Un matin, le dirigeant d’une petite société parisienne ouvre son application bancaire et découvre trois paiements par carte qu’il n’a jamais autorisés, pour un total de 4 200 euros, passés dans la nuit sur la carte business confiée à un commercial. Quelques jours plus tôt, un autre chef d’entreprise recevait l’appel d’un soi-disant conseiller de sa banque, affiché au numéro habituel de l’établissement, qui lui annonçait une fraude en cours et lui demandait de valider une opération pour la bloquer. La carte bancaire de l’entreprise concentre aujourd’hui une part croissante des paiements courants, des abonnements et des achats en ligne, et elle expose la société à des fraudes rapides, souvent nocturnes et parfois préparées par une usurpation d’identité téléphonique. Les recherches des internautes sur la carte bancaire battent des records en ce mois d’octobre 2026, pendant que la presse économique des 12 et 14 octobre 2026 relate les plans des grands réseaux de cartes pour fiabiliser les paiements et préparer un paiement hors ligne à l’horizon 2027. Dans ce contexte, la Cour de cassation vient de rendre, le 9 septembre 2026, un arrêt remarqué sur l’arnaque au faux conseiller bancaire et la négligence grave du client. Cet article explique, pour une entreprise dont la carte est volée, détournée ou piratée, comment faire opposition dans les premières heures, dans quels délais contester, quand la banque doit rembourser au plus tard le premier jour ouvrable suivant, et comment répondre à un refus fondé sur une prétendue négligence.
I. Faire opposition et sécuriser les comptes de l’entreprise sans tarder
A. Carte business volée ou détournée : l’opposition immédiate et les vérifications internes
La première heure décide souvent du montant final du préjudice. Dès que la disparition, le vol ou l’utilisation anormale de la carte de l’entreprise est connue, le porteur ou le dirigeant doit prévenir la banque aux fins de blocage de l’instrument. Le code monétaire et financier prévoit que, lorsqu’il a connaissance de la perte, du vol, du détournement ou de toute utilisation non autorisée de son instrument de paiement ou des données qui lui sont liées, l’utilisateur en informe « sans tarder, aux fins de blocage de l’instrument, son prestataire ou l’entité désignée par celui-ci » (article L133-17 du code monétaire et financier). Concrètement, l’opposition se fait par le numéro dédié de la banque, souvent accessible jour et nuit, ou par le service interbancaire d’opposition au 0 892 705 705, avant confirmation écrite. Toute opération passée après l’enregistrement de l’opposition engage la responsabilité de la banque, qui ne peut plus se retrancher derrière le contrat.
Pour une entreprise, l’opposition ne suffit pas : il faut verrouiller l’environnement de paiement. Le dirigeant fait dresser sans délai l’inventaire des cartes émises sur les comptes de la société, avec le nom de chaque porteur salarié, les plafonds de paiement et de retrait, et les abonnements prélevés sur chaque numéro. Les cartes des porteurs concernés sont bloquées ou plafonnées à zéro dans l’attente de leur renouvellement, les codes d’accès à la banque en ligne sont réinitialisés, et les portefeuilles numériques qui dupliquaient la carte compromise sont suspendus. Les relevés des trente derniers jours sont exportés et chaque opération est pointée, car les fraudeurs testent fréquemment la carte par des micro-paiements avant les débits importants. Les incidents récents montrent que des cartes restées actives plusieurs jours après un premier signalement ont permis des vagues successives de retraits, ce qui complique ensuite la contestation.
Le réflexe pénal doit partir en parallèle. Le dépôt de plainte au commissariat ou à la gendarmerie, après une pré-plainte en ligne si besoin, constate officiellement la fraude et fournit un récépissé que la banque réclamera presque toujours. Le signalement sur la plateforme Perceval du ministère de l’intérieur, dédiée à la fraude à la carte bancaire, complète utilement la plainte lorsque le porteur est toujours en possession de sa carte. Côté entreprise, un courriel interne horodaté fixe la chronologie : qui a constaté quoi, à quelle heure, quelles oppositions ont été demandées et à qui. Cette discipline probatoire pèse lourd lorsque la banque oppose plus tard une réaction tardive ou une négligence du porteur.
