Un débit que vous n’avez jamais autorisé apparaît sur votre relevé, un SMS vous demande un code de validation pour un achat que vous n’avez pas fait, ou un faux conseiller vous appelle pour soi-disant sécuriser votre compte et vous dicte une manipulation urgente. Ces situations relèvent toutes de la fraude à la carte bancaire, et elles appellent une réaction méthodique : bloquer l’instrument, signaler les faits sur la plateforme Perceval du ministère de l’intérieur, contester par écrit auprès de la banque et exiger le remboursement des opérations non autorisées. La demande est massive : la requête Perceval fraude affiche une moyenne mensuelle de 8 100 recherches en France, et les saisies réelles des internautes portent sur perceval fraude carte bancaire, perceval plainte et perceval plainte en ligne. Les pages officielles existantes décrivent la démarche, mais elles n’expliquent ni les délais exacts qui conditionnent le remboursement, ni les montants que la banque peut laisser à votre charge, ni les décisions par lesquelles la Cour de cassation a tranché les litiges de phishing et d’authentification forte. Cet article apporte précisément ce chaînon manquant : chaque délai et chaque règle de preuve sont cités d’après le texte en vigueur lu sur Légifrance et d’après trois arrêts de la chambre commerciale de la Cour de cassation rendus en 2020, 2023 et 2025, avec les liens officiels dans chaque paragraphe. La première partie décrit le réflexe immédiat, du signalement Perceval à l’opposition et à la contestation écrite dans le délai de treize mois. La seconde expose le droit au remboursement, l’obligation d’authentification forte qui pèse sur la banque et les cas où la négligence grave peut être opposée au client, avec la charge de la preuve qui incombe au prestataire.
I. Fraude à la carte bancaire : signaler sur Perceval et faire opposition sans tarder
A. Perceval, signalement en ligne : à quoi sert le récépissé et comment l’obtenir
Perceval est la plateforme de signalement en ligne des fraudes à la carte bancaire mise en place par le ministère de l’intérieur. Elle s’adresse aux victimes d’un usage frauduleux de leur carte alors qu’elles sont toujours en possession de celle-ci, ce qui correspond exactement au cas du paiement à distance détourné : l’escroc utilise les numéros de la carte, le cryptogramme ou un code reçu par SMS, sans jamais détenir le support physique. Le signalement s’effectue en ligne depuis le portail Ma Sécurité, dont la page dédiée s’intitule Fraude à la carte bancaire : signaler en ligne, et la fiche de Service-Public intitulée Signaler une fraude à la carte bancaire (Perceval) décrit la même démarche (le signalement en ligne sur le portail Ma Sécurité, fiche Perceval sur Service-Public). Ces deux pages figurent parmi les trois premiers résultats proposés aux internautes qui cherchent perceval fraude carte bancaire, avec la page du ministère de l’économie consacrée aux réflexes en cas de fraude, de perte ou de vol de la carte. L’apport du présent article par rapport à ces pages est de relier la démarche au droit applicable : délais de contestation, montant du remboursement, franchise de 50 euros, rôle de l’authentification forte et jurisprudence vérifiée sur la négligence grave.
Le parcours Perceval suit un ordre simple et il vaut la peine de le respecter à la lettre. La victime décrit d’abord les opérations contestées, avec leurs dates, leurs montants et le nom du bénéficiaire apparent, puis elle obtient un récépissé de signalement. Ce récépissé n’est pas une plainte et il ne déclenche aucune enquête à lui seul : il atteste de la date et du contenu du signalement, et il sert de pièce justificative dans le dossier adressé à la banque puis, le cas échéant, aux services d’enquête. La plainte proprement dite se dépose ensuite au commissariat, à la gendarmerie ou par pré-plainte en ligne, en visant l’escroquerie et, lorsque des codes ou des données personnelles ont été captés, l’usurpation d’identité. Le Code pénal définit l’escroquerie en ces termes : « L’escroquerie est le fait, soit par l’usage d’un faux nom ou d’une fausse qualité, soit par l’abus d’une qualité vraie, soit par l’emploi de manoeuvres frauduleuses, de tromper une personne physique ou morale et de la déterminer ainsi, à son préjudice ou au préjudice d’un tiers, à remettre des fonds, des valeurs ou un bien quelconque, à fournir un service ou à consentir un acte opérant obligation ou décharge » (article 313-1 du Code pénal). Le faux conseiller bancaire qui appelle pour obtenir un code, le faux SMS de livraison qui renvoie vers une page de paiement et le faux message de la banque qui annonce une synchronisation du compte relèvent de ces manoeuvres frauduleuses. Lorsque l’escroc utilise les nom, numéro de carte ou codes de la victime, l’article 226-4-1 du Code pénal sur l’usurpation d’identité trouve également à s’appliquer (article 226-4-1 du Code pénal).
