Relevé bancaire du matin, trois achats en ligne que vous n’avez jamais passés, parfois un code de confirmation reçu par SMS pour une commande que vous n’avez pas faite : la fraude à la carte bancaire se découvre presque toujours ainsi, après coup, sur l’écran de l’application bancaire. Les questions qui suivent sont toujours les mêmes et elles sont urgentes : comment faire opposition à sa carte bancaire pour stopper les débits, dans quel délai contester les opérations frauduleuses, qui supporte les sommes déjà prélevées et que faire si la banque refuse de rembourser. Le droit français répond avec précision, à partir des articles L. 133-16 à L. 133-24 du code monétaire et financier et d’une jurisprudence fournie de la chambre commerciale de la Cour de cassation : opposition à faire sans tarder, contestation possible jusqu’à treize mois après le débit sous peine de forclusion, remboursement au plus tard à la fin du premier jour ouvré, franchise limitée à 50 euros avant l’opposition, et charge de la preuve qui pèse sur la banque dès que le client nie avoir autorisé l’opération. Cet article décrit la conduite complète, du premier appel au recours devant le médiateur puis le juge, avec les textes exacts et les décisions qui tranchent les cas difficiles, hameçonnage, code communiqué par SMS, achats à distance sans utilisation physique de la carte et signalement tardif. Les montants, les délais et les conditions de refus y sont chiffrés, pour que chaque lecteur sache ce qu’il peut obtenir, dans quel délai et par quel recours.
I. Faire opposition à sa carte bancaire : le geste qui bloque les paiements à venir
A. Opposition carte bancaire après perte, vol ou fraude : qui appeler, quand et quelle trace garder
L’opposition est l’acte par lequel le titulaire demande le blocage de sa carte pour empêcher toute utilisation future. Elle doit intervenir dès que la perte, le vol ou l’utilisation frauduleuse est connu, car l’article L. 133-17 du code monétaire et financier dispose : « Lorsqu’il a connaissance de la perte, du vol, du détournement ou de toute utilisation non autorisée de son instrument de paiement ou des données qui lui sont liées, l’utilisateur de services de paiement en informe sans tarder, aux fins de blocage de l’instrument, son prestataire ou l’entité désignée par celui-ci. » L’expression « sans tarder » n’est pas une formule de style : elle conditionne la répartition des pertes, comme le montre la suite. Concrètement, deux canaux existent. Le premier est la banque elle-même, par le numéro d’urgence indiqué dans la convention de compte, l’application mobile ou le site. Le second est le serveur interbancaire réservé aux oppositions, joignable au 0 892 705 705, ouvert 7 jours sur 7 et 24 heures sur 24, qui remet un numéro d’enregistrement constituant la trace datée de la demande, selon la fiche officielle du service public consacrée à la fraude à la carte bancaire. Si le contrat de carte l’exige, la déclaration téléphonique doit ensuite être confirmée auprès de l’agence par lettre recommandée avec accusé de réception ou au guichet ; cette confirmation devient inutile quand l’opposition a été faite directement auprès de la banque.
Le deuxième réflexe, parallèle au premier, est le signalement. Quand la fraude porte sur l’utilisation des coordonnées bancaires sur internet, à l’insu du titulaire, le signalement s’effectue sur la plateforme Perceval, accessible depuis le site service-public.fr avec une identification FranceConnect, en préparant le numéro d’opposition, le numéro de carte et les relevés bancaires ; le récépissé délivré à l’issue du signalement facilite les démarches de remboursement auprès de la banque, et la déclaration est traitée par la gendarmerie nationale. Quand la carte elle-même a été volée ou que des retraits ont eu lieu au distributeur, un dépôt de plainte auprès de la police ou de la gendarmerie s’impose, avec la liste des opérations contestées, les dates et les lieux. Ces démarches ne sont pas de simples formalités : le récépissé Perceval et le procès-verbal de plainte datent la connaissance de la fraude et prouvent la diligence du titulaire, deux éléments que la banque puis le juge examinent quand le dossier devient contentieux.
