Lorsqu’un particulier est victime d’une escroquerie à la carte bancaire à la suite d’un courriel d’hameçonnage imitant un organisme social ou fiscal, la première démarche consiste à solliciter le remboursement des sommes débitées auprès de l’établissement teneur de compte. Face au refus fréquemment opposé par les banques, qui invoquent la négligence grave du titulaire de la carte ayant saisi ses codes de sécurité à usage unique, certains déposants tentent d’activer un second levier d’indemnisation : la saisine de la commission d’indemnisation des victimes d’infractions (CIVI) afin d’obtenir une prise en charge par le Fonds de garantie des victimes des actes de terrorisme et d’autres infractions (FGTI) au titre de la solidarité nationale.
Un arrêt rendu par la deuxième chambre civile de la Cour de cassation le 5 novembre 2026 (pourvoi n° 25-12.778), commenté le 13 novembre 2026 par la rédaction de MoneyVox, vient rappeler avec rigueur les limites de ce recours subsidiaire. Dans cette affaire, un assuré social avait reçu un courrier électronique reproduisant l’apparence visuelle de l’Assurance maladie et lui annonçant un remboursement voisin de quatre-vingt-huit euros, montant qui correspondait effectivement à une prestation qu’il attendait. Après avoir suivi le lien hypertexte, renseigné son numéro de sécurité sociale, son mot de passe et les coordonnées de sa carte bancaire, puis communiqué deux codes de sécurité reçus par message téléphonique, l’intéressé avait vu son compte débité de plusieurs paiements sans rapport avec le remboursement espéré. N’ayant pas obtenu la restitution des fonds par sa banque, il avait saisi la CIVI sur le fondement des textes régissant l’indemnisation des victimes d’escroquerie, mais s’est heurté à un refus intégral d’indemnisation en raison de sa propre faute.
Cette décision met en lumière la dualité des régimes juridiques applicables aux fraudes aux instruments de paiement et l’importance déterminante de la stratégie procédurale adoptée dès la découverte des débits frauduleux. Tandis que le droit des services de paiement, régi par le Code monétaire et financier, fait peser sur le prestataire de services de paiement une obligation de remboursement immédiat et la charge exclusive de prouver tant l’authentification régulière des opérations que la négligence grave du payeur, le mécanisme d’indemnisation devant la CIVI obéit à des conditions restrictives d’ouverture, de ressources et de plafonnement prévues par le Code de procédure pénale, tout en permettant au juge du fond d’écarter toute réparation lorsque le manque de vigilance de la victime présente un lien de causalité direct et certain avec le dommage.
L’analyse croisée de ces deux voies de droit impose d’examiner, d’une part, le régime de l’action principale en remboursement dirigée contre le prestataire de services de paiement face à une opération par carte bancaire non autorisée (I) et, d’autre part, les conditions strictes du recours subsidiaire devant la CIVI ainsi que l’incidence de la faute de la victime telle que caractérisée par la Cour de cassation le 5 novembre 2026 (II).
I. Le recours principal contre l’établissement bancaire en présence d’opérations de paiement non autorisées issues d’un hameçonnage
A. Le principe du remboursement immédiat et le double fardeau probatoire pesant sur le prestataire de services de paiement
En droit français des services de paiement, issu de la transposition des directives européennes sur les services de paiement, le fondement de toute contestation d’un débit frauduleux par carte bancaire réside dans la qualification d’opération de paiement non autorisée. Même lorsque l’escroquerie procède d’une manœuvre d’hameçonnage ayant conduit le titulaire de la carte à saisir ses coordonnées bancaires ou un code reçu par message téléphonique sur une interface frauduleuse, l’opération réalisée par l’escroc au profit d’un tiers marchand ou d’un compte inconnu demeure dépourvue du consentement réel du payeur quant à son montant et à son bénéficiaire. Dès lors qu’il prend connaissance du détournement ou de toute utilisation non autorisée de son instrument de paiement ou des données qui lui sont liées, l’utilisateur est tenu, en application de l’article L. 133-17 du Code monétaire et financier, d’en informer sans tarder son prestataire ou l’entité désignée par celui-ci aux fins de blocage de l’instrument.
