Le numéro affiché est celui de votre banque. La voix au téléphone se présente comme celle de votre conseiller, décrit des opérations suspectes en cours sur votre compte et vous demande, pour les bloquer, de transmettre les codes reçus par SMS ou de confirmer des opérations dans votre application bancaire. Selon la fiche réflexe de Cybermalveillance.gouv.fr consacrée à la fraude au faux conseiller bancaire, ces codes et ces validations servent en réalité à l’escroc : achats par carte, ajout de bénéficiaires, virements. La même fiche rappelle que jamais un conseiller de votre banque ne vous demandera un mot de passe, des codes de confirmation ou une validation d’opération pour de supposées fraudes en cours.
Lorsque l’argent est parti, la question n’est plus technique mais juridique : la banque doit-elle rembourser des opérations que vous avez vous-même contribué à valider sous l’effet de la manipulation ? Sa réponse est souvent négative, au motif que vous avez communiqué vos codes. Le droit des services de paiement ne s’arrête pas à ce constat. Il organise un partage précis des rôles : remboursement de principe des opérations non autorisées, charge de la preuve à la banque, et une seule porte de sortie pour elle, votre fraude ou votre négligence grave, qu’elle doit établir. La Cour de cassation a précisé ces règles à plusieurs reprises entre 2018 et 2025, avec des solutions qui varient selon le mode opératoire de l’escroc.
Cet article examine d’abord dans quelles conditions la banque peut refuser le remboursement, et ce que la jurisprudence sur le « spoofing » téléphonique change à l’appréciation de votre comportement. Il détaille ensuite les démarches à mener, les délais qui s’imposent à vous comme à la banque, et les recours lorsque le refus persiste. Chaque situation s’apprécie sur ses faits : seul le juge, saisi le cas échéant, tranche.
I. Faux conseiller bancaire remboursement : la banque peut-elle refuser de rembourser ?
A. Codes transmis au faux conseiller bancaire : l’opération reste-t-elle non autorisée ?
Le régime part d’une règle de répartition posée par le code monétaire et financier. Aux termes de l’article L. 133-18 du code monétaire et financier, en cas d’opération de paiement non autorisée signalée par l’utilisateur, le prestataire de services de paiement « rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant ». Le même texte prévoit le rétablissement du compte débité dans l’état où il se serait trouvé si l’opération n’avait pas eu lieu. Le remboursement est donc le principe ; il suppose une opération « non autorisée », c’est-à-dire une opération à laquelle vous n’avez pas consenti.
Ce principe connaît une condition de délai. Selon l’article L. 133-24 du code monétaire et financier, « L’utilisateur de services de paiement signale, sans tarder, à son prestataire de services de paiement une opération de paiement non autorisée ou mal exécutée et au plus tard dans les treize mois suivant la date de débit sous peine de forclusion ». Ce délai de treize mois court à compter de la date du débit, et le texte prévoit une exception lorsque la banque n’a pas fourni les informations relatives à l’opération conformément aux dispositions qu’il vise. Passé ce terme, la contestation n’est plus recevable.
Lorsque vous niez avoir autorisé l’opération, c’est à la banque de prouver le contraire. L’article L. 133-23 du code monétaire et financier lui fait obligation de « prouver que l’opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre ». Surtout, ce texte écarte le raccourci selon lequel l’usage de vos codes établirait à lui seul votre consentement : « L’utilisation de l’instrument de paiement telle qu’enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l’opération a été autorisée par le payeur ou que celui-ci n’a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant en la matière. »
La Cour de cassation a précisé l’ordre dans lequel ces preuves doivent être examinées. Dans un arrêt du 30 avril 2025, n° 24-10.149, sa chambre commerciale juge qu’il résulte des articles L. 133-19 et L. 133-23 que, pour faire supporter les pertes au client en raison d’un manquement intentionnel ou d’une négligence grave, « le prestataire de services de paiement doit au préalable prouver que l’opération en cause a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre ». Elle a cassé l’arrêt d’une cour d’appel qui avait débouté une cliente pour négligence grave sans avoir recherché si la banque rapportait cette preuve préalable. Un refus motivé par la seule circonstance que vous avez saisi vos codes ne satisfait donc pas à cette exigence.
