Depuis quelques jours, les recherches des internautes français sur le mot « cyberattaque » repartent nettement à la hausse : la tendance est active, avec un volume supérieur à mille recherches et une croissance mesurée à 900 % sur Google Trends France au 29 septembre 2026. Les suggestions de recherche associées montrent ce que les internautes demandent vraiment : « cyberattaque en cours », « cyberattaque France aujourd’hui », « cyberattaque impôts » ou encore « cyberattaque direction générale des finances publiques ». Derrière ces requêtes, deux informations de presse convergent. Selon un article de Capital.fr publié le 28 septembre 2026, un logiciel malveillant surnommé RemControl s’attaque aux smartphones fonctionnant sous le système Android et cherche à dérober les données bancaires de ses victimes, avec plus de trente établissements financiers ciblés d’après la société de cybersécurité Group-IB, dont deux variantes développées pour viser les utilisateurs français. Selon le Journal du Geek, le 26 septembre 2026, un autre programme malveillant, surnommé RatHat et repéré par les chercheurs de Zimperium, utilise une intelligence artificielle pour prendre les commandes du téléphone, après une infection partie d’un message frauduleux ou d’une publicité malveillante. Aucun accident, aucune intrusion ni aucun dommage n’a été constaté par une source officielle à la date de rédaction du présent article, aucune responsabilité n’est établie, les contrats signés priment sur toute analyse générale et seul le juge décide. Cet article explique le droit applicable à la personne dont le téléphone serait compromis et dont le compte bancaire serait vidé : faire opposition, obtenir le remboursement des opérations non autorisées, déposer plainte et conserver les preuves.
I. Cyberattaque en cours : que faire quand votre téléphone est infecté et que votre compte est vidé ?
Lorsque des opérations que vous n’avez jamais autorisées apparaissent sur votre relevé après l’installation d’une application douteuse, deux réflexes juridiques s’imposent dans les heures qui suivent : bloquer l’instrument de paiement et signaler les opérations à votre banque. Le droit français attache des conséquences précises à la rapidité de votre réaction, sans pour autant faire peser sur vous une présomption de faute.
A. Faire opposition et sécuriser vos accès sans attendre : comment bloquer l’instrument et signaler les opérations
D’après Capital.fr, le logiciel malveillant décrit par les chercheurs afficherait une fausse interface par-dessus la véritable application bancaire afin de récupérer les identifiants, les codes personnels ou les données de carte, surveillerait l’écran, enregistrerait les frappes sur le clavier virtuel et chercherait à empêcher sa propre désinstallation. D’après le Journal du Geek, l’autre programme exigerait l’accès aux fonctions d’accessibilité du téléphone, activerait des réglages sensibles à l’insu de l’utilisateur et installerait des composants discrets communiquant avec une douzaine de serveurs. Dans les deux cas décrits par la presse, la victime ne saisit elle-même aucun ordre de virement : c’est le téléphone, sous contrôle du programme, qui agirait. Si vous constatez des débits inexpliqués, la première obligation légale est l’information aux fins de blocage. L’article L. 133-17 du code monétaire et financier dispose : « Lorsqu’il a connaissance de la perte, du vol, du détournement ou de toute utilisation non autorisée de son instrument de paiement ou des données qui lui sont liées, l’utilisateur de services de paiement en informe sans tarder, aux fins de blocage de l’instrument, son prestataire ou l’entité désignée par celui-ci. » Concrètement, appelez le numéro d’opposition de votre banque, accessible en permanence, puis confirmez par écrit : courrier recommandé avec accusé de réception ou message conservé dans votre espace client, en notant la date et l’heure de l’appel ainsi que le nom de l’interlocuteur. Changez ensuite, depuis un appareil sain, les mots de passe de votre espace bancaire et de votre adresse électronique, conservez les notifications reçues et photographiez l’écran du téléphone suspect avant toute manipulation, car ces éléments serviront de preuves. Le signalement des opérations contestées obéit à un délai strict. L’article L. 133-24 du même code prévoit : « L’utilisateur de services de paiement signale, sans tarder, à son prestataire de services de paiement une opération de paiement non autorisée ou mal exécutée et au plus tard dans les treize mois suivant la date de débit sous peine de forclusion à moins que le prestataire de services de paiement ne lui ait pas fourni ou n’ait pas mis à sa disposition les informations relatives à cette opération de paiement conformément au chapitre IV du titre 1er du livre III. » Retenez donc deux délais : agir sans tarder pour le blocage, et contester chaque opération au plus tard dans les treize mois du débit, par un écrit qui décrit précisément les montants, les dates et les bénéficiaires inconnus. Passé ce délai de treize mois, la contestation serait forclose, sauf si la banque ne vous a pas fourni les informations relatives à l’opération. À Paris et en Île-de-France, le dépôt de plainte s’effectue dans n’importe quel commissariat ou brigade de gendarmerie du ressort, et la pré-plainte en ligne permet de préparer ce dépôt avant de vous déplacer avec vos justificatifs.