L’encadrement temporel de cette démarche obéit à une règle légale impérative. Selon l’article L. 133-24 du Code monétaire et financier, l’utilisateur de services de paiement signale sans tarder à son prestataire une opération de paiement non autorisée ou mal exécutée et au plus tard dans les treize mois suivant la date de débit sous peine de forclusion, à moins que le prestataire ne lui ait pas fourni ou mis à disposition les informations relatives à cette opération. Lorsque cette contestation est formée dans ce délai légal de treize mois suivant la date de débit, l’article L. 133-18 du Code monétaire et financier impose au prestataire de services de paiement du payeur de rembourser à ce dernier le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, sauf s’il a de bonnes raisons de soupçonner une fraude de l’utilisateur et s’il communique ces raisons par écrit à la Banque de France.
Le législateur a assorti cette obligation de restitution immédiate de majorations financières dissuasives. Aux termes du même article L. 133-18 du Code monétaire et financier, en cas de manquement du prestataire, les sommes dues produisent intérêt au taux légal majoré de cinq points dès le premier jour de retard, de dix points au-delà de sept jours, et de quinze points au-delà de trente jours, avec rétablissement du compte à la date de valeur du débit initial.
Pour échapper à cette obligation légale de remboursement, l’établissement bancaire invoque presque systématiquement les dispositions du IV de l’article L. 133-19 du Code monétaire et financier, selon lesquelles le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17 du même code, lesquelles imposent de prendre toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées et de notifier sans tarder toute utilisation non autorisée. Toutefois, le régime probatoire institué par l’article L. 133-23 du Code monétaire et financier protège étroitement le titulaire du compte en instituant un double verrou probatoire à la charge exclusive de la banque.
En premier lieu, la chambre commerciale de la Cour de cassation exige que l’établissement bancaire rapporte la preuve technique préalable de la régularité de l’enregistrement et de l’authentification de chaque opération litigieuse avant même que le débat sur une éventuelle négligence grave du client puisse être ouvert. Dans un arrêt du 30 avril 2025 (pourvoi n° 24-10.149), la chambre commerciale a cassé la décision d’une cour d’appel qui avait débouté un client victime d’un courriel d’hameçonnage en énonçant que « s’il entend faire supporter à l’utilisateur d’un instrument de paiement doté d’un dispositif de sécurité personnalisé les pertes occasionnées par une opération de paiement non autorisée rendue possible par un manquement de cet utilisateur, intentionnel ou par négligence grave, aux obligations mentionnées aux articles L. 133-16 et L 133-17 de ce code, le prestataire de services de paiement doit au préalable prouver que l’opération en cause a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre. » (Cass. com., 30 avril 2025, n° 24-10.149). En l’absence de production par la banque des journaux techniques complets attestant l’authentification régulière et l’absence de déficience technique du système, le refus de remboursement est privé de base légale, quelle que soit l’imprudence reprochée au titulaire du compte.
En second lieu, le second alinéa de l’article L. 133-23 du Code monétaire et financier dispose expressément que l’utilisation de l’instrument de paiement telle qu’enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l’opération a été autorisée par le payeur ou que celui-ci n’a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant en la matière. La Cour de cassation sanctionne invariablement les juridictions du fond qui déduisent la faute lourde du consommateur de la seule validation technique d’un dispositif d’authentification forte ou d’une clé numérique. Ainsi, par un arrêt du 26 mars 2025 (pourvoi n° 23-21.299), la chambre commerciale a rappelé le principe selon lequel « Il résulte de la combinaison de ces textes qu’il appartient au prestataire de services de paiement de rapporter la preuve que l’utilisateur, qui nie avoir autorisé une opération de paiement, a agi frauduleusement ou n’a pas satisfait intentionnellement ou par négligence grave à son obligation de prendre toute mesure raisonnable pour préserver la sécurité des données de sécurité personnalisées. La négligence grave ne peut se déduire du seul fait que l’instrument de paiement ou les données personnelles qui lui sont liées ont été effectivement utilisés. » (Cass. com., 26 mars 2025, n° 23-21.299).
De même, lorsqu’une banque se borne à produire des relevés d’adresses informatiques et les traces d’enrôlement d’une clé digitale validée par code reçu par message téléphonique pour imputer au titulaire du compte une imprudence caractérisée, la haute juridiction censure le jugement au motif que « En statuant ainsi, le tribunal, qui a déduit la négligence grave de Mme [P] de la seule utilisation de ses données de sécurité personnalisées, a violé les textes susvisés. » (Cass. com., 5 mars 2025, n° 23-22.687). Par ailleurs, en vertu du V de l’article L. 133-19 du Code monétaire et financier, sauf agissement frauduleux de sa part, le payeur ne supporte aucune conséquence financière si l’opération de paiement non autorisée a été effectuée sans que le prestataire de services de paiement du payeur n’exige une authentification forte du payeur. L’accompagnement dans le cadre d’un contentieux bancaire et commercial à Paris permet précisément d’exiger la production des certificats techniques d’authentification forte et de vérifier si l’établissement teneur de compte satisfait à cette double exigence probatoire.