Le troisième réflexe est négatif : ne communiquer son code, son cryptogramme ni aucun code reçu par SMS à personne, ni par téléphone, ni par courriel, ni sur un site ouvert depuis un lien. Les faux conseillers bancaires et les faux services de sécurité qui réclament ces données pratiquent l’hameçonnage, et la communication de ces éléments peut être retenue comme une négligence grave privant le titulaire de tout remboursement, comme l’a jugé la Cour de cassation dans un arrêt du 28 mars 2018 cité plus bas. Le même avertissement vaut pour les faux supports techniques qui prennent la main sur l’ordinateur de la victime : les techniques d’extorsion du code évoluent, comme le montre par exemple l’arnaque au faux support technique et au dépannage informatique, et la prudence sur les données de sécurité conditionne directement le droit au remboursement.
Pour garder une trace exploitable, la méthode tient en quatre pièces : le numéro d’enregistrement de l’opposition et l’heure de l’appel, la copie des relevés entourant les opérations litigieuses, le récépissé Perceval ou le procès-verbal de plainte, et la réclamation écrite adressée à la banque avec son accusé de réception. Photographier ou exporter chaque écran avant que la carte bloquée ne disparaisse de l’application évite les discussions ultérieures sur les dates. C’est ce dossier qui permettra d’exiger le remboursement dans les délais que la loi impose à la banque.
B. Ce que l’opposition change pour les paiements et ce qu’elle ne règle pas
L’opposition bloque l’instrument : aucune opération nouvelle ne peut plus être exécutée avec la carte déclarée. Elle ne rembourse rien par elle-même et n’efface pas les débits déjà passés. Les opérations exécutées avant le blocage relèvent de la contestation et du régime des opérations non autorisées, avec la franchise de 50 euros examinée plus bas ; la franchise ne joue que pour la période antérieure à l’information de la banque, puisque l’article L. 133-19 du code monétaire et financier prévoit qu’avant d’avoir informé sa banque aux fins de blocage, le payeur supporte les pertes liées à l’utilisation de l’instrument « dans la limite d’un plafond de 50 € ». Après l’opposition, les débits nouveaux avec la même carte ne devraient plus exister, et toute opération postérieure au blocage pèse en principe sur l’établissement qui a laissé passer l’ordre.
Une distinction commande la suite et mérite d’être comprise avant d’écrire à la banque : seules les opérations non autorisées ouvrent le remboursement automatique de l’article L. 133-18. Or l’article L. 133-6 du code monétaire et financier pose que « Une opération de paiement est autorisée si le payeur a donné son consentement à son exécution. » Le titulaire qui a lui-même composé son code au distributeur, validé un paiement avec son application ou communiqué volontairement ses données pour un achat qu’il croyait légitime a donné un consentement, même s’il a été trompé sur l’identité du bénéficiaire. La Cour de cassation l’a rappelé le 30 novembre 2022 (pourvoi n° 21-17.614) : « une opération de paiement initiée par le payeur, qui donne un ordre de paiement à son prestataire de services de paiement, est réputée autorisée uniquement si le payeur a également consenti au montant de l’opération », décision consultable sur le site de la Cour de cassation. Dans cette affaire, le titulaire avait introduit sa carte dans le distributeur et composé son code avant qu’un tiers ne détourne le retrait : l’opération restait autorisée quant à son principe, et le remboursement automatique ne jouait pas. Retenir ce point évite les contestations vouées à l’échec : le virement ou le paiement que le client a lui-même authentifié, montant compris, ne constitue pas une opération non autorisée, même si le destinataire s’avère malhonnête. En revanche, l’achat en ligne passé par un inconnu avec les seuls numéros de la carte, sans action du titulaire, entre pleinement dans le régime protecteur décrit dans la seconde partie.
