Le 13 octobre 2026, la gendarmerie du Haut-Rhin a lancé l’alerte : des escrocs usurpent le numéro officiel de la brigade de Rixheim pour soutirer des données bancaires, selon un article d’Actu.fr publié le même jour. Le scénario décrit est rôdé. Un premier appel affiche le numéro de la brigade. Un faux gendarme annonce un paiement frauduleux sur le compte de son interlocuteur et réclame ses identifiants bancaires. Puis un second interlocuteur, présenté comme un conseiller bancaire, annonce qu’un coursier viendra récupérer la carte bancaire au domicile. Deux jours plus tôt, le 11 octobre 2026, la gendarmerie du Doubs signalait des tentatives identiques de spoofing, cette technique qui consiste à usurper le numéro de téléphone d’une brigade pour tromper les victimes et leur soutirer des informations bancaires, d’après maCommune.info. En Saône-et-Loire, des individus se faisant passer pour les gendarmes de Chagny ont fait plusieurs victimes, rapporte le Journal de Saône-et-Loire le 13 octobre 2026. Face à un appel de ce type, deux batailles juridiques se jouent : bloquer l’instrument de paiement avant que les virements ne partent, puis obtenir de la banque le remboursement des sommes détournées.

La première partie explique comment faire opposition sur la carte bancaire et figer la situation après l’appel du faux gendarme. La seconde expose le régime du remboursement des opérations frauduleuses et la manière de contester un refus de la banque, y compris lorsque la victime a elle-même validé des opérations sous la pression des escrocs.

I. Opposition carte bancaire après l’appel d’un faux gendarme : bloquer et signaler sans tarder

A. Informer sans tarder sa banque aux fins de blocage de la carte bancaire

Le réflexe qui protège le compte est la mise en opposition immédiate. Dès que l’utilisateur de services de paiement a connaissance du détournement ou de toute utilisation non autorisée de son instrument de paiement ou des données qui lui sont liées, il doit en informer sa banque sans tarder pour faire bloquer l’instrument. L’article L. 133-17 du code monétaire et financier l’énonce en ces termes : « Lorsqu’il a connaissance de la perte, du vol, du détournement ou de toute utilisation non autorisée de son instrument de paiement ou des données qui lui sont liées, l’utilisateur de services de paiement en informe sans tarder, aux fins de blocage de l’instrument, son prestataire ou l’entité désignée par celui-ci. » Concrètement, cela signifie appeler le numéro d’opposition de sa banque, indiqué au dos de la carte ou sur les relevés, et demander le blocage puis le récépissé écrit de l’opposition avec sa date et son heure. Ce document fera foi en cas de litige ultérieur sur le remboursement.

La consigne des gendarmes est sans ambiguïté et vaut pour chaque appel suspect : ne jamais communiquer ses codes, identifiants ou coordonnées bancaires par téléphone, même quand le numéro affiché est celui d’une brigade. L’affichage du numéro ne prouve rien, car le spoofing permet précisément de donner à l’appel l’apparence d’un contact officiel. Dans l’affaire de Rixheim, les escrocs usurpaient le 03 89 44 23 44, numéro authentique de la brigade, d’après Actu.fr. Le bon réflexe consiste à raccrocher, puis à rappeler soi-même sa banque ou sa brigade au numéro officiel que l’on compose, et non en rappelant l’appelant. Aucun gendarme ni aucun banquier ne se déplace au domicile pour récupérer une carte bancaire : toute annonce de coursier venant chercher la carte est la signature de l’arnaque, comme le rappellent les gendarmeries du Haut-Rhin et du Doubs.

Le signalement protège aussi les autres victimes potentielles. Le message ou le numéro suspect peut être transféré par SMS au 33700, la plateforme française de signalement des spams vocaux et SMS, en précisant le numéro et l’heure de l’appel. Un dépôt de plainte en brigade ou au commissariat fige les faits et ouvre la voie pénale, utile pour la suite du dossier bancaire. Les personnes déjà contactées sont invitées à se présenter directement en brigade, selon les consignes publiées dans le Haut-Rhin et le Doubs. Conserver le journal d’appels du téléphone, les captures d’écran du numéro affiché, les SMS reçus et les relevés de compte complète ce premier dossier, avant même de parler de remboursement.

