Votre téléphone affiche un message qui semble venir d’un livreur : un colis serait en attente, il manquerait quelques euros de frais pour le recevoir, un lien vous invite à régler et à reprogrammer la livraison. Vous cliquez, vous saisissez votre nom, votre adresse, puis votre numéro de carte bancaire pour payer une somme minime. Quelques heures ou quelques jours plus tard, des débits que vous n’avez jamais autorisés apparaissent sur votre compte, parfois suivis d’un appel d’un prétendu conseiller bancaire qui vous demande de valider des opérations urgentes. Ce scénario, appelé hameçonnage par SMS, touche chaque semaine des milliers de personnes en France, et les montants détournés dépassent souvent plusieurs milliers d’euros.
Deux situations doivent être distinguées dès maintenant, car elles n’ouvrent pas les mêmes droits. Si vous avez seulement cliqué sur le lien sans saisir de données, le risque principal est l’exposition de votre numéro et l’installation éventuelle d’un programme malveillant : il faut verrouiller et signaler. Si vous avez saisi vos coordonnées bancaires ou vos identifiants, chaque heure compte : il faut faire opposition, alerter votre banque par écrit, figer les preuves, signaler le message frauduleux, puis exiger le remboursement des opérations non autorisées et déposer plainte. Ce guide décrit l’ordre exact de ces démarches, les textes qui protègent le payeur, la jurisprudence récente qui a condamné des banques à rembourser des victimes d’hameçonnage, et les sanctions pénales encourues par les auteurs.
I. Stopper les dégâts et figer des preuves utilisables
Face à un SMS de faux colis, la rapidité prime, mais elle ne doit pas détruire les preuves. Les captures d’écran, le message d’origine, l’adresse du faux site et les relevés bancaires conditionnent le remboursement et la plainte. La méthode exposée ci-dessous suit l’ordre recommandé par les autorités publiques : d’abord contenir, ensuite prouver, enfin signaler.
A. Les gestes des premières heures après le clic ou le paiement
Ne répondez pas au SMS et ne rappelez aucun numéro qu’il contient : tout contact confirme aux fraudeurs que votre ligne est active et peut déclencher une seconde vague, notamment l’arnaque au faux conseiller bancaire. Comme l’indique le ministère de l’économie, il est recommandé de ne pas cliquer sur le lien contenu dans le SMS, et les données récupérées sont souvent utilisées dans les jours qui suivent pour des arnaques aux faux conseillers bancaires. Si un prétendu conseiller vous appelle dans les jours qui suivent, raccrochez et composez vous-même le numéro officiel de votre banque : aucun établissement sérieux ne demande jamais de valider une opération par téléphone sous la pression de l’urgence.
Photographiez et conservez tout avant de supprimer quoi que ce soit. Réalisez des captures d’écran du SMS avec le numéro expéditeur visible, de l’adresse exacte du site sur lequel vous avez cliqué, de chaque page du faux formulaire rempli, et des mentions qui y figurent : une variante fréquente fait payer quelques euros de prétendus frais de livraison pour obtenir vos coordonnées bancaires, mais le formulaire emporte en réalité le consentement à un abonnement mensuel de plusieurs dizaines d’euros, noyé dans des mentions peu lisibles. Conservez aussi les notifications de votre banque, les courriels de confirmation et vos relevés. Ces éléments serviront à la demande de remboursement, au signalement et à la plainte.
Si vous avez saisi votre numéro de carte, faites opposition immédiatement. L’administration l’énonce simplement : vous devez au plus vite faire opposition, c’est-à-dire bloquer l’utilisation de votre carte. Contactez votre banque ou appelez le serveur interbancaire d’opposition au 0 892 705 705, ouvert en permanence, puis confirmez par écrit : si votre contrat l’exige, adressez une confirmation à votre agence par lettre recommandée avec accusé de réception ou présentez-vous au guichet. Notez le numéro d’enregistrement de l’opposition et conservez-en la trace datée, car ce document prouve la date à laquelle vous avez réagi et sera demandé pour le remboursement.
