Des opérations que vous ne reconnaissez pas apparaissent sur votre relevé : des paiements par carte dans des commerces que vous ne fréquentez pas, un virement vers un bénéficiaire inconnu, des retraits que vous n’avez jamais effectués. Le réflexe consiste à appeler votre banque, qui oppose parfois un premier refus de remboursement en invoquant votre négligence : code communiqué, message frauduleux auquel vous auriez répondu, opposition jugée tardive. Ce refus n’est pas le mot de la fin. Quand l’opération a été passée sans votre consentement, la loi impose à votre prestataire de vous rembourser au plus tard à la fin du premier jour ouvrable suivant, et vous disposez de treize mois après le débit pour contester par écrit, sous peine de forclusion. La charge de prouver que l’opération a été authentifiée et que vous avez manqué gravement à vos obligations pèse sur la banque, et depuis un arrêt de la Cour de cassation du 22 octobre 2025, une banque qui n’a pas elle-même appliqué l’authentification forte ne peut pas se retrancher derrière votre négligence pour refuser le remboursement. Cet article décrit la marche à suivre : sécuriser le compte dans les premières heures, qualifier l’opération, contester dans les délais, puis obtenir le remboursement et, le cas échéant, la réparation de l’ensemble du préjudice, y compris sur le terrain des données personnelles.
I. Sécuriser le compte et constater le piratage dans les premières heures
A. Faire opposition sans tarder, signaler la fraude et déposer plainte
Le premier réflexe détermine souvent l’issue du dossier. Dès que vous avez connaissance de la perte, du vol, du détournement ou de toute utilisation non autorisée de votre instrument de paiement ou des données qui lui sont liées, la loi vous impose d’en informer sans tarder votre prestataire, aux fins de blocage de l’instrument. L’article L. 133-17 du code monétaire et financier dispose en effet : « Lorsqu’il a connaissance de la perte, du vol, du détournement ou de toute utilisation non autorisée de son instrument de paiement ou des données qui lui sont liées, l’utilisateur de services de paiement en informe sans tarder, aux fins de blocage de l’instrument, son prestataire ou l’entité désignée par celui-ci. » En pratique, appelez d’abord votre banque, puis le serveur interbancaire d’opposition si la carte est en cause, et conservez la preuve datée de chaque appel : numéro d’enregistrement d’opposition, date, heure et nom de l’interlocuteur. Si votre contrat l’exige, confirmez l’opposition par lettre recommandée avec accusé de réception ou au guichet, comme le rappelle la fiche de service-public.fr consacrée à la fraude à la carte bancaire.
Le deuxième réflexe consiste à signaler la fraude en ligne puis à déposer plainte. Le téléservice Perceval permet de signaler une fraude à la carte bancaire en préparant au préalable le numéro d’enregistrement d’opposition, le numéro de carte et les relevés bancaires ; le signalement comme la plainte donnent lieu à un récépissé que vous transmettrez à votre banque à l’appui de la demande de remboursement. La plainte, elle, doit être reçue par les services de police ou de gendarmerie quel que soit le lieu du dépôt. Sur le fond, trois qualifications pénales correspondent aux scénarios les plus fréquents. L’accès frauduleux au compte relève de l’article 323-1 du code pénal : « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 € d’amende. » Quand le pirate a utilisé vos nom, coordonnées ou documents pour se faire passer pour vous auprès de la banque, l’article 226-4-1 du code pénal s’applique : « Le fait d’usurper l’identité d’un tiers ou de faire usage d’une ou plusieurs données de toute nature permettant de l’identifier en vue de troubler sa tranquillité ou celle d’autrui, ou de porter atteinte à son honneur ou à sa considération, est puni d’un an d’emprisonnement et de 15 000 € d’amende. » Et quand un faux conseiller vous a manipulé pour obtenir codes et validations, l’article 313-1 du code pénal définit l’escroquerie comme « le fait, soit par l’usage d’un faux nom ou d’une fausse qualité, soit par l’abus d’une qualité vraie, soit par l’emploi de manoeuvres frauduleuses, de tromper une personne physique ou morale et de la déterminer ainsi, à son préjudice ou au préjudice d’un tiers, à remettre des fonds ». Qualifier les faits dès la plainte n’est pas un exercice théorique : c’est ce qui permettra ensuite au juge civil de comprendre le mécanisme de la fraude et à la banque de ne pas réduire votre dossier à une simple négligence.