B. Contester les opérations bancaires dans les treize mois : quelles preuves garder

Une fois la carte bloquée, la victime doit contester par écrit chaque opération frauduleuse auprès de sa banque. Le délai est strict : « L’utilisateur de services de paiement signale, sans tarder, à son prestataire de services de paiement une opération de paiement non autorisée ou mal exécutée et au plus tard dans les treize mois suivant la date de débit sous peine de forclusion », dispose l’article L. 133-24 du code monétaire et financier. Passé ce délai de treize mois, la contestation est forclose, sauf si la banque n’a pas fourni les informations relatives à l’opération. Mieux vaut donc agir dans les jours qui suivent la découverte, par lettre recommandée ou via la messagerie sécurisée de l’espace client, en listant chaque opération avec sa date, son montant et son libellé.

La rédaction de la contestation gagne à distinguer deux catégories d’opérations. D’un côté, les paiements et virements que la victime n’a ni ordonnés ni validés : retraits, achats en ligne, virements vers des comptes inconnus effectués après la compromission des identifiants. De l’autre, les opérations que la victime a elle-même validées sous la pression des escrocs, par exemple en transmettant un code reçu par SMS ou en confirmant une authentification à la demande du faux conseiller. Cette distinction compte car la banque traitera les premières comme des opérations non autorisées, tandis qu’elle opposera souvent aux secondes l’argument de la négligence grave. Or, comme on le verra, la Cour de cassation encadre strictement cet argument depuis un arrêt du 9 septembre 2026 rendu dans une affaire de spoofing, et la validation sous manipulation ne ferme pas la porte au remboursement.

Le dossier de contestation doit réunir le récépissé d’opposition, les relevés faisant apparaître les opérations, la copie de la plainte ou du récépissé de signalement en brigade, le journal des appels avec le numéro usurpé, et tout échange avec la banque. La loi impose à l’utilisateur une vigilance de fond : « Dès qu’il reçoit un instrument de paiement, l’utilisateur de services de paiement prend toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées. » Cette obligation fixée par l’article L. 133-16 du code monétaire et financier sera le terrain du débat avec la banque, mais elle ne dispense jamais l’établissement de prouver ce qu’il avance, ni d’appliquer l’authentification forte.

Quand des virements ont déjà quitté le compte avant l’opposition, la victime peut demander à sa banque d’engager une procédure de rappel des fonds auprès de l’établissement du compte bénéficiaire, en parallèle de la contestation. Cette démarche ne remplace ni l’opposition ni la contestation dans les treize mois, mais elle augmente les chances de figer les sommes avant leur dispersion, surtout si elle intervient dans les heures qui suivent les opérations. Il faut transmettre à sa banque les références exactes de chaque virement, conserver la trace écrite de la demande de rappel et noter l’identité de l’interlocuteur ainsi que la date et l’heure de l’appel. En revanche, contacter directement le bénéficiaire inconnu ou un intermédiaire qui se présenterait pour restituer les fonds expose à une seconde escroquerie : toute restitution transite par les établissements, jamais par un coursier, un lien reçu par SMS ou un nouveau code à valider.

II. Remboursement des sommes détournées après un spoofing : ce que la banque doit prouver

A. Remboursement des opérations de paiement non autorisées au plus tard le premier jour ouvrable

Le principe est favorable à la victime : pour une opération de paiement non autorisée régulièrement signalée, la banque doit rembourser vite. L’article L. 133-18 du code monétaire et financier prévoit que le prestataire « rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant », sauf s’il soupçonne une fraude de l’utilisateur et en communique les raisons par écrit à la Banque de France, et qu’il rétablit le compte débité dans l’état où il se serait trouvé sans l’opération. Un refus sec, non motivé par écrit, ne satisfait pas à cette exigence.

Avant l’opposition, une franchise limitée peut rester à la charge du client en cas de perte ou de vol de l’instrument : « le payeur supporte, avant l’information prévue à l’article L. 133-17 , les pertes liées à l’utilisation de cet instrument, dans la limite d’un plafond de 50 €. » Mais cette participation de 50 euros tombe dans plusieurs cas, notamment celui qui correspond au spoofing : « La responsabilité du payeur n’est pas engagée si l’opération de paiement non autorisée a été effectuée en détournant, à l’insu du payeur, l’instrument de paiement ou les données qui lui sont liées. » Quand les escrocs détournent les données à l’insu de la victime en se faisant passer pour la gendarmerie puis pour la banque, cette exonération trouve naturellement à s’appliquer.