Prévenez votre banque le jour même, par un écrit distinct de l’opposition : décrivez le SMS, l’heure du clic, les données saisies, les débits constatés, et demandez expressément le remboursement des opérations que vous n’avez pas autorisées. Préparez l’appel puis la lettre à la banque avec les mêmes cinq informations : le numéro de téléphone expéditeur du SMS, l’heure exacte du clic, la nature précise des données saisies sur le faux site, la liste des débits constatés avec leurs dates et montants, et le numéro d’enregistrement de l’opposition. Demandez un écrit de confirmation pour chaque échange téléphonique : les engagements verbaux se perdent, les écrits datés fondent le dossier de remboursement. Si un prétendu conseiller vous a appelé après le SMS, mentionnez cet appel dans la lettre, avec le numéro affiché, l’heure et les consignes qu’il vous a dictées : ce second étage de la fraude prouve que vos données ont circulé et renforce la démonstration de votre bonne foi. Contrôlez aussi les abonnements et les prélèvements qui suivent le prétendu paiement des frais de livraison : la variante la plus rentable pour les fraudeurs consiste à transformer quelques euros de frais en consentement à un abonnement mensuel reconductible, prélevé chaque mois sur votre carte. Relevez chaque prélèvement inconnu, contestez-le par écrit auprès de la banque en visant l’absence de consentement éclairé, et révoquez l’autorisation auprès du prétendu créancier par lettre recommandée. Vérifiez dans votre espace bancaire la liste des mandats et des bénéficiaires enregistrés, supprimez tout bénéficiaire ajouté pendant la période de compromission, et demandez à la banque la traçabilité des validations : ces journaux indiquent quelles opérations ont été authentifiées, comment et depuis quel appareil. Surveillez ensuite vos comptes chaque jour pendant plusieurs semaines : les fraudeurs revendent ou réutilisent les données, et de nouveaux débits peuvent survenir en différé.
Signalez le SMS frauduleux sur la plateforme 33 700, par internet ou par SMS adressé au 33700 : ce service fait bloquer l’émetteur du message et alimente la lutte contre la fraude. Le ministère de l’économie rappelle que vous pouvez y signaler tout SMS suspect et que la banque doit être contactée pour faire opposition au plus vite dès que le numéro de carte a été communiqué. Ce canal ne doit pas être confondu avec le traitement des SMS commerciaux non sollicités, qui relèvent du consentement à la prospection : les règles applicables aux SMS commerciaux non sollicités et au droit d’opposition relèvent d’un régime distinct, tandis qu’ici le message est une escroquerie. Si vous avez constaté des débits frauduleux liés à votre carte, signalez les faits sur la plateforme Perceval du ministère de l’intérieur : votre signalement aidera les autorités à identifier les auteurs de ces fraudes, mais il ne se substitue pas au dépôt de plainte. Réalisez enfin le diagnostic en ligne sur le site cybermalveillance.gouv.fr, qui oriente vers l’assistance 17Cyber et les démarches adaptées à votre cas.
B. Inventorier ce qui a été compromis et alerter les bons interlocuteurs
Un faux site de livraison ne collecte jamais une seule donnée : il aspire tout ce que vous saisissez, et chaque catégorie appelle une parade différente. Faites la liste exacte de ce que vous avez communiqué : numéro de téléphone, adresse électronique, nom et adresse postale, numéro de carte et cryptogramme, identifiants bancaires, éventuellement copie d’une pièce d’identité ou photographie. Si vous avez saisi un mot de passe déjà utilisé ailleurs, changez-le partout sans attendre, en commençant par la messagerie électronique, car une boîte mail compromise permet de réinitialiser la plupart de vos autres comptes. Activez la double authentification sur la messagerie, les réseaux sociaux et l’espace bancaire dès que le service la propose.
Lorsque des identifiants ou des documents d’identité ont été transmis, anticipez l’usurpation d’identité : un tiers muni de vos nom, adresse, date de naissance et pièce d’identité peut tenter d’ouvrir un crédit, de souscrire un abonnement téléphonique ou de louer un véhicule à votre nom. La Commission nationale de l’informatique et des libertés décrit la conduite à tenir face à une usurpation d’identité et rappelle les droits d’accès et d’effacement qui permettent de vérifier quelles données un organisme détient sur vous et d’exiger la suppression de celles qui sont inexactes ou indûment conservées. Surveillez les fichiers d’incidents de paiement, conservez chaque courrier d’organisme que vous n’avez pas sollicité, et contestez par écrit tout contrat ouvert à votre nom.
