Un appel de votre banque, puis un policier en visioconférence devant un drapeau français qui vous demande le numéro de votre pièce d’identité : le piège du faux conseiller bancaire relayé par un faux policier a fait une nouvelle victime signalée le 23 octobre 2026 par France 3 Régions. La mécanique est désormais bien documentée par la fiche réflexe officielle de Cybermalveillance.gouv.fr : l’escroc se présente comme conseiller ou agent du service anti-fraude, dispose de nombreuses informations personnelles pour crédibiliser son arnaque, usurpe parfois le numéro de la banque, puis fait valider à la victime des opérations frauduleuses, dont des virements. La demande est massive : d’après les mesures du cabinet sur Google Ads en France, la requête « arnaque faux conseiller bancaire » totalise 720 requêtes mensuelles en moyenne et « faux conseiller bancaire remboursement » 260, avec des requêtes voisines sur la contestation et le remboursement des virements. Mais le virement dit de sécurisation, validé avec vos codes sous la pression du double appel, sera-t-il remboursé ? La réponse tient en trois régimes complémentaires : le remboursement rapide des opérations non autorisées, la négligence du client qui n’exonère pas la banque fautive sur l’authentification forte, et la vérification européenne du bénéficiaire avant autorisation. Voici comment bloquer, contester, déposer plainte et reprendre la main sur vos données.

I. Le double appel qui met en confiance et les gestes qui figent les dégâts

A. Un scénario calibré : le faux service anti-fraude puis le faux policier

Le mode opératoire signalé ce 23 octobre 2026 par France 3 Régions suit un schéma en deux temps. D’après cet article, un homme prénommé Sébastien reçoit d’abord l’appel d’un individu qui se présente comme appartenant à un service anti-fraude bancaire : un compte aurait été ouvert à son nom et une transaction dite suspecte aurait été bloquée, présentée comme la tentative d’achat d’une arme de catégorie C sur internet. Le faux service bancaire lui fait peur, puis l’invite à déposer plainte rapidement. Sébastien est alors transféré vers un prétendu commissariat : un homme en uniforme, placé devant un drapeau français, lui propose une visioconférence pour vérifier son identité et lui demande le numéro de sa pièce d’identité ainsi que d’autres informations personnelles. La victime refuse de transmettre ses données, l’interlocuteur insiste et tente de l’intimider, puis quitte brutalement la visioconférence lorsque Sébastien fait semblant de rappeler lui-même le service anti-fraude. Selon France 3 Régions, qui cite un service gouvernemental consacré à la transformation numérique, ce hameçonnage par téléphone, appelé vishing, consiste à utiliser un appel téléphonique pour tromper les destinataires en leur faisant croire qu’ils parlent à un conseiller bancaire ou à un autre professionnel de confiance.

Ce récit recoupe point par point la description officielle de la fraude au faux conseiller bancaire publiée par Cybermalveillance.gouv.fr, le dispositif national d’assistance aux victimes d’actes de cybermalveillance. D’après cette fiche réflexe, la fraude consiste à tromper la victime pour lui faire valider des opérations frauduleuses sur ses comptes : l’escroc appelle la victime ou l’incite à le contacter et se présente comme conseiller ou agent du service anti-fraude de sa banque. Il dispose souvent de nombreuses informations la concernant pour crédibiliser son arnaque, telles que l’identité, l’adresse, les coordonnées de carte bancaire, voire le numéro de compte, et dans certains cas il usurpe même un numéro de téléphone de sa banque. L’escroc prétend ensuite avoir identifié des actions suspectes en cours sur le compte et demande à la victime de les confirmer ou lui propose de les bloquer en urgence ; pour cela, il lui demande de communiquer des codes reçus par SMS ou de valider des actions sur son application bancaire, et ces codes ou confirmations permettent en réalité à l’escroc de valider des opérations frauduleuses : achats par carte bancaire, ajout de bénéficiaire et virements.

