Le mot « cyberattaque » flambe ce 29 septembre 2026 sur Google France : la tendance est active, en progression de 1 000 %, et les internautes tapent en masse « cyberattaque en cours », des requêtes visant les applications bancaires des grandes enseignes. Derrière cette inquiétude, un fait précis rapporté par la presse : d’après Capital.fr le 28 septembre 2026, un cheval de Troie baptisé RemControl s’attaquerait aux téléphones Android pour dérober les données bancaires de ses victimes, avec plus de trente établissements financiers visés et deux variantes développées pour la France. Le présent article explique le droit applicable à cette situation : ce que le virus ferait selon la presse, les réflexes des premières heures, puis les règles qui obligent la banque à rembourser les opérations non autorisées et les recours quand un crédit est souscrit à votre nom. Réserves d’emblée : aucune intrusion ni aucun dommage n’est constaté par une source officielle à la date de rédaction, aucune responsabilité d’un établissement n’est établie, les faits sont rapportés à l’indicatif d’après la presse citée et ce qu’elle ne dit pas est écrit au conditionnel. Les qualifications juridiques sont formulées au conditionnel, les contrats signés priment sur toute analyse générale, et seul le juge décide en cas de litige.

I. Cyberattaque en cours : comment les données bancaires seraient volées sur les téléphones Android ?

A. RemControl : fausse page bancaire et codes interceptés, quels appareils seraient visés ?

D’après Capital.fr, qui publie son article le 28 septembre 2026 à 14 h 27 et cite les chercheurs en cybersécurité relayés par 01net, le logiciel malveillant RemControl serait un cheval de Troie actif depuis le mois de mai et présent dans plusieurs pays, dont la France, l’Italie, l’Espagne, la Pologne, le Portugal, le Canada et plusieurs États du Golfe. Le mode opératoire décrit est classique des campagnes bancaires sur mobile, mais redoutablement efficace : les pirates diffuseraient de fausses pages imitant une application de télévision par internet absente du magasin officiel, en passant par des publicités frauduleuses sur les grands réseaux sociaux, spécialement calibrées pour les internautes qui consultent ces plateformes depuis leur téléphone. L’utilisateur qui télécharge l’application piégée en dehors du circuit officiel introduirait lui-même le virus dans son appareil, ce qui explique l’insistance des messages de prévention sur le fait de ne jamais installer un programme venu d’une source inconnue.

Toujours d’après la même source, une fois installé, RemControl chercherait d’abord à neutraliser les protections du téléphone. Il activerait un faux réseau privé virtuel pour couper la connexion du dispositif de sécurité du système, puis s’attaquerait aux fonctions d’accessibilité du téléphone, celles qui sont prévues pour aider les personnes malvoyantes et qui, une fois détournées, donneraient au programme un contrôle étendu sur l’appareil. Le virus afficherait ensuite une fausse interface par-dessus la véritable application bancaire de la victime : l’écran ressemblerait en tout point à celui de la banque, et les identifiants, les codes personnels ainsi que les données de carte bancaire saisis par l’utilisateur tomberaient directement entre les mains des pirates. Le programme serait en outre capable de surveiller l’écran, d’enregistrer les frappes sur le clavier virtuel et de récupérer les schémas de déverrouillage des téléphones des grandes marques, tout en cherchant à empêcher sa propre désinstallation. Ce tableau, dressé par la presse technique, montrerait un logiciel conçu pour aspirer tout ce qui permet d’entrer dans un compte ou de valider un paiement.

Sur le périmètre des appareils, l’information rapportée est nette : seuls les téléphones fonctionnant sous le système d’exploitation Android seraient concernés, les téléphones de la marque à la pomme ne le seraient pas. Aucune liste officielle des modèles vulnérables n’existe à ce jour, et les enseignes citées par la presse pour les schémas de déverrouillage ne sont que des exemples techniques, pas des victimes désignées. Surtout, aucun nom d’établissement financier visé n’est publié : la presse évoque plus de trente établissements ciblés par les différentes campagnes et deux variantes du virus qui auraient été développées pour viser les utilisateurs français, sans identifier une banque en particulier. Les requêtes des internautes qui nomment telle ou telle enseigne traduisent donc l’angoisse des clients, pas une mise en cause. À ce stade, parler de « banque piratée » serait excessif : ce qui est décrit, c’est un vol de données d’accès opéré sur le téléphone du client, pas une effraction démontrée dans les systèmes d’un établissement. La distinction compte pour la suite, car le droit du paiement fait peser sur la banque des obligations précises dès lors qu’une opération est contestée, quel que soit le canal par lequel les données ont été dérobées.

