Le message arrive un matin ordinaire : un colis serait en attente et il manquerait 2 ou 3 euros de frais pour le recevoir, ou votre nouvelle carte vitale serait disponible contre quelques euros de participation. Vous cliquez, vous renseignez votre nom, votre adresse, puis votre numéro de carte bancaire pour régler une somme dérisoire. Quelques heures plus tard, un « conseiller du service fraude de votre banque » vous appelle, connaît vos dernières opérations et vous guide pour « bloquer les paiements suspects ». Le soir même, votre compte est vidé de plusieurs milliers d’euros. Ce scénario, qui combine un SMS frauduleux puis un appel usurpé, porte un nom : l’hameçonnage par SMS suivi d’un faux appel bancaire. Il frappe deux fois : il capte vos données personnelles, puis il vide votre compte. Face à cette double attaque, les bons réflexes se jouent en quelques heures et le droit vous donne des armes précises : opposition immédiate, signalements, plainte pénale, remboursement bancaire sous conditions strictes, et recours liés à l’usage frauduleux de vos données. Encore faut-il agir dans le bon ordre et conserver chaque preuve, car les juges examinent chaque geste au microscope, comme le montrent trois décisions rendues en juin et septembre 2026.
I. Comprendre l’attaque pour qualifier chaque préjudice
A. Le SMS et le faux site : vos données personnelles sont captées illicitement
Le premier temps de l’arnaque est un message qui usurpe l’identité d’un transporteur de colis, de l’Assurance maladie ou de votre banque. Le ministère de l’économie décrit exactement ce mode opératoire : des SMS frauduleux usurpant l’identité d’une administration ou d’un transporteur, rédigés sur un ton pressant et alarmiste, qui renvoient vers un faux site destiné à collecter vos données et vos coordonnées bancaires (comment réagir face aux SMS frauduleux de livraison de colis). Le faux site imite la charte du véritable organisme, parfois à la lettre près, et le lien contenu dans le message comporte une adresse légèrement modifiée : une lettre ajoutée, une extension inhabituelle, un tiret supplémentaire. Les juges eux-mêmes constatent ce réalisme : dans un arrêt du 17 septembre 2026, la cour d’appel de Douai relève que le SMS frauduleux « est signé de la Caisse d’Epargne et ne présente aucune faute d’orthographe ni élément permettant de douter de sa provenance » (CA Douai, ch. 8, sect. 1, 17 sept. 2026, n° RG 24/04013).
Dès que vous saisissez vos nom, adresse, numéro de téléphone et coordonnées bancaires sur ce faux site, deux infractions pénales sont caractérisées. D’abord, l’usage de vos données permettant de vous identifier fait l’objet d’une protection pénale : l’article 226-4-1 du code pénal dispose que « Le fait d’usurper l’identité d’un tiers ou de faire usage d’une ou plusieurs données de toute nature permettant de l’identifier en vue de troubler sa tranquillité ou celle d’autrui, ou de porter atteinte à son honneur ou à sa considération, est puni d’un an d’emprisonnement et de 15 000 € d’amende ». Ensuite, la manoeuvre d’ensemble constitue une escroquerie au sens de l’article 313-1 du code pénal : « L’escroquerie est le fait, soit par l’usage d’un faux nom ou d’une fausse qualité, soit par l’abus d’une qualité vraie, soit par l’emploi de manoeuvres frauduleuses, de tromper une personne physique ou morale et de la déterminer ainsi, à son préjudice ou au préjudice d’un tiers, à remettre des fonds, des valeurs ou un bien quelconque ». L’envoi du SMS piégé, la création du faux site et l’usurpation du numéro de votre banque correspondent précisément à ces manoeuvres frauduleuses et à cet usage d’une fausse qualité.
Sur le terrain des données personnelles, le site service-public.fr qualifie l’hameçonnage, qu’il soit par message ou par appel, de délit et distingue deux démarches : le signalement aux plateformes dédiées et le dépôt de plainte par la victime (hameçonnage : vos démarches). Concrètement, le SMS frauduleux se signale au 33700, la plateforme de lutte contre les spams vocaux et SMS, qui transmet votre signalement aux opérateurs de téléphonie concernés (la plateforme 33700). Le faux site et les messages reçus par courriel se signalent sur Signal Spam, dont les experts peuvent transmettre votre signalement au procureur de la République ou à la direction générale de la concurrence, de la consommation et de la répression des fraudes. La Commission nationale de l’informatique et des libertés rappelle de son côté la conduite à tenir : ne pas répondre, ne pas ouvrir les pièces jointes, les images ou les liens, puis signaler (spam, hameçonnage, arnaques : signaler pour agir). Ces signalements ne remplacent pas la plainte, mais ils créent une trace datée de la fraude, utile devant la banque comme devant le juge.