Un jugement récent illustre l’application de ces textes à un faux conseiller. Par jugement du 24 mars 2026, n° 25/02175, le tribunal judiciaire de Paris a condamné une banque à rembourser 5 207,27 euros à deux clients dont le compte avait été débité d’un paiement par carte consécutif aux manœuvres d’un interlocuteur se présentant comme conseiller bancaire. L’authentification forte de l’opération était pourtant établie par l’historique de connexion produit par la banque. Le tribunal a néanmoins retenu que « la preuve de la négligence grave ne peut se déduire du seul fait que l’instrument de paiement ou les données personnelles qui lui sont liées ont été effectivement utilisés ».
Le texte protège aussi le client lorsque la banque n’a pas mis en œuvre l’authentification forte. Le V de l’article L. 133-19 du code monétaire et financier dispose que, « Sauf agissement frauduleux de sa part, le payeur ne supporte aucune conséquence financière si l’opération de paiement non autorisée a été effectuée sans que le prestataire de services de paiement du payeur n’exige une authentification forte du payeur », exigence définie à l’article L. 133-44 du même code. Dans un arrêt du 22 octobre 2025, n° 24-19.749, la chambre commerciale a rejeté le pourvoi d’une banque contre un jugement qui l’avait condamnée à restituer la somme débitée : le tribunal avait ajouté que la banque ne justifiait pas avoir exigé du payeur l’activation de l’authentification forte, et la Cour a approuvé le jugement en ce qu’il « a exactement déduit que la banque devait rembourser au payeur le montant de l’opération non autorisée ».
Reste le cas, différent, où le faux conseiller vous a conduit à ordonner vous-même un virement vers un compte présenté comme sécurisé. La banque soutiendra alors que l’ordre émane de vous et qu’elle l’a exécuté conformément à l’identifiant unique, c’est-à-dire l’IBAN, que vous avez fourni. L’article L. 133-21 du code monétaire et financier répute un tel ordre dûment exécuté pour le bénéficiaire désigné par cet identifiant ; il impose toutefois un effort de récupération, puisque « le prestataire de services de paiement du payeur s’efforce de récupérer les fonds engagés dans l’opération de paiement » et, à défaut, met à votre disposition, à votre demande, « les informations qu’il détient pouvant documenter le recours en justice du payeur en vue de récupérer les fonds ». Dans cette hypothèse, la discussion se déplace aussi vers la vigilance de la banque : la cour d’appel d’Orléans, par arrêt du 27 mars 2025, n° 23/00731, a rappelé, dans un litige opposant une société à sa banque, que « le banquier a notamment l’obligation de relever les anomalies apparentes d’un ordre de virement et d’en alerter son client » ; à défaut de l’avoir fait sur des virements d’un montant inhabituel, la banque a été condamnée à prendre en charge la moitié des pertes que sa vigilance aurait permis d’éviter.
B. Négligence grave : le spoofing téléphonique et l’hameçonnage ne sont pas jugés de la même façon
Le remboursement connaît une exception centrale, qui concentre la plupart des litiges. En contrepartie des obligations de la banque, l’article L. 133-16 du code monétaire et financier dispose que l’utilisateur « prend toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées ». Et le IV de l’article L. 133-19 du code monétaire et financier prévoit que « Le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17 ». À l’inverse, le II de l’article L. 133-19 énonce que « La responsabilité du payeur n’est pas engagée si l’opération de paiement non autorisée a été effectuée en détournant, à l’insu du payeur, l’instrument de paiement ou les données qui lui sont liées ». Toute la question est de savoir dans quelle catégorie tombe la transmission de codes à un faux conseiller.
