Un SMS qui annonce un colis bloqué, un courriel qui reproduit le logo de votre banque et réclame une vérification urgente, un appel d’un prétendu conseiller qui dicte une procédure de sécurisation : le hameçonnage, appelé phishing par message et vishing par téléphone, reste le point d’entrée le plus fréquent de la fraude aux données personnelles en France. Son objectif est simple et il est décrit en ces termes par l’administration : se faire passer pour un site familier, un organisme officiel ou l’un de vos contacts afin de dérober des données personnelles ou des coordonnées bancaires pour en faire un usage frauduleux, par exemple une escroquerie ou une usurpation d’identité (service-public.fr). Beaucoup de destinataires suppriment le message et passent à autre chose, ce qui laisse l’expéditeur libre de recommencer. D’autres cliquent, composent leurs identifiants sur une fausse page, puis découvrent des virements qu’ils n’ont jamais voulus.
Cet article décrit la chaîne complète de la réaction utile : sécuriser dans les premières minutes, conserver les preuves, signaler au bon guichet selon le canal utilisé, déposer une plainte avec la qualification pénale exacte, exiger de la banque le remboursement des opérations non autorisées et demander réparation. Chaque étape s’appuie sur des textes vérifiés à jour et sur trois décisions de justice rendues sur des faits de ce type, dont une cour d’appel qui a confirmé en janvier 2026 la condamnation d’une banque à restituer 23 000 euros après un hameçonnage. L’apport de ce guide par rapport aux pages purement pratiques des sites publics tient à ce chaînage juridique : les pages officielles expliquent où signaler, cet article explique en plus sur quel fondement contraindre et qui supporte la perte quand chacun se renvoie la responsabilité.
I. Réagir dans l’heure : verrouiller l’accès et figer les preuves
A. Ne pas répondre, ne pas cliquer, conserver chaque trace
La première règle face à un message suspect est l’abstention : ne communiquez aucune information personnelle par message, par courriel ou par téléphone, car les administrations et les grandes plateformes ne demandent jamais de renseignements sensibles par ces canaux (service-public.fr). Si le message contient un lien, ne cliquez pas dessus. Depuis un ordinateur, vous pouvez survoler le lien pour afficher l’adresse réelle de destination et la comparer avec celle du véritable site. Un indice courant est l’adresse d’expédition qui n’a aucun rapport avec l’organisme invoqué, ou une orthographe et une signature approximatives. Votre navigateur peut aussi afficher un avertissement avant l’ouverture d’un site signalé comme frauduleux.
La seconde règle est la conservation. Si vous êtes victime d’un hameçonnage, conservez le message reçu, réalisez une capture d’écran du site frauduleux, notez le numéro de téléphone utilisé pour un appel malveillant et copiez l’adresse exacte de la fausse page (service-public.fr).
Le démarchage vocal frauduleux mérite une vigilance particulière, car il exploite la confiance accordée à une voix humaine. Un prétendu conseiller qui vous appelle, connaît déjà vos nom et numéro de contrat, vous dicte d’appeler un numéro ou de valider une opération sur votre application pendant qu’il reste en ligne, ne suit aucune procédure bancaire réelle : aucune banque ne demande la validation d’une opération inconnue ni la communication d’un code reçu par SMS. Raccrochez, rappelez vous-même votre banque au numéro figurant sur votre carte ou votre contrat, et décrivez l’appel. Si vous avez validé une opération pendant cet appel, mentionnez-le expressément dans votre contestation écrite, en distinguant ce que vous avez fait vous-même de ce que l’appelant a exécuté à votre insu : cette distinction conditionne le régime applicable, remboursement des opérations non autorisées ou responsabilité pour manquement de vigilance, comme l’illustrent les deux arrêts cités dans la seconde partie.
Ces éléments conditionnent la suite : le signalement n’aboutit que si l’adresse du site ou le numéro est transmis avec précision, et la plainte n’est instruite que sur des pièces. Conservez également les relevés qui montrent les débits contestés et les échanges avec votre banque, avec leurs dates : la contestation des opérations de paiement obéit à des délais stricts détaillés dans la seconde partie. Si le message est arrivé sur votre téléphone ou votre ordinateur professionnel, prévenez le service informatique de votre employeur, car l’incident peut concerner le système d’information de l’entreprise et ses propres obligations de sécurité.
