiaires puis les virements. Dans une affaire jugée à Paris en juin 2026, les traces informatiques ont montré l’enrôlement d’une clé digitale sur l’appareil du fraudeur après l’envoi d’un SMS sur le téléphone de la cliente, puis un virement exécuté depuis ce nouvel appareil (TJ Paris, 8 juin 2026, n° RG 25/01643). Comprendre cette chaîne est décisif pour la suite : chaque maillon, la délivrance de la ligne par l’opérateur, l’envoi des codes par la banque, la vigilance du titulaire, sera examiné séparément par le juge, et aucun ne se présume.

B. Les gestes des premières heures : opérateur, banque, plainte et preuves

Dès la perte du réseau, appelez votre opérateur depuis une autre ligne pour signaler une portabilité que vous n’avez pas demandée et exiger la restauration de votre ligne et la trace écrite de l’opération contestée : date, agence ou canal de souscription, pièces présentées, RIO utilisé. Cette trace servira contre l’opérateur receveur, tenu de vérifier l’identité du demandeur, comme l’a rappelé le tribunal judiciaire de Paris en condamnant un opérateur à garantir une fraude qu’il n’avait pas su empêcher. Changez ensuite sans délai les mots de passe des comptes sensibles depuis un appareil sain, car le fraudeur a pu intercepter des codes à usage unique et tenter d’enrôler ses appareils sur votre messagerie ou vos réseaux.

Prévenez votre banque le jour même et demandez par écrit le blocage des instruments et le remboursement des opérations contestées. L’article L. 133-17 du code monétaire et financier dispose que « Lorsqu’il a connaissance de la perte, du vol, du détournement ou de toute utilisation non autorisée de son instrument de paiement ou des données qui lui sont liées, l’utilisateur de services de paiement en informe sans tarder, aux fins de blocage de l’instrument, son prestataire ou l’entité désignée par celui-ci ». La rapidité du signalement conditionne le remboursement : l’article L. 133-18 du code monétaire et financier, qui ouvre le droit au remboursement, vise les opérations « signalée par l’utilisateur dans les conditions prévues à l’article L. 133-24 », et cet article impose de signaler « au plus tard dans les treize mois suivant la date de débit sous peine de forclusion » (article L. 133-24 du code monétaire et financier). Signaler dans les treize mois est donc une condition couperet, et signaler le jour même prive la banque de tout argument sur un retard qui aurait aggravé le préjudice. Conservez chaque écrit : accusés de réception, relevés avant et après la fraude, captures des SMS de l’opérateur annonçant la portabilité, attestations de vos déplacements si la souscription a eu lieu dans une agence où vous ne vous trouviez pas, comme dans l’affaire de l’e-SIM jugée en avril 2026.

Déposez plainte auprès de la police ou de la gendarmerie en apportant ces pièces, et mentionnez précisément les qualifications : usage de vos données d’identité et accès frauduleux à vos comptes. L’article 226-4-1 du code pénal punit d’un an d’emprisonnement et de 15 000 euros d’amende « Le fait d’usurper l’identité d’un tiers ou de faire usage d’une ou plusieurs données de toute nature permettant de l’identifier en vue de troubler sa tranquillité ou celle d’autrui, ou de porter atteinte à son honneur ou à sa considération », en précisant que « Cette infraction est punie des mêmes peines lorsqu’elle est commise sur un réseau de communication au public en ligne ». L’article 323-1 du code pénal punit de trois ans d’emprisonnement et de 100 000 euros d’amende « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données », ce qui couvre l’intrusion dans l’espace bancaire en ligne. Le récépissé de plainte servira ensuite auprès de la banque, de l’assureur et de la CNIL. À Paris et en Île-de-France, la plainte peut être préparée en ligne puis déposée dans tout commissariat, et les litiges contre les banques et les opérateurs relèvent du tribunal judiciaire de Paris, dont la neuvième chambre s’est déjà prononcée trois fois sur ces fraudes en 2025 et 2026.

Exercez enfin vos droits sur vos données sans attendre l’issue pénale. Demandez par écrit à l’opérateur et à la banque la communication des données vous concernant : enregistrements de la souscription contestée, journaux d’enrôlement des appareils, relevés des opérations. La CNIL rappelle que l’organisme saisi doit répondre dans un délai d’un mois, prolongeable en cas de demande complexe (CNIL, le droit d’accès). En cas de refus ou de silence, vous pouvez saisir la CNIL avec la preuve de vos démarches, et demander entre-temps « la limitation du traitement », c’est-à-dire le gel de l’utilisation des données. Ces demandes écrites créent des pièces datées que le juge civil lira avec attention.