L’arrêt de référence sur le « spoofing » téléphonique date du 23 octobre 2024, n° 23-16.267. Un client avait été appelé par une personne se faisant passer pour une préposée de sa banque, le numéro affiché sur son téléphone étant celui de sa conseillère habituelle (« spoofing ») ; resté en ligne, il avait validé, avec son code confidentiel, l’ajout de cinq bénéficiaires de virements, avant de constater des virements frauduleux de 54 500 euros. La cour d’appel avait condamné la banque à le rembourser. La Cour de cassation a rejeté le pourvoi de la banque : après avoir rappelé qu’il incombe au prestataire de rapporter la preuve d’une négligence grave de son client, elle a relevé que la cour d’appel avait constaté que le client croyait être en relation avec une salariée de la banque et ajouté que le mode opératoire par spoofing l’avait mis en confiance et avait diminué sa vigilance, « inférieure, face à un appel téléphonique émanant prétendument de sa banque pour lui faire part du piratage de son compte, à celle d’une personne réceptionnant un courriel, laquelle aurait pu disposer de davantage de temps pour s’apercevoir d’éventuelles anomalies révélatrices de son origine frauduleuse ». De ces appréciations, selon la Cour, la cour d’appel avait pu déduire que la négligence grave du client n’était pas caractérisée. L’arrêt ne pose pas que le spoofing exclut toujours la négligence grave : il confirme que l’appréciation relève des juges du fond, sur les circonstances de l’appel.
La solution n’est pas la même pour l’hameçonnage par courriel lorsque le message présentait des anomalies décelables. Par arrêt du 28 mars 2018, n° 16-20.018, la chambre commerciale a cassé la décision d’une cour d’appel qui avait écarté la négligence grave d’un client ayant renseigné ses données en réponse à des courriels frauduleux : « manque, par négligence grave, à son obligation de prendre toute mesure raisonnable pour préserver la sécurité de ses dispositifs de sécurité personnalisés l’utilisateur d’un service de paiement qui communique les données personnelles de ce dispositif de sécurité en réponse à un courriel qui contient des indices permettant à un utilisateur normalement attentif de douter de sa provenance, peu important qu’il soit, ou non, avisé des risques d’hameçonnage ». Le critère dégagé est celui de l’utilisateur normalement attentif, confronté aux indices que le message lui donnait de déceler.
Entre ces deux arrêts, la ligne de partage est factuelle. Le jugement du tribunal judiciaire de Paris du 24 mars 2026 déjà cité refuse ainsi d’appliquer mécaniquement l’arrêt de 2024 à des faits différents : l’interlocuteur s’était présenté comme conseiller d’une autre banque que celle tenant le compte débité, et les demandeurs invoquaient à tort, selon le tribunal, cet arrêt pour soutenir que leur vigilance avait légitimement été diminuée. Le remboursement a néanmoins été ordonné, parce que la banque du compte débité n’établissait pas que la cliente lui avait communiqué des données afférentes à ce compte et que la négligence grave ne pouvait se déduire de la seule utilisation de l’instrument.
De ces décisions se dégage une grille de lecture, et non une règle automatique. Les juges examinent le numéro affiché lors de l’appel, la connaissance qu’avait l’interlocuteur de vos informations, la pression exercée et l’urgence invoquée, le contenu exact de ce que l’écran de validation vous présentait, et les indices qui auraient permis à un utilisateur normalement attentif de douter. Plus le dispositif de tromperie est élaboré et documenté, plus la banque aura de difficulté à établir la négligence grave dont la preuve lui incombe ; plus les anomalies étaient perceptibles, plus le refus a de chances d’être jugé fondé. Il en résulte qu’aucune des deux affirmations symétriques — vous avez donné vos codes, vous ne serez jamais remboursé, ou bien le spoofing garantirait le remboursement — ne correspond à l’état du droit tel que ces décisions le décrivent.