B. La caractérisation de la négligence grave de l’utilisateur face aux indices manifestes d’un courriel d’hameçonnage
Si la seule utilisation des données de sécurité personnalisées ne suffit jamais à établir la négligence grave du titulaire de la carte bancaire, la banque recouvre néanmoins la faculté de refuser le remboursement lorsqu’elle démontre, par des éléments circonstanciés extérieurs au seul enregistrement informatique de l’opération, que le payeur a communiqué ses codes confidentiels en réponse à une sollicitation comportant des anomalies manifestes qu’un utilisateur normalement attentif n’aurait pas manqué de relever. L’appréciation de la négligence grave au sens du IV de l’article L. 133-19 du Code monétaire et financier s’effectue alors selon un standard objectif, celui de l’utilisateur normalement attentif placé dans les mêmes circonstances.
La jurisprudence constante de la chambre commerciale de la Cour de cassation a fixé les contours de cette appréciation objective à propos des campagnes d’hameçonnage par courrier électronique. Dans un arrêt de principe du 28 mars 2018 (pourvoi n° 16-20.018), la Cour de cassation a jugé que « manque, par négligence grave, à son obligation de prendre toute mesure raisonnable pour préserver la sécurité de ses dispositifs de sécurité personnalisés l’utilisateur d’un service de paiement qui communique les données personnelles de ce dispositif de sécurité en réponse à un courriel qui contient des indices permettant à un utilisateur normalement attentif de douter de sa provenance, peu important qu’il soit, ou non, avisé des risques d’hameçonnage » (Cass. com., 28 mars 2018, n° 16-20.018). Par cette formule, la chambre commerciale exclut toute appréciation purement subjective fondée sur l’inexpérience informatique du client ou son défaut de consultation préalable des mises en garde diffusées par sa banque, dès lors que le message frauduleux présentait des incohérences flagrantes.
Pour déterminer si le courriel ou le message reçu contenait de tels indices propres à éveiller la suspicion d’un consommateur normalement vigilant, les juridictions procèdent à un examen concret des échanges : absence d’identification précise de l’expéditeur, fautes d’orthographe grossières, réclamation inhabituelle du numéro complet de carte bancaire et du cryptogramme sous prétexte de verser une prestation sociale, et contradiction frontale entre l’objet annoncé et les notifications d’authentification adressées par la banque.
En effet, lorsqu’un particulier croit percevoir un remboursement de l’Assurance maladie, mais reçoit sur son téléphone mobile des messages bancaires mentionnant expressément la validation d’une opération de paiement d’un montant élevé, parfois libellée en langue étrangère, avec l’avertissement de contacter immédiatement sa banque s’il n’est pas à l’origine de l’opération, la saisie répétée de ces codes à usage unique caractérise un défaut manifeste de vigilance. Confronté au refus de sa banque sur le terrain du Code monétaire et financier, le titulaire de la carte cherche alors parfois à saisir la CIVI.
II. Le recours subsidiaire devant la CIVI et le Fonds de garantie des victimes d’infractions à l’épreuve de la faute de la victime
A. Les conditions restrictives d’indemnisation de l’escroquerie par l’article 706-14 du Code de procédure pénale
L’utilisation frauduleuse des données de carte bancaire extorquées au moyen d’un faux courriel usurpant l’identité d’un organisme public constitue pénalement le délit d’escroquerie. Aux termes de l’article 313-1 du Code pénal, l’escroquerie est le fait, soit par l’usage d’un faux nom ou d’une fausse qualité, soit par l’abus d’une qualité vraie, soit par l’emploi de manœuvres frauduleuses, de tromper une personne physique ou morale et de la déterminer ainsi, à son préjudice ou au préjudice d’un tiers, à remettre des fonds, des valeurs ou un bien quelconque, à fournir un service ou à consentir un acte opérant obligation ou décharge. Si le dépôt d’une plainte pénale permet d’ouvrir une enquête, les auteurs de campagnes d’hameçonnage opèrent le plus souvent depuis l’étranger derrière des infrastructures anonymisées, de sorte que la victime ne parvient presque jamais à obtenir l’identification et la condamnation solvable des auteurs de l’infraction devant la juridiction répressive.