B. Obtenir le remboursement de votre banque : opérations non autorisées, preuve et négligence grave, que répond le juge ?
Une fois l’opposition faite, la question centrale devient le remboursement des sommes parties sans votre accord. Le principe posé par la loi est favorable au client : la banque doit rembourser vite, et c’est à elle de prouver que l’opération était autorisée ou que vous avez commis une faute caractérisée. L’article L. 133-18 du code monétaire et financier dispose : « En cas d’opération de paiement non autorisée signalée par l’utilisateur dans les conditions prévues à l’article L. 133-24 , le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, sauf s’il a de bonnes raisons de soupçonner une fraude de l’utilisateur du service de paiement et s’il communique ces raisons par écrit à la Banque de France. » Le texte ajoute que le prestataire rétablit le compte débité dans l’état où il se serait trouvé si l’opération non autorisée n’avait pas eu lieu. Autrement dit, dès votre signalement, la banque doit recréditer le compte au plus tard à la fin du premier jour ouvrable, sauf à justifier par écrit auprès de la Banque de France un soupçon de fraude de votre part. Le seul refus verbal ou un courrier type invoquant une prétendue négligence ne suffit pas à écarter ce remboursement immédiat. La charge de la preuve pèse ensuite sur la banque. L’article L. 133-23 du même code énonce : « Lorsqu’un utilisateur de services de paiement nie avoir autorisé une opération de paiement qui a été exécutée, ou affirme que l’opération de paiement n’a pas été exécutée correctement, il incombe à son prestataire de services de paiement de prouver que l’opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre. » Le même article précise : « L’utilisation de l’instrument de paiement telle qu’enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l’opération a été autorisée par le payeur ou que celui-ci n’a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant en la matière. » La banque ne peut donc pas se contenter de produire ses journaux informatiques montrant que le bon code a été saisi : elle doit établir positivement soit votre autorisation, soit votre fraude, soit votre négligence grave. La négligence grave est la seule faute du client qui prive du remboursement, avec l’agissement frauduleux. L’article L. 133-19 du code monétaire et financier prévoit : « Le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17. » Or l’article L. 133-16 impose à l’utilisateur de prendre « toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées », selon la formule exacte : « Dès qu’il reçoit un instrument de paiement, l’utilisateur de services de paiement prend toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées. » La Cour de cassation contrôle strictement l’appréciation de cette négligence grave. Dans un arrêt de la chambre commerciale, financière et économique du 24 novembre 2021, pourvoi numéro 20-13.767, un client avait communiqué son numéro de carte, sa date d’expiration et son code de vérification sur un site après avoir reçu un courriel frauduleux, puis contesté trois opérations et obtenu 2 593 euros devant le tribunal d’instance. La Cour a cassé au visa des articles L. 133-16 et L. 133-19, en retenant : « Il résulte du premier de ces textes que l’utilisateur de services de paiement prend toute mesure raisonnable pour préserver la sécurité de ses dispositifs de sécurité personnalisés et du second que