Le troisième réflexe consiste à figer les preuves avant qu’elles ne disparaissent. Téléchargez vos relevés au format PDF, capturez les notifications d’opérations avec leur date et heure, conservez les courriels et SMS suspects avec leurs en-têtes complets, notez la chronologie précise : date de réception du message frauduleux, date du débit, date et heure de l’opposition, date de la contestation écrite. N’effacez rien et ne répondez plus aux messages du pirate. Si la fraude passe par votre messagerie ou votre téléphone, changez les mots de passe depuis un appareil sain et activez la double authentification. Ces pièces feront la différence si la banque invoque votre négligence : dans un arrêt du 21 décembre 2023, la cour d’appel de Paris a confirmé la condamnation d’une cliente à rembourser un solde débiteur de 6 434,46 euros après des opérations par carte de 10 350 euros, en retenant notamment que le vol du sac à main n’avait été constaté par sa propriétaire qu’à 17 heures le jour des opérations et que la preuve d’une anomalie apparente incombant à la banque n’était pas démontrée (CA Paris, pôle 4 chambre 9, 21 décembre 2023, n° 22/05678). La chronologie et la rapidité de réaction sont donc examinées de près par les juges, dans un sens comme dans l’autre.
B. Qualifier l’opération : non autorisée ou autorisée sous manipulation
Tout le régime du remboursement dépend d’une distinction que les victimes confondent souvent. Une opération de paiement non autorisée est une opération exécutée sans votre consentement : le pirate a utilisé votre carte, vos identifiants ou votre téléphone à votre insu. C’est à cette hypothèse que s’applique le régime protecteur du code monétaire et financier, avec remboursement de droit et charge de la preuve pesant sur la banque. À l’inverse, quand vous avez vous-même validé le virement, même manipulé par un faux conseiller, un faux message de votre banque ou une fausse facture de fournisseur, l’opération est juridiquement autorisée : vous avez donné votre consentement, fût-ce sous l’effet d’une tromperie. Le régime du remboursement automatique ne s’applique alors pas de la même façon, et le dossier se joue sur la faute de la banque, le manquement à son devoir de vigilance ou la responsabilité du prestataire défaillant. Un article distinct de ce site est consacré au cas du virement parti sur un faux RIB après un message piraté ; le présent article traite du cas où l’opération a été passée sans votre consentement.
Cette distinction commande aussi les justificatifs à réunir. Pour une opération non autorisée par carte, la procédure dite de chargeback permet de contester les opérations et d’exiger le remboursement quand la transaction a été réalisée par carte bancaire, comme le détaille la page du ministère de l’économie consacrée à la fraude, à la perte ou au vol de la carte bancaire. Pour un virement ou un prélèvement que vous ne reconnaissez pas, la contestation écrite adressée à la banque, dans le délai de treize mois, constitue l’acte fondateur du dossier. Dans les deux cas, indiquez précisément les références des opérations contestées, leur date, leur montant, et la mention selon laquelle vous ne les avez ni autorisées ni validées. Évitez les formules vagues : écrivez que vous n’avez jamais communiqué vos codes, que vous déteniez toujours votre carte, ou au contraire décrivez exactement ce qui s’est passé si vous avez été manipulé. La sincérité paie, car la banque dispose des journaux techniques d’authentification et toute contradiction avec ces journaux sera exploitée contre vous.