C’est pour remédier à l’insolvabilité ou à l’absence d’identification des auteurs de certaines atteintes aux biens que le législateur a institué un dispositif exceptionnel de solidarité nationale devant la commission d’indemnisation des victimes d’infractions, présenté par la fiche officielle Service-Public consacrée à l’indemnisation par le FGTI. Toutefois, contrairement aux atteintes graves à la personne qui ouvrent droit à une réparation intégrale sur le fondement de l’article 706-3 du Code de procédure pénale, les atteintes aux biens telles que l’escroquerie sont soumises au régime restrictif de l’article 706-14 du Code de procédure pénale, qui subordonne l’octroi d’une indemnité à la réunion cumulative de quatre conditions légales strictes.
Dans son arrêt du 5 novembre 2026 (pourvoi n° 25-12.778), la deuxième chambre civile de la Cour de cassation rappelle tout d’abord la lettre de ce texte en énonçant que « Selon l’article 706-14 du code de procédure pénale, toute personne victime de certaines infractions, dont l’escroquerie, qui ne peut obtenir à un titre quelconque une réparation ou une indemnisation effective et suffisante de son préjudice, et se trouve de ce fait dans une situation matérielle ou psychologique grave, peut obtenir une indemnité dans les conditions prévues par les articles 706-3, 3° et dernier alinéa, à 706-12 du même code, lorsqu’elle remplit la condition de ressources prévue par ce texte. » (Cass. civ. 2e, 5 novembre 2026, n° 25-12.778). La première exigence tient ainsi au caractère strictement subsidiaire de l’intervention du FGTI : la victime d’une escroquerie bancaire doit démontrer qu’elle ne peut obtenir à un titre quelconque une réparation ou une indemnisation effective et suffisante de son préjudice, que ce soit auprès de l’auteur des faits, d’un assureur ou de son établissement bancaire au titre du Code monétaire et financier.
La deuxième condition légale posée par l’article 706-14 du Code de procédure pénale impose que la victime dispose de ressources inférieures au plafond prévu par l’article 4 de la loi n° 91-647 du 10 juillet 1991 relative à l’aide juridique pour bénéficier de l’aide juridictionnelle partielle, compte tenu, le cas échéant, de ses charges de famille. La troisième condition exige que l’infraction ait placé le requérant, du fait de l’absence d’indemnisation, dans une situation matérielle ou psychologique grave, ce qui exclut toute prise en charge automatique d’une perte financière qui n’affecterait pas gravement les conditions d’existence ou l’équilibre psychologique de la victime. Enfin, même lorsque ces conditions cumulatives sont réunies, l’article 706-14 du Code de procédure pénale plafonne impérativement le montant de l’indemnité susceptible d’être allouée en disposant que l’indemnité est au maximum égale au triple du montant mensuel de ce plafond de ressources.
La deuxième chambre civile de la Cour de cassation veille avec une rigueur constante au respect de ce plafond légal d’indemnisation ainsi qu’à l’office juridictionnel de la CIVI à l’égard du Fonds de garantie. Dans un arrêt du 12 octobre 2023 (pourvoi n° 22-14.445) rendu à propos d’une victime d’escroquerie en ligne, la Cour de cassation a censuré une cour d’appel qui avait alloué dix mille euros d’indemnisation en rappelant, d’une part, que « Il résulte des premier, deuxième et quatrième de ces textes que la CIVI alloue aux victimes des indemnités qui sont versées par le FGTI et qu’il n’appartient pas à la CIVI ou à la cour d’appel de condamner le FGTI à verser ces indemnités. » et, d’autre part, que « Le troisième de ces textes limite au triple du montant mensuel du plafond de ressources prévu par l’article 4 de la loi n° 91-647 du 10 juillet 1991 ouvrant droit au bénéfice de l’aide juridictionnelle partielle, l’indemnité allouée aux victimes d’une escroquerie. » (Cass. civ. 2e, 12 octobre 2023, n° 22-14.445).