Le signalement Perceval présente trois utilités concrètes dans le dossier. Il fige la chronologie, ce qui compte lorsque la banque discute ensuite la date à laquelle elle a été informée. Il montre que le client a réagi en personne diligente, ce qui pèse dans l’appréciation de la négligence grave examinée plus loin. Il facilite le rapprochement avec d’autres faits commis selon le même mode opératoire, puisque les signalements alimentent les services d’enquête. Conservez le récépissé, imprimez-le et joignez-le à la contestation adressée à la banque. Si des échanges téléphoniques avec de faux conseillers ont eu lieu, notez les numéros appelants, les heures d’appel et la teneur exacte des consignes reçues, sans rappeler ces numéros. Si des SMS frauduleux subsistent, effectuez des captures d’écran complètes avec l’expéditeur, la date et le lien, et ne cliquez sur aucun lien. Ces pièces serviront deux fois : devant la banque pour obtenir le remboursement, et devant les enquêteurs pour caractériser les manoeuvres.
B. Opposition et contestation : bloquer la carte et écrire à la banque dans les délais
L’opposition ne souffre aucun délai d’attente : dès la découverte d’une opération inconnue, le titulaire appelle le numéro d’opposition de sa banque ou le numéro interbancaire, puis confirme par écrit. Le Code monétaire et financier impose au titulaire d’avertir sans tarder : « Lorsqu’il a connaissance de la perte, du vol, du détournement ou de toute utilisation non autorisée de son instrument de paiement ou des données qui lui sont liées, l’utilisateur de services de paiement en informe sans tarder, aux fins de blocage de l’instrument, son prestataire ou l’entité désignée par celui-ci » (article L133-17 du Code monétaire et financier). Notez l’heure exacte de l’appel, le nom de l’interlocuteur et le numéro d’enregistrement de l’opposition lorsqu’il est communiqué. Demandez une attestation écrite de blocage, avec la date et l’heure, car ce document prouve qu’aucune opération postérieure ne pourra vous être imputée. Si la carte a été avalée, perdue ou volée physiquement, mentionnez-le expressément, car le régime de la franchise de 50 euros examiné dans la seconde partie dépend de cette qualification.
La contestation des opérations s’effectue ensuite par écrit, de préférence par lettre recommandée avec accusé de réception ou par message sécurisé de la banque avec accusé de lecture, en listant chaque opération avec sa date, son montant et son libellé. Le texte applicable fixe un délai couperet : « L’utilisateur de services de paiement signale, sans tarder, à son prestataire de services de paiement une opération de paiement non autorisée ou mal exécutée et au plus tard dans les treize mois suivant la date de débit sous peine de forclusion » (article L133-24 du Code monétaire et financier). Passé ce délai de treize mois à compter de chaque date de débit, la contestation est forclose, sauf si la banque n’a pas fourni les informations relatives à l’opération conformément aux règles d’information du client. Concrètement, une opération débitée le 20 janvier doit être contestée au plus tard le 20 février de l’année suivante, et chaque opération d’une série possède son propre point de départ. L’exigence de signalement sans tarder s’ajoute à ce plafond : attendre plusieurs mois sans raison fragilise la demande, même à l’intérieur des treize mois. Joignez à la lettre le récépissé Perceval, la copie du dépôt de plainte ou de la pré-plainte, les relevés entourant les opérations et les captures des messages frauduleux. Exigez le remboursement du montant de chaque opération non autorisée et le rétablissement du compte dans l’état où il se serait trouvé sans ces opérations, avec les intérêts prévus par la loi en cas de retard.
Deux erreurs fréquentes compromettent les dossiers et il faut les éviter. La première consiste à se contenter d’un appel téléphonique à son conseiller sans confirmation écrite : en cas de litige, la date de la contestation devient indémontrable et la banque oppose son propre journal. La seconde consiste à signer un document par lequel la banque propose de classer l’incident en anomalie commerciale ou en geste commercial avec renonciation à toute réclamation : un tel écrit peut être invoqué ensuite contre toute demande complémentaire. N’acceptez un remboursement partiel qu’en le qualifiant par écrit d’acompte sur le montant total réclamé. Enfin, si la banque refuse par écrit en invoquant votre négligence, exigez qu’elle précise les faits exacts retenus contre vous et les preuves correspondantes, car la loi lui impose de rapporter cette preuve comme l’expose la seconde partie. Pour un premier éclairage sur les voies de recours ouvertes aux particuliers en matière bancaire, la présentation du cabinet d’avocats à Paris rappelle les domaines d’intervention utiles aux victimes de fraudes.