Le droit pénal, lui, qualifierait ces agissements au conditionnel, avec une sévérité qui ne doit rien au hasard. L’accès frauduleux au téléphone et le maintien dans le système de la victime seraient susceptibles de relever du délit d’accès ou de maintien frauduleux dans un système de traitement automatisé de données : l’article 323-1 du code pénal dispose que « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 € d’amende. » L’usage des données d’identité dérobées pour agir au nom du titulaire serait quant à lui susceptible de caractériser l’usurpation d’identité en ligne : l’article 226-4-1 du code pénal prévoit que « Le fait d’usurper l’identité d’un tiers ou de faire usage d’une ou plusieurs données de toute nature permettant de l’identifier en vue de troubler sa tranquillité ou celle d’autrui, ou de porter atteinte à son honneur ou à sa considération, est puni d’un an d’emprisonnement et de 15 000 € d’amende », en ajoutant que « Cette infraction est punie des mêmes peines lorsqu’elle est commise sur un réseau de communication au public en ligne. » Enfin, si les fonds soutirés ou les crédits souscrits l’étaient par des manoeuvres qui déterminent la remise de fonds ou la souscription d’un engagement, l’article 313-1 du code pénal définirait l’escroquerie comme « le fait, soit par l’usage d’un faux nom ou d’une fausse qualité, soit par l’abus d’une qualité vraie, soit par l’emploi de manoeuvres frauduleuses, de tromper une personne physique ou morale et de la déterminer ainsi, à son préjudice ou au préjudice d’un tiers, à remettre des fonds, des valeurs ou un bien quelconque, à fournir un service ou à consentir un acte opérant obligation ou décharge », infraction « punie de cinq ans d’emprisonnement et de 375 000 euros d’amende ». Ces qualifications appartiendraient au procureur et au juge, pas à la victime ni à son conseil, mais elles structurent toute la stratégie : plainte pénale d’un côté, contestation civile des opérations de l’autre.

B. Que faire dans les premières heures : bloquer le téléphone, faire opposition et déposer plainte ?

Quand le doute s’installe, la première heure décide souvent du montant du préjudice. Le réflexe initial consiste à couper court à l’hémorragie : désactiver les connexions du téléphone suspect, ne plus saisir aucun code bancaire dessus, et prévenir la banque par un autre canal, avec les coordonnées officielles figurant sur la carte, le relevé ou le site habituel, jamais en rappelant un numéro reçu par message. La loi fait de cette alerte une obligation : l’article L133-17 du code monétaire et financier prévoit que « Lorsqu’il a connaissance de la perte, du vol, du détournement ou de toute utilisation non autorisée de son instrument de paiement ou des données qui lui sont liées, l’utilisateur de services de paiement en informe sans tarder, aux fins de blocage de l’instrument, son prestataire ou l’entité désignée par celui-ci. » L’opposition sur la carte, le blocage de l’accès en ligne et la révocation des bénéficiaires ajoutés à la hâte figent la situation et datent la bonne foi du client, ce qui pèsera lourd si la banque discute ensuite. Chaque appel doit être noté avec l’heure, le nom de l’interlocuteur et la référence du dossier, puis confirmé par écrit, par message sécurisé ou par lettre recommandée, afin de garder la preuve de la date exacte de l’alerte.

Le deuxième réflexe est probatoire : tout conserver avant de nettoyer. Captures d’écran des messages et des publicités à l’origine du téléchargement, adresse exacte de la fausse page, relevés montrant les opérations contestées, notifications reçues, courriels de confirmation que la victime n’a jamais sollicités : ces pièces établiront la chronologie entre l’infection supposée et les débits. Le téléphone lui-même est une preuve : mieux vaut éviter de le réinitialiser avant d’avoir sauvegardé les éléments utiles et, si une plainte est envisagée, avant de savoir si les enquêteurs souhaitent l’examiner. Sur le plan bancaire, il faut relever chaque opération inconnue, même de petit montant, car les pirates testent souvent le dispositif avec des sommes modestes avant de frapper plus fort, et contester par écrit l’ensemble des débits non autorisés en demandant le remboursement. Un crédit à la consommation ou un prêt personnel qui apparaîtrait dans l’espace client sans avoir été demandé doit être contesté dans le même courrier, en précisant qu’aucun contrat n’a été signé et qu’aucun fonds n’a été reçu, afin que l’établissement ne puisse pas considérer ce silence comme un acquiescement.