II. Se faire rembourser et faire sanctionner les fautes : ce que les juges ont tranché

A. La banque rembourse quand l’authentification forte a manqué, même en cas de négligence

Le régime légal est construit autour du consentement. L’article L. 133-7 du code monétaire et financier dispose que « Le consentement est donné sous la forme convenue entre le payeur et son prestataire de services de paiement », et qu’« En l’absence d’un tel consentement, l’opération ou la série d’opérations de paiement est réputée non autorisée ». Une fois l’opération non autorisée signalée, l’article L. 133-18 du même code impose que « le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant », sauf soupçon motivé de fraude de l’utilisateur transmis par écrit à la Banque de France. La charge de la preuve pèse sur la banque : l’article L. 133-23 exige d’elle qu’elle prouve que l’opération « a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre », et précise que « L’utilisation de l’instrument de paiement telle qu’enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l’opération a été autorisée par le payeur ou que celui-ci n’a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant en la matière ». Autrement dit, les journaux de la banque ne suffisent pas à eux seuls : c’est à elle d’établir la fraude ou la négligence grave du client.
L’articulation entre la négligence du client et l’authentification forte a été tranchée par la Cour de cassation le 22 octobre 2025. Un client avait répondu à un courriel frauduleux et communiqué des codes permettant d’ajouter un bénéficiaire et d’exécuter un virement, le premier juge avait retenu sa négligence grave en relevant des anomalies qui auraient dû attirer son attention, et la banque invoquait cette faute pour refuser tout remboursement. La Cour a néanmoins rejeté le pourvoi de la banque : il résulte des articles L. 133-44 et L. 133-19 du code monétaire et financier que « le prestataire de service de paiement doit appliquer l’authentification forte du client définie au f) de l’article L. 133-4 du même code en cas d’opération de paiement à distance et qu’à défaut, il doit rembourser au payeur le montant de l’opération non autorisée, sauf agissement frauduleux du payeur », alors même que la négligence grave était établie (Cass. com., 22 oct. 2025, n° 24-19.749). La règle vaut a fortiori pour le SIM swap, où la victime n’a souvent rien communiqué du tout : sa ligne a été détournée à son insu. L’article L. 133-19 du code monétaire et financier le dit en toutes lettres : « Sauf agissement frauduleux de sa part, le payeur ne supporte aucune conséquence financière si l’opération de paiement non autorisée a été effectuée sans que le prestataire de services de paiement du payeur n’exige une authentification forte du payeur prévue à l’article L. 133-44 ».

L’authentification forte n’est pas un simple code reçu par SMS. L’article L. 133-44 oblige la banque à l’appliquer lorsque le payeur accède à son compte en ligne, initie un paiement électronique ou agit à distance avec un risque de fraude, et l’article L. 133-4 la définit comme « une authentification reposant sur l’utilisation de deux éléments ou plus appartenant aux catégories  » connaissance  » (quelque chose que seul l’utilisateur connaît),  » possession  » (quelque chose que seul l’utilisateur possède) et  » inhérence  » (quelque chose que l’utilisateur est) ». Or, quand le fraudeur contrôle la ligne, le SMS ne prouve plus la possession par le vrai titulaire : la cour d’appel d’Amiens l’a jugé le 23 octobre 2025 dans une affaire de SIM swapping visant une société, en constatant qu’à la date des virements la banque n’avait mis en place aucune authentification forte pour les virements eux-mêmes, et elle a condamné la banque à rembourser 22 465 euros avec intérêts, tout en rejetant son appel en garantie contre l’opérateur (CA Amiens, 23 oct. 2025, n° RG 23/05055). De même, le tribunal judiciaire de Paris a condamné en avril 2026 une banque à rembourser 5 444,42 euros après une e-SIM frauduleuse, la cliente n’ayant jamais communiqué ses codes et la banque ne démontrant pas une authentification forte valable (TJ Paris, 9 avr. 2026, n° RG 25/03920).

Quand la banque refuse le remboursement, contestez par écrit en visant les textes et exigez la preuve de l’authentification forte opération par opération, puis saisissez le médiateur bancaire avant d’assigner : le refus de la banque devant le médiateur, comme dans l’affaire de l’e-SIM de 2026, n’empêche pas le juge de condamner ensuite. Chiffrez le préjudice dès la mise en demeure : capital détourné, intérêts au taux légal à compter de la mise en demeure ou de l’assignation, frais bancaires prélevés sur la période de fraude, et, lorsque le comportement de la banque a retardé indûment le remboursement, intérêts majorés que le tribunal de Paris a appliqués à hauteur de quinze points dans l’affaire des 16 964 euros. Joignez les relevés qui isolent chaque opération contestée des opérations légitimes, car le juge ne rembourse que les débits non autorisés démontrés, ainsi que l’a montré le décompte au centime près retenu contre la BRED. Les décisions consultées pour cet article n’accordent en revanche ni astreinte ni réparation automatique du préjudice moral : ces demandes ont été rejetées à Paris comme dans l’affaire de l’e-SIM, de sorte qu’il faut les réserver aux dossiers où un préjudice distinct est documenté par des pièces médicales, des attestations ou des frais engagés.