Trois ressorts rendent ce piège redoutable. Le premier est l’autorité double : la banque qui protège, puis la police qui authentifie. Le faux policier en visioconférence, en uniforme devant un drapeau, exploite le réflexe d’obéissance : face à un uniforme, la victime cesse de vérifier et se met à obtempérer. Le deuxième ressort est l’urgence fabriquée : un compte ouvert à votre nom, une transaction bloquée, une arme achetée avec votre identité. La peur comprime le temps de réflexion et pousse à valider sur-le-champ ce que l’on refuserait à tête reposée. Le troisième ressort est la personnalisation : l’escroc connaît votre nom, votre banque, parfois votre numéro de compte ou de carte. D’après Cybermalveillance.gouv.fr, les informations utilisées par l’escroc pour cibler la victime et crédibiliser son escroquerie ont pu être obtenues de différentes manières : hameçonnage, piratage de compte, virus voleur de mots de passe installé sur un appareil de la victime, ou fuite de données personnelles détenues par une organisation. Autrement dit, le fait que l’appelant connaisse vos données ne prouve jamais qu’il travaille pour votre banque : ces données circulent, se revendent et se réutilisent. La Commission nationale de l’informatique et des libertés décrit d’ailleurs exactement ce second cas d’usurpation d’identité en ligne : selon la CNIL, l’usurpateur envoie à sa victime un message en se faisant passer pour un organisme public ou privé connu et récupère à partir d’un faux site ou d’un courriel des informations personnelles, qui sont ensuite utilisées pour accéder à des comptes sécurisés et effectuer des opérations sous l’identité de la victime. Et la CNIL rappelle la définition de référence : l’usurpation d’identité consiste à utiliser, sans votre accord, des informations permettant de vous identifier.

Face à ce scénario, une règle simple tranche tous les cas : un vrai conseiller ne demande jamais ce que demande le faux. D’après Cybermalveillance.gouv.fr, jamais un conseiller de votre banque ne vous demandera de lui communiquer votre mot de passe, des codes de confirmation ou encore d’effectuer des actions de validation ou d’annulation d’opérations sur votre application bancaire. De même, il ne vous sera jamais demandé par votre banque de lui communiquer le code secret de votre carte bancaire, ni de la remettre à un coursier ou à toute personne envoyée pour la récupérer. Tout appel qui exige un code, une validation dans l’application ou la remise de la carte est donc, par définition, illégitime, quel que soit le numéro affiché sur votre téléphone, car ce numéro peut être usurpé. Le corollaire vaut pour le faux policier : un service de police ne vérifie jamais votre identité en visioconférence improvisée et ne vous demande jamais le numéro de votre pièce d’identité au téléphone pour débloquer un dossier bancaire. En cas de doute, la seule conduite sûre consiste à raccrocher puis à rappeler vous-même votre banque par vos moyens habituels, agence, conseiller habituel, service clients ou messagerie de l’espace client, ainsi que le commissariat ou la gendarmerie par les numéros officiels.

B. Les premières heures : bloquer, tracer, conserver les preuves

Quand le virement dit de sécurisation est déjà parti ou que des codes ont été communiqués, chaque minute compte, car les fonds transitent vite, parfois par virement instantané, et deviennent difficiles à rattraper une fois crédités ailleurs. La fiche réflexe officielle de Cybermalveillance.gouv.fr énumère la séquence à suivre, que tout destinataire d’un tel appel devrait appliquer sans attendre. D’abord, défiez-vous des appels ou messages alarmants qui semblent provenir de votre banque et vérifiez l’information par vous-même en contactant votre banque par vos moyens habituels, agence, conseiller habituel, service clients, messagerie de l’espace client ou application bancaire. Ensuite, ne communiquez à personne vos identifiants et mots de passe, et ne validez en aucun cas des opérations dont vous n’êtes pas à l’origine, même si votre interlocuteur prétend qu’il s’agit de les annuler. Ne communiquez jamais le code secret de votre carte bancaire et ne la confiez à personne.

Sur le plan bancaire, faites sans délai opposition à votre carte bancaire en cas d’appel d’un faux conseiller, et a fortiori si des opérations frauduleuses ont été réalisées avec votre carte, afin d’empêcher toute utilisation malveillante ultérieure. Le numéro d’opposition de votre banque figure sur son site et sur ses distributeurs, et le serveur interbancaire d’opposition reste joignable jour et nuit. Si les escrocs ont accédé à votre compte en ligne ou si vous le soupçonnez, changez au plus vite son code confidentiel et son mot de passe d’accès, ou demandez à votre banque de les réinitialiser. Identifiez ensuite avec précision les opérations frauduleuses : paiements par carte, virements exécutés depuis votre compte et comptes bénéficiaires. Puis alertez votre banque de l’ensemble des paiements et virements frauduleux et, selon le cas, demandez-en le remboursement, la suspension ou encore le retour des fonds ; votre banque pourra exiger une copie de votre dépôt de plainte pour instruire votre demande.