Le troisième réflexe est judiciaire : déposer plainte, et le faire vite. La plainte peut être déposée dans n’importe quel commissariat ou brigade de gendarmerie, après une pré-plainte en ligne qui fait gagner du temps sur place, en apportant l’inventaire des pièces déjà réunies. À Paris et en Île-de-France, où les victimes sont nombreuses et les services engorgés, la pré-plainte en ligne suivie d’un rendez-vous dans le commissariat d’arrondissement ou dans un service d’accueil dédié évite les allers-retours, et les victimes qui découvrent un crédit souscrit à leur nom ont intérêt à le signaler dès le dépôt pour que l’infraction d’usurpation soit enregistrée avec ses conséquences financières. La plainte ne rembourse pas à elle seule, mais elle ouvre la voie à l’enquête, elle permet de se constituer partie civile pour réclamer des dommages et intérêts, et elle crédibilise la contestation face à la banque, qui ne peut plus traiter le dossier comme une simple négligence domestique. Les victimes qui relèvent des prélèvements sur plusieurs comptes ou des contrats souscrits auprès de plusieurs organismes doivent déposer les éléments pour chaque établissement, car chaque contestation suivra son propre circuit.

Le quatrième réflexe est administratif : surveiller et geler les usages détournés de l’identité. Relevés des trois derniers mois passés au peigne fin, fichiers d’incidents de paiement consultés, alerte posée auprès des organismes de crédit avec lesquels la victime travaille déjà, opposition au démarchage et vigilance sur le courrier : un pirate qui possède une pièce d’identité, un justificatif de domicile et un numéro de téléphone peut tenter d’ouvrir des lignes, de commander des moyens de paiement ou de changer des adresses. Quand un fichage apparaît alors que la victime n’a jamais cessé de payer ses propres échéances, la contestation doit être adressée à l’établissement à l’origine de la déclaration, avec copie de la plainte et demande de défichage, car un fichage injustifié bloque tout nouveau crédit, y compris le prêt immobilier d’un projet en cours. Si la banque oppose une fin de non-recevoir, le dossier bascule dans la phase contentieuse décrite dans la seconde partie, avec des délais stricts qu’il ne faut jamais laisser courir.

II. Données bancaires volées : comment obtenir le remboursement de la banque ?

A. Opérations non autorisées : dans quel délai la banque doit-elle rembourser ?

Le principe posé par le code monétaire et financier est favorable au client, et il s’applique aux opérations passées depuis un téléphone infecté comme à toutes les autres. L’article L133-18 du code monétaire et financier dispose : « le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, sauf s’il a de bonnes raisons de soupçonner une fraude de l’utilisateur du service de paiement et s’il communique ces raisons par écrit à la Banque de France. » Le texte ajoute que l’établissement « rétablit le compte débité dans l’état où il se serait trouvé si l’opération de paiement non autorisée n’avait pas eu lieu », avec une date de valeur qui « n’est pas postérieure à la date à laquelle il avait été débité », et il assortit tout retard de pénalités d’intérêts au taux légal majoré. Concrètement, une fois la contestation reçue, la banque rembourserait dès le premier jour ouvrable, sauf à établir par écrit auprès de la Banque de France qu’elle soupçonne une fraude du client lui-même, hypothèse étroite qui ne se confond pas avec une simple négligence.

Ce remboursement suppose toutefois une contestation dans les temps, et le délai est couperet. L’article L133-24 du code monétaire et financier énonce que « L’utilisateur de services de paiement signale, sans tarder, à son prestataire de services de paiement une opération de paiement non autorisée ou mal exécutée et au plus tard dans les treize mois suivant la date de débit sous peine de forclusion à moins que le prestataire de services de paiement ne lui ait pas fourni ou n’ait pas mis à sa disposition les informations relatives à cette opération de paiement conformément au chapitre IV du titre 1er du livre III. » Treize mois à compter de chaque débit, donc, avec une forclusion qui éteint le droit au remboursement si elle est encourue, et une exigence de rapidité qui commande de contester par écrit dès la découverte, sans attendre l’issue de la plainte. La contestation doit identifier chaque opération, rappeler qu’elle n’a été ni autorisée ni validée, et réclamer le remboursement avec remise en l’état du compte, en conservant la preuve de l’envoi et de la réception.