II. Remboursement des opérations non autorisées : quand la banque doit payer
A. Remboursement immédiat et authentification forte : la règle qui protège le client
Le principe est favorable au client et il s’exprime en termes impératifs : « le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant » (article L133-18 du Code monétaire et financier). La banque ne peut différer ce remboursement que si elle soupçonne une fraude du client lui-même et si elle communique par écrit les raisons de ce soupçon à la Banque de France. Le compte doit être rétabli dans l’état où il se serait trouvé sans l’opération, avec une date de valeur non postérieure à celle du débit. Lorsque la banque tarde, des intérêts de retard s’appliquent de plein droit : les sommes dues produisent intérêt au taux légal majoré de cinq points, puis de dix points au-delà de sept jours de retard et de quinze points au-delà de trente jours, selon le même article L133-18. Ces majorations se calculent sur les montants retenus indûment et elles s’ajoutent au principal réclamé.
La seconde protection tient à l’authentification forte, c’est-à-dire la vérification renforcée exigée pour les paiements à distance, qui combine au moins deux éléments indépendants parmi la connaissance, la possession et l’inhérence, avec un lien dynamique entre l’opération, son montant et son bénéficiaire (article L133-44 du Code monétaire et financier). La loi attache à l’absence d’authentification forte une conséquence radicale : « Sauf agissement frauduleux de sa part, le payeur ne supporte aucune conséquence financière si l’opération de paiement non autorisée a été effectuée sans que le prestataire de services de paiement du payeur n’exige une authentification forte du payeur prévue à l’article L. 133-44 » (article L133-19, V, du Code monétaire et financier). Autrement dit, si la banque n’a pas exigé cette vérification renforcée au moment de l’opération litigieuse, elle ne peut opposer au client une quelconque négligence pour refuser le remboursement, sauf à démontrer une fraude du client lui-même.
La Cour de cassation a confirmé cette lecture à deux reprises dans des affaires de phishing. Le 30 août 2023, la chambre commerciale a jugé que « sauf agissement frauduleux de sa part, le payeur ne supporte aucune conséquence financière si l’opération de paiement non autorisée a été effectuée sans que le prestataire de services de paiement du payeur n’exige une authentification forte du payeur prévue par le second de ces textes » (Cass. com., 30 août 2023, n° 22-11.707), et elle a cassé un jugement qui avait retenu la négligence grave d’un client sans rechercher si la banque avait exigé l’authentification forte pour l’opération du 27 janvier 2020. Le 22 octobre 2025, la même chambre a précisé que « le prestataire de service de paiement doit appliquer l’authentification forte du client définie au f) de l’article L. 133-4 du même code en cas d’opération de paiement à distance et qu’à défaut, il doit rembourser au payeur le montant de l’opération non autorisée, sauf agissement frauduleux du payeur » (Cass. com., 22 octobre 2025, n° 24-19.749). Dans cette affaire, le client avait pourtant répondu à un courriel présentant des anomalies grossières et transmis des données confidentielles ayant permis d’ajouter un bénéficiaire et d’exécuter un virement, et la banque soutenait l’avoir seulement incité à activer son dispositif SécuriPass : la Cour a rejeté le pourvoi de la banque et maintenu sa condamnation au remboursement, au motif qu’elle ne justifiait pas avoir exigé l’activation de l’authentification forte. La leçon pratique est nette : face à un refus fondé sur votre comportement, demandez à la banque de démontrer opération par opération qu’elle a exigé l’authentification forte au sens de l’article L133-44, car son silence sur ce point fait échec à son refus.
Reste le cas particulier de la perte ou du vol du support physique, avant opposition : « En cas d’opération de paiement non autorisée consécutive à la perte ou au vol de l’instrument de paiement, le payeur supporte, avant l’information prévue à l’article L. 133-17 , les pertes liées à l’utilisation de cet instrument, dans la limite d’un plafond de 50 » (article L133-19, I, du Code monétaire et financier). Cette franchise de 50 euros ne s’applique ni aux opérations effectuées sans utilisation des données de sécurité personnalisées, ni aux pertes indétectables par le client avant le paiement, ni aux détournements subis à l’insu du client alors qu’il détenait toujours sa carte, ni lorsque la banque n’offre aucun moyen de blocage. Surtout, elle ne s’applique pas lorsque l’opération a été exécutée sans authentification forte, en vertu du paragraphe V précité. Vérifiez donc toujours sur votre relevé si les opérations contestées ont donné lieu à une validation forte de votre part : un débit passé sans aucun code, sans validation dans l’application et sans biométrie constitue un indice sérieux d’absence d’authentification forte, que la banque devra contredire pièces à l’appui.