La sécurité des données de sécurité personnalisées relève d’une obligation permanente. Le code dispose que, dès qu’il reçoit un instrument de paiement, l’utilisateur « prend toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées » et utilise l’instrument conformément à des conditions « objectives, non discriminatoires et proportionnées » (article L133-16 du code monétaire et financier). Pour une société, cette exigence se traduit par des règles écrites : codes jamais stockés avec les cartes, jamais transmis par messagerie, coffre-fort ou gestionnaire de mots de passe pour les identifiants de banque en ligne, double validation pour toute modification de plafond, et rappel annuel aux porteurs. Un salarié qui photographie sa carte business avec le code collé au dos expose l’entreprise à un refus de remboursement que le dirigeant aura ensuite beaucoup de mal à renverser.
B. Les délais pour signaler les opérations : treize mois et l’exception des contrats d’entreprise
Une fraude découverte tardivement reste contestable pendant un long délai, mais les entreprises doivent lire leur contrat avant de s’y fier. La loi prévoit que l’utilisateur signale « sans tarder, à son prestataire de services de paiement une opération de paiement non autorisée ou mal exécutée et au plus tard dans les treize mois suivant la date de débit sous peine de forclusion », sauf si la banque ne lui a pas fourni les informations relatives à l’opération (article L133-24 du code monétaire et financier). Ce délai de treize mois vaut de plein droit pour les particuliers. Pour les professionnels, la même phrase ajoute une réserve décisive : « Sauf dans les cas où l’utilisateur est une personne physique agissant pour des besoins non professionnels, les parties peuvent convenir d’un délai distinct de celui prévu au présent article. » Autrement dit, le contrat-cadre de la société avec sa banque peut réduire le délai de contestation à soixante ou quatre-vingt-dix jours. Le dirigeant qui découvre une fraude ancienne doit donc vérifier immédiatement la convention de compte professionnel avant d’adresser sa réclamation.
La contestation elle-même obéit à une méthode stricte. Chaque opération litigieuse est identifiée par sa date, son montant, son libellé et son numéro d’autorisation, avec une copie du relevé surligné et un tableau récapitulatif du préjudice total. La lettre recommandée avec accusé de réception, ou le message adressé via la messagerie sécurisée de la banque en ligne avec preuve de dépôt, énonce que les opérations sont non autorisées, demande le remboursement intégral et la remise en l’état du compte, et rappelle l’obligation de remboursement au plus tard à la fin du premier jour ouvrable suivant. Joindre le récépissé de plainte, le récépissé d’opposition et le signalement Perceval renforce la demande. Les échanges téléphoniques avec le conseiller, qui promettent souvent un examen rapide, ne remplacent jamais l’écrit : seule la réclamation écrite fait courir les obligations de la banque.
Les sociétés doivent aussi distinguer la carte volée du virement trompé. Quand l’escroc obtient les identifiants de banque en ligne et initie lui-même des virements, le régime applicable reste celui des opérations non autorisées, avec le remboursement de droit commun. Quand le dirigeant ou le comptable, abusé par un faux ordre de virement ou un faux fournisseur, valide lui-même le virement vers le compte de l’escroc, l’opération est juridiquement autorisée et le remboursement n’est pas dû : la banque n’est alors tenue que d’une obligation de moyens pour tenter de récupérer les fonds. Le code précise qu’un ordre exécuté conformément à l’identifiant unique fourni par l’utilisateur est réputé dûment exécuté à l’égard du bénéficiaire désigné, et que si l’identifiant est inexact, la banque « s’efforce de récupérer les fonds engagés dans l’opération de paiement » (article L133-21 du code monétaire et financier). D’où l’importance, dès la découverte, de qualifier exactement ce qui s’est passé : carte utilisée à l’insu du porteur, identifiants extorqués puis opérations initiées par l’escroc, ou ordre validé par un salarié trompé. La lettre de contestation décrit les faits avec précision au lieu de se contenter du mot fraude.