Le cas du phishing illustre l’importance de cette qualification. Le 6 mars 2021, le titulaire d’un compte a répondu à un courriel qu’il pensait adressé par sa banque et l’invitant à communiquer des éléments pour activer un système d’authentification forte ; le lendemain, un virement avait été effectué au profit d’un compte inconnu. La banque a refusé le remboursement en invoquant sa négligence grave, le tribunal judiciaire de Chambéry l’a condamnée à restituer la somme et à verser des dommages et intérêts, et la Cour de cassation a rejeté le pourvoi de la banque le 22 octobre 2025 (Cass. com., 22 octobre 2025, n° 24-19.749). Cet arrêt, examiné en détail dans la seconde partie, montre que même un client trompé par un message frauduleux peut obtenir le remboursement quand la banque n’a pas elle-même appliqué l’authentification forte. D’où la règle pratique : décrivez les faits avec exactitude, contestez par écrit dans les délais, et ne laissez pas un premier refus téléphonique clore le dossier.
II. Obtenir le remboursement de la banque puis la réparation intégrale du préjudice
A. Contester par écrit dans les treize mois et exiger le remboursement
La contestation écrite adressée à votre prestataire dans les délais est l’acte qui ouvre le droit au remboursement. L’article L. 133-24 du code monétaire et financier dispose : « L’utilisateur de services de paiement signale, sans tarder, à son prestataire de services de paiement une opération de paiement non autorisée ou mal exécutée et au plus tard dans les treize mois suivant la date de débit sous peine de forclusion à moins que le prestataire de services de paiement ne lui ait pas fourni ou n’ait pas mis à sa disposition les informations relatives à cette opération de paiement conformément au chapitre IV du titre 1er du livre III. » Deux délais coexistent donc : agir sans tarder dès la découverte, et impérativement avant l’expiration des treize mois qui suivent le débit. Passé ce délai, la forclusion éteint le droit au remboursement, sauf si la banque ne vous a pas fourni les informations relatives à l’opération. Adressez cette contestation en lettre recommandée avec accusé de réception, en visant chaque opération par sa date, son montant et sa référence, et en joignant le récépissé d’opposition et celui de la plainte ou du signalement Perceval. Conservez une copie de l’ensemble : c’est ce courrier qui fera foi de la date de votre signalement.
Une fois l’opération signalée, le remboursement obéit à un calendrier strict. L’article L. 133-18 du code monétaire et financier impose à votre prestataire, pour toute opération signalée dans les conditions de l’article L. 133-24, de rembourser « immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant ». Le principe est donc le remboursement immédiat, au plus tard à la fin du premier jour ouvrable. La seule échappatoire consiste pour la banque à nourrir de bonnes raisons de soupçonner une fraude de votre part, c’est-à-dire à soutenir que vous êtes vous-même à l’origine des opérations, et elle doit alors communiquer ces raisons par écrit à la Banque de France. Un simple doute ou une négligence alléguée ne suffit pas à différer le remboursement : si la banque refuse sans motiver un soupçon de fraude transmis à la Banque de France, exigez ce remboursement par écrit en visant le texte.
La banque oppose le plus souvent votre négligence grave ou l’absence d’authentification renforcée de votre part. Le régime légal est précis. D’abord, en cas d’opération consécutive à la perte ou au vol de l’instrument, l’article L. 133-19 du code monétaire et financier met à votre charge, avant l’information donnée aux fins de blocage, « les pertes liées à l’utilisation de cet instrument, dans la limite d’un plafond de 50 € ». Avant l’opposition, votre reste à charge est donc plafonné à 50 euros, sauf exceptions prévues par le texte, et après l’opposition vous ne supportez plus rien. Ensuite, la banque peut être exonérée si elle prouve votre négligence grave, c’est-à-dire le manquement à l’obligation de prendre toute mesure raisonnable pour préserver la sécurité de vos données de sécurité personnalisées, prévue à l’article L. 133-16 du code monétaire et financier. Communiquer son code confidentiel, transmettre les codes reçus par SMS à un faux conseiller ou tarder à faire opposition après avoir constaté la disparition de sa carte constituent les exemples classiques retenus par les juges pour caractériser cette négligence.