B. Signaler au bon guichet selon le canal utilisé
Le signalement n’est pas une formalité décorative : il alimente les dispositifs de blocage et prépare la preuve de votre diligence. Le guichet dépend du canal employé par l’expéditeur, et les autorités distinguent quatre voies (service-public.fr). Pour un SMS ou un appel indésirable, la plateforme de lutte contre les SMS et appels frauduleux est joignable au 33 700, par formulaire en ligne ou par transfert du message, et la plateforme de signalement décrite par service-public.fr centralise la démarche. Le signalement est transmis à l’opérateur de l’émetteur et au vôtre, qui peuvent couper le numéro surtaxé vers lequel le message voulait vous attirer ou le numéro émetteur lui-même. Conservez la référence du signalement : elle figurera utilement dans votre plainte.
Pour un courriel suspect reçu sur votre messagerie ou sur un réseau social, le signalement passe par la plateforme Signal Spam, après création d’un compte et transmission du code source du message. Les experts de la plateforme luttent contre les courriels non sollicités et la cybercriminalité, et ils peuvent transmettre votre signalement aux autorités compétentes, notamment le procureur de la République ou la direction de la concurrence, de la consommation et de la répression des fraudes, sous couvert d’anonymat si vous le demandez (service-public.fr). Si le message contenait un lien vers un faux site, signalez aussi l’adresse exacte de ce site sur la plateforme Phishing Initiative, dont les experts analysent la page et peuvent la faire bloquer par les navigateurs. La CNIL rappelle que ces plateformes de signalement ont été mises en place par les pouvoirs publics et les professionnels précisément pour agir contre les messages publicitaires non sollicités et les tentatives d’escroquerie par courrier électronique ou par SMS (cnil.fr).
La plateforme PHAROS, dédiée aux contenus illicites en ligne, peut recevoir certains courriels de phishing, en particulier les escroqueries à la livraison de colis ou à la loterie (service-public.fr). Vérifiez avant tout si votre cas entre dans son périmètre plutôt que d’y déposer un signalement hors sujet qui ne sera pas traité. Enfin, si le message constitue un démarchage ou un spam persistant lié à l’utilisation de vos coordonnées, vous pouvez saisir la CNIL par une plainte en ligne après avoir exercé vos droits auprès de l’organisme : la Commission rappelle que chacun peut s’opposer à l’utilisation de ses données et demander leur effacement, et que la plainte reste possible quand l’organisme ne répond pas (cnil.fr). Pour approfondir ces droits d’opposition et d’effacement applicables à tout organisme qui exploite vos coordonnées, notre analyse du droit d’opposition détaille la procédure pas à pas.
Les mineurs sont également exposés, notamment via les faux jeux concours et les messages imitant les réseaux sociaux. Les services de signalement sont ouverts aux majeurs comme aux mineurs, et un parent qui découvre un message frauduleux sur le téléphone de son enfant peut donc signaler lui-même au 33 700 ou sur Signal Spam, conserver les mêmes preuves et déposer plainte au nom du mineur. Cette anticipation protège aussi l’avenir : des identifiants volés pendant l’enfance ressurgissent parfois des années plus tard dans des dossiers de crédit ou des comptes ouverts frauduleusement, et un signalement daté comme une plainte conservée établissent que la compromission est ancienne et connue des autorités.
Signaler ne remplace ni la plainte ni la contestation bancaire : un signalement transmis à l’opérateur ne fait pas courir les délais de remboursement et n’identifie pas l’auteur. C’est la combinaison des trois démarches, menées en parallèle, qui protège vos droits.
II. Faire sanctionner l’auteur et obtenir réparation
A. Porter plainte avec la qualification pénale exacte
Le hameçonnage est un délit, quelles que soient les intentions affichées par son auteur, et la victime peut déposer plainte (service-public.fr). La plainte se dépose au commissariat, à la gendarmerie ou par écrit auprès du procureur de la République, et les faits commis en ligne peuvent aussi passer par le téléservice THESEE pour l’e-escroquerie. Joignez-y le message, la capture du faux site, l’adresse exacte de la page, le numéro utilisé et la référence de votre signalement au 33 700 ou sur Signal Spam. Ces pièces permettent aux enquêteurs de rattacher votre dossier à une vague déjà identifiée, ce qui augmente concrètement les chances d’investigation.
La qualification principale est l’escroquerie. Aux termes de la loi, « L’escroquerie est le fait, soit par l’usage d’un faux nom ou d’une fausse qualité, soit par l’abus d’une qualité vraie, soit par l’emploi de manoeuvres frauduleuses, de tromper une personne physique ou morale et de la déterminer ainsi, à son préjudice ou au préjudice d’un tiers, à remettre des fonds, des valeurs ou un bien quelconque, à fournir un service ou à consentir un acte opérant obligation ou décharge » (art. 313-1 du code pénal). Le faux site de banque, le courriel imitant l’administration fiscale et le faux conseiller au téléphone entrent dans les manoeuvres frauduleuses visées par ce texte, punies de cinq ans d’emprisonnement et de 375 000 euros d’amende. Citez ces faits avec précision dans votre plainte : la fausse qualité invoquée, le moyen de contact, ce qui a été remis ou validé.