B. Négligence grave et preuve : ce que la banque doit démontrer pour refuser
Hors l’hypothèse de l’absence d’authentification forte, la banque peut refuser le remboursement en invoquant la négligence grave du client. Le texte applicable dispose : « Le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17 » (article L133-19, IV, du Code monétaire et financier). Les obligations visées consistent à prendre toute mesure raisonnable pour préserver la sécurité des données personnalisées et à utiliser l’instrument conformément à ses conditions de délivrance (article L133-16 du Code monétaire et financier), ainsi qu’à informer sans tarder aux fins de blocage en cas de perte, de vol ou d’utilisation non autorisée (article L133-17 du Code monétaire et financier). La jurisprudence retient la négligence grave lorsque le client communique ses codes, ses identifiants ou les données de sa carte en réponse à un message qui présentait des anomalies apparentes pour un utilisateur normalement attentif : adresse d’expéditeur fantaisiste, fautes grossières, menace de clôture immédiate du compte, demande de codes que la banque ne demande jamais. La cour d’appel de Toulouse l’a illustré le 28 janvier 2025 dans une affaire où une cliente avait transmis ses informations après un appel et un message peu crédibles, tout en rappelant que cette faute ne suffit pas à elle seule et que la banque doit aussi prouver l’utilisation effective des données de sécurité personnelles pour authentifier les paiements (CA Toulouse, 28 janvier 2025, RG n° 23/00872).
L’élément décisif pour les victimes tient à la charge de la preuve, qui pèse sur la banque et non sur le client. Lorsqu’un utilisateur nie avoir autorisé une opération, « il incombe à son prestataire de services de paiement de prouver que l’opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre » (article L133-23 du Code monétaire et financier). Le même article précise que l’enregistrement de l’utilisation de l’instrument par la banque ne suffit pas à lui seul à prouver ni l’autorisation ni la négligence grave, et que le prestataire doit fournir des éléments établissant la fraude ou la négligence grave du client. La Cour de cassation en a tiré une conséquence protectrice le 12 novembre 2020 : « s’il entend faire supporter à l’utilisateur d’un instrument de paiement doté d’un dispositif de sécurité personnalisé les pertes occasionnées par une opération de paiement non autorisée rendue possible par un manquement de cet utilisateur, intentionnel ou par négligence grave, aux obligations mentionnées aux articles L. 133-16 et L. 133-17 de ce code, le prestataire de services de paiement doit aussi prouver que l’opération en cause a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre » (Cass. com., 12 novembre 2020, n° 19-12.112). Dans cette affaire, une cliente avait transmis ses nom, numéro de carte, date d’expiration et cryptogramme après un faux courriel de son opérateur téléphonique, puis des codes 3D Secure reçus par SMS avaient validé deux paiements qu’elle n’avait pas réalisés : la banque invoquait une négligence grave évidente, mais la Cour a rejeté son pourvoi parce qu’elle ne rapportait pas la preuve de l’absence de déficience technique. Autrement dit, même face à un comportement fautif du client, la banque qui se contente d’affirmer que l’instrument a été utilisé perd son procès si elle ne démontre pas l’authentification effective et l’absence d’anomalie technique.
Concrètement, un refus de remboursement motivé uniquement par la mention utilisation de vos codes ou opération validée par 3D Secure ne satisfait pas à cette exigence. Exigez le journal technique complet de chaque opération : date et heure à la seconde, canal, adresse IP ou identifiant du terminal, résultat détaillé de l’authentification, preuve de l’absence de déficience. Si la banque produit seulement un tableau interne récapitulatif sans ces éléments, rappelez-lui par écrit les termes de l’article L133-23 et de l’arrêt du 12 novembre 2020, et maintenez votre réclamation. Si elle persiste, saisissez le médiateur bancaire désigné dans la convention de compte, puis le tribunal judiciaire, en joignant le récépissé Perceval, la plainte, la lettre de contestation avec ses accusés, les relevés et les échanges avec la banque. Devant le juge, la chronologie joue en votre faveur lorsque l’opposition et le signalement ont été immédiats et que la contestation écrite est intervenue dans les treize mois : le dossier montre alors une victime diligente face à un prestataire qui n’établit ni l’authentification complète ni la négligence grave caractérisée.
Conclusion
Une fraude à la carte bancaire se traite en quatre gestes indissociables : signaler les faits sur Perceval pour obtenir un récépissé daté, faire opposition immédiatement et en conserver la preuve, contester chaque opération par écrit au plus tard dans les treize mois de son débit, puis exiger le remboursement immédiat avec remise en état du compte. La banque ne peut différer ce remboursement que si elle soupçonne votre propre fraude et si elle en communique les raisons par écrit à la Banque de France. Lorsqu’elle invoque votre négligence grave, elle doit démontrer des faits précis et, au surplus, établir que chaque opération a été authentifiée, enregistrée et exempte de déficience technique. Lorsqu’elle n’a pas exigé l’authentification forte au moment de l’opération, elle doit rembourser même si vous avez commis une imprudence, sauf fraude de votre part. Conservez toutes les pièces, du récépissé Perceval aux journaux techniques réclamés à la banque, car ce sont elles qui emportent la décision devant le médiateur comme devant le juge.