Sur le plan procédural, la recevabilité de la requête présentée devant la CIVI est en outre enfermée dans les délais de forclusion édictés par l’article 706-5 du Code de procédure pénale. Aux termes de cet article, à peine de forclusion, la demande d’indemnité doit être présentée dans le délai de trois ans à compter de la date de l’infraction ; lorsque des poursuites pénales sont exercées, ce délai est prorogé et n’expire qu’un an après la décision de la juridiction qui a statué définitivement sur l’action publique ou sur l’action civile engagée devant la juridiction répressive. Le même article 706-5 du Code de procédure pénale précise toutefois que la commission relève le requérant de la forclusion lorsque l’information prévue à l’article 706-15 n’a pas été donnée, lorsque le requérant n’a pas été en mesure de faire valoir ses droits dans les délais requis ou lorsqu’il a subi une aggravation de son préjudice ou pour tout autre motif légitime, et que lorsque l’infraction est commise à l’encontre d’un mineur, le délai de forclusion ne court qu’à compter de la majorité de ce dernier. Dans l’espèce tranchée le 5 novembre 2026 par la Cour de cassation (Cass. civ. 2e, 5 novembre 2026, n° 25-12.778), l’escroquerie à la carte bancaire avait eu lieu entre les 20 et 23 mars 2018 et la victime avait saisi la CIVI par requête du 23 mars 2021 ; mais au-delà de la recevabilité temporelle de la requête, c’est sur le terrain du fond et de la faute de la victime que sa demande s’est heurtée à un rejet définitif.
B. L’exclusion du droit à indemnisation en raison de la faute de la victime : l’apport de l’arrêt de la Cour de cassation du 5 novembre 2026
Le renvoi opéré par l’article 706-14 du Code de procédure pénale aux dispositions du dernier alinéa de l’article 706-3 du même code rend pleinement opposable aux victimes d’escroquerie la règle selon laquelle la réparation peut être refusée ou son montant réduit à raison de la faute de la victime. La deuxième chambre civile de la Cour de cassation rappelle régulièrement la portée de ce mécanisme d’exonération au profit du FGTI. Dans un arrêt récent du 17 septembre 2026 (pourvoi n° 24-20.990), elle a ainsi réaffirmé que « Il résulte de ce texte que la réparation par le Fonds de garantie des victimes des actes de terrorisme et d’autres infractions du dommage causé par des faits présentant le caractère matériel d’une infraction peut être refusée ou son montant réduit à raison de la faute de la victime, en relation de causalité directe et certaine avec le dommage. » et précisé que « seule la faute de la victime doit être prise en compte pour déterminer si la réparation doit être refusée ou si son montant doit seulement être réduit » (Cass. civ. 2e, 17 septembre 2026, n° 24-20.990), sans que les juges du fond aient à comparer la gravité de l’imprudence de la victime à la gravité du délit commis par l’auteur de l’infraction.
L’intérêt majeur de l’arrêt rendu le 5 novembre 2026 par la deuxième chambre civile (Cass. civ. 2e, 5 novembre 2026, n° 25-12.778) réside dans l’application directe de cette règle d’exclusion à une victime d’hameçonnage bancaire qui soutenait, à l’appui de son pourvoi, que sa crédulité face à une mise en scène frauduleuse imitant l’Assurance maladie ne pouvait constituer une faute privative d’indemnisation. La Cour de cassation écarte cet argument en approuvant méthodiquement le faisceau d’anomalies relevé par la cour d’appel de Lyon à chaque étape du processus frauduleux.
En premier lieu, la haute juridiction observe que le courrier électronique reçu le 20 mars 2018 avec un logo imitant celui de l’Assurance maladie ne précisait pas l’identité de son auteur et comportait deux fautes d’orthographe, de sorte que le requérant avait commis un premier manquement à la vigilance en acceptant de suivre le lien hypertexte contenu dans ce message. En deuxième lieu, l’arrêt relève que la victime avait non seulement renseigné son numéro de sécurité sociale et son mot de passe, mais également communiqué son numéro de carte bancaire, avant de recevoir deux messages téléphoniques lui transmettant deux codes de sécurité à usage unique et l’avertissant expressément qu’elle devait appeler sa banque si elle n’était pas à l’origine des opérations bancaires.