Enfin, l’usage frauduleux de vos données ouvre un droit à réparation propre au droit des données personnelles. L’article 82 du règlement général sur la protection des données prévoit que « Toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi ». Ce fondement vise le responsable du traitement de vos données, et il trouve à s’appliquer lorsque vos données, une fois captées, sont réutilisées contre vous : dans les affaires jugées en 2026, l’escroc connaissait les données personnelles de la victime et s’en servait pour la mettre en confiance pendant l’appel, ce qui montre que la captation initiale alimente directement la seconde phase de l’arnaque.
B. L’appel du faux conseiller et les virements : des opérations de paiement non autorisées
Le second temps de l’arnaque commence souvent par un appel. Votre téléphone affiche le numéro de votre banque, ou un numéro proche, et votre interlocuteur se présente comme un agent du service des fraudes qui aurait détecté des opérations suspectes. Il connaît votre nom, parfois votre solde ou vos dernières opérations, parce que vous venez de les livrer vous-même sur le faux site. Il vous demande alors de « sécuriser » vos fonds : valider des codes reçus par SMS, installer une application, communiquer vos identifiants, ou même remettre votre carte bancaire à un coursier qui se présenterait à votre domicile. Pendant que vous croyez bloquer la fraude, l’escroc exécute de vrais virements et de vrais paiements depuis votre compte.
En droit des paiements, ces opérations sont qualifiées d’opérations non autorisées. Le tribunal judiciaire de Dax l’exprime clairement dans un jugement du 16 juin 2026 : même lorsque la cliente a elle-même validé des opérations sur son téléphone, « elle n’a pas consenti véritablement aux opérations effectuées sur son compte, puisqu’elle pensait, non pas autoriser des paiements, mais au contraire mettre fin à une fraude », de sorte que, selon le tribunal, « Il convient dans ces conditions de considérer que Madame [G] n’a pas autorisé les opérations bancaires contestées » (TJ Dax, pôle de proximité, 16 juin 2026, n° RG 25/00069). La cliente avait d’abord réglé 2,26 euros pour un prétendu colis après un SMS, puis subi pendant un appel d’une heure une série d’opérations pour un total de 9 113,72 euros. Le raisonnement vaut pour tous les scénarios comparables : valider techniquement une opération en croyant stopper une fraude ne vaut pas consentement.
Cette qualification déclenche le régime protecteur du code monétaire et financier. L’article L. 133-18 de ce code dispose que « le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant ». Le remboursement est donc la règle, et il doit intervenir vite. Surtout, la banque ne peut pas se contenter d’affirmer que vos codes ont servi : l’article L. 133-23 du même code précise que « L’utilisation de l’instrument de paiement telle qu’enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l’opération a été autorisée par le payeur ». C’est à la banque de prouver que l’opération a été authentifiée, enregistrée, comptabilisée et exempte de déficience technique, puis, si elle refuse de rembourser, de prouver votre fraude ou votre négligence grave.
Vos propres obligations existent néanmoins et la banque les invoquera. L’article L. 133-16 du code monétaire et financier impose à l’utilisateur de prendre « toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées », et l’article L. 133-17 lui impose d’informer « sans tarder » son prestataire en cas de perte, de vol, de détournement ou d’utilisation non autorisée de son instrument de paiement. La sanction de ces manquements figure à l’article L. 133-19 du même code : « Le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17 ». Tout le contentieux se joue donc sur ces mots : négligence grave. Ni la simple maladresse ni la confiance abusée ne suffisent ; la banque doit démontrer une faute d’une gravité caractérisée, appréciée au regard des circonstances concrètes de l’attaque.
II. Vos réflexes et vos recours, heure par heure
A. Les cinq gestes qui protègent vos données et votre argent
Premier geste : faire opposition sur votre carte et alerter votre banque sans attendre. Appelez le numéro d’opposition indiqué au dos de votre carte ou sur le site de votre établissement, puis confirmez par écrit : ce signalement immédiat satisfait votre obligation d’information « sans tarder » et fige la situation. Si des virements ont déjà été exécutés, demandez à votre conseiller le rappel des fonds et l’identification du compte bénéficiaire, et exigez un récépissé écrit de votre contestation avec la date et l’heure. Le ministère de l’économie le rappelle : si vous avez communiqué votre numéro de carte, contactez votre banque pour faire opposition au plus vite, puis signalez la fraude sur la plateforme Perceval avant de déposer plainte (réagir face aux SMS frauduleux).
Deuxième geste : signaler le SMS et le faux site. Transférez le message suspect par SMS au 33700 et signalez le faux site sur Signal Spam, en conservant les accusés de réception. Ces démarches prennent quelques minutes, elles alimentent la lutte contre les numéros frauduleux et elles établissent que vous avez réagi en personne prudente dès la découverte du piège. Si le message usurpe l’identité d’un transporteur ou d’une administration, prévenez également l’organisme imité par son canal officiel, en ressaisissant vous-même son adresse dans votre navigateur, sans jamais repasser par le lien du message.