La limite existe cependant, et une décision parisienne de juin 2026 la dessine nettement : lorsque la banque démontre une authentification forte réelle, avec enrôlement d’une clé digitale nécessitant une action du titulaire sur son appareil de confiance, et que les traces établissent l’implication du client dans l’enrôlement du nouvel appareil, le remboursement est refusé et le client débouté (TJ Paris, 8 juin 2026, n° RG 25/01643). La leçon est double : ne validez jamais un code ou un enrôlement que vous n’avez pas initié, car l’article L. 133-16 vous impose de l’utilisateur qui « prend toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées », et conservez la preuve que vous n’avez rien validé. La frontière entre la victime qui obtient 22 465 euros et celle qui est déboutée passe par cette preuve de l’authentification.

B. L’opérateur qui laisse porter la ligne, la plainte pénale et la protection des données

La conservation du numéro est un droit, pas une faille : l’article L. 44-4 du code des postes et des communications électroniques oblige les opérateurs à proposer aux abonnés « de conserver leur numéro non géographique, fixe ou mobile, lorsqu’ils changent d’opérateur », et l’article D. 406-18 du même code précise que « La demande de conservation du numéro est adressée par l’abonné à l’opérateur receveur », à qui « L’abonné fournit à l’opérateur receveur les informations nécessaires au traitement de sa demande ». La décision de l’ARCEP du 30 mars 2006 ajoute que l’opérateur receveur s’assure de la capacité du demandeur à exercer son droit et que la demande doit être présentée par le titulaire ou une personne dûment mandatée. Le tribunal judiciaire de Paris en a tiré les conséquences le 25 novembre 2025 : l’opérateur qui active une portabilité sur la seule connaissance du RIO, sans vérifier l’identité du demandeur, commet une faute, et le paiement de l’abonnement sur une borne sécurisée ne le dispense pas de cette vérification (TJ Paris, 25 nov. 2025, n° RG 23/09531). Sur le fondement de l’article 1240 du code civil, selon lequel « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer », le tribunal a écarté la négligence grave invoquée contre la victime, jugé que le seul RIO communiqué ne prouvait pas sa volonté, puis condamné la banque à payer 16 964 euros aux héritiers de la victime avec intérêts au taux légal majoré de quinze points, et condamné l’opérateur à garantir cette condamnation à hauteur de cinquante pour cent. Il a en revanche rejeté les demandes d’astreinte et de dommages et intérêts pour préjudice moral, preuve que le juge indemnise intégralement le préjudice financier démontré mais n’accorde strictement rien au forfait. Avant d’assigner, saisissez le médiateur : celui des communications électroniques pour l’opérateur, celui de la banque pour l’établissement. La médiation est gratuite pour le consommateur et suspend la prescription à compter de l’accord des parties ou de la première réunion, mais elle n’aboutit pas toujours, comme le montre l’affaire de l’e-SIM où la banque avait refusé la proposition du médiateur avant d’être condamnée en justice.

Au pénal, la plainte doit viser les deux volets de la fraude : l’usurpation d’identité et l’intrusion dans les comptes. Les peines encourues, un an d’emprisonnement et 15 000 euros d’amende pour l’usurpation commise en ligne, trois ans et 100 000 euros pour l’accès frauduleux au système bancaire, donnent à l’enquête des moyens de réquisition auprès des opérateurs et des banques que la seule action civile n’offre pas. Les relevés de portabilité, les enregistrements de souscription et les journaux d’enrôlement, que vous aurez demandés par vos droits d’accès, deviennent alors des preuves croisées entre le pénal et le civil.

Enfin, si vos données ont circulé, sachez que les professionnels ont leurs propres obligations : tout organisme qui subit une violation de données personnelles présentant un risque pour les droits des personnes doit notifier cette violation à la CNIL au plus tôt et dans un délai maximal de soixante-douze heures (CNIL, les règles à suivre en cas de violation). Vous n’avez pas à effectuer cette notification à leur place, mais vous pouvez signaler les faits à la CNIL et demander l’effacement des données frauduleuses une fois l’enquête et l’expertise terminées, en conservant jusque-là toutes les pièces. Les lecteurs confrontés à une fraude voisine, par exemple un faux courriel de remboursement d’impôt suivi d’une opposition sur remboursement, trouveront dans l’analyse d’une arnaque au faux remboursement fiscal les réflexes symétriques côté banque et plainte.

Protéger son RIO comme un code secret, ne jamais valider un enrôlement non sollicité, signaler à la banque le jour même et dans tous les cas dans les treize mois, déposer plainte avec des pièces datées, exiger de l’opérateur la trace de la souscription contestée : chacune de ces étapes a fait la différence entre les victimes remboursées et celle qui a été déboutée dans les décisions de 2025 et 2026. Le SIM swap exploite la confiance que la banque accorde au SMS, et chaque étape soigneusement documentée renforce durablement le dossier ; le droit répond en déplaçant la preuve vers ceux qui conçoivent les systèmes, banque et opérateur, dès lors que la victime démontre qu’elle n’a rien autorisé.