Parallèlement, la société préserve ses droits contre d’autres débiteurs éventuels. L’assurance cyber ou l’assurance fraude, si elle a été souscrite, est déclarée dans le délai de la police, souvent de cinq jours ouvrés. Le contrat avec le prestataire de terminaux de paiement ou de banque en ligne est relu pour vérifier les clauses de sécurité. Et lorsque la fraude s’inscrit dans une attaque informatique plus large contre l’entreprise, les réflexes de confinement et de notification décrits dans notre dossier sur la cyberattaque contre l’entreprise et les devoirs du dirigeant s’appliquent en complément : isolation des postes compromis, conservation des journaux de connexion et dépôt de plainte pour accès frauduleux.
II. Obtenir le remboursement et contester le refus de la banque
A. Le remboursement au plus tard le premier jour ouvrable, la franchise de 50 euros et la preuve
Une fois la contestation adressée, la banque ne dispose pas d’un délai d’instruction à sa convenance. La loi impose qu’en cas d’opération signalée dans les conditions prévues à l’article L. 133-24, « le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant », sauf soupçon écrit et motivé de fraude de l’utilisateur transmis à la Banque de France, et qu’il « rétablit le compte débité dans l’état où il se serait trouvé si l’opération de paiement non autorisée n’avait pas eu lieu » (article L133-18 du code monétaire et financier). Le retard est sanctionné par des intérêts au taux légal majoré de cinq points, puis de dix points au-delà de sept jours et de quinze points au-delà de trente jours. Une banque qui répond qu’elle étudie le dossier pendant plusieurs semaines sans rembourser ni motiver par écrit un soupçon de fraude manque à cette obligation.
La franchise de 50 euros s’applique uniquement dans un cas précis. En cas d’opération non autorisée consécutive à la perte ou au vol de l’instrument, le payeur supporte avant l’opposition les pertes « dans la limite d’un plafond de 50 € », mais « la responsabilité du payeur n’est pas engagée en cas : – d’opération de paiement non autorisée effectuée sans utilisation des données de sécurité personnalisées » (article L133-19 du code monétaire et financier). La responsabilité est également écartée lorsque le vol ne pouvait pas être détecté avant le paiement, lorsque l’opération résulte d’un détournement à l’insu du payeur, en cas de contrefaçon alors que le porteur détenait sa carte, ou lorsque la banque n’a pas fourni de moyens de blocage adaptés. Surtout, le payeur « ne supporte aucune conséquence financière si l’opération de paiement non autorisée a été effectuée sans que le prestataire » ait exigé l’authentification forte prévue par les textes. Cette authentification forte, que, selon la loi, « Le prestataire de services de paiement applique l’authentification forte du client définie au f de l’article L. 133-4 » lorsque le payeur accède à son compte en ligne ou initie un paiement électronique (article L133-44 du code monétaire et financier), conditionne donc directement le droit au remboursement intégral des paiements en ligne non sécurisés.