La frontière se joue donc sur le consentement et sur la preuve, jamais sur le seul sentiment d’avoir été trompé. Le titulaire qui nie avoir autorisé l’opération place la banque en position de devoir prouver l’autorisation, comme l’a jugé la Cour de cassation le 1er juillet 2026 (pourvoi n° 25-13.134) au visa des articles L. 133-6, L. 133-7 et L. 133-23 : « une opération de paiement est autorisée si le payeur a donné son consentement à son exécution, et qu’en l’absence d’un tel consentement, donné sous la forme convenue entre le payeur et le prestataire de service de paiement, l’opération est réputée non autorisée », décision consultable sur le site de la Cour de cassation. Ce rappel éclaire la démarche : contester par écrit en niant l’autorisation, joindre les relevés et le récépissé de signalement, puis laisser la banque établir soit l’autorisation, soit la négligence grave. Tenter d’obtenir le remboursement d’une opération que l’on a soi-même validée relève d’un autre terrain, celui de la tromperie subie et de la plainte pénale, pas celui du remboursement bancaire automatique.
II. Contester les opérations frauduleuses et obtenir le remboursement de la banque
A. Remboursement fraude carte bancaire : treize mois pour signaler, remboursement sous un jour ouvré et pénalités de retard
Le point de départ du droit au remboursement est le signalement à la banque, et le délai pour l’effectuer est double : agir vite, sans pouvoir dépasser treize mois. L’article L. 133-24 du code monétaire et financier dispose : « L’utilisateur de services de paiement signale, sans tarder, à son prestataire de services de paiement une opération de paiement non autorisée ou mal exécutée et au plus tard dans les treize mois suivant la date de débit sous peine de forclusion ». La forclusion signifie qu’après treize mois, la contestation devient irrecevable et le juge ne l’examinera plus. La Cour de cassation a précisé l’articulation des deux branches le 4 février 2026 (pourvoi n° 22-22.609) : « pour obtenir le remboursement immédiat d’une opération de paiement non autorisée, l’utilisateur doit l’avoir signalée sans tarder à son prestataire de service de paiement à compter du moment où il en a eu connaissance et, au plus tard, dans le délai de treize mois à compter du débit », décision consultable sur le site de la Cour de cassation. Le même arrêt censure les juges qui déduisaient une négligence grave du seul fait que le titulaire avait attendu trois semaines avant de signaler : disposer d’un délai de treize mois exclut de transformer un signalement intervenu dans ce délai en faute privative de remboursement. En pratique, signalez dès la découverte, par écrit, en visant l’article L. 133-24 et en joignant relevés et récépissé Perceval ou de plainte ; l’écrit daté fait courir les obligations de la banque.
Une fois l’opération signalée dans les conditions de l’article L. 133-24, le remboursement obéit à un calendrier strict. L’article L. 133-18 du code monétaire et financier prévoit que le prestataire « rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant », puis « rétablit le compte débité dans l’état où il se serait trouvé si l’opération de paiement non autorisée n’avait pas eu lieu », avec une date de valeur qui « n’est pas postérieure à la date à laquelle il avait été débité ». La seule échappatoire laissée à la banque est étroite : « sauf s’il a de bonnes raisons de soupçonner une fraude de l’utilisateur du service de paiement et s’il communique ces raisons par écrit à la Banque de France ». Hors ce cas de soupçon écrit et motivé, le refus de rembourser ou le silence prolongé expose la banque aux pénalités légales : « Les sommes dues produisent intérêt au taux légal majoré de cinq points », « Au-delà de sept jours de retard, les sommes dues produisent intérêt au taux légal majoré de dix points », et « Au-delà de trente jours de retard, les sommes dues produisent intérêt au taux légal majoré de quinze points. » Ces majorations se calculent sur le montant non remboursé et rendent toute attente coûteuse pour l’établissement : une lettre de mise en demeure qui les rappelle accélère souvent le dossier.