Mais l’argument de la négligence a une limite que la Cour de cassation a fermement rappelée. Dans son arrêt du 22 octobre 2025, elle énonce : « Il résulte des articles L. 133-44, I et L. 133-19, V du code monétaire et financier que le prestataire de service de paiement doit appliquer l’authentification forte du client définie au f) de l’article L. 133-4 du même code en cas d’opération de paiement à distance et qu’à défaut, il doit rembourser au payeur le montant de l’opération non autorisée, sauf agissement frauduleux du payeur. » En l’espèce, le tribunal avait retenu que le client avait commis une négligence grave en répondant à un courriel présentant des anomalies grossières et en communiquant des données confidentielles permettant de valider le virement ; la Cour approuve néanmoins la condamnation de la banque au remboursement, au motif que celle-ci « ne justifie toutefois pas avoir exigé du payeur l’activation de l’authentification forte » (Cass. com., 22 octobre 2025, n° 24-19.749). L’enseignement est direct : la négligence du client, même grave et constatée, n’exonère pas la banque qui n’a pas elle-même appliqué l’authentification forte lors de l’opération à distance ; seul un agissement frauduleux du payeur, c’est-à-dire sa participation volontaire à la fraude, permet à la banque d’échapper au remboursement. L’obligation d’authentification forte pèse sur le prestataire en vertu de l’article L. 133-44 du code monétaire et financier : « Le prestataire de services de paiement applique l’authentification forte du client définie au f de l’article L. 133-4 lorsque le payeur : 1° Accède à son compte de paiement en ligne ; 2° Initie une opération de paiement électronique ». Si votre banque invoque votre négligence, demandez-lui donc par écrit de démontrer qu’une authentification forte a été exigée opération par opération ; à défaut, son refus de remboursement repose sur un fondement que la Cour de cassation écarte.
Si le refus persiste, la contestation s’organise en trois degrés. D’abord, renouvelez la demande par courrier recommandé en visant les articles L. 133-18, L. 133-19 et L. 133-44 et l’arrêt du 22 octobre 2025, et exigez la communication des journaux d’authentification des opérations litigieuses ainsi que, le cas échéant, la copie du signalement écrit adressé à la Banque de France. Ensuite, saisissez le médiateur bancaire dont les coordonnées figurent dans vos conditions générales et sur le site de votre établissement : la médiation est gratuite pour le client, elle suspend rarement les délais de prescription, alors agissez vite et en parallèle. Enfin, portez le litige devant le juge : le juge des contentieux de la protection pour les litiges de crédit et de paiement relevant de sa compétence, ou le tribunal judiciaire au-delà, avec la possibilité en cas d’urgence de demander en référé une provision quand l’obligation de rembourser n’est pas sérieusement contestable, sur le fondement de l’article 835 du code de procédure civile, qui permet au juge, « Dans les cas où l’existence de l’obligation n’est pas sérieusement contestable », d’« accorder une provision au créancier ». Pour les lecteurs de Paris et d’Île-de-France, le tribunal judiciaire de Paris et les juges des contentieux de la protection des tribunaux franciliens connaissent régulièrement de ce contentieux ; domiciliez proprement vos courriers, conservez les accusés de réception et préparez un dossier chronologique complet, car c’est sur pièces que ces litiges se gagnent.
B. Faire valoir le volet données personnelles et obtenir la réparation intégrale
Le piratage d’un compte bancaire est aussi une atteinte à vos données personnelles, et ce second terrain ouvre des droits distincts du seul remboursement des sommes. Quand le pirate a accédé à votre espace en ligne, il a traité vos identifiants, vos soldes, vos historiques d’opérations et souvent vos documents d’identité : il s’agit de données à caractère personnel dont votre banque est responsable du traitement. Le règlement (UE) 2016/679 du 27 avril 2016 impose au responsable du traitement de mettre en œuvre les mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque, et en cas de violation de ces données, de la notifier à l’autorité de contrôle dans les meilleurs délais et si possible 72 heures au plus tard après en avoir pris connaissance, puis de la communiquer à la personne concernée quand elle est susceptible d’engendrer un risque élevé pour ses droits et libertés. Concrètement, interrogez votre banque par écrit : la violation dont vous êtes victime a-t-elle été notifiée à la CNIL, quelles mesures de sécurisation ont été prises, vos données ont-elles circulé vers des tiers ? Ses réponses, ou son silence, alimenteront à la fois votre dossier en remboursement et une éventuelle plainte devant la CNIL, qui peut être déposée en ligne après une démarche préalable auprès de l’organisme restée sans réponse satisfaisante.