Troisième geste : figer les preuves. Ne supprimez rien : conservez le SMS d’origine avec le numéro expéditeur, l’adresse exacte du faux site, les captures d’écran des pages où vous avez saisi vos données, le relevé de vos appels avec les numéros et les horaires, vos relevés bancaires montrant les opérations contestées, et tous vos échanges avec la banque. Photographiez ou exportez ces éléments sur un support distinct de votre téléphone, car un changement d’appareil ou une réinitialisation ferait disparaître des preuves décisives. Les juges s’appuient directement sur ces pièces : relevés de connexions, historique des appels, contenu de la plainte et courriers de contestation figurent au coeur des trois décisions de 2026 citées dans cet article.
Quatrième geste : déposer plainte. Rendez-vous au commissariat ou à la gendarmerie, à Paris comme ailleurs en Île-de-France, avec votre dossier de preuves imprimé, ou préparez une pré-plainte en ligne sur la plateforme THESEE pour une escroquerie sur internet. Visez les faits avec précision : escroquerie, usurpation d’identité et usage frauduleux de vos données personnelles, opérations de paiement contestées avec leurs dates et montants. Demandez le récépissé de dépôt et, si votre préjudice financier est établi, indiquez que vous vous constituez partie civile afin de réclamer vos dommages et intérêts dans le procès pénal. Le service-public.fr rappelle que le signalement ne vaut pas plainte et que seule la plainte déclenche l’enquête (hameçonnage : vos démarches).
Cinquième geste : contester formellement chaque opération auprès de votre banque dans le délai légal. L’article L. 133-24 du code monétaire et financier impose de signaler « sans tarder » toute opération non autorisée « et au plus tard dans les treize mois suivant la date de débit sous peine de forclusion ». Adressez une lettre recommandée avec accusé de réception qui liste chaque opération contestée, rappelle leur caractère non autorisé et demande le remboursement immédiat sur le fondement de l’article L. 133-18. Pour les lecteurs parisiens, le contentieux bancaire relève en pratique du tribunal judiciaire de Paris, dont la 9e chambre traite un volume important de ces litiges, comme en témoignent les décisions rendues en juin 2026. Si la banque refuse ou garde le silence, ce courrier recommandé constituera le point de départ du calcul des intérêts de retard majorés et la pièce maîtresse de votre assignation.
B. Le remboursement : quand la banque doit payer et quand elle peut refuser
Le principe est simple et les exceptions sont étroites. Une fois votre contestation adressée dans le délai de treize mois, la banque doit vous rembourser au plus tard à la fin du premier jour ouvrable suivant, sauf si elle soupçonne une fraude de votre part et écrit à la Banque de France en ce sens. Si elle refuse en invoquant votre négligence, c’est à elle d’en rapporter la preuve, et les juges vérifient concrètement si votre comportement constituait une négligence grave au moment des faits. Trois décisions récentes montrent comment cette appréciation se joue sur des détails.
Premier cas, favorable à la victime : le tribunal judiciaire de Dax condamne une banque à rembourser 7 642,14 euros à une cliente victime d’un SMS de colis suivi d’un appel d’une heure d’un faux conseiller usurpant le numéro de la banque (TJ Dax, 16 juin 2026, n° RG 25/00069). Le tribunal admet que la cliente a commis une négligence en donnant ses codes, mais refuse de la qualifier de grave : elle avait été mise en confiance par l’usurpation du numéro de sa banque et la connaissance préalable de ses données personnelles, puis placée dans un état de stress intense par la crainte d’une fraude en cours. Le jugement retient qu’« il doit être considéré que Madame [L] [G] a pu légitimement perdre ses moyens durant le temps de la conversation téléphonique, ce qui l’a conduite à manquer de prudence », et souligne qu’elle a signalé la fraude et fait opposition dès qu’elle a compris. La somme produit intérêts au taux légal à compter de la mise en demeure. Ce que cette décision vous apprend : la sophistication de l’attaque, l’usurpation vérifiable du numéro de la banque et la rapidité de votre réaction sont vos meilleurs arguments.