Reste la question du montant : tout n’est pas remboursé à l’euro près dans tous les cas, à cause de la franchise de 50 euros. L’article L. 133-19 du code monétaire et financier dispose qu’avant l’information de la banque aux fins de blocage, le payeur supporte les pertes « dans la limite d’un plafond de 50 € ». Concrètement, pour des achats frauduleux de 800 euros passés avant l’opposition, la banque rembourse 750 euros et conserve 50 euros, sauf dans les cas d’exonération prévus par le même article : opération effectuée sans utilisation des données de sécurité personnalisées, perte ou vol que le payeur ne pouvait détecter avant le paiement, ou défaillance imputable à l’établissement ou à son sous-traitant. Surtout, la franchise disparaît quand le titulaire était encore en possession de sa carte au moment d’une contrefaçon, ou quand l’instrument a été détourné à son insu : « La responsabilité du payeur n’est pas engagée si l’opération de paiement non autorisée a été effectuée en détournant, à l’insu du payeur, l’instrument de paiement ou les données qui lui sont liées », et « Elle n’est pas engagée non plus en cas de contrefaçon de l’instrument de paiement si, au moment de l’opération de paiement non autorisée, le payeur était en possession de son instrument. » Les achats en ligne passés par un tiers avec les seuls numéros relevés lors d’une fuite de données, carte restée dans le portefeuille du titulaire, relèvent de ce cas : zéro euro à la charge du client. Pour les opérations réalisées hors de l’Espace économique européen, le régime peut différer selon la convention de compte : l’Institut national de la consommation indique un délai de contestation de 70 jours, prolongeable contractuellement jusqu’à 120 jours, de sorte que la vérification du contrat s’impose avant d’invoquer les treize mois. Dans tous les cas, la règle d’or reste identique : contester par écrit vite, chiffrer chaque opération, et conserver la preuve de l’envoi.
B. Quand la banque refuse de rembourser : négligence grave, preuve à sa charge et recours du titulaire
Le refus de remboursement le plus fréquent invoque la négligence grave du titulaire : code communiqué, carte prêtée, code noté avec la carte. L’article L. 133-19 du code monétaire et financier prévoit en effet que « Le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17. » Ces obligations figurent à l’article L. 133-16 du code monétaire et financier : « l’utilisateur de services de paiement prend toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées. » Mais l’invocation de la négligence grave ne suffit pas : c’est à la banque de la prouver, et la preuve est encadrée. D’abord, la simple utilisation de la carte ou des données ne prouve rien. La Cour de cassation l’a jugé le 28 mars 2018 (pourvoi n° 16-20.018) : « c’est à ce prestataire qu’il incombe, par application des articles L. 133-19, IV, et L. 133-23 du même code, de rapporter la preuve que l’utilisateur, qui nie avoir autorisé une opération de paiement, a agi frauduleusement ou n’a pas satisfait intentionnellement ou par négligence grave à ses obligations ; que cette preuve ne peut se déduire du seul fait que l’instrument de paiement ou les données personnelles qui lui sont liées ont été effectivement utilisés », décision consultable sur le site de la Cour de cassation. Ensuite, l’article L. 133-23 du code monétaire et financier impose à la banque de « prouver que l’opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre », en précisant que « L’utilisation de l’instrument de paiement telle qu’enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l’opération a été autorisée par le payeur ». Le relevé informatique de la banque ne vaut donc ni preuve d’autorisation ni preuve de faute : il lui faut des éléments positifs, authentification tracée, absence de défaillance, comportement fautif caractérisé du titulaire.
La jurisprudence a dessiné les contours de la négligence grave avec des exemples tranchés. Le cas d’école est la réponse à un courriel d’hameçonnage : dans le même arrêt du 28 mars 2018, la Cour a cassé la cour d’appel qui refusait de retenir la faute d’un client pourtant averti, en jugeant que « manque, par négligence grave, à son obligation de prendre toute mesure raisonnable pour préserver la sécurité de ses dispositifs de sécurité personnalisés l’utilisateur d’un service de paiement qui communique les données personnelles de ce dispositif de sécurité en réponse à un courriel qui contient des indices permettant à un utilisateur normalement attentif de douter de sa provenance, peu important qu’il soit, ou non, avisé des risques d’hameçonnage », décision consultable sur le site de la Cour de cassation. Le critère est objectif : des indices visibles pour une personne normalement attentive suffisent, même si la banque n’avait jamais alerté ce client. À l’inverse, la banque qui se contente d’affirmer sans démontrer perd son procès : le 12 novembre 2020 (pourvoi n° 19-12.112), la Cour a rejeté le pourvoi d’établissements qui demandaient au client de supporter les pertes, en retenant que le prestataire « doit démontrer la réalisation de deux conditions cumulatives », l’authentification régulière de l’opération sans déficience d’une part, et la fraude ou la négligence grave du payeur d’autre part, la simple utilisation de l’instrument « ne suffit pas nécessairement en tant que telle à prouver l’autorisation du paiement par le payeur », décision consultable sur le site de la Cour de cassation. Et pour les paiements à distance passés sans la carte, un ancien arrêt du 12 novembre 2008 (pourvoi n° 07-19.324), rendu sous l’article L. 132-4 alors applicable, garde sa valeur illustrative : « la responsabilité du titulaire d’une carte de paiement n’est pas engagée si le paiement contesté a été effectué frauduleusement, à distance, sans utilisation physique de sa carte », et « la négligence du titulaire n’est pas de nature à décharger l’émetteur de son obligation de recréditer le montant d’une opération qui a été contestée dans le délai de soixante-dix jours, ou dans celui contractuellement prolongé dans la limite de cent vingt jours », décision consultable sur le site de la Cour de cassation. Le message d’ensemble est lisible : la banque qui allègue la faute doit la caractériser avec des faits, et le juge contrôle chaque maillon, consentement, authentification, diligence du signalement et indices de négligence.