En troisième lieu, la Cour de cassation met en exergue la discordance flagrante entre le remboursement modique attendu et la nature réelle des transactions validées par la victime en soulignant que « alors que M. [D] indiquait être en attente d’un remboursement proche de 88 euros, il a été explicitement informé par les messages reçus que les opérations à réaliser étaient sans commune mesure avec ce montant, qu’elles concernaient des paiements qu’il effectuait et non des remboursements et que la première opération de paiement était exprimée en langue étrangère. » (Cass. civ. 2e, 5 novembre 2026, n° 25-12.778). Approuvant les juges d’appel, la deuxième chambre civile conclut que « De ces constatations et énonciations, la cour d’appel a pu, sans encourir les griefs du moyen, déduire l’existence d’une faute de la victime directe en lien de causalité certain et direct avec le dommage, dont elle a souverainement estimé qu’elle excluait tout droit à indemnisation. » (Cass. civ. 2e, 5 novembre 2026, n° 25-12.778).
Cet arrêt du 5 novembre 2026 livre un enseignement décisif sur l’articulation entre le contentieux bancaire et le recours devant la CIVI. Tandis que, devant le juge civil ou commercial saisi d’une action contre la banque sur le fondement des articles L. 133-18 et L. 133-23 du Code monétaire et financier, le prestataire de services de paiement supporte la charge d’établir une négligence grave du payeur et succombe dès lors qu’il ne produit pas la preuve technique préalable de l’authentification régulière ou qu’il se fonde sur la seule utilisation de l’instrument de paiement, une simple faute d’imprudence ou de défaut de vigilance de la victime en lien de causalité direct et certain avec le préjudice suffit, devant la CIVI statuant sur le fondement des articles 706-3 et 706-14 du Code de procédure pénale, à supprimer intégralement tout droit à indemnisation par le FGTI.
Il en résulte que le Fonds de garantie des victimes ne constitue nullement un mécanisme d’assurance subsidiaire destiné à relayer automatiquement la banque lorsque celle-ci refuse de rembourser une opération frauduleuse. Lorsque la victime a été abusée par un stratagème sophistiqué ou qu’une opération a été exécutée sans authentification forte ou sans message d’alerte explicite, c’est sur le terrain du Code monétaire et financier que ses chances d’obtenir la restitution intégrale des sommes détournées sont les plus élevées, sans condition de ressources ni plafonnement. L’examen des pièces du dossier dans le cadre des domaines d’intervention du cabinet en contentieux civil et économique permet d’orienter la victime vers la voie procédurale adaptée en vérifiant le contenu exact des messages reçus et la régularité des procédés d’authentification bancaire.
Conclusion
L’arrêt rendu le 5 novembre 2026 par la deuxième chambre civile de la Cour de cassation (Cass. civ. 2e, 5 novembre 2026, n° 25-12.778) trace une frontière nette entre la protection légale de l’utilisateur de services de paiement et le périmètre restreint de la solidarité nationale assurée par le Fonds de garantie des victimes. Si l’article 706-14 du Code de procédure pénale ouvre en principe aux victimes d’escroquerie la faculté de saisir la CIVI dans le délai de trois ans à compter de la date de l’infraction prévu à peine de forclusion par l’article 706-5 du Code de procédure pénale — délai prorogé, lorsque des poursuites pénales sont exercées, jusqu’à l’expiration d’un an après la décision de la juridiction qui a statué définitivement sur l’action publique ou sur l’action civile engagée devant la juridiction répressive — cette voie demeure subordonnée à l’impossibilité d’obtenir une réparation effective à un titre quelconque, à une condition stricte de ressources, à l’existence d’une situation matérielle ou psychologique grave et à un plafond légal égal au triple du plafond mensuel de l’aide juridictionnelle partielle.
Surtout, en application du dernier alinéa de l’article 706-3 du Code de procédure pénale, la faute de la victime en lien de causalité direct et certain avec son dommage autorise la CIVI à exclure tout droit à indemnisation lorsque l’utilisateur a validé des paiements par carte bancaire en dépit d’anomalies manifestes portant sur l’identité de l’expéditeur, la nature de l’opération et son montant. Dès lors, la défense des intérêts du particulier victime d’hameçonnage repose prioritairement sur la contestation sans tarder des opérations non autorisées auprès du prestataire de services de paiement, et au plus tard dans les treize mois suivant la date de débit sous peine de forclusion conformément à l’article L. 133-24 du Code monétaire et financier, afin d’exiger la preuve préalable de l’authentification régulière et de contester toute allégation non démontrée de négligence grave sur le fondement des articles L. 133-18, L. 133-19 et L. 133-23 du Code monétaire et financier.