Surtout, c’est à la banque de prouver la faute qu’elle reproche au client, et non au client de prouver sa prudence. La chambre commerciale de la Cour de cassation l’a jugé le 28 mars 2018 dans une affaire d’hameçonnage demeurée publiée au Bulletin : « c’est à ce prestataire qu’il incombe, par application des articles L. 133-19, IV, et L. 133-23 du même code, de rapporter la preuve que l’utilisateur, qui nie avoir autorisé une opération de paiement, a agi frauduleusement ou n’a pas satisfait intentionnellement ou par négligence grave à ses obligations ; que cette preuve ne peut se déduire du seul fait que l’instrument de paiement ou les données personnelles qui lui sont liées ont été effectivement utilisés » (Cass. com., 28 mars 2018, n° 16-20.018). Le simple fait que les codes aient fonctionné ne suffit donc pas à établir une négligence grave.

La banque doit aussi avoir fait son propre travail de sécurité, à savoir l’authentification forte. L’article L. 133-44 du code monétaire et financier dispose que « Le prestataire de services de paiement applique l’authentification forte du client définie au f de l’article L. 133-4 lorsque le payeur : 1° Accède à son compte de paiement en ligne ; 2° Initie une opération de paiement électronique ; 3° Exécute une opération par le biais d’un moyen de communication à distance, susceptible de comporter un risque de fraude en matière de paiement ou de toute autre utilisation frauduleuse. » Le 22 octobre 2025, la Cour de cassation en a tiré une conséquence directe : « Il résulte des articles L. 133-44, I et L. 133-19, V du code monétaire et financier que le prestataire de service de paiement doit appliquer l’authentification forte du client définie au f) de l’article L. 133-4 du même code en cas d’opération de paiement à distance et qu’à défaut, il doit rembourser au payeur le montant de l’opération non autorisée, sauf agissement frauduleux du payeur. » Dans cette affaire, le client avait pourtant répondu à un courriel frauduleux et transmis des données confidentielles, et la banque invoquait sa négligence grave : « Après avoir retenu que le payeur avait commis une négligence grave en répondant à un courriel présentant des anomalies grossières qui auraient dû attirer son attention et en communiquant des données confidentielles dont les codes pour valider l’ajout d’un bénéficiaire et le virement, le jugement ajoute que la banque ne justifie toutefois pas avoir exigé du payeur l’activation de l’authentification forte. » Verdict : « De ces seuls motifs, le tribunal, qui n’avait pas à effectuer la recherche inopérante visée à la troisième branche, a exactement déduit que la banque devait rembourser au payeur le montant de l’opération non autorisée. » (Cass. com., 22 octobre 2025, n° 24-19.749, rejet). Autrement dit, même une négligence avérée du client ne sauve pas la banque qui n’a pas appliqué l’authentification forte, hors fraude du payeur.

B. Banque qui refuse le remboursement pour négligence grave : comment contester le refus

Le refus type oppose à la victime sa propre validation : elle aurait communiqué ses codes et confirmé les opérations, donc elle aurait manqué gravement à son obligation de sécurité. Cet argument a des limites précises depuis l’arrêt de la chambre commerciale du 9 septembre 2026, rendu dans un dossier de spoofing au faux conseiller bancaire. La Cour y rappelle d’abord la règle : « Il résulte du premier de ces textes que le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations, imposées par le second, d’une part de prendre toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées, d’autre part d’utiliser l’instrument de paiement conformément aux conditions régissant son utilisation. » Puis elle censure la cour d’appel qui avait exclu toute négligence grave au seul motif du scénario de manipulation : « En se déterminant ainsi, par un motif péremptoire excluant la négligence grave du payeur lorsqu’il est sollicité au moyen d’un appel téléphonique d’une personne se présentant comme un préposé du prestataire de services de paiement et dont le numéro de téléphone correspond à celui de ce dernier, sans rechercher, concrètement, si la divulgation volontaire par M. [V] de son identifiant et de son code d’accès au service de paiement en ligne et la validation des opérations de paiement qu’il n’a pas initiées ne constituaient pas une telle négligence grave, la cour d’appel n’a pas donné de base légale à sa décision. » (Cass. com., 9 septembre 2026, n° 25-15.038, cassation).