Prévenez votre entourage proche si le SMS contenait un lien que vous avez transféré ou si vos contacts risquent d’être visés à leur tour : indiquez la période concernée et recommandez de ne cliquer sur aucun lien venu de votre numéro pendant cette période. Si vous avez utilisé un téléphone professionnel, informez immédiatement votre employeur et son service informatique : l’appareil peut héberger des données de clients ou de l’entreprise, et l’employeur doit évaluer s’il s’agit d’une violation de données à notifier. Vérifiez enfin qu’aucune application inconnue ne s’est installée sur le téléphone et faites analyser l’appareil si un comportement anormal persiste, car certains liens frauduleux servent à installer un programme malveillant qui intercepte ensuite les codes de confirmation.
II. Se faire rembourser et faire sanctionner les auteurs
Une fois l’urgence contenue, deux chantiers s’ouvrent en parallèle : récupérer les sommes prélevées auprès de la banque, et faire constater l’infraction pour identifier les auteurs et obtenir réparation. Le premier relève du droit des paiements, largement favorable au payeur ; le second relève du droit pénal et du droit des données personnelles.
A. Le remboursement par la banque : un droit strictement encadré
Le principe est posé par le code monétaire et financier : le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant. La banque doit en outre rétablir le compte dans l’état où il se serait trouvé sans l’opération frauduleuse. Le service public résume cette obligation sans détour : la banque doit vous rembourser toutes les sommes débitées, ainsi que les agios éventuels. En cas de retard, des pénalités automatiques s’appliquent : les sommes portent intérêt au taux légal majoré de cinq points, puis de dix points au-delà de sept jours de retard, et de quinze points au-delà de trente jours.
Ce droit est enfermé dans des délais stricts qu’il ne faut jamais laisser passer. Signalez l’opération sans tarder et au plus tard dans les treize mois suivant la date de débit, sous peine de forclusion, et retenez que pour un paiement effectué hors de l’Espace économique européen, le délai n’est que de soixante-dix jours. De même, un paiement frauduleux ne peut pas être remboursé s’il date de plus de treize mois. Concrètement, contestez par écrit dès les premiers débits, même si l’enquête pénale n’a pas commencé : attendre la fin des investigations fait courir un risque de forclusion sans aucun bénéfice.
La banque ne peut refuser le remboursement qu’en prouvant votre faute, et c’est à elle d’apporter cette preuve. Lorsqu’un utilisateur nie avoir autorisé une opération, il incombe à son prestataire de prouver que l’opération a été authentifiée, dûment enregistrée et comptabilisée, et surtout l’utilisation de l’instrument de paiement telle qu’enregistrée par le prestataire ne suffit pas nécessairement en tant que telle à prouver que l’opération a été autorisée ou que l’utilisateur a commis une négligence grave. Autrement dit, le seul fait que votre carte ou vos codes aient servi ne prouve ni votre consentement ni votre négligence : la banque doit fournir des éléments positifs de fraude ou de négligence grave de votre part.
La jurisprudence récente applique ces règles avec fermeté aux victimes d’hameçonnage. Le 19 mars 2026, le tribunal judiciaire de Tours a condamné une banque à rembourser 14 378 euros à un client victime d’un courriel frauduleux qui l’avait conduit à transmettre ses données d’authentification : virement de 8 928 euros et paiement de 5 450 euros, intervenus le même jour. Le tribunal retient qu’aucune fraude ni aucune négligence grave n’est établie contre le client, qui avait signalé les faits à sa banque le jour même et déposé plainte dès le lendemain, alors que le message frauduleux ne présentait pas d’anomalies apparentes et qu’aucune opération n’avait été validée via son dispositif d’authentification renforcée. La banque est condamnée à rembourser l’intégralité des fonds avec intérêts au taux légal majoré de quinze points, plus 500 euros de préjudice moral et 3 000 euros de frais de procédure (jugement du 19 mars 2026). Le 14 mai 2025, le tribunal judiciaire de Paris a pareillement fait droit pour partie à un client contre son établissement bancaire dans un litige d’opérations contestées (jugement du 14 mai 2025), et le 21 septembre 2026, la même juridiction a condamné une autre banque à rembourser intégralement un client (jugement du 21 septembre 2026). Ces décisions confirment une ligne constante : face à l’hameçonnage, le doute sur la négligence profite au payeur.