La seconde qualification touche au coeur de la matière des données personnelles : la collecte frauduleuse. La loi dispose que « Le fait de collecter des données à caractère personnel par un moyen frauduleux, déloyal ou illicite est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende » (art. 226-18 du code pénal). La Cour de cassation a jugé que le délit suppose, pour être constitué, « qu’il y ait collecte, selon un traitement automatisé, de données nominatives par un moyen frauduleux, déloyal ou illicite » (Cass. crim., 14 mars 2006, n° 05-83.423). Dans cette affaire, l’auteur aspirait des adresses électroniques sur internet pour constituer des fichiers de prospection, et la Cour a précisé qu’il y a collecte même sans enregistrement dans un fichier dès lors que les adresses sont identifiées et utilisées pour adresser des messages, et que le recueil à l’insu des personnes sur l’espace public d’internet est déloyal parce qu’il fait obstacle à leur droit d’opposition. Le formulaire de phishing qui capte vos identifiants relève exactement de ce mécanisme, et cette qualification protège même les destinataires qui n’ont rien versé : la collecte illicite est constituée dès la captation.
Deux qualifications complémentaires dépendent de la suite donnée à vos données. Si l’auteur utilise votre identité ou des données permettant de vous identifier, par exemple pour ouvrir un compte ou contracter en votre nom, l’usurpation d’identité s’ajoute : « Le fait d’usurper l’identité d’un tiers ou de faire usage d’une ou plusieurs données de toute nature permettant de l’identifier en vue de troubler sa tranquillité ou celle d’autrui, ou de porter atteinte à son honneur ou à sa considération, est puni d’un an d’emprisonnement et de 15 000 € d’amende », et « Cette infraction est punie des mêmes peines lorsqu’elle est commise sur un réseau de communication au public en ligne » (art. 226-4-1 du code pénal). Si l’auteur s’est introduit dans votre messagerie ou votre espace bancaire avec les identifiants volés, l’accès frauduleux à un système de traitement automatisé de données s’ajoute aussi : « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 € d’amende » (art. 323-1 du code pénal).
Précisez aussi dans votre plainte si le message frauduleux réutilisait des données exactes vous concernant, ancien mot de passe, adresse postale, numéro de contrat : cette précision oriente les enquêteurs vers la source de la fuite et fonde une éventuelle action contre l’organisme qui a laissé ces données s’échapper. Elle nourrit également votre dossier CNIL si vous saisissez la Commission d’une plainte relative à la sécurité des données détenues par cet organisme.
Mentionnez chaque usage détourné dans votre plainte plutôt que de tout ramener à la seule escroquerie : des qualifications cumulées décrivent mieux le préjudice et ouvrent des postes de réparation distincts.
B. Exiger de la banque le remboursement des opérations non autorisées
Quand le phishing aboutit à des virements ou à des paiements que vous n’avez pas voulus, le réflexe bancaire prime : faites opposition sur la carte si ses numéros ont été communiqués, contestez par écrit chaque opération et demandez le remboursement, sans attendre l’issue de la plainte. Le régime applicable est celui des opérations de paiement non autorisées, et il est plus protecteur que les victimes ne l’imaginent, à condition d’agir vite et de connaître la répartition de la preuve.
Le principe est le remboursement. La loi prévoit que « le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant », sauf soupçon motivé de fraude de l’utilisateur notifié par écrit à la Banque de France, et qu’il rétablit le compte dans l’état où il se serait trouvé sans l’opération (art. L. 133-18 du code monétaire et financier). Adressez donc à votre banque une contestation écrite, de préférence par lettre recommandée, qui identifie chaque opération, sa date et son montant, et conservez-en la preuve d’envoi : c’est ce courrier qui fait courir l’obligation de remboursement du lendemain ouvrable.
Votre courrier de contestation gagne à suivre un contenu type : rappel de votre identité et du numéro de compte, liste datée des opérations contestées avec leurs montants, affirmation que vous ne les avez ni autorisées ni validées, rappel du fondement du remboursement des opérations non autorisées, demande de rétablissement du compte et mise en demeure de rembourser. Joignez la copie du dépôt de plainte et la référence du signalement : ces pièces établissent votre diligence et privent d’effet l’argument selon lequel vous auriez tardé à réagir.