La conservation des preuves conditionne la suite, bancaire comme pénale. D’après la même fiche officielle, conservez les preuves, notamment les numéros de téléphone, les messages ou courriels reçus, les ordres de virement, les relevés de paiements ou toute autre information qui pourrait servir à signaler l’escroquerie aux autorités et qui vous sera réclamée par votre banque. Concrètement, réalisez des captures d’écran de l’historique d’appels avec le numéro affiché, de la conversation et des notifications de validation, exportez le relevé des opérations datées, notez l’heure exacte de chaque appel et le contenu des demandes formulées, et gardez tout message vocal. Si la fraude porte sur votre carte bancaire, signalez les faits sur la plateforme Perceval du ministère de l’Intérieur, qui permet aux victimes de fraude à la carte bancaire de signaler en ligne l’escroquerie, même après remboursement, ce signalement aidant les autorités à identifier les auteurs, sans remplacer le dépôt de plainte. Pour être conseillé dans vos démarches, la plateforme Info Escroqueries du ministère de l’Intérieur répond au 0 805 805 817, du lundi au vendredi. Enfin, mettez à jour vos équipements, réalisez une analyse antivirale complète de vos appareils et vérifiez qu’aucun autre compte en ligne n’est compromis, en changeant les mots de passe et en activant la double authentification partout où elle est disponible.

Cette discipline de l’heure qui suit sert directement le remboursement : la banque ne pourra ni prétendre que vous avez tardé à l’alerter, ni discuter la réalité des opérations, et le juge disposera d’une chronologie documentée. Elle sert aussi la plainte pénale et, le cas échéant, la démonstration d’une fuite de données personnelles en amont, puisque les informations détenues par l’escroc devront bien venir de quelque part.

II. Obtenir le remboursement et faire sanctionner les responsables

A. Le virement validé sous manipulation : qui supporte la perte

Tout l’enjeu financier tient à une distinction que le droit des paiements applique strictement : l’opération non autorisée, que la banque doit en principe rembourser vite, et l’opération que le client a lui-même authentifiée, fût-ce sous l’emprise d’un escroc. En cas d’opération de paiement non autorisée signalée par l’utilisateur, l’article L. 133-18 du code monétaire et financier dispose que le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, sauf s’il a de bonnes raisons de soupçonner une fraude de l’utilisateur et s’il communique ces raisons par écrit à la Banque de France. Le même article prévoit que les sommes dues produisent intérêt au taux légal majoré de cinq points en cas de manquement, puis de dix points au-delà de sept jours de retard et de quinze points au-delà de trente jours. Ce remboursement rapide ne vaut toutefois que pour les opérations non autorisées ou mal exécutées, ce qui exclut en principe le virement que vous avez vous-même validé avec vos codes, même manipulé.

Pour ces virements validés, la banque oppose classiquement la négligence grave du client. L’article L. 133-19 du code monétaire et financier prévoit en effet dans son paragraphe IV que le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17. Ces obligations consistent, d’une part, à prendre toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées et à utiliser l’instrument de paiement conformément aux conditions de sa délivrance, selon l’article L. 133-16 du code monétaire et financier, et d’autre part, lorsqu’il a connaissance de la perte, du vol, du détournement ou de toute utilisation non autorisée de son instrument ou des données liées, à en informer sans tarder son prestataire aux fins de blocage, selon l’article L. 133-17 du même code. Communiquer ses codes à un inconnu au téléphone ou valider un bénéficiaire ajouté par l’escroc caractérise donc bien, en règle générale, une négligence grave au sens de ces textes.