Face à une contestation, c’est à la banque de prouver, et non au client de démontrer son innocence. Le code dispose que, lorsque l’utilisateur nie avoir autorisé une opération, « il incombe à son prestataire de services de paiement de prouver que l’opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre », et que « L’utilisation de l’instrument de paiement telle qu’enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l’opération a été autorisée par le payeur » (article L133-23 du code monétaire et financier). La Cour de cassation applique cette règle avec constance : le 26 mars 2025, la chambre commerciale a cassé un jugement qui déduisait la négligence grave de la seule utilisation effective de la carte et du code, posant que « La négligence grave ne peut se déduire du seul fait que l’instrument de paiement ou les données personnelles qui lui sont liées ont été effectivement utilisés » (Cass. com., 26 mars 2025, n° 23-21.299). Le 20 novembre 2024, elle avait déjà cassé un arrêt qui faisait supporter les pertes au client sans caractériser son manquement, en visant les articles L133-19 et L133-23 (Cass. com., 20 novembre 2024, n° 23-15.099). Pour l’entreprise, la conséquence est claire : les certificats techniques et les journaux de la banque ne suffisent pas, et le refus de remboursement doit reposer sur des faits précis de fraude ou de négligence grave, prouvés par l’établissement.
Un dernier point protège les sociétés facturées de montants inattendus sur leurs cartes : une opération initiée par le payeur n’est réputée autorisée que si le consentement porte aussi sur le montant. Le 15 janvier 2025, la Cour de cassation a jugé qu’« une opération de paiement initiée par le payeur, qui donne un ordre de paiement à son prestataire de services de paiement, est réputée autorisée uniquement si le payeur a également consenti au montant de l’opération », et a fait application des articles L133-18 et L133-19 au remboursement (Cass. com., 15 janvier 2025, n° 23-18.906). Une carte business débitée d’un montant sans rapport avec l’ordre donné reste donc contestable sur ce fondement, en complément des règles sur les opérations non autorisées.
B. Négligence grave et arnaque au faux conseiller : quand la banque peut refuser et comment répondre
Le seul motif qui permet à la banque de conserver les sommes est démontré par ses soins. Le code prévoit : « Le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17 » (article L133-19, IV du code monétaire et financier). La négligence grave suppose un comportement caractérisé : code inscrit sur la carte ou sur un papier conservé avec elle, identifiants transmis à un tiers en connaissance de cause, alertes de la banque ignorées pendant des semaines, opposition différée sans raison alors que les relevés montraient les débits. Une simple maladresse, une erreur d’appréciation sous la pression d’un escroc ou la validation d’une opération incomprise ne correspondent pas à cette définition. La banque doit établir des faits, pas des hypothèses, et le faisceau d’indices tiré de la seule utilisation du code ne suffit pas, comme l’a rappelé l’arrêt du 26 mars 2025.
L’arrêt le plus récent éclaire directement la fraude téléphonique qui vise aujourd’hui les entreprises comme les particuliers. Le 9 septembre 2026, la chambre commerciale s’est prononcée sur le cas d’un client qui avait reçu l’appel d’un individu se présentant comme un préposé de sa banque, connaissant son adresse et son numéro de carte, et qui, sous couvert de bloquer une fraude prétendue, lui avait fait valider un virement de 9 000 euros puis communiquer ses identifiants réinitialisés. La cour d’appel avait exclu toute négligence grave en retenant le scénario d’usurpation, y compris l’envoi d’un message de confirmation depuis un numéro enregistré au nom de la banque. La Cour de cassation a censuré ce raisonnement péremptoire : la Cour reproche à la cour d’appel de s’être déterminée « sans rechercher, concrètement, si la divulgation volontaire par M. [V] de son identifiant et de son code d’accès au service de paiement en ligne et la validation des opérations de paiement qu’il n’a pas initiées ne constituaient pas une telle négligence grave », faute de quoi la décision manque de base légale (Cass. com., 9 septembre 2026, n° 25-15.038). Elle a rappelé au passage que « le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations » de préserver ses données de sécurité et d’utiliser l’instrument conformément à ses conditions d’utilisation.