le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17. » Elle a jugé que le tribunal n’avait pas donné de base légale à sa décision : « En se déterminant ainsi, sans rechercher, au regard des circonstances de l’espèce, si M. [W] n’aurait pas pu avoir conscience que le courriel qu’il avait reçu le 27 décembre 2017 était frauduleux et si, en conséquence, le fait d’avoir communiqué ses données personnelles ne caractérisait pas un manquement par négligence grave à ses obligations mentionnées à l’article L. 133-16 du code monétaire et financier, le tribunal d’instance n’a pas donné de base légale à sa décision. » L’enseignement pour votre dossier est double : la banque doit démontrer concrètement, au regard des circonstances, que vous auriez pu avoir conscience du caractère frauduleux du message ou de l’application, et votre comportement se juge à l’aune d’un utilisateur normalement vigilant, pas à celle d’un expert en cybersécurité. Avoir installé une application hors de la boutique officielle ou cliqué sur une publicité peut être discuté, mais chaque indice doit être prouvé par la banque : formulation du message, alertes affichées, origine du fichier. Deux garde-fous légaux complètent le dispositif. D’abord, le plafond de 50 euros avant opposition ne vise que la perte ou le vol de l’instrument : « En cas d’opération de paiement non autorisée consécutive à la perte ou au vol de l’instrument de paiement, le payeur supporte, avant l’information prévue à l’article L. 133-17 , les pertes liées à l’utilisation de cet instrument, dans la limite d’un plafond de 50 €. » Et le même article écarte toute participation du client quand l’opération a été détournée à son insu : « La responsabilité du payeur n’est pas engagée si l’opération de paiement non autorisée a été effectuée en détournant, à l’insu du payeur, l’instrument de paiement ou les données qui lui sont liées. » Un téléphone qui ordonne des virements à votre insu relève de ce détournement, ce qui plaide pour un remboursement intégral dès lors que vous signalez vite. Ensuite, l’absence d’authentification forte fait obstacle à tout reproche : « Sauf agissement frauduleux de sa part, le payeur ne supporte aucune conséquence financière si l’opération de paiement non autorisée a été effectuée sans que le prestataire de services de paiement du payeur n’exige une authentification forte du payeur prévue à l’article L. 133-44 . » Si votre banque refuse malgré tout le remboursement, adressez une réclamation écrite au service dédié, saisissez le médiateur bancaire désigné dans vos conditions générales, puis le juge judiciaire, en joignant l’attestation d’opposition, les relevés, la copie de votre signalement et le dépôt de plainte décrit ci-après. Un précédent contentieux portant sur des numéros de carte dérobés sur des boutiques en ligne, avec la même méthode associant opposition, remboursement et plainte, dans un contexte voisin de fraude massive.
II. Cyberattaque en France aujourd’hui : plainte, preuves et responsabilités après une fraude bancaire en ligne
Le remboursement ne résume pas vos recours. L’infection de votre téléphone et la captation de vos données bancaires heurtent plusieurs interdits pénaux, et la conservation méthodique des preuves conditionne à la fois l’enquête et votre indemnisation. Cette seconde partie décrit la plainte et les responsabilités encourues, sans jamais préjuger de la culpabilité de qui que ce soit : seul le juge, au vu de l’enquête, dira ce qui est établi.