II. Faux conseiller bancaire : que faire pour obtenir le remboursement ?
A. Les premières heures : bloquer, contester par écrit et déposer plainte
La première démarche est le blocage. Aux termes de l’article L. 133-17 du code monétaire et financier, lorsqu’il a connaissance « de la perte, du vol, du détournement ou de toute utilisation non autorisée de son instrument de paiement ou des données qui lui sont liées, l’utilisateur de services de paiement en informe sans tarder, aux fins de blocage de l’instrument, son prestataire ou l’entité désignée par celui-ci ». Ce signalement a un effet protecteur immédiat : l’article L. 133-20 du même code prévoit qu’après cette information, « le payeur ne supporte aucune conséquence financière résultant de l’utilisation de cet instrument de paiement ou de l’utilisation détournée des données qui lui sont liées, sauf agissement frauduleux de sa part ». Raccrochez, puis rappelez la banque au numéro figurant sur votre carte, votre relevé ou son site officiel, jamais au numéro de l’appelant. Si les données de votre carte ont été compromises, l’opposition obéit à une procédure distincte, détaillée dans notre guide sur l’opposition à la carte et la contestation d’un débit.
La contestation gagne à être écrite et circonstanciée dès ce stade. C’est elle qui déclenche le mécanisme de l’article L. 133-23 : en niant avoir autorisé les opérations, vous mettez la banque en position de devoir prouver leur authentification régulière et, si elle invoque votre comportement, votre fraude ou votre négligence grave. Exposez la chronologie sans la reconstruire après coup : numéro affiché, heure et durée de l’appel, qualité revendiquée par l’interlocuteur, informations qu’il détenait déjà, demandes qu’il vous a présentées, écrans et messages de validation tels qu’ils vous sont apparus, montant et bénéficiaires des opérations constatées. Joignez ce qui existe (journal d’appels, captures d’écran, SMS reçus) et conservez les originaux. Un récit exact, y compris sur ce que vous avez effectivement validé, vaut mieux qu’un récit retouché : la banque dispose de ses propres journaux de connexion, et c’est précisément le détail du mode opératoire qui, au regard de l’arrêt du 23 octobre 2024, peut faire écarter la négligence grave.
Le dépôt de plainte vise l’escroquerie. L’article 313-1 du code pénal définit ce délit comme « le fait, soit par l’usage d’un faux nom ou d’une fausse qualité, soit par l’abus d’une qualité vraie, soit par l’emploi de manoeuvres frauduleuses, de tromper une personne physique ou morale et de la déterminer ainsi, à son préjudice ou au préjudice d’un tiers, à remettre des fonds, des valeurs ou un bien quelconque ». La fausse qualité de conseiller bancaire et la mise en scène du piratage relèvent de cette définition ; seule l’enquête et, le cas échéant, le juge pénal qualifieront les faits. Sur le plan civil, le remboursement prévu par l’article L. 133-18 n’est pas subordonné par ce texte au dépôt d’une plainte ni à son issue : la plainte sert notamment à fixer sans délai votre récit des manœuvres et à alimenter les recherches sur les comptes destinataires, mais la banque ne peut pas en faire une condition du remboursement prévu par ce texte.
Gardez à l’esprit la borne qui encadre l’ensemble de ces démarches : l’article L. 133-24 du code monétaire et financier impose de signaler l’opération « sans tarder » et « au plus tard dans les treize mois suivant la date de débit sous peine de forclusion ». La rapidité joue sur deux plans distincts — elle limite les opérations ultérieures au signalement, protégées par l’article L. 133-20, et elle préserve la recevabilité de la contestation des débits déjà passés.