La portée pratique de cet arrêt est double. D’un côté, la banque ne peut pas se contenter d’invoquer la communication des codes : le juge doit apprécier concrètement, opération par opération, si la divulgation volontaire de l’identifiant, du code d’accès et la validation d’opérations non initiées par le client constituent une négligence grave, en tenant compte du scénario de manipulation, de l’urgence fabriquée et de l’usurpation du numéro officiel. De l’autre, la victime ne gagne pas automatiquement : tout est affaire de circonstances, et la naïveté face à des anomalies visibles peut être retenue contre elle, comme l’illustre l’arrêt du 28 mars 2018 qui caractérise la négligence grave du client répondant à un courriel contenant des indices permettant à un utilisateur normalement attentif de douter de sa provenance. Face à un faux gendarme qui affiche le vrai numéro d’une brigade, l’argument de la banque est toutefois plus fragile que face à un courriel truffé de fautes, car aucun indice visible ne permettait de douter de l’appel.

La contestation suit un ordre utile. D’abord, une réclamation écrite circonstanciée adressée à la banque, visant les articles L. 133-18, L. 133-19 et L. 133-24 et les trois arrêts cités, en exigeant le remboursement au plus tard le premier jour ouvrable et la motivation écrite de tout soupçon de fraude. Ensuite, en cas de maintien du refus, la saisine du médiateur bancaire, étape préalable au procès dans la plupart des conventions. Enfin, le recours au juge, juge des contentieux de la protection pour les petits montants ou tribunal judiciaire au-delà, avec le dossier constitué dès le premier jour : opposition, relevés, plainte, journal d’appels. Les victimes d’autres fraudes aux comptes trouveront des démarches voisines décrites pour un compte piraté avec des droits à récupérer, une plainte à déposer et une réparation à obtenir, preuve que la méthode plainte, contestation écrite puis réparation vaut pour toutes les usurpations de comptes.

Le volet pénal renforce le dossier civil. Se présenter comme un gendarme pour obtenir des fonds ou des données caractérise l’escroquerie, définie par l’article 313-1 du code pénal comme « le fait, soit par l’usage d’un faux nom ou d’une fausse qualité, soit par l’abus d’une qualité vraie, soit par l’emploi de manoeuvres frauduleuses, de tromper une personne physique ou morale et de la déterminer ainsi, à son préjudice ou au préjudice d’un tiers, à remettre des fonds, des valeurs ou un bien quelconque, à fournir un service ou à consentir un acte opérant obligation ou décharge », punie de « cinq ans d’emprisonnement et de 375 000 euros d’amende ». L’usurpation du numéro de la brigade sur un réseau téléphonique peut en outre relever de l’usurpation d’identité commise sur un réseau de communication au public en ligne, l’article 226-4-1 punissant « Le fait d’usurper l’identité d’un tiers ou de faire usage d’une ou plusieurs données de toute nature permettant de l’identifier en vue de troubler sa tranquillité ou celle d’autrui, ou de porter atteinte à son honneur ou à sa considération, est puni d’un an d’emprisonnement et de 15 000 € d’amende. » Et l’exercice d’une activité créant une confusion avec une fonction publique est sanctionné par l’article 433-13, qui punit « le fait par toute personne : 1° D’exercer une activité dans des conditions de nature à créer dans l’esprit du public une confusion avec l’exercice d’une fonction publique » des mêmes peines d’un an d’emprisonnement et de 15 000 euros d’amende. Déposer plainte rapidement, se constituer partie civile et suivre l’enquête permet de faire constater pénalement la manoeuvre, ce qui pèse dans la discussion avec la banque sur l’absence de fraude de la victime.

Conclusion

Un appel qui affiche le numéro d’une brigade de gendarmerie et réclame des codes bancaires n’est jamais un appel officiel : les gendarmes du Haut-Rhin, du Doubs et de Saône-et-Loire le rappellent en octobre 2026 face à la vague de spoofing visant les cartes bancaires. Le premier devoir de la personne appelée est de raccrocher, de faire opposition sans tarder aux fins de blocage, de ne remettre sa carte à aucun coursier et de signaler les faits en brigade après avoir transféré le numéro suspect au 33700. Le second temps est celui du remboursement : opérations non autorisées remboursées au plus tard le premier jour ouvrable, franchise de 50 euros écartée en cas de détournement des données à l’insu du client, contestation possible pendant treize mois, preuve de la négligence grave à la charge de la banque et authentification forte exigible de l’établissement. Quand la banque refuse en invoquant des codes volontairement transmis, l’arrêt du 9 septembre 2026 impose au juge un examen concret du scénario de manipulation plutôt qu’une exclusion automatique. Opposition immédiate, contestation écrite, plainte pénale et, en cas de refus maintenu, médiateur puis juge : cet enchaînement donne à la victime du faux gendarme les meilleures chances de revoir ses fonds.