Face à une banque qui refuse en invoquant la faute du client, la répartition de la preuve fait toute la différence. L’article L133-23 du code monétaire et financier dispose que « Lorsqu’un utilisateur de services de paiement nie avoir autorisé une opération de paiement qui a été exécutée, ou affirme que l’opération de paiement n’a pas été exécutée correctement, il incombe à son prestataire de services de paiement de prouver que l’opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre », en précisant que « L’utilisation de l’instrument de paiement telle qu’enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l’opération a été autorisée par le payeur ou que celui-ci n’a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant en la matière ». Autrement dit, le simple journal informatique de la banque ne suffirait pas : c’est à l’établissement de démontrer l’authentification régulière et, s’il veut s’exonérer, la négligence grave ou la fraude du client. Le plafond légal de 50 euros prévu en cas de perte ou de vol de l’instrument, que l’article L133-19 du code monétaire et financier vise le cas de l’opération non autorisée après perte ou vol de l’instrument : « les pertes liées à l’utilisation de cet instrument » resteraient alors à la charge du payeur « dans la limite d’un plafond de 50 € », ne jouerait d’ailleurs pas quand l’opération a été passée sans les données de sécurité personnalisées, ni quand la banque n’a pas exigé l’authentification forte qu’elle devait appliquer.

C’est exactement ce qu’a jugé la Cour de cassation dans un arrêt récent qui éclaire les dossiers de téléphones piégés. Par arrêt du 22 octobre 2025, pourvoi n° 24-19.749, la chambre commerciale, financière et économique a statué sur le cas d’un client qui avait répondu à un courriel frauduleux imitant sa banque et communiqué des codes ayant permis un virement vers un compte inconnu, la banque refusant le remboursement en invoquant sa négligence grave. La Cour rappelle d’abord la règle : « Il résulte des articles L. 133-44, I et L. 133-19, V du code monétaire et financier que le prestataire de service de paiement doit appliquer l’authentification forte du client définie au f) de l’article L. 133-4 du même code en cas d’opération de paiement à distance et qu’à défaut, il doit rembourser au payeur le montant de l’opération non autorisée, sauf agissement frauduleux du payeur. » Elle constate ensuite que le client avait bien commis une négligence grave en répondant à un message présentant des anomalies grossières et en livrant des données confidentielles, mais que la banque ne justifiait pas avoir exigé l’activation de l’authentification forte, et elle en déduit que « a exactement déduit que la banque devait rembourser au payeur le montant de l’opération non autorisée », avant de rejeter le pourvoi et de condamner la banque aux dépens et à 3 000 euros au titre des frais. L’enseignement est majeur pour les victimes de RemControl : même en cas d’imprudence avérée dans le téléchargement ou la communication de codes, la banque qui n’a pas mis en oeuvre l’authentification forte resterait tenue de rembourser, la négligence grave ne l’exonérant pas à elle seule. Cette obligation d’authentification forte figure d’ailleurs au coeur du dispositif légal, puisque l’article L133-44 du code monétaire et financier impose au prestataire de l’appliquer quand le payeur « Accède à son compte de paiement en ligne », « Initie une opération de paiement électronique » ou « Exécute une opération par le biais d’un moyen de communication à distance, susceptible de comporter un risque de fraude en matière de paiement ou de toute autre utilisation frauduleuse ».

B. Crédit souscrit à votre nom et compte vidé : comment contester, être défiché et indemnisé ?

Quand le pirate ne se contente pas de vider le compte mais souscrit un crédit à la consommation, un prêt personnel ou un découvert autorisé au nom de la victime, le dossier change d’échelle : il ne s’agit plus seulement d’opérations contestées, mais d’un contrat que la victime n’a jamais voulu. La première démarche consiste à contester ce contrat par écrit auprès de l’organisme prêteur, en rappelant qu’aucune offre n’a été acceptée, qu’aucune signature électronique émanant du titulaire n’existe et qu’aucun fonds n’a été versé entre ses mains, avec copie de la plainte pour usurpation d’identité. Les mensualités prélevées au titre de ce prétendu contrat doivent être contestées comme des opérations non autorisées, dans le délai de treize mois déjà évoqué, et le prêteur doit justifier de la réalité du consentement, ce qui suppose la production d’un parcours de souscription complet, avec les traces d’authentification, les pièces fournies et les versements effectués. Faute de cette preuve, l’organisme qui persisterait à prélever s’exposerait à devoir restituer les sommes et à voir le contrat anéanti par le juge, car nul ne peut être tenu d’une dette qu’il n’a pas souscrite.