Mais cette négligence, même établie, ne clôt pas le débat, car la loi impose aussi à la banque une contrepartie technique stricte : l’authentification forte. L’article L. 133-44 du code monétaire et financier oblige le prestataire de services de paiement à appliquer l’authentification forte du client lorsque le payeur accède à son compte en ligne, initie une opération de paiement électronique ou exécute une opération par un moyen de communication à distance susceptible de comporter un risque de fraude. Et l’article L. 133-19 du même code ajoute dans son paragraphe V que, sauf agissement frauduleux de sa part, le payeur ne supporte aucune conséquence financière si l’opération de paiement non autorisée a été effectuée sans que le prestataire de services de paiement du payeur n’exige une authentification forte du payeur prévue à l’article L. 133-44. Autrement dit, si la banque n’a pas exigé et fait fonctionner l’authentification forte, elle ne peut pas se retrancher derrière la négligence du client pour refuser le remboursement, sauf à démontrer un agissement frauduleux de celui-ci, notion plus étroite que la simple imprudence.

La Cour de cassation vient de le juger avec netteté dans une espèce de manipulation par message. Par arrêt du 22 octobre 2025, la chambre commerciale, financière et économique a rejeté le pourvoi d’une banque mutualiste contre un jugement qui l’avait condamnée à restituer à son client le montant d’un virement : le client avait répondu à un courriel qu’il pensait adressé par sa banque et communiqué des éléments pour activer le système d’authentification forte, puis constaté le lendemain un virement vers un compte inconnu. La banque refusait le remboursement en invoquant la négligence grave du client, qui avait répondu à un courriel présentant des anomalies grossières et transmis des codes permettant de valider l’ajout d’un bénéficiaire et le virement. La Cour approuve pourtant les juges du fond : il résulte des articles L. 133-44, I et L. 133-19, V du code monétaire et financier que le prestataire doit appliquer l’authentification forte en cas d’opération de paiement à distance et qu’à défaut, il doit rembourser au payeur le montant de l’opération non autorisée, sauf agissement frauduleux du payeur. Dès lors que le tribunal avait retenu à la fois la négligence grave du client et le fait que la banque ne justifiait pas avoir exigé du payeur l’activation de l’authentification forte, il en a exactement déduit que la banque devait rembourser au payeur le montant de l’opération non autorisée. La leçon est directe pour le virement dit de sécurisation validé au téléphone : la banque qui n’a pas imposé l’activation effective de l’authentification forte rembourse, même si le client a commis une lourde imprudence en communiquant ses codes. Cet arrêt, rendu sous le pourvoi numéro 24-19.749, confirme que l’exigence d’authentification forte s’apprécie opération par opération et que son défaut paralyse le moyen tiré de la négligence grave.

Un second front s’ouvre lorsque le virement a transité vers un compte au nom incohérent, car le droit européen impose désormais aux banques de vérifier le bénéficiaire avant l’autorisation. Le règlement européen du 13 mars 2024 sur les virements instantanés, soit le règlement (UE) 2024/886, prévoit dans son article 5 quater que le prestataire de services de paiement du payeur propose un service assurant la vérification du bénéficiaire : il effectue cette vérification immédiatement après que le payeur a fourni les informations pertinentes sur le bénéficiaire et avant que le payeur ne se voie offrir la possibilité d’autoriser le virement concerné, quel que soit le canal d’initiation utilisé. D’après Service-public.fr, à partir du 9 octobre 2025, toutes les banques doivent mettre en place ce système de vérification du bénéficiaire, qui contrôle que le nom renseigné par le client correspond bien à l’IBAN du compte destinataire et informe le client du résultat avant l’exécution afin qu’il confirme, corrige ou annule son opération. Le considérant 22 du même règlement précise la sanction : lorsque des prestataires de services de paiement ne s’acquittent pas correctement de ce service et que cette défaillance débouche sur une opération mal exécutée, ces prestataires devraient rembourser sans retard au payeur le montant transféré et, le cas échéant, rétablir le compte débité dans l’état où il se serait trouvé si l’opération n’avait pas eu lieu. Le tribunal judiciaire de Vannes l’a appliqué le 12 mars 2026 dans une affaire où le client avait été victime d’un détournement de 4 500 euros, non seulement par usurpation du numéro de téléphone de la banque mais encore par un défaut de celle-ci de vérification de la concordance entre l’identifiant du compte bénéficiaire et le nom du compte crédité. Le tribunal condamne la banque à payer 4 500 euros de préjudice matériel et 200 euros de préjudice moral pour le stress et l’anxiété subis, tout en écartant l’application des pénalités de l’article L. 133-18, réservées aux opérations non autorisées ou mal exécutées. La portée est claire : même pour une opération que le client a autorisée, la banque qui omet de vérifier la concordance entre le nom annoncé et le compte destinataire engage sa responsabilité et doit indemniser.