B. La banque refuse ou temporise : intérêts majorés, médiateur et juge
Le texte ne laisse à la banque qu’une possibilité étroite de différer le remboursement. L’article L. 133-18 du code monétaire et financier ne l’autorise à dépasser la fin du premier jour ouvrable suivant le signalement que si elle « a de bonnes raisons de soupçonner une fraude de l’utilisateur du service de paiement et s’il communique ces raisons par écrit à la Banque de France ». Le grief de négligence grave n’est pas, à lui seul, le soupçon de fraude du client que vise ce texte. Le retard est en outre tarifé par l’article L. 133-18 : en cas de manquement, « Les sommes dues produisent intérêt au taux légal majoré de cinq points », puis, « Au-delà de sept jours de retard, les sommes dues produisent intérêt au taux légal majoré de dix points », et « Au-delà de trente jours de retard, les sommes dues produisent intérêt au taux légal majoré de quinze points ». Le jugement du tribunal judiciaire de Paris du 24 mars 2026, n° 25/02175, les a appliqués concrètement : intérêts majorés de cinq points à compter de la fin du premier jour ouvrable suivant le signalement, de dix points sept jours plus tard, de quinze points au-delà de trente jours.
Si le refus repose sur votre prétendue négligence grave, demandez à la banque les éléments sur lesquels elle le fonde. L’article L. 133-23 du code monétaire et financier dispose à cet égard que le prestataire « fournit des éléments afin de prouver la fraude ou la négligence grave commise par l’utilisateur de services de paiement » : les journaux de connexion, la nature de l’authentification exigée et les alertes émises font partie de cette discussion, et l’arrêt du 30 avril 2025, n° 24-10.149, rappelle que la banque doit d’abord établir que l’opération a été authentifiée, dûment enregistrée et comptabilisée sans déficience. À ce stade amiable s’ajoute la saisine du médiateur rattaché à la banque, puis, à défaut d’accord, celle du juge. La charge de la preuve décrite plus haut continuera de s’appliquer devant lui ; les délais de signalement de l’article L. 133-24, eux, doivent déjà avoir été respectés.
Une limite doit être connue pour calibrer la demande. Dans le jugement du tribunal judiciaire de Paris du 24 mars 2026, n° 25/02175, le tribunal, citant un arrêt de la Cour de justice de l’Union européenne du 2 septembre 2021 (C-337/20), a retenu que « Le régime de responsabilité d’une banque, en présence d’un paiement non autorisé, est donc exclusif de tout autre régime de responsabilité de droit national » et a, pour ce motif, rejeté les demandes complémentaires d’indemnisation des clients. Dans l’affaire jugée le 23 octobre 2024, n° 23-16.267, en revanche, la condamnation de la banque comprenait, outre les 54 500 euros, 1 500 euros de dommages et intérêts pour préjudice moral, que le rejet du pourvoi a laissés subsister. Les décisions consultées ne traitent donc pas toutes la réparation des préjudices accessoires de la même manière ; le noyau certain de la réparation reste la restitution des sommes et les intérêts majorés prévus par l’article L. 133-18.
Conclusion
Devant un faux conseiller bancaire, le droit ne fait pas dépendre le remboursement de la seule circonstance que vous avez transmis un code ou validé une opération. Il fait peser sur la banque la preuve de l’authentification régulière de l’opération et, si elle entend se prévaloir de votre comportement, celle de votre négligence grave, appréciée au regard des indices qu’un utilisateur normalement attentif pouvait percevoir et, en cas de spoofing téléphonique, de la confiance que l’affichage du numéro de la banque a pu créer. De votre côté, trois réflexes conditionnent le reste : faire bloquer sans tarder, contester par écrit en décrivant le mode opératoire avec exactitude, et respecter le délai de treize mois qui court depuis le débit. Le remboursement, lorsqu’il est dû, est assorti d’un délai bref à la charge de la banque et d’intérêts majorés en cas de retard. Ces principes généraux ne préjugent pas de l’issue d’un dossier particulier, qui dépend des faits, des écrans présentés et des éléments de preuve réunis par chaque partie.