A. Déposer plainte et conserver les preuves : qui saisir, quels justificatifs et dans quel délai ?
Deux qualifications pénales encadrent les faits décrits par les chercheurs cités dans la presse. D’une part, l’intrusion dans votre téléphone : l’article 323-1 du code pénal dispose : « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 € d’amende. » Le même article aggrave la peine lorsque l’intrusion a entraîné la suppression ou la modification de données ou une altération du fonctionnement du système, et plus encore contre un système de l’État. Un programme qui s’installe durablement, lit votre écran et exécute des commandes à votre place entrerait, s’il était démontré, dans ce champ. D’autre part, la captation de vos fonds : l’article 313-1 du code pénal définit l’escroquerie comme « le fait, soit par l’usage d’un faux nom ou d’une fausse qualité, soit par l’abus d’une qualité vraie, soit par l’emploi de manoeuvres frauduleuses, de tromper une personne physique ou morale et de la déterminer ainsi, à son préjudice ou au préjudice d’un tiers, à remettre des fonds, des valeurs ou un bien quelconque, à fournir un service ou à consentir un acte opérant obligation ou décharge », et précise : « L’escroquerie est punie de cinq ans d’emprisonnement et de 375 000 euros d’amende. » Une fausse interface bancaire qui imite votre application pour aspirer vos identifiants relèverait, sous réserve de l’enquête, des manoeuvres frauduleuses visées par ce texte. Pour donner une base solide à l’enquête, déposez plainte au commissariat ou à la gendarmerie, en exposant la chronologie : réception du message ou de la publicité, installation de l’application, anomalies constatées, découverte des débits. Apportez l’attestation d’opposition, les relevés annotés, les captures des messages reçus, les adresses des pages visitées si vous les avez conservées, et le téléphone lui-même, que les enquêteurs pourront faire examiner. Demandez et conservez le récépissé de dépôt de plainte : votre banque et, le cas échéant, votre assurance pourront vous le réclamer. Vous pouvez également signaler l’incident sur les plateformes officielles de signalement des contenus illicites et conserver la trace de ce signalement. Sur le plan civil, l’article 1240 du code civil dispose : « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer. » Si l’enquête identifie les auteurs ou si une défaillance caractérisée d’un intermédiaire est démontrée, ce texte fondera votre demande d’indemnisation des préjudices subsistants : sommes non remboursées, frais engagés, temps passé, préjudice moral lié à l’intrusion dans votre vie privée numérique. La constitution de partie civile, possible dès le dépôt de plainte ou devant le tribunal correctionnel, permet de joindre votre demande de réparation à l’action publique. Notez qu’une banque qui vous a remboursé peut elle-même chercher un responsable en amont : dans un arrêt du 22 janvier 2020, pourvoi numéro 18-18.640, la chambre commerciale a jugé, au visa de l’article 1382 devenu 1240 du code civil, que rien ne s’opposait à ce qu’une banque condamnée à rembourser sa cliente invoque un fondement délictuel pour mettre en cause l’opérateur de communications électroniques dont le réseau aurait servi la fraude. Cette solution, rendue dans un litige précis, montre que la chaîne des responsabilités ne s’arrête pas au remboursement et que chaque maillon peut répondre de sa faute prouvée. Enfin, pensez à vos données personnelles : un téléphone compromis expose vos contacts, vos photos, vos courriels et vos autres comptes. Outre le changement des mots de passe depuis un appareil sain et l’activation de la double authentification partout où elle existe, vous pouvez signaler la violation de données auprès de la Commission nationale de l’informatique et des libertés, qui publie la marche à suivre pour les particuliers, et vérifier auprès de chaque organisme concerné les mesures prises pour protéger vos informations.
B. Faux messages des impôts et des administrations : quand la fraude imite un service public, quels réflexes et quels recours ?