Deuxième cas, défavorable : le tribunal judiciaire de Paris déboute un client qui, après un SMS frauduleux lui réclamant 2,65 euros pour reprogrammer une livraison, a remis sa carte bancaire intacte et son code secret à un coursier envoyé par l’escroc, permettant un retrait et un paiement de proximité (TJ Paris, 9e ch. 2e sect., 24 juin 2026, n° RG 25/03229). Le tribunal juge que « l’envoi d’un coursier à son domicile pour récupérer sa carte ne pouvant correspondre à une procédure régulière d’un établissement bancaire », cette remise caractérise une négligence grave qui prive le client du remboursement. La décision rappelle aussi deux points de droit utiles : les traces informatiques de la banque valent simple commencement de preuve à corroborer par des éléments extérieurs, et le régime des articles L. 133-18 et suivants s’applique à l’exclusion de tout autre fondement de responsabilité pour obtenir le remboursement. Ce que cette décision vous apprend : remettre physiquement votre carte ou votre téléphone à un inconnu, même sur instruction d’un prétendu conseiller, franchit presque toujours le seuil de la négligence grave.
Troisième cas, le plus récent et venu d’une cour d’appel : la cour d’appel de Douai confirme le 17 septembre 2026 la condamnation d’une banque à rembourser 15 000 euros de virements à une cliente qui avait cliqué sur un SMS signé de sa banque puis communiqué ses identifiants et son code d’authentification pendant des appels émanant du numéro usurpé du service des oppositions (CA Douai, 17 sept. 2026, n° RG 24/04013). La cour pose que « la négligence grave de Mme [W] ne saurait se déduire de la seule communication par elle des ses identifiants et/ou de son code d’authentification », et exige une appréciation concrète : message sans faute ni indice suspect, numéro enregistré comme celui du service des oppositions, cliente faussement alertée quelques jours plus tôt puis convaincue d’opérer un blocage. La banque avait elle-même reconnu l’usurpation de ses lignes dans un courriel à ses clients deux mois après les faits. Ce que cet arrêt vous apprend : même la communication de vos codes n’équivaut pas automatiquement à une négligence grave lorsque l’attaque était indétectable pour une personne normalement attentive.
De ces trois décisions se dégage une méthode que votre courrier puis votre assignation doivent suivre. Décrivez minute par minute la mise en confiance : présentation du message, absence d’indice visible de fraude, usurpation du numéro, durée et pression de l’appel, connaissance de vos données par l’escroc. Produisez les pièces qui l’établissent : SMS, journaux d’appels, relevés, plainte, courriers. Rappelez que la banque supporte la charge de la preuve et que la Cour de cassation, citée par le tribunal de Paris dans l’affaire du 24 juin 2026, a jugé le 23 octobre 2024 que la négligence grave ne se déduit pas du seul comportement du client victime d’une usurpation de ligne (Cass. com., 23 oct. 2024, n° 23-16.267, cité par TJ Paris 24 juin 2026). Si la banque tarde à rembourser après votre contestation, réclamez les intérêts majorés prévus par l’article L. 133-18 : taux légal majoré de cinq points, puis de dix points au-delà de sept jours de retard, puis de quinze points au-delà de trente jours. En revanche, n’attendez pas du juge bancaire une indemnisation automatique de votre stress ou de votre temps perdu : à Dax comme à Paris, les demandes de dommages et intérêts pour préjudice moral ont été rejetées faute de preuve d’un préjudice distinct du refus de remboursement.
Reste la question de vos données personnelles, distincte du remboursement bancaire. Si l’escroc réutilise vos nom, adresse ou pièce d’identité pour ouvrir des comptes, souscrire des crédits ou viser vos proches, chaque réutilisation appelle une riposte propre : nouvelle plainte, opposition au fichage, demande d’effacement auprès de chaque organisme destinataire, et signalement à la Commission nationale de l’informatique et des libertés lorsque vos droits d’accès, de rectification ou d’effacement restent lettre morte. Le fondement européen de la réparation du préjudice lié à la violation de vos données existe, et il se plaide sur pièces : captures, attestations des organismes, réponses ou silences opposés à vos demandes. Pour situer ces recours bancaires dans leur ensemble, notamment l’articulation entre opposition, contestation dans les treize mois et action en justice, vous pouvez utilement comparer avec l’analyse des opérations non autorisées et du remboursement bancaire.
Un SMS de colis ou de carte vitale qui vous a coûté quelques euros puis des milliers d’euros n’est donc ni une fatalité ni une simple maladresse : c’est une escroquerie organisée en deux temps, captation de vos données puis pillage de votre compte, que le droit traite comme telle. Vos premières heures décident de la suite : opposition et signalement à la banque, conservation de chaque preuve, signalements au 33700 et sur Signal Spam, puis plainte avec constitution de partie civile. Votre contestation écrite dans les treize mois ouvre le droit au remboursement rapide, que la banque ne peut écarter qu’en prouvant une négligence grave appréciée concrètement, à la lumière de la sophistication de l’attaque et de votre réaction. Les décisions de Dax, Paris et Douai le confirment : le client mis en confiance par une usurpation indétectable obtient le remboursement, celui qui remet sa carte à un coursier le perd. Gardez vos preuves, écrivez vite, et faites vérifier chaque refus de remboursement à l’aune de cette jurisprudence.