Face à un refus, la conduite à tenir suit un ordre qui préserve tous les recours. D’abord, exiger par écrit les motifs précis du refus et les pièces sur lesquelles la banque se fonde : relevés d’authentification, journaux techniques, éléments caractérisant la négligence alléguée. La banque qui invoque un soupçon de fraude du client doit l’avoir communiqué par écrit à la Banque de France, et le client est en droit de le savoir. Ensuite, saisir le médiateur : l’article L. 612-1 du code de la consommation ouvre à « tout consommateur » le droit de « recourir gratuitement à un médiateur de la consommation en vue de la résolution amiable du litige qui l’oppose à un professionnel », après une réclamation écrite restée vaine auprès de la banque, en joignant opposition, relevés, récépissé de signalement et échanges. La médiation est gratuite, écrite et suspensive des tensions : beaucoup de dossiers se règlent à ce stade quand la banque n’a que son relevé informatique à opposer. Puis, en cas d’échec, porter le litige devant le tribunal judiciaire, à Paris comme ailleurs, avec un dossier ordonné : chronologie des opérations et des démarches, preuve de l’opposition et de sa date, signalement Perceval ou plainte, réclamation et mise en demeure avec accusés, réponse de la banque et avis du médiateur. À Paris, le dépôt de plainte peut s’effectuer dans tout commissariat et le signalement Perceval centralise la partie cyber, ce qui facilite la constitution du dossier civil en parallèle. Devant le juge, la structure du débat est fixée par les textes : au client de nier l’autorisation et de prouver le signalement dans les treize mois, à la banque de prouver l’authentification sans déficience puis, si elle veut faire supporter les pertes au client, la fraude ou la négligence grave caractérisée. Le client qui n’a ni communiqué ses données ni tardé à signaler aborde ce débat en position solide ; celui qui a dicté son code à un faux conseiller devra expliquer en quoi les indices de fraude n’étaient pas décelables pour une personne normalement attentive, au regard de l’arrêt du 28 mars 2018.
Conclusion
Faire opposition sans tarder, signaler par écrit dans les treize mois, exiger le remboursement au plus tard à la fin du premier jour ouvré : ces trois gestes résument l’essentiel du régime des opérations non autorisées par carte bancaire. L’opposition bloque l’instrument et date la diligence du titulaire, la contestation écrite fait courir les obligations de la banque, et les pénalités au taux légal majoré rendent tout retard coûteux pour l’établissement. La franchise de 50 euros ne concerne que les opérations antérieures à l’opposition et disparaît quand la carte détournée est restée en possession du titulaire, tandis que la négligence grave, seule avec la fraude du client, permet à la banque de refuser, à charge pour elle de la prouver par des faits précis et non par le seul relevé informatique. Quand le refus persiste, la réclamation motivée, la médiation gratuite puis le tribunal judiciaire offrent une voie graduée où le dossier bien daté, opposition, relevés, récépissé de signalement et échanges écrits, fait la différence. Vérifier chaque relevé dès sa mise à disposition, bloquer au premier doute et écrire plutôt que téléphoner : en matière de fraude à la carte, la rapidité et l’écrit valent autant que le droit lui-même.