Les suggestions Google associées à la tendance du jour citent « cyberattaque impôts » et « cyberattaque direction générale des finances publiques » : une partie des internautes craint de recevoir, ou a déjà reçu, des messages qui imiteraient l’administration fiscale pour dérober des identifiants bancaires. Ce mode opératoire, qui mêle usurpation d’un service public et fraude bancaire, appelle des réflexes adaptés et ouvre les mêmes recours, avec une protection pénale renforcée. D’abord, ne répondez jamais dans l’urgence à un message qui exige un paiement immédiat, un remboursement inattendu ou une « mise à jour de sécurité » de votre compte fiscal : l’administration fiscale ne demande ni coordonnées bancaires complètes ni codes personnels par message ou par téléphone. En cas de doute, fermez le message, ouvrez vous-même votre navigateur et connectez-vous à votre espace personnel depuis l’adresse officielle que vous connaissez, sans cliquer sur aucun lien reçu. Si vous avez communiqué des données, faites opposition sans tarder comme décrit plus haut et signalez le message frauduleux sur la plateforme officielle de signalement, en conservant une copie pour votre plainte. Ensuite, sachez que l’imitation d’un service de l’État aggrave la répression pénale. L’article 323-1 du code pénal porte la peine à sept ans d’emprisonnement et 300 000 euros d’amende : « Lorsque les infractions prévues aux deux premiers alinéas ont été commises à l’encontre d’un système de traitement automatisé de données à caractère personnel mis en œuvre par l’Etat ». Symétriquement, une attaque qui prendrait pour cible les téléservices fiscaux eux-mêmes, et pas seulement leurs usagers, exposerait ses auteurs à cette répression alourdie, ce qui renforce l’intérêt de votre plainte : elle alimente des enquêtes qui dépassent votre seul préjudice. Vos recours bancaires restent identiques à ceux de la première partie : remboursement au plus tard à la fin du premier jour ouvrable après signalement, charge de la preuve sur la banque, appréciation concrète de la négligence grave au regard des circonstances. Un courriel qui imite parfaitement les codes visuels d’une administration, sans faute ni adresse suspecte, se discute différemment d’un message grossier bourré d’indices d’alerte, et la banque devra prouver en quoi vous auriez pu déceler la supercherie. Conservez donc le message original avec ses en-têtes techniques, qui permettront aux enquêteurs d’en retracer l’origine. Du côté des établissements visés, relevons ce que disent les sources : Capital.fr recommande aux utilisateurs inquiets de contacter directement leur banque en utilisant ses coordonnées officielles, et les banques déploient l’authentification forte des paiements exigée par les textes européens transposés dans le code monétaire et financier. Ces dispositifs ne suppriment pas tout risque face à des programmes qui lisent l’écran du téléphone, mais ils constituent la protection de référence dont le juge tiendra compte pour apprécier les responsabilités de chacun. Si votre banque vous oppose votre prétendue négligence, répondez point par point et par écrit : décrivez l’absence d’indice apparent, l’authentification que vous avez ou non été invité à fournir, et rappelez que ses journaux informatiques ne suffisent pas à eux seuls à établir votre faute. La médiation bancaire puis le tribunal judiciaire trancheront en cas de désaccord persistant, au vu du dossier complet que vous aurez constitué depuis le premier jour.
Conclusion
La vague de recherches sur la « cyberattaque en cours » s’explique, selon la presse spécialisée, par des logiciels malveillants de nouvelle génération qui s’en prennent aux téléphones et aux données bancaires, avec des dizaines d’établissements visés et des variantes ciblant les utilisateurs français. Face à un compte vidé après l’infection du téléphone, retenez l’essentiel : informez votre banque sans tarder aux fins de blocage, contestez chaque opération par écrit au plus tard dans les treize mois du débit, exigez le remboursement au plus tard à la fin du premier jour ouvrable, déposez plainte avec un dossier de preuves ordonné et ne laissez aucun refus bancaire sans réponse écrite. La loi met la preuve sur la banque et ne vous fait supporter les pertes qu’en cas de fraude ou de négligence grave prouvée, appréciée concrètement par le juge au regard des circonstances. Rappelons enfin les réserves qui encadrent cet article : aucun accident, aucune intrusion ni aucun dommage n’a été constaté par une source officielle à la date de rédaction, aucune responsabilité n’est établie, les contrats que vous avez signés avec votre banque priment sur toute analyse générale, et seul le juge, saisi de votre dossier complet, décide de l’issue de votre réclamation.