Le fichage qui accompagne souvent ces dossiers mérite un traitement séparé et énergique. Quand les échéances du crédit frauduleux restent impayées, l’organisme déclare l’incident et la victime découvre son inscription au fichier des incidents de remboursement des crédits aux particuliers au moment où sa propre banque lui refuse un financement, parfois en plein projet immobilier. La contestation doit alors viser expressément la déclaration : courrier à l’établissement déclarant avec copie de la plainte, demande de mainlevée de l’inscription et, en cas de refus, saisine du juge pour ordonner le défichage et indemniser le préjudice. Les démarches pas à pas, du gel des usages détournés jusqu’à la réparation devant le juge, sont décrites dans l’analyse consacrée au défichage après une usurpation d’identité, qui complète utilement le présent article pour les victimes dont le crédit frauduleux a déjà produit un fichage. Pendant la contestation, il faut continuer d’honorer ses propres échéances légitimes, afin de ne pas créer un incident authentique qui compliquerait la démonstration, et refuser tout protocole transactionnel qui ferait reconnaître, même implicitement, une dette née de la fraude.

Quand la voie amiable s’épuise, l’escalade est balisée. La réclamation écrite au service dédié de la banque, avec accusé de réception et délai de réponse, constitue le préalable indispensable, puis le recours au médiateur de l’établissement prend le relais : l’article L316-1 du code monétaire et financier ouvre à tout consommateur le droit de recourir à un médiateur pour les litiges relatifs aux services bancaires et à l’exécution des contrats, ce qui offre un examen impartial et écrit du dossier sans passer immédiatement par le tribunal. Si la médiation échoue ou si les délais bancaires s’étirent, la saisine du tribunal judiciaire s’impose, avec assignation de l’établissement, demande de remboursement des opérations, d’anéantissement du contrat de crédit frauduleux, de défichage et de dommages et intérêts. Le fondement indemnitaire de droit commun est limpide : l’article 1240 du code civil énonce que « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer. » La banque qui aurait manqué à son obligation d’authentification forte, qui aurait tardé à bloquer malgré l’alerte ou qui aurait maintenu un fichage malgré la plainte et les preuves verrait sa faute discutée pied à pied, et le préjudice indemnisable comprendrait les sommes détournées, les frais exposés, le surcoût des financements refusés et le préjudice moral lié à des mois de démarches. Devant le juge pénal, la constitution de partie civile adossée à la plainte permettrait de réclamer aux auteurs, s’ils sont identifiés, la réparation du même préjudice, les deux voies se complétant au lieu de se concurrencer.

Deux écueils doivent être évités dans ces dossiers. Le premier est de croire que la banque a toujours raison quand elle parle de négligence : l’arrêt de la Cour de cassation du 22 octobre 2025 montre qu’une négligence grave établie ne suffit pas à priver le client du remboursement lorsque l’établissement n’a pas appliqué l’authentification forte, et le simple fait d’avoir téléchargé une application piégée ou répondu à un message frauduleux ne vaut ni autorisation des opérations ni renonciation au remboursement. Le second est de signer, sous la pression d’un conseiller ou d’un service de recouvrement, un échéancier, une reconnaissance de dette ou une offre de « geste commercial » conditionné à l’abandon des contestations : tout écrit peut être interprété comme un aveu, et un aveu même partiel rend la suite infiniment plus difficile. Les victimes installées à Paris et en Île-de-France, où les montants en jeu sont souvent élevés et où les projets immobiliers dépendent de la capacité d’emprunt, ont tout intérêt à faire vérifier chaque document avant signature et à dater chaque envoi, car un dossier bancaire se gagne d’abord sur la chronologie et sur la preuve.

Conclusion

La vague d’inquiétude mesurée ce 29 septembre 2026 autour des « cyberattaques en cours » repose sur un signalement précis de la presse : un cheval de Troie visant les téléphones Android aspirerait les identifiants et les données de carte de ses victimes, avec une France qui compterait parmi les pays les plus ciblés. Face à ce risque, la méthode tient en quatre temps : alerter la banque sans tarder pour bloquer les instruments, conserver toutes les preuves avant de nettoyer le téléphone, déposer plainte en documentant chaque opération et chaque contrat contesté, puis exiger le remboursement dans le délai de treize mois en rappelant que la preuve de l’autorisation incombe à l’établissement. La jurisprudence la plus récente conforte les victimes : même une négligence grave ne dispenserait pas la banque de rembourser quand elle n’a pas appliqué l’authentification forte, et le crédit souscrit par un pirate au nom d’autrui devrait être contesté comme ce qu’il serait, un engagement sans consentement, avec défichage et indemnisation à la clé. Redisons les réserves qui encadrent cet article : à la date de rédaction, aucune intrusion n’est constatée par une source officielle, aucune responsabilité d’un établissement déterminé n’est établie, les contrats signés priment sur toute analyse générale, et seul le juge, saisi d’un dossier complet, tranchera les litiges qui naîtraient de cette campagne.