Ce volet ouvre droit à la réparation du préjudice qui dépasse les sommes détournées. L’article 82 du règlement ouvre en effet à toute personne ayant subi un dommage matériel ou moral du fait d’une violation le droit d’obtenir réparation du responsable du traitement ou du sous-traitant. Le préjudice réparable comprend les frais exposés pour sécuriser vos comptes, les découverts et rejets provoqués par les opérations frauduleuses, le temps passé à reconstituer le dossier, et le préjudice moral lié à l’intrusion dans votre vie financière et à l’angoisse d’une usurpation d’identité durable. Sur le terrain du droit commun, l’article 1240 du code civil rappelle que « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer », ce qui permet de réclamer devant le juge judiciaire l’indemnisation des préjudices que le seul remboursement des opérations ne couvre pas. L’articulation entre l’action devant la CNIL et l’action en réparation devant le juge est illustrée par une affaire récente : le tribunal judiciaire de Paris, saisi par un client d’un fabricant de portefeuilles pour cryptoactifs victime d’une fuite de données, a révoqué l’ordonnance de clôture et rouvert les débats pour que soit débattue la décision par laquelle la CNIL avait condamné la société à une amende de 750 000 euros le 10 octobre 2024 pour défaut de sécurité et durée de conservation excessive (TJ Paris, 4e chambre 1re section, 4 mars 2025, n° 22/00774 ; sanction reprise au registre public des sanctions de la CNIL). Sans trancher le fond, ce jugement montre que la sanction administrative et la réparation judiciaire se nourrissent mutuellement : conservez toute décision de la CNIL relative à votre dossier pour la produire devant le juge.
Reste la question des preuves que vous produirez vous-même en justice. Vos relevés, les journaux de connexion que la banque doit vous communiquer dans le cadre de votre droit d’accès, le récépissé Perceval, le procès-verbal de plainte et vos courriers de contestation forment le socle du dossier. Quand ces pièces contiennent des données de tiers, leur production obéit à un contrôle de proportionnalité : la Cour de cassation juge qu’il appartient au juge de rechercher si la communication de documents contenant des données à caractère personnel est nécessaire à l’exercice du droit à la preuve et proportionnée au but poursuivi (Cass. 2e civ., 3 octobre 2024, n° 21-20.979). En pratique, produisez les pièces utiles à la démonstration de la fraude et du préjudice, caviardez ce qui est étranger au litige, et demandez à la banque les éléments qu’elle seule détient, notamment les journaux d’authentification forte des opérations contestées. C’est sur ce terrain technique que se départagent désormais les dossiers : celui qui prouve vite, par écrit et dans les délais, obtient le remboursement ; celui qui attend ou se contente d’appels téléphoniques s’expose à la forclusion et au refus définitif.
Un compte bancaire piraté se traite donc comme un dossier à trois branches menées de front : l’opposition et la plainte dans les premières heures pour stopper l’hémorragie et figer les preuves, la contestation écrite dans les treize mois pour déclencher le remboursement de droit au plus tard à la fin du premier jour ouvrable, et le volet données personnelles pour obtenir devant la CNIL puis devant le juge la réparation de l’ensemble du préjudice. Face à un refus de remboursement fondé sur votre négligence, opposez l’obligation d’authentification forte de la banque et l’arrêt de la Cour de cassation du 22 octobre 2025 ; face à une opposition jugée tardive, reconstituez une chronologie précise étayée de récépissés datés. Chaque délai compte, chaque écrit protège, et c’est la rigueur du dossier qui transforme une fraude subie en sommes récupérées.