En pratique, la contestation suit donc un ordre précis. Signalez l’opération à votre banque sans tarder, car l’article L. 133-24 du code monétaire et financier impose à l’utilisateur de signaler une opération non autorisée ou mal exécutée au plus tard dans les treize mois suivant la date de débit sous peine de forclusion, sauf si la banque ne lui a pas fourni les informations relatives à l’opération. Mettez la banque en demeure par écrit de rembourser en visant les textes applicables à votre cas : remboursement de l’opération non autorisée sur le fondement de l’article L. 133-18, défaut d’authentification forte exigible sur le fondement des articles L. 133-19 et L. 133-44, ou défaut de vérification du bénéficiaire sur le fondement du règlement européen du 13 mars 2024. Joignez la plainte ou son récépissé, car la banque l’exige souvent pour instruire le dossier, ainsi que l’inventaire des preuves conservées dès la première heure. Si la banque maintient son refus, saisissez le médiateur bancaire, dont les coordonnées figurent dans vos conventions de compte et sur le site de l’établissement, puis le tribunal judiciaire. Les lecteurs confrontés à la variante du faux gendarme au téléphone avec opposition de carte bancaire trouveront le régime des opérations non autorisées par carte dans l’analyse dédiée au faux gendarme au téléphone et au remboursement après opposition, et ceux dont le numéro a été usurpé pour appeler à leur place disposeront du même raisonnement probatoire dans l’analyse consacrée au spoofing téléphonique. À Paris comme ailleurs en Île-de-France, la plainte peut être déposée au commissariat d’arrondissement ou à la brigade de gendarmerie compétente, ou adressée par écrit au procureur de la République du tribunal judiciaire du domicile, avec l’ensemble des pièces.

B. La plainte pénale et la reconquête de vos données personnelles

L’arnaque au faux conseiller relayée par un faux policier concentre à elle seule plusieurs infractions pénales que la plainte doit viser pour être complète. D’abord l’escroquerie : l’article 313-1 du code pénal définit l’escroquerie comme le fait, soit par l’usage d’un faux nom ou d’une fausse qualité, soit par l’abus d’une qualité vraie, soit par l’emploi de manoeuvres frauduleuses, de tromper une personne physique ou morale et de la déterminer ainsi, à son préjudice ou au préjudice d’un tiers, à remettre des fonds, des valeurs ou un bien quelconque, à fournir un service ou à consentir un acte opérant obligation ou décharge. Se présenter comme agent anti-fraude de la banque puis comme policier, afficher un faux numéro, organiser un faux transfert vers un prétendu commissariat et faire valider un virement vers un compte rebond réunit la fausse qualité et les manoeuvres frauduleuses. L’escroquerie est punie de cinq ans d’emprisonnement et de 375 000 euros d’amende. Ensuite, l’accès frauduleux aux systèmes : lorsque l’escroc s’introduit dans votre espace bancaire avec les codes extorqués, l’article 323-1 du code pénal punit de trois ans d’emprisonnement et de 100 000 euros d’amende le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données. Surtout, la collecte de vos données par la ruse constitue une infraction autonome : l’article 226-18 du code pénal punit de cinq ans d’emprisonnement et de 300 000 euros d’amende le fait de collecter des données à caractère personnel par un moyen frauduleux, déloyal ou illicite. Enfin, l’usurpation de l’identité de votre banquier ou d’un policier, ainsi que l’usage de vos propres données pour vous piéger, renvoient à l’article 226-4-1 du code pénal, qui punit d’un an d’emprisonnement et de 15 000 euros d’amende le fait d’usurper l’identité d’un tiers ou de faire usage de données permettant de l’identifier en vue de troubler sa tranquillité ou celle d’autrui, y compris sur un réseau de communication au public en ligne.