Pour une entreprise, cet arrêt fixe une ligne de conduite précise. D’un côté, la banque ne peut pas rejeter une demande au seul motif que le salarié a communiqué ses codes à un escroc habile : le détournement à l’insu du payeur, le numéro usurpé et la mise en scène de l’urgence sont des circonstances que le juge doit examiner avant de conclure à la négligence grave. De l’autre, la validation active d’opérations non initiées par le porteur et la transmission volontaire d’identifiants réinitialisés constituent des faits sérieux que la banque exploitera, et que seule une analyse concrète des pressions subies peut neutraliser. La société victime d’un faux conseiller doit donc documenter l’appel avec la même rigueur que la fraude : numéro affiché, captures du message de confirmation, relevés des connexions, identité du salarié piégé, consignes internes en vigueur et formation reçue. Ces pièces alimentent à la fois la plainte pour escroquerie, définie comme le fait « par l’usage d’un faux nom ou d’une fausse qualité, soit par l’abus d’une qualité vraie, soit par l’emploi de manoeuvres frauduleuses, de tromper une personne physique ou morale et de la déterminer ainsi, à son préjudice ou au préjudice d’un tiers, à remettre des fonds » (article 313-1 du code pénal), et la réponse à la banque.
À Paris et en Île-de-France, le parcours pratique suit un ordre éprouvé. La plainte est déposée au commissariat de l’arrondissement du siège ou de l’établissement concerné, ou auprès de la brigade de répression de la délinquance astucieuse de la préfecture de police pour les escroqueries élaborées, avec constitution de partie civile chiffrée dès que le préjudice est stabilisé. La réclamation écrite à la banque est doublée, en cas de refus ou de silence de quinze jours ouvrés, d’un recours au médiateur bancaire désigné dans la convention de compte, dont la saisine suspend les poursuites en recouvrement des sommes contestées pendant son examen. Si la médiation échoue, le litige relève du tribunal judiciaire de Paris pour les sociétés non commerçantes ou du tribunal des activités économiques de Paris lorsque les deux parties sont commerçantes, avec une assignation qui reprend la chronologie, les constats techniques et la jurisprudence récente. Les entreprises franciliennes gagnent à faire constater rapidement les connexions litigieuses par un commissaire de justice, car les journaux de la banque, souvent produits tardivement, racontent rarement la pression subie au téléphone.
Au sein de la société, l’incident doit produire des effets durables, car un second sinistre rapproché rendra la négligence grave bien plus facile à soutenir pour la banque. Les cartes des collaborateurs itinérants sont plafonnées au plus juste, les paiements en ligne importants basculent vers des cartes virtuelles à usage unique, et toute demande de validation reçue par téléphone donne lieu à un contre-appel sur le numéro officiel de l’agence, jamais sur le numéro affiché. Le règlement intérieur ou la note de service rappelle que la banque ne demande jamais les codes, que les identifiants ne se transmettent à personne, et que le salarié qui reçoit un appel alarmant doit raccrocher et prévenir la direction financière avant toute manipulation. Ces mesures, consignées et datées, forment le dossier de bonne foi qui fera la différence lors du prochain contrôle comme devant le juge.
Conclusion
La carte bancaire de l’entreprise bénéficie d’une protection forte : opposition sans tarder, contestation dans un délai que le contrat professionnel peut toutefois aménager, remboursement au plus tard à la fin du premier jour ouvrable suivant, franchise limitée à 50 euros avant opposition, et preuve de la fraude ou de la négligence grave à la charge de la banque. Les arrêts de la chambre commerciale du 20 novembre 2024, du 15 janvier 2025, du 26 mars 2025 et du 9 septembre 2026 resserrent encore l’examen : l’utilisation effective de la carte ne prouve rien à elle seule, le consentement doit porter sur le montant, et la négligence grave s’apprécie concrètement, y compris face à un faux conseiller au numéro usurpé. Pour le dirigeant, la méthode tient en quatre gestes : bloquer vite, écrire à la banque avec des pièces précises, déposer plainte et signaler, puis contester tout refus par la médiation et, si besoin, devant la juridiction parisienne compétente. Documenter chaque étape transforme une fraude subie en dossier remboursé.