Distinguez toutefois deux cas que les banques traitent différemment. Si les fraudeurs ont utilisé eux-mêmes votre carte sur des sites marchands après avoir capté vos données, il s’agit d’opérations non autorisées : le régime du remboursement immédiat s’applique de plein droit. Si vous avez vous-même validé un virement ou communiqué un code d’authentification sous la pression d’un faux conseiller, l’opération apparaît comme autorisée et le remboursement n’est plus automatique : vous devrez démontrer que l’authentification forte exigée par la réglementation n’a pas été mise en œuvre ou que la banque a manqué à ses obligations de sécurité et de vigilance, notamment face à des bénéficiaires et des connexions inhabituels. Dans ce second cas, la plainte pénale, le récépissé Perceval et la démonstration du scénario de manipulation prennent une importance décisive, et l’aide d’un conseil devient souvent nécessaire pour chiffrer chaque préjudice : fonds détournés, agios, découvert, temps et démarches, préjudice moral. Un cas mérite une attention particulière : celui où vous avez vous-même validé un virement ou communiqué un code reçu par SMS sous la dictée du faux conseiller. L’opération apparaît alors comme autorisée dans les journaux de la banque, et le remboursement immédiat n’est plus acquis. Votre dossier doit alors démontrer soit que l’authentification forte réglementaire n’a pas été exigée pour des opérations atypiques, soit que la banque a manqué à son devoir de vigilance face à des signaux évidents : bénéficiaire inconnu enregistré quelques minutes avant un virement important, connexion depuis un appareil jamais utilisé, montant sans rapport avec vos habitudes, enchaînement anormal d’opérations. Relevez aussi vos contrats d’assurance : certaines assurances des moyens de paiement couvrent les utilisations frauduleuses sous conditions et délais de déclaration stricts, et leur mobilisation n’exclut pas l’action contre la banque. Dans cette configuration, la plainte pénale cesse d’être une formalité : elle matérialise le scénario de manipulation et permet de demander au juge civil ou pénal la réparation du solde resté à votre charge.
Si la banque refuse ou ne répond pas, saisissez le médiateur bancaire : en cas de litige sur un remboursement, vous pouvez saisir le médiateur bancaire, et si sa médiation échoue, portez le litige devant le tribunal judiciaire. Joignez à chaque étape le même dossier : captures du SMS et du faux site, relevés entourant les débits, lettre d’opposition et son numéro d’enregistrement, lettres de contestation avec accusés de réception, récépissé de plainte ou de signalement Perceval. Un dossier complet et daté fait souvent la différence avant même tout procès. Gardez une copie de chaque envoi dans un dossier unique, ordonné par date : les banques et les tribunaux accordent un poids décisif aux dossiers complets et chronologiques, et un envoi en lettre recommandée avec accusé de réception éteint toute contestation sur les délais.
B. La plainte pénale, la protection de vos données et la réparation intégrale
Déposez plainte sans attendre, car le récépissé sert aussi votre dossier bancaire. Présentez-vous au commissariat ou à la gendarmerie avec vos captures, vos relevés et la chronologie des faits, ou écrivez au procureur de la République du tribunal judiciaire de votre domicile : la plateforme cybermalveillance.gouv.fr invite à déposer plainte au commissariat de police ou à la brigade de gendarmerie en fournissant toutes les preuves en votre possession. Les officiers et agents de police judiciaire sont tenus de recevoir votre plainte : ils sont tenus de recevoir les plaintes déposées par les victimes d’infractions à la loi pénale, y compris lorsque ces plaintes sont déposées dans un service territorialement incompétent. Si un guichet vous renvoie vers un autre service, exigez l’enregistrement et demandez le récépissé. Pour les délits, l’action publique se prescrit par six années révolues à compter du jour où l’infraction a été commise : ce délai confortable ne doit pas inciter à tarder, car les traces techniques s’effacent vite et les fonds partent à l’étranger.