La plainte se dépose au commissariat de police ou à la brigade de gendarmerie, ou encore par écrit au procureur de la République du tribunal judiciaire dont vous dépendez, en fournissant toutes les preuves en votre possession, selon la conduite officielle rappelée par Cybermalveillance.gouv.fr. Détaillez dans la plainte chaque maillon : le numéro affiché et son caractère usurpé, les informations exactes que l’appelant détenait déjà sur vous, les codes demandés et les validations effectuées, le compte destinataire du virement, la visioconférence avec le faux policier et les pièces d’identité réclamées. Ces précisions ne servent pas seulement l’enquête pénale : elles documentent l’exploitation de vos données personnelles et permettront, si une fuite en amont est identifiée, d’orienter l’action contre le responsable du traitement défaillant.

Car l’escroc qui connaît votre banque, votre nom et parfois vos références ne les a pas inventés. Vos données ont circulé, et le droit européen vous donne les moyens de remonter la chaîne. Toute personne concernée dispose d’abord d’un droit d’accès : l’article 15 du règlement européen sur la protection des données prévoit que la personne concernée a le droit d’obtenir du responsable du traitement la confirmation que des données à caractère personnel la concernant sont ou ne sont pas traitées et, lorsqu’elles le sont, l’accès auxdites données ainsi que les informations prévues par le texte. Concrètement, écrivez à votre banque pour obtenir la copie des enregistrements de vos appels, des journaux de connexion à votre espace client et de la trace des validations litigieuses, en précisant la période et les opérations concernées ; ces éléments établissent qui a validé quoi, quand et depuis quel appareil, et fondent la contestation du remboursement. Si vous identifiez l’organisme dont la fuite a alimenté l’arnaque, par exemple après notification d’une violation de données vous concernant, vous pouvez introduire une réclamation auprès de la CNIL : l’article 77 du même règlement ouvre à toute personne concernée le droit d’introduire une réclamation auprès d’une autorité de contrôle si elle considère que le traitement de ses données constitue une violation du règlement, comme le rappelle la présentation officielle du chapitre des recours. Et le préjudice subi du fait d’une violation ouvre un droit à réparation propre : l’article 82 du règlement dispose que toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi. Le tribunal de Vannes a d’ailleurs indemnisé à ce titre le stress et l’anxiété du client laissé sans soutien face à l’arnaque.

Devant le juge civil, la réparation du préjudice non couvert par le remboursement bancaire suit le droit commun : l’article 1240 du code civil dispose que tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer. Les actions personnelles se prescrivent par cinq ans à compter du jour où le titulaire d’un droit a connu ou aurait dû connaître les faits lui permettant de l’exercer, selon l’article 2224 du code civil. Constituez donc dès maintenant le dossier complet : captures d’appels et de messages, ordres et relevés de virement, échanges avec la banque, récépissé de plainte, signalement Perceval le cas échéant, demandes d’accès à vos données et réponses reçues. Ce dossier unique alimente à la fois la demande de remboursement adressée à la banque, la plainte pénale contre les escrocs encore inconnus et, si une fuite de données est établie en amont, la réclamation et l’action en réparation contre l’organisme à l’origine de l’exposition de vos informations.

Conclusion

Le faux conseiller bancaire qui bascule votre appel vers un faux policier en visioconférence ne doit plus ni vous faire valider un virement dit de sécurisation, ni vous faire dicter le numéro de votre pièce d’identité. Raccrochez, rappelez vous-même votre banque, faites opposition, changez vos accès, conservez chaque preuve et alertez l’établissement en exigeant la suspension ou le retour des fonds. Le remboursement se joue ensuite sur trois terrains complémentaires : l’opération non autorisée que la banque doit restituer au plus tard à la fin du premier jour ouvré, la négligence grave du client qui ne l’exonère pas lorsque l’authentification forte n’a pas été exigée, comme l’a jugé la Cour de cassation le 22 octobre 2025, et la vérification du bénéficiaire que le règlement européen impose avant toute autorisation, dont le défaut engage la banque comme l’a jugé le tribunal de Vannes en mars 2026. La plainte pour escroquerie, accès frauduleux et collecte illicite de données, le signalement Perceval pour la carte, le droit d’accès à vos enregistrements et journaux, la réclamation à la CNIL et l’action en réparation complètent le dispositif. Chaque maillon compte, car l’escroc n’a réussi que parce que vos données circulaient et que votre vigilance a été surprise : c’est en traitant les deux failles ensemble, bancaire et informationnelle, que le préjudice se répare et que la récidive se prévient.