Ce droit se perd par l’inaction. La loi impose à l’utilisateur de signaler « sans tarder » l’opération non autorisée « et au plus tard dans les treize mois suivant la date de débit sous peine de forclusion », sauf si la banque ne lui a pas fourni les informations sur l’opération (art. L. 133-24 du code monétaire et financier). Signalez donc dans les jours qui suivent la découverte, et au plus tard avant l’expiration de ce délai de treize mois qui court à compter de chaque débit. La forclusion éteint toute contestation, même fondée, et aucune relance ultérieure ne la relève.
Face à votre demande, la banque répond presque toujours que les opérations ont été authentifiées depuis votre espace personnel et que vous avez communiqué vos codes. Cette défense ne suffit pas. La loi dispose que « L’utilisation de l’instrument de paiement telle qu’enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l’opération a été autorisée par le payeur ou que celui-ci n’a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant en la matière », et c’est au prestataire de prouver la fraude ou la négligence grave de l’utilisateur (art. L. 133-23 du code monétaire et financier). Autrement dit, les journaux informatiques de la banque ne valent pas consentement, et c’est à elle d’établir votre faute, pas à vous d’établir votre innocence.
La seule échappatoire de la banque est cette négligence grave, strictement encadrée : « Le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17 » (art. L. 133-19 du code monétaire et financier). Ces obligations consistent à « prend toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées », dès qu’il reçoit un instrument de paiement (art. L. 133-16 du code monétaire et financier) et à informer sans tarder la banque en cas de perte, de vol, de détournement ou d’utilisation non autorisée de l’instrument (art. L. 133-17 du code monétaire et financier). Avoir été trompé par un faux courriel bien imité n’est pas en soi une négligence grave : tout dépend des circonstances concrètes, et la banque doit les démontrer une par une.
Deux décisions récentes illustrent cette ligne de partage. Dans un dossier d’hameçonnage par courriel frauduleux ayant entraîné neuf virements pour 23 000 euros, la cour d’appel de Paris a relevé que la banque, qui soutenait que les opérations avaient été authentifiées, ne démontrait ni l’envoi des codes de sécurité ni l’activation d’une authentification forte par la cliente, et elle a confirmé la condamnation de la banque à restituer la somme (CA Paris, Pôle 5, ch. 6, 28 janv. 2026, RG 24/01045). À l’inverse, quand la victime a elle-même ordonné les virements sur les instructions d’un faux conseiller, les juges ont considéré que les opérations, consenties par la cliente, étaient autorisées : pas de remboursement sur ce fondement, même si la banque a été condamnée symboliquement pour son manque de vigilance face à des mouvements inhabituels (CA Versailles, ch. com. 3-2, 4 mars 2025, RG 23/07601). La frontière est donc nette : des virements exécutés à votre insu après vol de vos codes relèvent du remboursement, tandis que des virements que vous avez vous-même validés, même sous l’emprise d’un mensonge, relèvent de l’action en responsabilité pour manquement de vigilance, plus difficile.
Au-delà du remboursement bancaire, tout dommage subsistant, frais engagés, préjudice moral lié à l’usurpation, temps consacré aux démarches, peut être réclamé à l’auteur sur le fondement du droit commun : « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer » (art. 1240 du code civil). Constituez-vous partie civile dans la procédure pénale pour faire chiffrer ce préjudice par le juge répressif, et conservez chaque justificatif de frais. Si l’auteur reste introuvable, la décision pénale et la restitution bancaire forment déjà un socle, et la plainte comme les signalements alimentent les enquêtes qui permettent parfois une interpellation ultérieure.
Un SMS ou un courriel de phishing n’est donc ni une fatalité ni une simple nuisance à effacer : c’est le point de départ d’une procédure dont chaque maillon compte. Ne répondez pas et ne cliquez pas, figez les preuves avec méthode, rigueur et sans délai, signalez au 33 700 pour un SMS, sur Signal Spam pour un courriel et sur Phishing Initiative pour un faux site, déposez plainte en visant l’escroquerie et la collecte frauduleuse de vos données, puis contestez par écrit auprès de votre banque toute opération non autorisée avant l’expiration du délai de treize mois. Menées ensemble et sans tarder, avec chaque preuve datée et chaque courrier conservé, ces démarches transforment un message frauduleux en dossier : l’auteur risque jusqu’à cinq ans d’emprisonnement, la banque doit rembourser sauf à prouver votre négligence grave, et votre préjudice peut être réparé.