Qualifiez précisément les faits dans votre plainte, car chaque infraction ouvre des investigations différentes. L’escroquerie vise le cœur du montage : l’escroquerie est le fait, par l’usage d’un faux nom ou d’une fausse qualité ou par l’emploi de manoeuvres frauduleuses, de tromper une personne et de la déterminer à remettre des fonds, et elle est punie de cinq ans d’emprisonnement et de 375 000 euros d’amende. Le faux SMS du livreur, le faux site de paiement et le faux conseiller bancaire constituent typiquement ces manœuvres. Lorsque les fraudeurs se sont introduits dans votre messagerie ou votre espace client pour y prélever des données, le fait d’accéder ou de se maintenir frauduleusement dans tout ou partie d’un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 euros d’amende, et l’extraction ou la modification frauduleuse des données encourt cinq ans et 150 000 euros d’amende. La Cour de cassation a confirmé la condamnation d’un prévenu qui avait installé un dispositif espion sur des ordinateurs pour capter des données (arrêt du 16 janvier 2018), et elle a rejeté le pourvoi d’un ancien administrateur réseau condamné pour maintien frauduleux dans le système de son ancien employeur avec indemnisation de la partie civile (arrêt du 2 septembre 2025). Si vos données servent ensuite à vous nuire ou à tromper vos proches, le fait d’usurper l’identité d’un tiers ou de faire usage de données permettant de l’identifier en vue de troubler sa tranquillité ou de porter atteinte à son honneur est puni d’un an d’emprisonnement et de 15 000 euros d’amende.
Constituez-vous partie civile dès la plainte ou devant le tribunal correctionnel : cette constitution permet de demander au juge pénal la réparation de vos préjudices dans le même procès, sans engager une procédure civile séparée. Chiffrez chaque poste : sommes détournées non remboursées, agios et frais bancaires, coût des démarches et des courriers, temps contraint, préjudice moral lié à l’angoisse et à la perte de contrôle sur vos données. Le fondement civil de droit commun dispose que tout fait quelconque de l’homme qui cause à autrui un dommage oblige celui par la faute duquel il est arrivé à le réparer.
Mobilisez aussi le droit des données personnelles, car un SMS frauduleux suppose que votre numéro a circulé. Saisir la Commission nationale de l’informatique et des libertés obéit à une chronologie précise : exercez d’abord vos droits directement auprès de l’organisme qui détient vos données, par un écrit qui décrit les données concernées et ce que vous demandez, puis, si l’organisme ne répond pas dans un délai d’un mois ou refuse de donner suite, déposez une plainte en ligne auprès de la Commission en joignant vos échanges. La Commission peut contrôler, mettre en demeure et sanctionner, mais elle n’indemnise pas : la réparation financière se demande au juge, sur le fondement du règlement européen ou du droit commun de la responsabilité. Articulez donc les voies sans les confondre : le signalement au 33700 fait bloquer l’émetteur, le signalement Perceval alimente les enquêtes sans remplacer la plainte, le diagnostic 17Cyber organise vos démarches, la plainte déclenche l’enquête pénale, la réclamation devant la Commission vise le traitement de vos données, et la demande au juge vise votre indemnisation. Le règlement européen impose aux responsables de traitement des mesures de sécurité adaptées au risque, y compris la confidentialité et la résilience des systèmes (article 32 du règlement (UE) 2016/679). Lorsqu’une violation de données survient chez un organisme, celui-ci doit la notifier à l’autorité de contrôle dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, et vous en informer directement lorsqu’elle est susceptible d’engendrer un risque élevé pour vos droits et libertés. Le texte européen vise d’ailleurs expressément, parmi les dommages redoutés, la perte de contrôle sur les données, le vol et l’usurpation d’identité. Enfin, toute personne ayant subi un dommage matériel ou moral du fait d’une violation du règlement a le droit d’obtenir réparation du préjudice subi : ce droit à réparation s’ajoute à l’action pénale et à l’action contre la banque, et il permet de demander au juge l’indemnisation du préjudice moral même en l’absence de perte financière définitive.
Conclusion
Un SMS de faux colis n’est jamais un incident mineur dès lors que vous avez cliqué ou saisi des données : traitez-le comme une fraude bancaire en cours. Faites opposition et écrivez à votre banque le jour même, conservez chaque preuve, signalez le message au 33700 et les débits sur Perceval, déposez plainte avec un dossier complet. Exigez ensuite le remboursement des opérations non autorisées : la banque doit rembourser au plus tard le premier jour ouvré suivant et c’est à elle de prouver votre négligence grave, comme l’ont rappelé plusieurs tribunaux en 2025 et 2026 face à l’hameçonnage. Contestez par écrit avant treize mois, saisissez le médiateur en cas de refus, et faites sanctionner les auteurs au pénal tout en exerçant vos droits sur vos données. La rapidité des premières heures et la rigueur du dossier écrit font l’essentiel du résultat.